Azure Firewall を別のリージョンに再配置する

1. Azure portal にサインインします。
2. [すべてのリソース] を選択し、Azure Firewall リソースを選択します。
3. [Azure Firewall] ページで、左側のメニューの[自動化] で [テンプレートのエクスポート] を選択します。
4. エクスポート テンプレート ページで、ダウンロード を選択します。
5. ポータルからダウンロードした .zip ファイルを見つけて、選択したフォルダーにそのファイルを解凍します。

このzipファイルには、テンプレートを展開するためのテンプレートとスクリプトを含む.jsonファイルが含まれています。

1. Connect-AzAccount コマンドを使用して Azure サブスクリプションにサインインし、画面上の指示に従います。

   Connect-AzAccount
   

2. 自分の ID が複数のサブスクリプションに関連付けられている場合は、アクティブなサブスクリプションを、移動する Azure Firewall リソースのサブスクリプションに設定します。

   $context = Get-AzSubscription -SubscriptionId <subscription-id>
   Set-AzContext $context
   

3. 次のコマンドを実行して、ソースの Azure Firewall リソースのテンプレートをエクスポートします。

   $resource = Get-AzResource `
     -ResourceGroupName <resource-group-name> `
     -ResourceName <resource-name> `
     -ResourceType <resource-type>
   
   Export-AzResourceGroup `
     -ResourceGroupName <resource-group-name> `
     -Resource $resource.ResourceId
   

4. 現在のディレクトリで template.json を見つけます。

1. Azure portal にサインインします。

2. TLS 検査を有効にした Premium SKU を使用している場合は、次の手順を行います。

   1. 新しいターゲット リージョンに、TLS 検査に使用されるキー コンテナーを再配置します。 次に、手順に従って、ターゲット リージョンの新しいキー コンテナーに TLS 検査用の証明書を移動するか、新しく生成します。
   2. 新しいターゲット リージョンにマネージド ID を再配置します。 ターゲット リージョンとサブスクリプションで、キー コンテナーの対応するロールを再割り当てします。

3. Azure Portal で、 [リソースの作成] を選択します。

4. [Marketplace を検索] に「template deployment」と入力し、Enter キーを押します。

5. [テンプレートのデプロイ]、[作成] の順に選択します。

6. 独自のテンプレートをエディターに作成を選択します。

7. [ファイルを読み込む] を選択し、手順に従って、前のセクションでダウンロードした template.json ファイルを読み込みます

8. template.json ファイルで、次のように置き換えます。

   • firewallName を Azure Firewall 名の既定値として使用します。
   • azureFirewallPublicIpId をターゲット地域のあなたのパブリック IP アドレスの ID に置き換えます。
   • virtualNetworkName をターゲット リージョンの仮想ネットワークの名前に置き換えます。
   • firewallPolicy.id をポリシー ID に置き換えます。

9. ソース リージョンの構成を使用して新しいファイアウォール ポリシーを作成し、新しいターゲット リージョンによって導入された変更 (IP アドレス範囲、パブリック IP、ルール コレクション) を反映します。

10. Premium SKU を使用しており、TLS 検査を有効にする場合は、新しく作成したファイアウォール ポリシーを更新し、こちらの手順に従って TLS 検査を有効にします。

11. 次の設定を確認して更新し、ターゲット リージョンに必要な変更を反映します。

    • IP グループ。 ターゲット リージョンの IP アドレスがソースと異なる場合は、それを含めるために、"IP グループ" を確認する必要があります。 グループに含まれている IP アドレスを変更する必要があります。
    • ゾーン。 ターゲット リージョンの可用性ゾーン (AZ) を構成します。
    • 強制トンネリング。Azure Firewall を再配置する前に、仮想ネットワークを再配置したこと、およびファイアウォールの "管理サブネット" が存在していることを確認してください。 ユーザー定義ルート (UDR) で、Azure Firewall でトラフィックのリダイレクト先にする必要があるネットワーク仮想アプライアンス (NVA) の、ターゲット リージョンの IP アドレスを更新します。
    • DNS。 カスタム DNS サーバー の IP アドレスを確認して、ターゲット リージョンを反映します。 DNS プロキシ機能が有効になっている場合は、仮想ネットワークの DNS サーバー設定を構成し、Azure Firewall のプライベート IP アドレスをカスタム DNS サーバーとして設定してください。
    • プライベート IP 範囲 (SNAT)。 - SNAT にカスタム範囲が定義されている場合は、ターゲット リージョンのアドレス空間が含まれていることを確認し、最終的に調整することをお勧めします。
    • タグ。 - 新しいファイアウォールの場所を反映または参照するタグを確認して更新します。
    • 診断設定。 ターゲット リージョンで Azure Firewall を再作成するときは、 必ず診断設定 を確認し、ターゲット リージョン (Log Analytics ワークスペース、ストレージ アカウント、イベント ハブ、またはサード パーティのパートナー ソリューション) を反映するように構成してください。

12. location ファイルの template.json プロパティをターゲット リージョンに編集します (次の例は、ターゲット リージョンを centralus に設定しています)。

    "resources": [
    {
      "type": "Microsoft.Network/azureFirewalls",
      "apiVersion": "2023-09-01",
      "name": "[parameters('azureFirewalls_fw_name')]",
      "location": "centralus",}]
    

    ターゲット リージョンの場所コードを見つけるには、「Azure でのデータ所在地」を参照してください。

13. template.json ファイルを保存します。

1. Azure portal にサインインします。

2. TLS 検査を有効にした Premium SKU を使用している場合は、次の手順を行います。

   1. 新しいターゲット リージョンに、TLS に使用されるキー コンテナーを再配置し、手順に従って、新しいターゲット リージョンに、TLS 検査用の証明書を移動するか、新しく生成します。
   2. 新しいターゲット リージョンにマネージド ID を再配置し、ターゲット リージョンとサブスクリプションでキー コンテナーの対応するロールを再割り当てします。

3. template.json ファイルで、次のように置き換えます。

   • firewallName は Azure Firewall の名前の既定値です。
   • azureFirewallPublicIpId をターゲット リージョン内のあなたのパブリック IP アドレスの識別子にします。
   • virtualNetworkName をターゲット リージョンの仮想ネットワークの名前に置き換えます。
   • firewallPolicy.id をポリシー ID に置き換えます。

4. ソース リージョンの構成を使用して新しいファイアウォール ポリシーを作成し、新しいターゲット リージョンによって導入された変更 (IP アドレス範囲、パブリック IP、ルール コレクション) を反映します。

5. 次のプロパティを確認して更新し、ターゲット リージョンに必要な変更を反映します。

   • IP グループ。 ターゲット リージョンの IP アドレスがソースと異なる場合は、それを含めるために、"IP グループ" を確認する必要があります。 グループに含まれている IP アドレスを変更する必要があります。
   • ゾーン。 ターゲット リージョンの可用性ゾーン (AZ) を構成します。
   • 強制トンネリング。Azure Firewall を再配置する前に、仮想ネットワークを再配置したこと、およびファイアウォールの "管理サブネット" が存在していることを確認してください。 ユーザー定義ルート (UDR) で、Azure Firewall でトラフィックのリダイレクト先にする必要があるネットワーク仮想アプライアンス (NVA) の、ターゲット リージョンの IP アドレスを更新します。
   • DNS。 カスタム DNS サーバー の IP アドレスを確認して、ターゲット リージョンを反映します。 DNS プロキシ機能が有効になっている場合は、仮想ネットワークの DNS サーバー設定を構成し、Azure Firewall のプライベート IP アドレスをカスタム DNS サーバーとして設定してください。
   • プライベート IP 範囲 (SNAT)。 - SNAT にカスタム範囲が定義されている場合は、ターゲット リージョンのアドレス空間が含まれていることを確認し、最終的に調整することをお勧めします。
   • タグ。 - 新しいファイアウォールの場所を反映または参照するタグを確認して更新します。
   • 診断設定。 ターゲット リージョンで Azure Firewall を再作成するときは、 必ず診断設定 を確認し、ターゲット リージョン (Log Analytics ワークスペース、ストレージ アカウント、イベント ハブ、またはサード パーティのパートナー ソリューション) を反映するように構成してください。

6. location ファイルの template.json プロパティをターゲット リージョンに編集します (次の例は、ターゲット リージョンを centralus に設定しています)。

   "resources": [
     {
       "type": "Microsoft.Network/azureFirewalls",
       "apiVersion": "2023-09-01",
       "name": "[parameters('azureFirewalls_fw_name')]",
       "location": "centralus",
     }
   ]
   

ターゲット リージョンの場所コードを見つけるには、「Azure でのデータ所在地」を参照してください。

1. プロパティ値を入力または選択します。

   • サブスクリプション: Azure のサブスクリプションを選択してください。
   • [リソース グループ] : [新規作成] を選択して、リソース グループに名前を付けます。
   • [場所] :Azure の場所を選択します。

2. 以上で、必要な変更を反映する構成を採用して、Azure Firewall がターゲット リージョンにデプロイされます。

3. 構成と機能を確認します。

1. 次のコマンドを実行して、ターゲット パブリック IP をデプロイするサブスクリプション ID を取得します。

   Get-AzSubscription
   

2. 次のコマンドを実行して、テンプレートをデプロイします。

   $resourceGroupName = Read-Host -Prompt "Enter the Resource Group name"
   $location = Read-Host -Prompt "Enter the location (i.e. eastus)"
   
   New-AzResourceGroup -Name $resourceGroupName -Location "$location"
   New-AzResourceGroupDeployment -ResourceGroupName $resourceGroupName -TemplateUri "<name of your local template file>"
   

3. 以上で、必要な変更を反映する構成を採用して、Azure Firewall がターゲット リージョンにデプロイされます。

4. 構成と機能を確認します。