Verwalten von Zugriffssteuerungslisten für Endpunkte mithilfe von PowerShell im klassischen Bereitstellungsmodell

Sie können Zugriffssteuerungslisten (Network Access Control Lists, ACLs) für Endpunkte mithilfe von Azure PowerShell oder im Verwaltungsportal erstellen und verwalten. In diesem Thema finden Sie Verfahren für allgemeine ACL-Aufgaben, die Sie mit PowerShell ausführen können. Eine Liste der Azure PowerShell-Cmdlets finden Sie unter Azure Management Cmdlets. Weitere Informationen zu ACLs finden Sie unter Was ist eine Zugriffssteuerungsliste (Network Access Control List, ACL)?. Wenn Sie Ihre ACLs mithilfe des Verwaltungsportals verwalten möchten, lesen Sie Einrichten von Endpunkten auf einem virtuellen Computer.

Verwalten von Netzwerk-ACLs mithilfe von Azure PowerShell

Sie können Azure PowerShell-Cmdlets verwenden, um Netzwerkzugriffssteuerungslisten (ACLs) zu erstellen, zu entfernen und zu konfigurieren (festlegen). Wir haben einige Beispiele für einige Möglichkeiten zum Konfigurieren einer ACL mithilfe von PowerShell vorgestellt.

Um eine vollständige Liste der ACL PowerShell-Cmdlets abzurufen, können Sie eine der folgenden Verwenden:

Get-Help *AzureACL*
Get-Command -Noun AzureACLConfig

Erstellen einer Netzwerk-ACL mit Regeln, die den Zugriff von einem Remotesubnetz zulassen

Im folgenden Beispiel wird eine Möglichkeit zum Erstellen einer neuen ACL veranschaulicht, die Regeln enthält. Diese ACL wird dann auf einen Endpunkt eines virtuellen Computers angewendet. Die ACL-Regeln im folgenden Beispiel ermöglichen den Zugriff von einem Remotesubnetz. Um eine neue Netzwerk-ACL mit Genehmigungsregeln für ein Remotesubnetz zu erstellen, öffnen Sie eine Azure PowerShell ISE. Kopieren Sie das folgende Skript, konfigurieren Sie das Skript mit Ihren eigenen Werten, und führen Sie dann das Skript aus.

1. Erstellen Sie das neue Netzwerk-ACL-Objekt.

    $acl1 = New-AzureAclConfig
   

2. Legen Sie eine Regel fest, die den Zugriff über ein Remotesubnetz zulässt. Im folgenden Beispiel legen Sie die Regel 100 (die Vorrang vor Regel 200 und höher hat) fest, um dem Remotesubnetz 10.0.0.0/8 Zugriff auf den Endpunkt des virtuellen Computers zu ermöglichen. Ersetzen Sie die Werte durch Ihre eigenen Konfigurationsanforderungen. Der Name "SharePoint ACL-Konfiguration" sollte durch den benutzerfreundlichen Namen ersetzt werden, mit dem Sie diese Regel bezeichnen möchten.

    Set-AzureAclConfig –AddRule –ACL $acl1 –Order 100 `
        –Action permit –RemoteSubnet "10.0.0.0/8" `
        –Description "SharePoint ACL config"
   

3. Wiederholen Sie für zusätzliche Regeln das Cmdlet, und ersetzen Sie die Werte durch Ihre eigenen Konfigurationsanforderungen. Achten Sie darauf, die Regelnummerreihenfolge so zu ändern, dass sie die Reihenfolge angibt, in der die Regeln angewendet werden sollen. Die untere Regelnummer hat Vorrang vor der höheren Zahl.

    Set-AzureAclConfig –AddRule –ACL $acl1 –Order 200 `
        –Action permit –RemoteSubnet "157.0.0.0/8" `
        –Description "web frontend ACL config"
   

4. Als Nächstes können Sie entweder einen neuen Endpunkt (Add) erstellen oder die ACL für einen vorhandenen Endpunkt (Set) festlegen. In diesem Beispiel fügen wir einen neuen Endpunkt für virtuelle Computer namens "Web" hinzu und aktualisieren den Endpunkt des virtuellen Computers mit den ACL-Einstellungen.

    Get-AzureVM –ServiceName $serviceName –Name $vmName `
    | Add-AzureEndpoint –Name "web" –Protocol tcp –Localport 80 - PublicPort 80 –ACL $acl1 `
    | Update-AzureVM
   

5. Kombinieren Sie als Nächstes die Cmdlets, und führen Sie das Skript aus. In diesem Beispiel würden die kombinierten Cmdlets wie folgt aussehen:

    $acl1 = New-AzureAclConfig
    Set-AzureAclConfig –AddRule –ACL $acl1 –Order 100 `
        –Action permit –RemoteSubnet "10.0.0.0/8" `
        –Description "SharePoint ACL config"
    Set-AzureAclConfig –AddRule –ACL $acl1 –Order 200 `
        –Action permit –RemoteSubnet "157.0.0.0/8" `
        –Description "web frontend ACL config"
    Get-AzureVM –ServiceName $serviceName –Name $vmName `
    |Add-AzureEndpoint –Name "web" –Protocol tcp –Localport 80 - PublicPort 80 –ACL $acl1 `
    |Update-AzureVM
   

Entfernen einer Netzwerk-ACL-Regel, die den Zugriff von einem Remotesubnetz zulässt

Das folgende Beispiel veranschaulicht eine Möglichkeit zum Entfernen einer Netzwerk-ACL-Regel. Um eine Netzwerk-ACL-Regel mit Genehmigungsregeln für ein Remotesubnetz zu entfernen, öffnen Sie eine Azure PowerShell ISE. Kopieren Sie das folgende Skript, konfigurieren Sie das Skript mit Ihren eigenen Werten, und führen Sie dann das Skript aus.

1. Der erste Schritt besteht darin, das Network ACL-Objekt für den Endpunkt des virtuellen Computers abzurufen. Anschließend entfernen Sie die ACL-Regel. In diesem Fall entfernen wir es anhand der Regel-ID. Dadurch wird nur die Regel-ID 0 aus der ACL entfernt. Das ACL-Objekt wird nicht vom Endpunkt des virtuellen Computers entfernt.

    Get-AzureVM –ServiceName $serviceName –Name $vmName `
    | Get-AzureAclConfig –EndpointName "web" `
    | Set-AzureAclConfig –RemoveRule –ID 0 –ACL $acl1
   

2. Als Nächstes müssen Sie das Network ACL-Objekt auf den Endpunkt des virtuellen Computers anwenden und den virtuellen Computer aktualisieren.

    Get-AzureVM –ServiceName $serviceName –Name $vmName `
    | Set-AzureEndpoint –ACL $acl1 –Name "web" `
    | Update-AzureVM
   

Entfernen einer Netzwerk-ACL von einem Endpunkt eines virtuellen Computers

In bestimmten Szenarien möchten Sie möglicherweise ein Netzwerk-ACL-Objekt von einem Endpunkt des virtuellen Computers entfernen. Öffnen Sie dazu eine Azure PowerShell ISE. Kopieren Sie das folgende Skript, konfigurieren Sie das Skript mit Ihren eigenen Werten, und führen Sie dann das Skript aus.

    Get-AzureVM –ServiceName $serviceName –Name $vmName `
    | Remove-AzureAclConfig –EndpointName "web" `
    | Update-AzureVM

Nächste Schritte

Was ist eine Netzwerkzugriffssteuerungsliste (Network Access Control List, ACL)?