Configurer un réseau pour Azure Monitor pour SAP Solutions

Article
05/06/2024

Dans ce guide pratique, vous apprenez à configurer un réseau virtuel Azure afin de pouvoir déployer Azure Monitor pour solutions SAP. Vous allez apprendre à effectuer les actions suivantes :

Créez un nouveau sous-réseau à utiliser avec Azure Functions.
Configurez l’accès Internet sortant vers l’environnement SAP que vous souhaitez surveiller.

Créer un sous-réseau

Azure Functions est le moteur de collecte de données pour Azure Monitor pour solutions SAP. Vous devez créer un sous-réseau pour héberger Azure Functions.

Créez un sous-réseau avec un bloc IPv4/25 ou plus, car vous avez besoin d’au moins 100 adresses IP pour surveiller les ressources. Après avoir créé avec succès un sous-réseau, vérifiez les étapes suivantes pour garantir la connectivité entre le sous-réseau Azure Monitor pour SAP Solutions et votre sous-réseau d’environnement SAP :

Si les deux sous-réseaux se trouvent dans différents réseaux virtuels, effectuez un appairage de réseaux virtuels entre les réseaux virtuels.
Si les sous-réseaux sont associés à des itinéraires définis par l’utilisateur, vérifiez que les itinéraires sont configurés pour autoriser le trafic entre les sous-réseaux.
Si les sous-réseaux de l’environnement SAP ont des règles de groupe de sécurité réseau (NSG), vérifiez que les règles sont configurées pour autoriser le trafic entrant à partir du sous-réseau Azure Monitor pour SAP Solutions.
Si vous disposez d’un pare-feu dans votre environnement SAP, vérifiez que le pare-feu est configuré pour autoriser le trafic entrant à partir du sous-réseau Azure Monitor pour SAP Solutions.

Pour plus d’informations, consultez Intégrer votre application à un réseau virtuel Azure.

Utiliser un DNS personnalisé pour votre réseau virtuel

Cette section s’applique uniquement si vous utilisez un DNS personnalisé pour votre réseau virtuel. Ajoutez l’adresse IP 168.63.129.16, qui pointe vers le serveur Azure DNS. Cette disposition résout le compte de stockage et d’autres URL de ressources nécessaires au bon fonctionnement d’Azure Monitor pour les solutions SAP.

Capture d’écran montrant le paramètre DNS personnalisé.

Configurer l’accès Internet sortant

Dans de nombreux cas d’usage, vous pouvez choisir de restreindre ou de bloquer l’accès Internet sortant pour votre environnement réseau SAP. Toutefois, Azure Monitor pour solutions SAP nécessite une connectivité réseau entre le sous-réseau que vous avez configuré et les systèmes que vous souhaitez analyser. Avant de déployer une ressource de solutions Azure Monitor pour SAP, vous devez configurer l’accès Internet sortant ou le déploiement échouera.

Il existe plusieurs méthodes pour traiter l’accès Internet sortant restreint ou bloqué. Choisissez la méthode qui convient le mieux pour votre cas d’usage :

Utiliser la fonctionnalité Tout acheminer dans Azure Functions
Utiliser des balises de service avec un groupe de sécurité réseau dans votre réseau virtuel

Utiliser Tout acheminer

Tout acheminer est une fonctionnalité standard de l’intégration du réseau virtuel dans Azure Functions, qui est déployée dans le cadre d’Azure Monitor pour solutions SAP. L’activation ou la désactivation de ce paramètre affecte uniquement le trafic provenant de Azure Functions. Ce paramètre n’affecte aucun autre trafic entrant ou sortant au sein de votre réseau virtuel.

Vous pouvez configurer le paramètre Tout acheminer lorsque vous créez une ressource Azure Monitor pour solutions SAP via le portail Azure. Si votre environnement SAP n’autorise pas l’accès Internet sortant, désactivez Tout acheminer. Si votre environnement SAP autorise l’accès Internet sortant, conservez le paramètre par défaut pour activer Tout acheminer.

Vous pouvez uniquement utiliser cette option avant de déployer une ressource Azure Monitor pour solutions SAP. Il n’est pas possible de modifier le paramètre Tout acheminer après avoir créé la ressource Azure Monitor pour solutions SAP.

Autoriser le trafic entrant

Si vous disposez de règles de groupe de sécurité réseau ou de routage définies par l’utilisateur qui bloquent le trafic entrant vers votre environnement SAP, vous devez modifier les règles pour autoriser le trafic entrant. En outre, selon les types de fournisseurs que vous essayez d’ajouter, vous devez débloquer quelques ports, comme indiqué dans le tableau suivant.

Type de fournisseur	Numéro de port
Système d’exploitation Prometheus	9100
Cluster haute disponibilité Prometheus sur RHEL	44322
Cluster haute disponibilité Prometheus sur SUSE	9100
SQL Server	1433 (peut être différent si vous n’utilisez pas le port par défaut)
Serveurs DB2	25000 (peut être différent si vous n’utilisez pas le port par défaut)
Base de données SAP HANA	3<numéro d’instance>13, 3<numéro d’instance>15
SAP NetWeaver	5<numéro d’instance>13, 5<numéro d’instance>15

Utiliser des étiquettes de service

Si vous utilisez des groupes de sécurité réseau, vous pouvez créer des étiquettes de service de réseau virtuel liées à Azure Monitor pour solutions SAP afin d’autoriser le flux de trafic approprié pour votre déploiement. Une étiquette de service représente un groupe de préfixes d’adresses IP d’un service Azure spécifique.

Vous pouvez utiliser cette option après avoir déployé une ressource Azure Monitor pour solutions SAP.

Recherchez le sous-réseau associé à votre groupe de ressources managées Azure Monitor pour solutions SAP :
1. Connectez-vous au portail Azure.
2. Recherchez ou sélectionnez le service Azure Monitor pour solutions SAP.
3. Dans la page Vue d’ensemble d’Azure Monitor pour solutions SAP, sélectionnez votre ressource Azure Monitor pour solutions SAP.
4. Dans la page du groupe de ressources managées, sélectionnez l’application Azure Functions.
5. Sur la page de l’application, sélectionnez l’onglet Mise en réseau. Sélectionnez ensuite Intégration au réseau virtuel.
6. Passez en revue et notez les détails du sous-réseau. Vous avez besoin de l’adresse IP du sous-réseau pour créer des règles dans l’étape suivante.
Sélectionnez le nom du sous-réseau pour rechercher le groupe de sécurité réseau associé. Notez les informations du groupe de sécurité réseau.

Définissez de nouvelles règles de groupe de sécurité réseau pour le trafic réseau sortant :

Accédez à la ressource du groupe de sécurité réseau sur le portail Azure.
Dans le menu du groupe de sécurité réseau, sous Paramètres, sélectionnez Règles de sécurité de trafic sortant.
Sélectionnez le bouton Ajouter pour ajouter les nouvelles règles suivantes :

Priorité	Nom	Port	Protocole	Source	Destination	Action
450	allow_monitor	443	TCP	Sous-réseau Azure Functions	Azure Monitor	Autoriser
501	allow_keyVault	443	TCP	Sous-réseau Azure Functions	Azure Key Vault	Autoriser
550	allow_storage	443	TCP	Sous-réseau Azure Functions	Stockage	Autoriser
600	allow_azure_controlplane	443	Quelconque	Sous-réseau Azure Functions	Azure Resource Manager	Autoriser
650	allow_ams_to_source_system	Quelconque	Quelconque	Sous-réseau Azure Functions	Réseau virtuel ou adresses IP séparées par des virgules du système source	Autoriser
660	deny_internet	Quelconque	Quelconque	Quelconque	Internet	Deny

L’adresse IP du sous-réseau Azure Monitor pour solutions SAP fait référence à l’adresse IP du sous-réseau associé à votre ressource Azure Monitor pour solutions SAP. Pour trouver le sous-réseau, accédez à la ressource Azure Monitor pour solutions SAP dans le Portail Azure. Dans la page Vue d’ensemble, passez en revue la valeur vNet/subnet.

Pour les règles que vous créez, allow_vnet doit avoir une priorité inférieure à deny_internet. Toutes les autres règles doivent également avoir une priorité inférieure à allow_vnet. L’ordre restant de ces autres règles est interchangeable.

Partage via