クイックスタート: Terraform を使用して Azure Virtual Network Manager でメッシュネットワークトポロジを作成する

[アーティクル]
05/02/2024

すべての仮想ネットワークの接続を管理するため、Terraform を使用して Azure Virtual Network Manager を使用する方法を説明します。

このクイックスタートでは、3 つの仮想ネットワークをデプロイし、Azure Virtual Network Manager を使用してメッシュネットワークトポロジを作成します。次に、接続構成が適用されたことを確認します。サブスクリプションスコープまたは管理グループスコープを持つデプロイから選択できます。ネットワークマネージャースコープの詳細について理解します。

重要

Azure Virtual Network Manager は、ハブアンドスポーク接続構成と、セキュリティ管理規則を使用したセキュリティ構成に対して一般提供されています。メッシュ接続の構成は、パブリックプレビューのままです。

このプレビューバージョンはサービスレベルアグリーメントなしで提供されています。運用環境のワークロードに使用することはお勧めできません。特定の機能はサポート対象ではなく、機能が制限されることがあります。詳しくは、Microsoft Azure プレビューの追加使用条件に関するページをご覧ください。

Terraform を使用すると、クラウドインフラストラクチャの定義、プレビュー、およびデプロイを行うことができます。 Terraform を使用する際は、HCL 構文を使って構成ファイルを作成します。 HCL 構文では、Azure などのクラウドプロバイダーと、クラウドインフラストラクチャを構成する要素を指定できます。構成ファイルを作成したら、"実行プラン" を作成します。これにより、インフラストラクチャの変更をデプロイ前にプレビューすることができます。変更を確認したら、実行プランを適用してインフラストラクチャをデプロイします。

この記事では、次のことについて説明します。

random_pet を使用して Azure リソースグループ名のランダムな値を作成する。
azurerm_resource_group を使用して Azure リソースグループを作成する。
azurerm_virtual_network を使用して仮想ネットワークの配列を作成する。
azurerm_subnet を使用してサブネットの配列を作成する。
azurerm_virtual_network_manager を使用して仮想ネットワークマネージャーを作成する。
azurerm_network_manager_network_group を使用してネットワークマネージャーネットワークグループを作成する。
azurerm_network_manager_static_member を使用してネットワークマネージャーネットワークグループを作成する。
azurerm_network_manager_connectivity_configuration を使用してネットワークマネージャーの接続構成を作成する。
azurerm_network_manager_deployment を使用してネットワークマネージャーのデプロイを作成する。

前提条件

Terraform のインストールと構成
動的ネットワークグループを変更するには、アクセス権の付与が Azure RBAC ロールの割り当てのみを使用して行われている必要があります。 Classic Admin/レガシ承認はサポートされていません

Terraform コードを実装する

このコードサンプルでは、サブスクリプションスコープで Azure Virtual Network Manager を実装します。

Note

この記事のサンプルコードは、Azure Terraform GitHub リポジトリにあります。 Terraform の現在および以前のバージョンのテスト結果を含むログファイルを表示できます。

Terraform を使用して Azure リソースを管理する方法を示すその他の記事とサンプルコードを参照してください

サンプル Terraform コードをテストして実行するディレクトリを作成し、それを現在のディレクトリにします。

providers.tf という名前のファイルを作成し、次のコードを挿入します。

terraform {
  required_version = ">=1.0"
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = ">= 3.56.0"
    }
    random = {
      source  = "hashicorp/random"
      version = "~>3.0"
    }
  }
}
provider "azurerm" {
  features {}
}

main.tf という名前のファイルを作成し、次のコードを挿入します。


# Create the Resource Group

resource "random_pet" "rg_name" {
  prefix = var.resource_group_name_prefix
}

resource "azurerm_resource_group" "rg" {
  location = var.resource_group_location
  name     = random_pet.rg_name.id
}

# Create three virtual networks
resource "random_string" "prefix" {
  length = 4
  special = false
  upper = false
}

resource "random_pet" "virtual_network_name" {
  prefix = "vnet-${random_string.prefix.result}"
}
resource "azurerm_virtual_network" "vnet" {
  count = 3

  name                = "${random_pet.virtual_network_name.id}-0${count.index}"
  resource_group_name = azurerm_resource_group.rg.name
  location            = azurerm_resource_group.rg.location
  address_space       = ["10.${count.index}.0.0/16"]
}

# Add a subnet to each virtual network

resource "azurerm_subnet" "subnet_vnet" {
  count = 3

  name                 = "default"
  virtual_network_name = azurerm_virtual_network.vnet[count.index].name
  resource_group_name  = azurerm_resource_group.rg.name
  address_prefixes     = ["10.${count.index}.0.0/24"]
}

# Create a Virtual Network Manager instance

data "azurerm_subscription" "current" {
}

resource "azurerm_network_manager" "network_manager_instance" {
  name                = "network-manager"
  location            = azurerm_resource_group.rg.location
  resource_group_name = azurerm_resource_group.rg.name
  scope_accesses      = ["Connectivity"]
  description         = "example network manager"
  scope {
    subscription_ids = [data.azurerm_subscription.current.id]
  }
}

# Create a network group

resource "azurerm_network_manager_network_group" "network_group" {
  name               = "network-group"
  network_manager_id = azurerm_network_manager.network_manager_instance.id
}

# Add three virtual networks to a network group as dynamic members with Azure Policy

resource "random_pet" "network_group_policy_name" {
  prefix = "network-group-policy"
}

resource "azurerm_policy_definition" "network_group_policy" {
  name         = "${random_pet.network_group_policy_name.id}"
  policy_type  = "Custom"
  mode         = "Microsoft.Network.Data"
  display_name = "Policy Definition for Network Group"

  metadata = <<METADATA
    {
      "category": "Azure Virtual Network Manager"
    }
  METADATA

  policy_rule = <<POLICY_RULE
    {
      "if": {
        "allOf": [
          {
              "field": "type",
              "equals": "Microsoft.Network/virtualNetworks"
          },
          {
            "allOf": [
              {
              "field": "Name",
              "contains": "${random_pet.virtual_network_name.id}"
              }
            ]
          }
        ]
      },
      "then": {
        "effect": "addToNetworkGroup",
        "details": {
          "networkGroupId": "${azurerm_network_manager_network_group.network_group.id}"
        }
      }
    }
  POLICY_RULE
}

resource "azurerm_subscription_policy_assignment" "azure_policy_assignment" {
  name                 = "${random_pet.network_group_policy_name.id}-policy-assignment"
  policy_definition_id = azurerm_policy_definition.network_group_policy.id
  subscription_id      = data.azurerm_subscription.current.id
}

# Create a connectivity configuration

resource "azurerm_network_manager_connectivity_configuration" "connectivity_config" {
  name                  = "connectivity-config"
  network_manager_id    = azurerm_network_manager.network_manager_instance.id
  connectivity_topology = "Mesh"
  applies_to_group {
    group_connectivity = "None"
    network_group_id   = azurerm_network_manager_network_group.network_group.id
  }
}


# Commit deployment

resource "azurerm_network_manager_deployment" "commit_deployment" {
  network_manager_id = azurerm_network_manager.network_manager_instance.id
  location           = azurerm_resource_group.rg.location
  scope_access       = "Connectivity"
  configuration_ids  = [azurerm_network_manager_connectivity_configuration.connectivity_config.id]
}

variables.tf という名前のファイルを作成し、次のコードを挿入します。

variable "resource_group_location" {
  type        = string
  default     = "eastus"
  description = "Location of the resource group."
}

variable "resource_group_name_prefix" {
  type        = string
  description = "Prefix of the resource group name that's combined with a random ID so name is unique in your Azure subscription."
  default     = "rg"
}

outputs.tf という名前のファイルを作成し、次のコードを挿入します。

output "resource_group_name" {
  value = azurerm_resource_group.rg.name
}

output "virtual_network_names" {
  value = azurerm_virtual_network.vnet[*].name
}

Terraform コードを実装する

このコードサンプルでは、管理グループスコープで Azure Virtual Network Manager を実装します。

Note

Terraform を使用して Azure リソースを管理する方法を示すその他の記事とサンプルコードを参照してください

サンプル Terraform コードをテストして実行するディレクトリを作成し、それを現在のディレクトリにします。

providers.tf という名前のファイルを作成し、次のコードを挿入します。

terraform {
  required_version = ">=1.0"
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 3.56.0, < 4.0"
    }
    random = {
      source  = "hashicorp/random"
      version = "~>3.0"
    }
  }
}
provider "azurerm" {
  features {}
}

main.tf という名前のファイルを作成し、次のコードを挿入します。

# Create the Resource Group

resource "random_pet" "rg_name" {
  prefix = var.resource_group_name_prefix
}

resource "azurerm_resource_group" "rg" {
  location = var.resource_group_location
  name     = random_pet.rg_name.id
}

# Create three virtual networks
resource "random_string" "prefix" {
  length  = 4
  special = false
  upper   = false
}

resource "random_pet" "virtual_network_name" {
  prefix = "vnet-${random_string.prefix.result}"
}
resource "azurerm_virtual_network" "vnet" {
  count = 3

  name                = "${random_pet.virtual_network_name.id}-0${count.index}"
  resource_group_name = azurerm_resource_group.rg.name
  location            = azurerm_resource_group.rg.location
  address_space       = ["10.${count.index}.0.0/16"]
}

# Add a subnet to each virtual network

resource "azurerm_subnet" "subnet_vnet" {
  count = 3

  name                 = "default"
  virtual_network_name = azurerm_virtual_network.vnet[count.index].name
  resource_group_name  = azurerm_resource_group.rg.name
  address_prefixes     = ["10.${count.index}.0.0/24"]
}

data "azurerm_subscription" "current" {
}

# Create a Management Group

resource "random_pet" "management_group_name" {
  prefix = "AVNM-management-group"
}

resource "azurerm_management_group" "mg" {
  display_name = random_pet.management_group_name.id

  subscription_ids = [
    data.azurerm_subscription.current.subscription_id,
  ]
}

data "azurerm_client_config" "this" {}

resource "azurerm_role_assignment" "management_group_owner" {
  principal_id         = coalesce(var.msi_id, data.azurerm_client_config.this.object_id)
  scope                = azurerm_management_group.mg.id
  role_definition_name = "Contributor"
}

# register Microsoft.Network to the Management Group

resource "null_resource" "register_rp_to_mg" {
  provisioner "local-exec" {
    command = "az provider register --namespace Microsoft.Network -m ${azurerm_management_group.mg.name}"
  }
  depends_on = [azurerm_role_assignment.management_group_owner]
}

resource "time_sleep" "wait_5_seconds" {
  create_duration = "5s"
  depends_on      = [null_resource.register_rp_to_mg]
}

# Create a Virtual Network Manager instance

resource "azurerm_network_manager" "network_manager_instance" {
  name                = "network-manager"
  location            = azurerm_resource_group.rg.location
  resource_group_name = azurerm_resource_group.rg.name
  scope_accesses      = ["Connectivity"]
  description         = "example network manager"
  scope {
    management_group_ids = [azurerm_management_group.mg.id]
  }
  depends_on = [time_sleep.wait_5_seconds]
}

# Create a network group

resource "azurerm_network_manager_network_group" "network_group" {
  name               = "network-group"
  network_manager_id = azurerm_network_manager.network_manager_instance.id
}

# Add three virtual networks to a network group as dynamic members with Azure Policy

resource "random_pet" "network_group_policy_name" {
  prefix = "network-group-policy"
}

resource "azurerm_policy_definition" "network_group_policy" {
  name         = random_pet.network_group_policy_name.id
  policy_type  = "Custom"
  mode         = "Microsoft.Network.Data"
  display_name = "Policy Definition for Network Group"

  metadata = <<METADATA
    {
      "category": "Azure Virtual Network Manager"
    }
  METADATA

  policy_rule = <<POLICY_RULE
    {
      "if": {
        "allOf": [
          {
              "field": "type",
              "equals": "Microsoft.Network/virtualNetworks"
          },
          {
            "allOf": [
              {
              "field": "Name",
              "contains": "${random_pet.virtual_network_name.id}"
              }
            ]
          }
        ]
      },
      "then": {
        "effect": "addToNetworkGroup",
        "details": {
          "networkGroupId": "${azurerm_network_manager_network_group.network_group.id}"
        }
      }
    }
  POLICY_RULE
}

resource "azurerm_subscription_policy_assignment" "azure_policy_assignment" {
  name                 = "${random_pet.network_group_policy_name.id}-policy-assignment"
  policy_definition_id = azurerm_policy_definition.network_group_policy.id
  subscription_id      = data.azurerm_subscription.current.id
}

# Create a connectivity configuration

resource "azurerm_network_manager_connectivity_configuration" "connectivity_config" {
  name                  = "connectivity-config"
  network_manager_id    = azurerm_network_manager.network_manager_instance.id
  connectivity_topology = "Mesh"
  applies_to_group {
    group_connectivity = "None"
    network_group_id   = azurerm_network_manager_network_group.network_group.id
  }
}


# Commit deployment

resource "azurerm_network_manager_deployment" "commit_deployment" {
  network_manager_id = azurerm_network_manager.network_manager_instance.id
  location           = azurerm_resource_group.rg.location
  scope_access       = "Connectivity"
  configuration_ids  = [azurerm_network_manager_connectivity_configuration.connectivity_config.id]
}

variables.tf という名前のファイルを作成し、次のコードを挿入します。

variable "resource_group_location" {
  type        = string
  default     = "eastus"
  description = "Location of the resource group."
}

variable "resource_group_name_prefix" {
  type        = string
  description = "Prefix of the resource group name that's combined with a random ID so name is unique in your Azure subscription."
  default     = "rg"
}

variable "msi_id" {
  type    = string
  description = "(Optional) Manage identity id that be used as authentication method. Defaults to `null`."
  default = null
}

outputs.tf という名前のファイルを作成し、次のコードを挿入します。

output "resource_group_name" {
  value = azurerm_resource_group.rg.name
}

output "virtual_network_names" {
  value = azurerm_virtual_network.vnet[*].name
}

Terraform を初期化する

terraform init を実行して、Terraform のデプロイを初期化します。このコマンドによって、Azure リソースを管理するために必要な Azure プロバイダーがダウンロードされます。

terraform init -upgrade

重要なポイント:

-upgrade パラメーターは、必要なプロバイダープラグインを、構成のバージョン制約に準拠する最新バージョンにアップグレードします。

Terraform 実行プランを作成する

terraform plan を実行して、実行プランを作成します。

terraform plan -out main.tfplan

重要なポイント:

terraform plan コマンドは、実行プランを作成しますが、実行はしません。代わりに、構成ファイルに指定された構成を作成するために必要なアクションを決定します。このパターンを使用すると、実際のリソースに変更を加える前に、実行プランが自分の想定と一致しているかどうかを確認できます。
省略可能な -out パラメーターを使用すると、プランの出力ファイルを指定できます。 -out パラメーターを使用すると、レビューしたプランが適用内容とまったく同じであることが確実になります。

Terraform 実行プランを適用する

terraform apply を実行して、クラウドインフラストラクチャに実行プランを適用します。

terraform apply main.tfplan

重要なポイント:

terraform apply コマンドの例は、以前に terraform plan -out main.tfplan が実行されたことを前提としています。
-out パラメーターに別のファイル名を指定した場合は、terraform apply の呼び出しで同じファイル名を使用します。
-out パラメーターを使用しなかった場合は、パラメーターを指定せずに terraform apply を呼び出します。

Azure リソースグループ名を取得します。

resource_group_name=$(terraform output -raw resource_group_name)

仮想ネットワーク名を取得します。
```
terraform output virtual_network_names
```
前の手順で出力された仮想ネットワーク名ごとに、az network manager list-effective-connectivity-config を実行して、有効な (適用された) 構成を出力します。 <virtual_network_name> プレースホルダーを vnet 名に置き換えます。
```
az network manager list-effective-connectivity-config \
  --resource-group $resource_group_name \
  --vnet-name <virtual_network_name>
```

Azure リソースグループ名を取得します。

$resource_group_name=$(terraform output -raw resource_group_name)

Get-AzResourceGroup を実行して、リソースグループを表示します。
```
Get-AzResourceGroup -Name $resource_group_name
```
前の手順で出力された仮想ネットワーク名ごとに、Get-AzNetworkManagerEffectiveConnectivityConfiguration を実行して、有効な (適用された) 構成を出力します。 <virtual_network_name> プレースホルダーを vnet 名に置き換えます。

    Get-AzNetworkManagerEffectiveConnectivityConfiguration 
   -VirtualNetworkName <String>
   -VirtualNetworkResourceGroupName $resource_group_name

リソースをクリーンアップする

Terraform を使用して作成したリソースが不要になった場合は、次の手順を実行します。

terraform plan を実行して、destroy フラグを指定します。
```
terraform plan -destroy -out main.destroy.tfplan
```
重要なポイント:
- terraform plan コマンドは、実行プランを作成しますが、実行はしません。代わりに、構成ファイルに指定された構成を作成するために必要なアクションを決定します。このパターンを使用すると、実際のリソースに変更を加える前に、実行プランが自分の想定と一致しているかどうかを確認できます。
- 省略可能な -out パラメーターを使用すると、プランの出力ファイルを指定できます。 -out パラメーターを使用すると、レビューしたプランが適用内容とまったく同じであることが確実になります。
terraform apply を実行して、実行プランを適用します。
```
terraform apply main.destroy.tfplan
```

Azure での Terraform のトラブルシューティング

Azure で Terraform を使用する場合の一般的な問題のトラブルシューティング

次のステップ

Azure Virtual Network Manager を使用してネットワークトラフィックをブロックする

Share via

クイックスタート: Terraform を使用して Azure Virtual Network Manager でメッシュネットワークトポロジを作成する

前提条件

Terraform コードを実装する

Terraform コードを実装する

Terraform を初期化する

Terraform 実行プランを作成する

Terraform 実行プランを適用する

結果を確認する

リソースをクリーンアップする

Azure での Terraform のトラブルシューティング

次のステップ

その他のリソース

Share via

クイックスタート: Terraform を使用して Azure Virtual Network Manager でメッシュ ネットワーク トポロジを作成する

前提条件

Terraform コードを実装する

Terraform コードを実装する

Terraform を初期化する

Terraform 実行プランを作成する

Terraform 実行プランを適用する

結果を確認する

リソースをクリーンアップする

Azure での Terraform のトラブルシューティング

次のステップ

その他のリソース

クイックスタート: Terraform を使用して Azure Virtual Network Manager でメッシュネットワークトポロジを作成する