クイック スタート: Terraform を使用して Azure DDoS のネットワーク保護を作成および構成する

このクイックスタートでは、Terraform を使用して、分散型サービス拒否 (DDoS) 攻撃に対する保護計画とAzure 仮想ネットワーク (VNet)を作成して有効にする方法について説明します。 Azure DDoS ネットワーク保護プランでは、サブスクリプションの境界を越えて、DDoS 保護が有効になった仮想ネットワークのセットを定義します。 組織で 1 つの DDoS Protection プランを構成し、複数のサブスクリプションから同じプランに仮想ネットワークをリンクできます。

Terraform を使用すると、クラウド インフラストラクチャの定義、プレビュー、およびデプロイを行うことができます。 Terraform を使用する際は、HCL 構文を使って構成ファイルを作成します。 HCL 構文では、Azure などのクラウド プロバイダーと、クラウド インフラストラクチャを構成する要素を指定できます。 構成ファイルを作成したら、"実行プラン" を作成します。これにより、インフラストラクチャの変更をデプロイ前にプレビューすることができます。 変更を確認したら、実行プランを適用してインフラストラクチャをデプロイします。

この記事では、次のことについて説明します。

• random_pet を使用して Azure リソース グループ名のランダムな値を作成する
• azurerm_resource_group を使用して Azure リソース グループを作成する
• random_string を使用して仮想ネットワーク名のランダムな値を作成する
• azurerm_network_ddos_protection_planを使用して Azure DDoS 保護プランを作成する
• azurerm_virtual_network を使用して Azure 仮想ネットワークを作成する

前提条件

• Terraform のインストールと構成

Terraform コードを実装する

注意

この記事のサンプル コードは、Azure Terraform GitHub リポジトリにあります。 Terraform の現在および以前のバージョンのテスト結果を含むログ ファイルを表示できます。

Terraform を使用して Azure リソースを管理する方法を示すその他の記事とサンプル コードを参照してください

1. サンプル Terraform コードをテストして実行するディレクトリを作成し、それを現在のディレクトリにします。

2. providers.tf という名前のファイルを作成し、次のコードを挿入します。

   terraform {
     required_version = ">=1.0"
     required_providers {
       azurerm = {
         source  = "hashicorp/azurerm"
         version = "~>3.0"
       }
       random = {
         source  = "hashicorp/random"
         version = "~>3.0"
       }
     }
   }
   provider "azurerm" {
     features {}
   }
   

3. main.tf という名前のファイルを作成し、次のコードを挿入します。

   resource "random_pet" "rg_name" {
     prefix = var.resource_group_name_prefix
   }
   
   resource "azurerm_resource_group" "rg" {
     name     = random_pet.rg_name.id
     location = var.resource_group_location
   }
   
   resource "random_string" "ddos_protection_plan" {
     length  = 13
     upper   = false
     numeric = false
     special = false
   }
   
   resource "azurerm_network_ddos_protection_plan" "ddos" {
     name                = random_string.ddos_protection_plan.result
     resource_group_name = azurerm_resource_group.rg.name
     location            = azurerm_resource_group.rg.location
   }
   
   resource "random_string" "virtual_network_name" {
     length  = 13
     upper   = false
     numeric = false
     special = false
   }
   
   resource "azurerm_virtual_network" "vnet" {
     name                = random_string.virtual_network_name.result
     resource_group_name = azurerm_resource_group.rg.name
     location            = azurerm_resource_group.rg.location
     address_space       = [var.vnet_address_prefix]
   
     subnet {
       name           = "default"
       address_prefix = var.subnet_prefix
     }
     ddos_protection_plan {
       id     = azurerm_network_ddos_protection_plan.ddos.id
       enable = var.ddos_protection_plan_enabled
     }
   }
   

4. variables.tf という名前のファイルを作成し、次のコードを挿入します。

   variable "resource_group_location" {
     type        = string
     description = "Location for all resources."
     default     = "eastus"
   }
   
   variable "resource_group_name_prefix" {
     type        = string
     description = "Prefix of the resource group name that's combined with a random ID so name is unique in your Azure subscription."
     default     = "rg"
   }
   
   variable "vnet_address_prefix" {
     type        = string
     description = "Specify the virtual network address prefix"
     default     = "172.17.0.0/16"
   }
   
   variable "subnet_prefix" {
     type        = string
     description = "Specify the virtual network subnet prefix"
     default     = "172.17.0.0/24"
   }
   
   variable "ddos_protection_plan_enabled" {
     type        = bool
     description = "Enable DDoS protection plan."
     default     = true
   }
   

5. outputs.tf という名前のファイルを作成し、次のコードを挿入します。

   output "resource_group_name" {
     value = azurerm_resource_group.rg.name
   }
   
   output "ddos_protection_plan_name" {
     value = azurerm_network_ddos_protection_plan.ddos.name
   }
   
   output "virtual_network_name" {
     value = azurerm_virtual_network.vnet.name
   }
   

Terraform を初期化する

terraform init を実行して、Terraform のデプロイを初期化します。 このコマンドによって、Azure リソースを管理するために必要な Azure プロバイダーがダウンロードされます。

terraform init -upgrade

重要なポイント:

• -upgrade パラメーターは、必要なプロバイダー プラグインを、構成のバージョン制約に準拠する最新バージョンにアップグレードします。

Terraform 実行プランを作成する

terraform plan を実行して、実行プランを作成します。

terraform plan -out main.tfplan

重要なポイント:

• terraform plan コマンドは、実行プランを作成しますが、実行はしません。 代わりに、構成ファイルに指定された構成を作成するために必要なアクションを決定します。 このパターンを使用すると、実際のリソースに変更を加える前に、実行プランが自分の想定と一致しているかどうかを確認できます。
• 省略可能な -out パラメーターを使用すると、プランの出力ファイルを指定できます。 -out パラメーターを使用すると、レビューしたプランが適用内容とまったく同じであることが確実になります。

Terraform 実行プランを適用する

terraform apply を実行して、クラウド インフラストラクチャに実行プランを適用します。

terraform apply main.tfplan

重要なポイント:

• terraform apply コマンドの例は、以前に terraform plan -out main.tfplan が実行されたことを前提としています。
• -out パラメーターに別のファイル名を指定した場合は、terraform apply の呼び出しで同じファイル名を使用します。
• -out パラメーターを使用しなかった場合は、パラメーターを指定せずに terraform apply を呼び出します。

結果を確認する

Azure CLI

1. Azure リソース グループ名を取得します。

   resource_group_name=$(terraform output -raw resource_group_name)
   

2. DDoS 保護プラン名を取得します。

   ddos_protection_plan_name=$(terraform output -raw ddos_protection_plan_name)
   

3. az network ddos-protection show を実行して、新しい DDoS 保護プランに関する情報を表示します。

   az network ddos-protection show \
       --resource-group $resource_group_name \
       --name $ddos_protection_plan_name
   

Azure PowerShell

1. Azure リソース グループ名を取得します。

   $resource_group_name=$(terraform output -raw resource_group_name)
   

2. DDoS 保護プラン名を取得します。

   $ddos_protection_plan_name=$(terraform output -raw ddos_protection_plan_name)
   

3. Get-AzDdosProtectionPlan を実行して、新しい DDoS 保護プランに関する情報を表示します。

   Get-AzDdosProtectionPlan -ResourceGroupName $resource_group_name `
                            -Name $ddos_protection_plan_name
   

リソースをクリーンアップする

Terraform を使用して作成したリソースが不要になった場合は、次の手順を実行します。

1. terraform plan を実行して、destroy フラグを指定します。

   terraform plan -destroy -out main.destroy.tfplan
   

   重要なポイント:

   • terraform plan コマンドは、実行プランを作成しますが、実行はしません。 代わりに、構成ファイルに指定された構成を作成するために必要なアクションを決定します。 このパターンを使用すると、実際のリソースに変更を加える前に、実行プランが自分の想定と一致しているかどうかを確認できます。
   • 省略可能な -out パラメーターを使用すると、プランの出力ファイルを指定できます。 -out パラメーターを使用すると、レビューしたプランが適用内容とまったく同じであることが確実になります。

2. terraform apply を実行して、実行プランを適用します。

   terraform apply main.destroy.tfplan
   

Azure での Terraform のトラブルシューティング

Azure で Terraform を使用する場合の一般的な問題のトラブルシューティング

次のステップ

DDoS 保護テレメトリの表示と構成