Azure-netwerkbeveiligingsgroep (NSG) verplaatsen naar een andere regio

Artikel
03/05/2024

In dit artikel wordt beschreven hoe u een NSG verplaatst naar een nieuwe regio door een kopie te maken van de bronconfiguratie en beveiligingsregels van de NSG naar een andere regio.

Vereisten

Zorg ervoor dat de Azure-netwerkbeveiligingsgroep zich in de Azure-doelregio bevindt.
Koppel de nieuwe NSG aan resources in de doelregio.
Als u een NSG-configuratie wilt exporteren en een sjabloon wilt implementeren om een NSG te maken in een andere regio, hebt u de rol Netwerkbijdrager of hoger nodig.
Identificeer de bronnetwerkindeling en alle resources die u momenteel gebruikt. Deze indeling omvat, maar is niet beperkt tot load balancers, openbare IP-adressen en virtuele netwerken.
Controleer of u met uw Azure-abonnement NSG's kunt maken in de doelregio die wordt gebruikt. Neem contact op met ondersteuning voor het inschakelen van het vereiste quotum.
Zorg ervoor dat uw abonnement voldoende resources heeft ter ondersteuning van de toevoeging van NSG's voor dit proces. Raadpleeg Azure-abonnement en -servicelimieten, quotums en beperkingen.

Uitvaltijd

Zie Cloud Adoption Framework voor Azure om inzicht te hebben in de mogelijke downtime: Selecteer een herlocatiemethode.

Voorbereiden

De volgende stappen laten zien hoe u de netwerkbeveiligingsgroep voorbereidt voor de verplaatsing van de configuratie- en beveiligingsregel met behulp van een Resource Manager-sjabloon en hoe u de NSG-configuratie- en beveiligingsregels naar de doelregio verplaatst met behulp van de portal.

Een sjabloon exporteren en wijzigen met behulp van Azure Portal:

Meld u aan bij het Azure-portaal.
Selecteer Alle resources en selecteer vervolgens uw opslagaccount.
Selecteer >automation-exportsjabloon>.
Kies Implementeren op de blade Sjabloon exporteren .
Selecteer sjabloon>bewerken parameters om het parameters.json bestand te openen in de online editor.

Als u de parameter van de naam van de NSG wilt bewerken, wijzigt u de waarde-eigenschap onder parameters:

        {
        "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentParameters.json#",
        "contentVersion": "1.0.0.0",
        "parameters": {
        "networkSecurityGroups_myVM1_nsg_name": {
           "value": "<target-nsg-name>"
            }
           }
        }

Wijzig de bron-NSG-waarde in de editor in een naam van uw keuze voor de doel-NSG. Zorg ervoor dat u de naam tussen aanhalingstekens plaatst.
Selecteer Opslaan in de editor.
Selecteer sjabloon SJABLOON>bewerken om het template.json bestand te openen in de online-editor.

Als u de doelregio wilt bewerken waarin de NSG-configuratie en -beveiligingsregels worden verplaatst, wijzigt u de locatie-eigenschap onder resources in de online-editor:

        "resources": [
        {
        "type": "Microsoft.Network/networkSecurityGroups",
        "apiVersion": "2019-06-01",
        "name": "[parameters('networkSecurityGroups_myVM1_nsg_name')]",
        "location": "<target-region>",
        "properties": {
            "provisioningState": "Succeeded",
            "resourceGuid": "2c846acf-58c8-416d-be97-ccd00a4ccd78",
         }
        }
       ]

Zie Azure-locaties voor het verkrijgen van regiolocatiecodes. De code voor een regio is de regionaam zonder spaties, VS = - centraal.

U kunt ook andere parameters in de sjabloon wijzigen als u kiest en optioneel zijn, afhankelijk van uw vereisten:

Beveiligingsregels : u kunt bewerken welke regels in de doel-NSG worden geïmplementeerd door regels toe te voegen aan of te verwijderen uit de sectie securityRules in het bestand template.json :

   "resources": [
    {
    "type": "Microsoft.Network/networkSecurityGroups",
    "apiVersion": "2019-06-01",
    "name": "[parameters('networkSecurityGroups_myVM1_nsg_name')]",
    "location": "<target-region>",
    "properties": {
        "provisioningState": "Succeeded",
        "resourceGuid": "2c846acf-58c8-416d-be97-ccd00a4ccd78",
        "securityRules": [
            {
                "name": "RDP",
                "etag": "W/\"c630c458-6b52-4202-8fd7-172b7ab49cf5\"",
                "properties": {
                    "provisioningState": "Succeeded",
                    "protocol": "TCP",
                    "sourcePortRange": "*",
                    "destinationPortRange": "3389",
                    "sourceAddressPrefix": "*",
                    "destinationAddressPrefix": "*",
                    "access": "Allow",
                    "priority": 300,
                    "direction": "Inbound",
                    "sourcePortRanges": [],
                    "destinationPortRanges": [],
                    "sourceAddressPrefixes": [],
                    "destinationAddressPrefixes": []
                     }
            },
        ]
    }

Als u de toevoeging of het verwijderen van de regels in de doel-NSG wilt voltooien, moet u ook de aangepaste regeltypen aan het einde van het template.json-bestand bewerken in de indeling van het onderstaande voorbeeld:

     {
      "type": "Microsoft.Network/networkSecurityGroups/securityRules",
      "apiVersion": "2019-06-01",
      "name": "[concat(parameters('networkSecurityGroups_myVM1_nsg_name'), '/Port_80')]",
      "dependsOn": [
          "[resourceId('Microsoft.Network/networkSecurityGroups', parameters('networkSecurityGroups_myVM1_nsg_name'))]"
      ],
      "properties": {
          "provisioningState": "Succeeded",
          "protocol": "*",
          "sourcePortRange": "*",
          "destinationPortRange": "80",
          "sourceAddressPrefix": "*",
          "destinationAddressPrefix": "*",
          "access": "Allow",
          "priority": 310,
          "direction": "Inbound",
          "sourcePortRanges": [],
          "destinationPortRanges": [],
          "sourceAddressPrefixes": [],
          "destinationAddressPrefixes": []
      }

Selecteer Opslaan in de online-editor.

Een sjabloon exporteren en wijzigen met behulp van PowerShell:

Meld u aan bij uw Azure-abonnement met de opdracht Connect-AzAccount en volg de aanwijzingen op het scherm:
```
Connect-AzAccount
```
Haal de resource-id op van de NSG die u wilt verplaatsen naar de doelregio en plaats deze in een variabele met behulp van Get-AzNetworkSecurityGroup:
```
$sourceNSGID = (Get-AzNetworkSecurityGroup -Name <source-nsg-name> -ResourceGroupName <source-resource-group-name>).Id
```

Exporteer de bron-NSG naar een .json-bestand in de map waarin u de opdracht Export-AzResourceGroup uitvoert:

Export-AzResourceGroup -ResourceGroupName <source-resource-group-name> -Resource $sourceNSGID -IncludeParameterDefaultValue

Het gedownloade bestand krijgt de naam van de resourcegroep waaruit de resource is geëxporteerd. Zoek het bestand dat is geëxporteerd uit de opdracht resourcegroepnaam><.json en open het in een editor van uw keuze:
```
notepad <source-resource-group-name>.json
```

Als u de parameter van de naam van de NSG wilt bewerken, wijzigt u de eigenschap defaultValue van de bron-NSG-naam in de naam van uw doel-NSG. Controleer of de naam tussen aanhalingstekens staat:

        {
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "networkSecurityGroups_myVM1_nsg_name": {
        "defaultValue": "<target-nsg-name>",
        "type": "String"
        }
    }

Als u de doelregio wilt bewerken waarin de NSG-configuratie en -beveiligingsregels worden verplaatst, wijzigt u de locatie-eigenschap onder resources:

        "resources": [
        {
        "type": "Microsoft.Network/networkSecurityGroups",
        "apiVersion": "2019-06-01",
        "name": "[parameters('networkSecurityGroups_myVM1_nsg_name')]",
        "location": "<target-region>",
        "properties": {
            "provisioningState": "Succeeded",
            "resourceGuid": "2c846acf-58c8-416d-be97-ccd00a4ccd78", 
         }
        }

Als u regiolocatiecodes wilt ophalen, kunt u de Azure PowerShell-cmdlet Get-AzLocation gebruiken door de volgende opdracht uit te voeren:
```
Get-AzLocation | format-table
```

U kunt ook andere parameters wijzigen in de naam> van de <resourcegroep.json als u kiest en optioneel zijn, afhankelijk van uw vereisten:

Beveiligingsregels : u kunt bewerken welke regels in de doel-NSG worden geïmplementeerd door regels toe te voegen aan of te verwijderen uit de sectie securityRules in de <resourcegroepnaam>.json bestand:

   "resources": [
          {
          "type": "Microsoft.Network/networkSecurityGroups",
          "apiVersion": "2019-06-01",
          "name": "[parameters('networkSecurityGroups_myVM1_nsg_name')]",
          "location": "TARGET REGION",
          "properties": {
               "provisioningState": "Succeeded",
               "resourceGuid": "2c846acf-58c8-416d-be97-ccd00a4ccd78",
          "securityRules": [
            {
                "name": "RDP",
                "etag": "W/\"c630c458-6b52-4202-8fd7-172b7ab49cf5\"",
                "properties": {
                     "provisioningState": "Succeeded",
                     "protocol": "TCP",
                     "sourcePortRange": "*",
                     "destinationPortRange": "3389",
                     "sourceAddressPrefix": "*",
                     "destinationAddressPrefix": "*",
                     "access": "Allow",
                     "priority": 300,
                     "direction": "Inbound",
                     "sourcePortRanges": [],
                     "destinationPortRanges": [],
                     "sourceAddressPrefixes": [],
                     "destinationAddressPrefixes": []
                    }
                ]
    }

Als u de toevoeging of het verwijderen van de regels in de doel-NSG wilt voltooien, moet u ook de aangepaste regeltypen aan het einde van de naam> van de <resourcegroep bewerken.json in de indeling van het onderstaande voorbeeld:

   {
    "type": "Microsoft.Network/networkSecurityGroups/securityRules",
    "apiVersion": "2019-06-01",
    "name": "[concat(parameters('networkSecurityGroups_myVM1_nsg_name'), '/Port_80')]",
    "dependsOn": [
        "[resourceId('Microsoft.Network/networkSecurityGroups', parameters('networkSecurityGroups_myVM1_nsg_name'))]"
    ],
    "properties": {
        "provisioningState": "Succeeded",
        "protocol": "*",
        "sourcePortRange": "*",
        "destinationPortRange": "80",
        "sourceAddressPrefix": "*",
        "destinationAddressPrefix": "*",
        "access": "Allow",
        "priority": 310,
        "direction": "Inbound",
        "sourcePortRanges": [],
        "destinationPortRanges": [],
        "sourceAddressPrefixes": [],
        "destinationAddressPrefixes": []
    }

Sla de naam> van de <resourcegroep op.json bestand.

Opnieuw implementeren

Portal
Powershell

Selecteer BASICS-abonnement> om het abonnement te kiezen waarin de doel-NSG wordt geïmplementeerd.
Selecteer BASICS-resourcegroep> om de resourcegroep te kiezen waarin de doel-NSG wordt geïmplementeerd. U kunt op Nieuwe maken klikken om een nieuwe resourcegroep te maken voor de doel-NSG. Zorg ervoor dat de naam niet hetzelfde is als de bronresourcegroep van de bestaande NSG.
Selecteer BASICS-locatie> is ingesteld op de doellocatie waar u de NSG wilt implementeren.
Controleer onder INSTELLINGEN of de naam overeenkomt met de naam die u hebt ingevoerd in de bovenstaande parameterseditor.
Schakel het selectievakje onder VOORWAARDEN IN.
Selecteer de knop Kopen om de doelnetwerkbeveiligingsgroep te implementeren.

Maak een resourcegroep in de doelregio voor de doel-NSG die moet worden geïmplementeerd met behulp van New-AzResourceGroup:
```
New-AzResourceGroup -Name <target-resource-group-name> -location <target-region>
```
Implementeer de bewerkte <resourcegroepnaam>.json bestand naar de resourcegroep die u in de vorige stap hebt gemaakt met behulp van New-AzResourceGroupDeployment:
```
New-AzResourceGroupDeployment -ResourceGroupName <target-resource-group-name> -TemplateFile <source-resource-group-name>.json
```

Gebruik Get-AzResourceGroup en Get-AzNetworkSecurityGroup om te controleren of de resources zijn gemaakt in de doelregio:


Get-AzResourceGroup -Name <target-resource-group-name>


Get-AzNetworkSecurityGroup -Name <target-nsg-name> -ResourceGroupName <target-resource-group-name>

Verwijderen

Portal
Powershell

Als u de doel-NSG wilt verwijderen, verwijdert u de resourcegroep die de doel-NSG bevat. Hiervoor selecteert u de resourcegroep in uw dashboard in de portal en selecteert u Verwijderen boven aan de overzichtspagina.

Als u na de implementatie de NSG in het doel opnieuw wilt starten of verwijderen, verwijdert u de resourcegroep die in het doel is gemaakt en wordt de verplaatste NSG verwijderd. Als u de resourcegroep wilt verwijderen, gebruikt u Remove-AzResourceGroup:


Remove-AzResourceGroup -Name <target-resource-group-name>

Opschonen

Portal
Powershell

Als u de wijzigingen wilt doorvoeren en de verplaatsing van de NSG wilt voltooien, verwijdert u de bron-NSG of resourcegroep. Hiervoor selecteert u de netwerkbeveiligingsgroep of resourcegroep in uw dashboard in de portal en selecteert u Verwijderen boven aan elke pagina.

Als u de wijzigingen wilt doorvoeren en de verplaatsing van de NSG wilt voltooien, verwijdert u de bron-NSG of resourcegroep, gebruikt u Remove-AzResourceGroup of Remove-AzNetworkSecurityGroup:


Remove-AzResourceGroup -Name <source-resource-group-name>


Remove-AzNetworkSecurityGroup -Name <source-nsg-name> -ResourceGroupName <source-resource-group-name>

Volgende stappen

In deze zelfstudie hebt u een Azure-netwerkbeveiligingsgroep van de ene regio naar de andere verplaatst en de bronbronnen opgeschoond. Raadpleeg voor meer informatie over het verplaatsen van resources tussen regio's en herstel na noodgevallen in Azure:

Delen via