Konfigurowanie konserwacji kontrolowanej przez klienta dla usługi Azure Firewall

W tym artykule wyjaśniono, jak skonfigurować okna obsługi kontrolowane przez klienta dla usługi Azure Firewall. Zawiera on szczegółowe wskazówki dotyczące planowania konserwacji przy użyciu witryny Azure Portal lub programu PowerShell.

Azure Firewall to zarządzana usługa zabezpieczeń sieci oparta na chmurze przeznaczona do ochrony zasobów usługi Azure Virtual Network i azure Virtual WAN. Regularne uaktualnienia są niezbędne, aby zapewnić, że usługa pozostaje skuteczna przed pojawiającymi się zagrożeniami cybernetycznymi, spełnia wymagania prawne i zawiera najnowsze funkcje, ulepszenia zabezpieczeń i ulepszenia wydajności.

Uaktualnienia są zwykle zaplanowane poza godzinami pracy, aby zminimalizować zakłócenia w krytycznych operacjach biznesowych i zmniejszyć przestoje aplikacji. Chociaż wiele nowoczesnych aplikacji może obsługiwać przejściowe przerwy w sieci za pośrednictwem autoreconnections, starsze aplikacje, takie jak SAP i Azure Virtual Desktop (AVD), mogą wymagać trwałych połączeń. Te aplikacje są bardziej wrażliwe na przerywanie połączeń, co może prowadzić do zakłóceń podczas procesów uaktualniania i wpływać na ciągłość działalności biznesowej. Aby rozwiązać ten problem, usługa Azure Firewall obsługuje teraz konfigurowalne codzienne okna obsługi, co umożliwia dostosowanie harmonogramów uaktualniania do potrzeb operacyjnych.

Aby uzyskać więcej informacji na temat ograniczeń i często zadawanych pytań dotyczących konserwacji kontrolowanej przez klienta, zobacz Często zadawane pytania dotyczące usługi Azure Firewall.

Konfiguracja konserwacji

Portal Azure

Najpierw należy zarejestrować dostawcę zasobów Platformy Azure Microsoft.Maintenance .

Register-AzResourceProvider -ProviderNamespace Microsoft.Maintenance

Następnie można skonfigurować konserwację kontrolowaną przez klienta w witrynie Azure Portal przy użyciu dwóch metod:

• Z zasobu usługi Azure Firewall: ta metoda umożliwia konfigurowanie konserwacji bezpośrednio dla określonej usługi Azure Firewall.
• Na stronie konfiguracji konserwacji: Ta metoda umożliwia utworzenie konfiguracji konserwacji, która może być stosowana do wielu usług Azure Firewall, co zapewnia większą elastyczność i wydajność.

Konfigurowanie konserwacji z zasobu usługi Azure Firewall

Wykonaj następujące kroki, aby utworzyć konfigurację konserwacji bezpośrednio z zasobu usługi Azure Firewall:

1. W portalu Azure przejdź do zasobu zapory, dla którego chcesz utworzyć konfigurację utrzymania.

2. Na stronie Azure Firewall przejdź do pozycji Ustawienia i wybierz pozycję Konserwacja.

3. Wybierz pozycję + Dodaj konfigurację, aby otworzyć stronę Konfigurowanie kontroli konserwacji .

   

4. Na panelu konfiguracji wybierz istniejącą konfigurację z menu rozwijanego lub utwórz nową konfigurację.

5. Wprowadź opisową nazwę konfiguracji konserwacji i wybierz pozycję Edytuj harmonogram. Zdefiniuj harmonogram utrzymania, aby powtarzał się codziennie co najmniej na 5 godzin, a następnie wybierz pozycję Zapisz.

   

6. Wybierz pozycję Włącz , aby zastosować konfigurację konserwacji w zasobie usługi Azure Firewall.

Ukończ konfigurację zgodnie z potrzebami operacyjnymi.

Ustawianie w konfiguracjach konserwacyjnych

Wykonaj następujące kroki, aby utworzyć konfigurację konserwacji w witrynie Azure Portal przy użyciu strony Konfiguracje konserwacji :

1. W witrynie Azure Portal wyszukaj hasło Konfiguracje konserwacji.

2. Na stronie Konfiguracje konserwacji wybierz pozycję + Utwórz , aby otworzyć stronę Tworzenie konfiguracji konserwacji .

   

3. Na karcie Podstawowe podaj następujące szczegóły:

   • Subskrypcja: wybierz swoją subskrypcję.
   • Grupa zasobów: wybierz grupę zasobów, w której znajdują się zasoby.
   • Nazwa konfiguracji: wprowadź opisową nazwę konfiguracji konserwacji.
   • Region: wybierz ten sam region co zasoby zapory.
   • Zakres konserwacji: wybierz zasób z listy rozwijanej.
   • Podzakres konserwacji: wybierz pozycję Zabezpieczenia sieciowe z listy rozwijanej.

4. Wybierz pozycję Dodaj harmonogram, aby zdefiniować harmonogram konserwacji.

   Uwaga / Notatka

   Okno obsługi musi trwać co najmniej 5 godzin.

5. Po określeniu harmonogramu wybierz pozycję Zapisz.

6. Przejdź do karty Zasoby . Wybierz pozycję + Dodaj zasoby , aby skojarzyć zasoby z konfiguracją konserwacji. Zasoby można dodawać podczas procesu tworzenia lub później. W tym przykładzie dodasz zasoby podczas tworzenia konfiguracji.

7. Na stronie Wybieranie zasobów sprawdź, czy zasoby są wyświetlane. Jeśli nie, upewnij się, że wybrano prawidłowy region i zakres konserwacji. Wybierz zasoby do uwzględnienia w konfiguracji konserwacji, a następnie wybierz pozycję Zapisz.

   

8. Wybierz pozycję Przejrzyj i utwórz , aby zweryfikować konfigurację. Po pomyślnym zakończeniu walidacji wybierz pozycję Utwórz , aby sfinalizować konfigurację.

Wyświetlanie skojarzonych zasobów

Wykonaj następujące kroki, aby wyświetlić zasoby połączone z konfiguracją konserwacji:

1. Przejdź do strony Konfiguracje konserwacji w witrynie Azure Portal.
2. Wybierz konfigurację konserwacji, którą chcesz sprawdzić.
3. W menu po lewej stronie przejdź do pozycji Ustawienia i wybierz pozycję Zasoby. Spowoduje to otwarcie strony Zasoby , na której można wyświetlić wszystkie zasoby skojarzone z wybraną konfiguracją konserwacji.

Dodaj zasoby

Aby dodać zasoby do istniejącej konfiguracji konserwacji, wykonaj następujące kroki:

1. Przejdź do strony Konfiguracje konserwacji w witrynie Azure Portal.
2. Wybierz konfigurację konserwacji, którą chcesz zmodyfikować.
3. W menu po lewej stronie przejdź do pozycji Ustawienia i wybierz pozycję Zasoby. Spowoduje to otwarcie strony Zasoby , na której można wyświetlić wszystkie zasoby skojarzone z wybraną konfiguracją konserwacji.
4. Na stronie Zasoby wybierz pozycję + Dodaj , aby uwzględnić nowy zasób w konfiguracji konserwacji.

Usuwanie zasobów

Aby usunąć zasoby skojarzone z konfiguracją konserwacji, wykonaj następujące kroki:

1. Przejdź do strony Konfiguracje konserwacji w witrynie Azure Portal.
2. Wybierz konfigurację konserwacji, z której chcesz usunąć zasoby.
3. W menu po lewej stronie przejdź do pozycji Ustawienia i wybierz pozycję Zasoby , aby otworzyć stronę Zasoby i wyświetlić skojarzone zasoby.
4. Na stronie Zasoby wybierz zasób, który chcesz usunąć, a następnie wybierz pozycję Usuń.
5. W oknie dialogowym potwierdzenia wybierz pozycję Tak , aby sfinalizować usunięcie.

PowerShell

Wykonaj poniższe kroki, aby przypisać zasady do zasobów. Jeśli dopiero zaczynasz korzystać z programu Azure PowerShell, zobacz Wprowadzenie do programu Azure PowerShell.

1. Ustaw kontekst subskrypcji.

   set-AzContext -Subscription 'Subscription ID’
   

2. Zarejestruj dostawcę zasobów platformy Azure.

   Register-AzResourceProvider -ProviderNamespace Microsoft.Maintenance
   

3. Utwórz konfigurację konserwacji przy użyciu New-AzMaintenanceConfiguration cmdlet.

   • Wartość -Duration musi być co najmniej pięciogodzinnym przedziałem czasowym.
   • Wartość -RecurEvery jest na dzień.
   • Aby uzyskać informacje o opcjach strefy czasowej, zobacz Strefy czasowe.

   New-AzMaintenanceConfiguration -ResourceGroupName <rgName> -Name <configurationName> -Location <arm location of resource> -MaintenanceScope Resource -ExtensionProperty @{"maintenanceSubScope"="NetworkSecurity"} -StartDateTime "<date in YYYY-MM-DD HH:mm format>" -TimeZone "<Selected Time Zone>" -Duration "<Duration in HH:mm format>" -Visibility "Custom" -RecurEvery Day
   

4. Zapisz konfigurację konserwacji jako zmienną o nazwie $config.

   $config = Get-AzMaintenanceConfiguration -ResourceGroupName <rgName> -Name <configurationName>
   

5. Zapisz zasób usługi jako zmienną o nazwie $serviceResource.

6. Utwórz przypisanie konfiguracji konserwacji przy użyciu polecenia cmdlet New-AzConfigurationAssignment. Zasady konserwacji są stosowane do zasobu w ciągu 24 godzin.

   New-AzConfigurationAssignment -ResourceGroupName <rgName> -ProviderName "Microsoft.Network" -ResourceType "<your resource's resource type per ARM. For example, azureFirewalls>" -ResourceName "<your resource's name>" -ConfigurationAssignmentName "<assignment name>" -ResourceId $serviceResource.Id -MaintenanceConfigurationId $config.Id -Location "<arm location of resource>"
   

7. Aby usunąć przypisanie konfiguracji:

   • Przypisanie konfiguracji jest usuwane automatycznie, jeśli konfiguracja lub zasób zostanie usunięty.
   • Jeśli chcesz ręcznie usunąć przypisanie konfiguracji z konfiguracji utrzymania do zasobu, użyj polecenia cmdlet Remove-AzConfigurationAssignment.

   Remove-AzConfigurationAssignment -ResourceGroupName <rgName> -ProviderName "Microsoft.Network" -ResourceType "<your resource's resource type per ARM. For example, azureFirewalls>" -ResourceName "<your resource's name>" -ConfigurationAssignmentName "<assignment name>"
   

CLI

Wykonaj poniższe kroki, aby przypisać zasady do zasobów. Jeśli dopiero zaczynasz korzystać z interfejsu wiersza polecenia platformy Azure, zobacz Wprowadzenie do interfejsu wiersza polecenia platformy Azure.

1. Ustaw kontekst subskrypcji.

   az account set --subscription "<subscription id>"
   

2. Zarejestruj dostawcę zasobów platformy Azure.

   az provider register --namespace Microsoft.Maintenance
   

3. Utwórz konfigurację konserwacji przy użyciu az maintenance configuration create polecenia .

   • Ustawia wartość --location , aby określić region świadczenia usługi Azure dla konfiguracji konserwacji.
   • Ustawia wartość --maintenance-scope na Resource.
   • Ustawia właściwość rozszerzenia na maintenanceSubScope=NetworkSecurity za pomocą --extension-properties.
   • --maintenance-window-duration Ustawia parametr , aby określić długość okna obsługi (musi wynosić co najmniej pięć godzin, format: HH:mm).
   • Ustawia --maintenance-window-start-date-time, aby określić, kiedy rozpocznie się okno konserwacji (format: RRRR-MM-DD HH:MM).
   • Ustawia wartość --maintenance-window-expiration-date-time , aby określić, kiedy okno obsługi wygaśnie (format: RRRR-MM-DD HH:MM).
   • Ustawia --maintenance-window-recur-every na Day dla cyklu dziennego.
   • Ustawia wartość , --maintenance-window-time-zone aby określić strefę czasową harmonogramu. Aby uzyskać dostępną strefę czasowa, zobacz Strefy czasowe.
   • Ustawia wartość --namespace na Microsoft.Maintenance.
   • Ustawia wartość --visibility na Custom.
   • Ustawia wartość , --resource-group aby określić grupę zasobów.
   • Ustawia wartość , --resource-name aby określić nazwę konfiguracji konserwacji.

   az maintenance configuration create \
       --location "centraluseuap" \
       --maintenance-scope "Resource" \
       --maintenance-window-duration "HH:mm" \
       --maintenance-window-start-date-time "YYYY-MM-DD HH:MM" \
       --maintenance-window-expiration-date-time "YYYY-MM-DD HH:MM" \
       --maintenance-window-recur-every "Day" \
       --maintenance-window-time-zone "Pacific Standard Time" \
       --namespace "Microsoft.Maintenance" \
       --visibility "Custom" \
       --resource-group "<rg name>" \
       --resource-name "<config name>" \
       --extension-properties maintenanceSubScope=NetworkSecurity
   

   Uwaga / Notatka

   Identyfikator zasobu konfiguracji konserwacji jest wyświetlany w danych wyjściowych powyższego polecenia. Użyj tej wartości w następnym kroku dla --maintenance-configuration-id.

4. Utwórz przypisanie konfiguracji konserwacji przy użyciu az maintenance assignment create polecenia . Zasady konserwacji są stosowane do zasobu w ciągu 24 godzin.

   az maintenance assignment create \
       --maintenance-configuration-id "<config resource id>" \
       --name "<assignment name>" \
       --provider-name "Microsoft.Network" \
       --resource-group "<firewall rg name>" \
       --resource-name "<firewall name>" \
       --resource-type "azureFirewalls"
   

Usuwanie przypisania konfiguracji

Aby ręcznie usunąć przypisanie konfiguracji z zasobu, użyj az maintenance assignment delete polecenia.

az maintenance assignment delete \
    --resource-group "<firewall rg name>" \
    --resource-name "<firewall name>" \
    --resource-type "azureFirewalls" \
    --provider-name "Microsoft.Network" \
    --name "<assignment name>"

Wyświetlanie przypisania konfiguracji

Aby wyświetlić przypisanie konfiguracji konserwacji przy użyciu interfejsu wiersza polecenia platformy Azure, użyj następującego polecenia:

az maintenance configuration show \
    --resource-group "<resource-group-name>" \
    --resource-name "<configuration-name>"

Zastąp <resource-group-name> swoją grupą zasobów i <configuration-name> nazwą swojej konfiguracji konserwacji.

Dalsze kroki

Aby zapoznać się z najnowszymi możliwościami w usłudze Azure Firewall, zobacz Funkcje usługi Azure Firewall w wersji zapoznawczej.