Брандмауэр Microsoft.NetworkПолитики

  • Статья

Определение ресурса Bicep

Тип ресурса firewallPolicies можно развернуть с помощью операций, предназначенных для:

Список измененных свойств в каждой версии API см. в журнале изменений.

Формат ресурсов

Чтобы создать ресурс Microsoft.Network/firewallPolicies, добавьте в шаблон следующий Bicep.

resource symbolicname 'Microsoft.Network/firewallPolicies@2023-04-01' = {
  name: 'string'
  location: 'string'
  tags: {
    tagName1: 'tagValue1'
    tagName2: 'tagValue2'
  }
  identity: {
    type: 'string'
    userAssignedIdentities: {}
  }
  properties: {
    basePolicy: {
      id: 'string'
    }
    dnsSettings: {
      enableProxy: bool
      requireProxyForNetworkRules: bool
      servers: [
        'string'
      ]
    }
    explicitProxy: {
      enableExplicitProxy: bool
      enablePacFile: bool
      httpPort: int
      httpsPort: int
      pacFile: 'string'
      pacFilePort: int
    }
    insights: {
      isEnabled: bool
      logAnalyticsResources: {
        defaultWorkspaceId: {
          id: 'string'
        }
        workspaces: [
          {
            region: 'string'
            workspaceId: {
              id: 'string'
            }
          }
        ]
      }
      retentionDays: int
    }
    intrusionDetection: {
      configuration: {
        bypassTrafficSettings: [
          {
            description: 'string'
            destinationAddresses: [
              'string'
            ]
            destinationIpGroups: [
              'string'
            ]
            destinationPorts: [
              'string'
            ]
            name: 'string'
            protocol: 'string'
            sourceAddresses: [
              'string'
            ]
            sourceIpGroups: [
              'string'
            ]
          }
        ]
        privateRanges: [
          'string'
        ]
        signatureOverrides: [
          {
            id: 'string'
            mode: 'string'
          }
        ]
      }
      mode: 'string'
    }
    sku: {
      tier: 'string'
    }
    snat: {
      autoLearnPrivateRanges: 'string'
      privateRanges: [
        'string'
      ]
    }
    sql: {
      allowSqlRedirect: bool
    }
    threatIntelMode: 'string'
    threatIntelWhitelist: {
      fqdns: [
        'string'
      ]
      ipAddresses: [
        'string'
      ]
    }
    transportSecurity: {
      certificateAuthority: {
        keyVaultSecretId: 'string'
        name: 'string'
      }
    }
  }
}

Значения свойств

firewallPolicies

Имя Описание Значение
name имя ресурса. string (обязательно)

Ограничение символов: 1-80

Допустимые символы:
Буквенно-цифровые символы, символы подчеркивания, точки и дефисы.

Начинается с буквенно-цифрового символа. Заканчивается буквенно-цифровым символом или символом подчеркивания.
location Расположение ресурса. строка
tags Теги ресурсов. Словарь имен и значений тегов. См . раздел Теги в шаблонах
удостоверение Удостоверение политики брандмауэра. Управляемое удостоверение службы
properties Свойства политики брандмауэра. FirewallPolicyPropertiesFormat

Управляемое удостоверение службы

Имя Описание Значение
тип Тип удостоверения, используемого для ресурса. Тип SystemAssigned, UserAssigned включает как условно созданное удостоверение, так и набор удостоверений, назначенных пользователем. Тип None приведет к удалению всех удостоверений с виртуальной машины. "Нет"
SystemAssigned
SystemAssigned, UserAssigned
UserAssigned
userAssignedIdentities Список удостоверений пользователей, связанных с ресурсом. Ссылки на ключи словаря удостоверений пользователей будут иметь идентификаторы ресурсов ARM в форме: "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{identityName}". объект

FirewallPolicyPropertiesFormat

Имя Описание Значение
basePolicy Родительская политика брандмауэра, от которой наследуются правила. SubResource
dnsSettings Определение параметров прокси-сервера DNS. DnsSettings
explicitProxy Явное определение параметров прокси-сервера. ExplicitProxy
insights Аналитика политики брандмауэра. FirewallPolicyInsights
вторжениеDetection Конфигурация для обнаружения вторжений. FirewallPolicyIntrusionDetection
sku SKU политики брандмауэра. FirewallPolicySku
snat Частные IP-адреса или диапазоны IP-адресов, к которым трафик не будет SNAT. FirewallPolicySnat
sql Определение параметров SQL. FirewallPolicySQL
threatIntelMode Режим работы для аналитики угроз. "Оповещение"
"Deny"
"Выкл."
threatIntelWhitelist ThreatIntel Allowlist для политики брандмауэра. FirewallPolicyThreatIntelWhitelist
transportSecurity Определение конфигурации TLS. FirewallPolicyTransportSecurity

SubResource

Имя Описание Значение
идентификатор Идентификатор ресурса. строка

DnsSettings

Имя Описание Значение
enableProxy Включите DNS-прокси в брандмауэрах, подключенных к политике брандмауэра. bool
requireProxyForNetworkRules Полные доменные имена в правилах сети поддерживаются, если задано значение true. bool
servers Список пользовательских DNS-серверов. string[]

ExplicitProxy

Имя Описание Значение
enableExplicitProxy Если задано значение true, явный режим прокси-сервера включен. bool
enablePacFile Если задано значение true, необходимо указать порт и URL-адрес файла PAC. bool
httpPort Номер порта для явного протокола HTTP прокси-сервера не может превышать 64000. INT
httpsPort Номер порта для явного протокола HTTPS прокси-сервера не может превышать 64000. INT
pacFile URL-адрес SAS для PAC-файла. строка
pacFilePort Номер порта для брандмауэра для обслуживания PAC-файла. INT

FirewallPolicyInsights

Имя Описание Значение
isEnabled Флаг, указывающий, включена ли аналитика в политике. bool
logAnalyticsResources Рабочие области, необходимые для настройки аналитики политики брандмауэра. FirewallPolicyLogAnalyticsResources
retentionDays Количество дней, в течение которых аналитика должна быть включена в политике. INT

FirewallPolicyLogAnalyticsResources

Имя Описание Значение
defaultWorkspaceId Идентификатор рабочей области по умолчанию для Аналитики политики брандмауэра. SubResource
workspaces Список рабочих областей для Аналитики политики брандмауэра. FirewallPolicyLogAnalyticsWorkspace[]

FirewallPolicyLogAnalyticsWorkspace

Имя Описание Значение
region Регион для настройки рабочей области. строка
workspaceId Идентификатор рабочей области для аналитики политики брандмауэра. SubResource

FirewallPolicyIntrusionDetection

Имя Описание Значение
настройка Свойства конфигурации обнаружения вторжений. FirewallPolicyIntrusionDetectionConfiguration
mode Общее состояние обнаружения вторжений. "Оповещение"
"Deny"
"Выкл."

FirewallPolicyIntrusionDetectionConfiguration

Имя Описание Значение
bypassTrafficSettings Список правил для пропуска трафика. FirewallPolicyIntrusionDetectionBypassTrafficSpecifi...[]
privateRanges Диапазоны частных IP-адресов IDPS используются для определения направления трафика (например, входящего, исходящего и т. д.). По умолчанию диапазонами частных IP-адресов считаются только диапазоны, определенные документом IANA RFC 1918. Чтобы изменить диапазоны по умолчанию, укажите диапазоны частных IP-адресов с помощью этого свойства. string[]
signatureOverrides Список конкретных состояний подписей. FirewallPolicyIntrusionDetectionSignatureSpecificati...[]

FirewallPolicyIntrusionDetectionBypassTrafficSpecifi...

Имя Описание Значение
description Описание правила обхода трафика. строка
destinationAddresses Список конечных IP-адресов или диапазонов для этого правила. string[]
destinationIpGroups Список целевых ipGroups для этого правила. string[]
destinationPorts Список конечных портов или диапазонов. string[]
name Имя правила обхода трафика. строка
protocol Протокол обхода правила. "ANY"
ICMP
"TCP"
"UDP"
sourceAddresses Список исходных IP-адресов или диапазонов для этого правила. string[]
sourceIpGroups Список исходных ipGroups для этого правила. string[]

FirewallPolicyIntrusionDetectionSignatureSpecificati...

Имя Описание Значение
идентификатор Идентификатор подписи. строка
mode Состояние подписи. "Оповещение"
"Deny"
"Выкл."

FirewallPolicySku

Имя Описание Значение
Уровень Уровень политики брандмауэра. "Базовый"
"Премиум"
"Стандартный"

FirewallPolicySnat

Имя Описание Значение
autoLearnPrivateRanges Режим работы для автоматического обучения частных диапазонов без SNAT "Отключено"
"Включено"
privateRanges Список частных IP-адресов или диапазонов IP-адресов, которые не должны быть SNAT. string[]

FirewallPolicySQL

Имя Описание Значение
allowSqlRedirect Флаг, указывающий, включена ли фильтрация трафика перенаправления SQL. Для включения флага не требуется использовать порт 11000–11999. bool

FirewallPolicyThreatIntelWhitelist

Имя Описание Значение
Полных доменных имен Список полных доменных имен для списка разрешений ThreatIntel. string[]
ipAddresses Список IP-адресов для списка разрешений ThreatIntel. string[]

FirewallPolicyTransportSecurity

Имя Описание Значение
certificateAuthority ЦС, используемый для создания промежуточного ЦС. FirewallPolicyCertificateAuthority

FirewallPolicyCertificateAuthority

Имя Описание Значение
keyVaultSecretId Секретный идентификатор объекта (в кодировке Base-64 в незашифрованном формате PFX) Secret или Certificate, хранящегося в KeyVault. строка
name Имя сертификата ЦС. строка

Шаблоны быстрого запуска

Следующие шаблоны быстрого запуска развертывают этот тип ресурса.

Шаблон Описание
Использование Брандмауэр Azure в качестве DNS-прокси в звезд & ообразной топологии

Развертывание в Azure		 В этом примере показано, как развернуть звездообразную топологию в Azure с помощью Брандмауэр Azure. Виртуальная сеть концентратора выступает в качестве центральной точки подключения ко многим периферийным виртуальным сетям, которые подключены к центральной виртуальной сети через пиринг виртуальных сетей.
Создание брандмауэра и политики Брандмауэра с помощью правил и ipgroups

Развертывание в Azure		 Этот шаблон развертывает Брандмауэр Azure с политикой брандмауэра (включая несколько правил приложения и сети), ссылающейся на группы IP-адресов в правилах приложения и сети.
Создание брандмауэра, FirewallPolicy с явным прокси-сервером

Развертывание в Azure		 Этот шаблон создает Брандмауэр Azure FirewalllPolicy с явным прокси-сервером и правила сети с IpGroups. Кроме того, включает настройку виртуальной машины Linux Jumpbox.
Создание брандмауэра с БрандмауэромПолитика и IpGroups

Развертывание в Azure		 Этот шаблон создает Брандмауэр Azure с БрандмауэромlPolicy, ссылающимся на сетевые правила с ipGroups. Кроме того, включает настройку виртуальной машины Linux Jumpbox.
Среда тестирования для Брандмауэр Azure Premium

Развертывание в Azure		 Этот шаблон создает Брандмауэр Azure Premium и Политику брандмауэра с функциями уровня "Премиум", такими как обнаружение проверки вторжений (IDPS), проверка TLS и фильтрация веб-категорий.
Создание настройки песочницы с помощью политики брандмауэра

Развертывание в Azure		 Этот шаблон создает виртуальную сеть с 3 подсетями (подсеть сервера, подсеть Jumpbox и подсеть AzureFirewall), виртуальную машину jumpbox с общедоступным IP-адресом, серверную виртуальную машину, маршрут UDR, указывающий на Брандмауэр Azure для подсети сервера и Брандмауэр Azure с 1 или более общедоступными IP-адресами. Также создает политику брандмауэра с 1 примером правила приложения, 1 примером правила сети и частными диапазонами по умолчанию.
Защищенные виртуальные концентраторы

Развертывание в Azure		 Этот шаблон создает защищенный виртуальный концентратор с помощью Брандмауэр Azure для защиты облачного сетевого трафика, предназначенного для Интернета.
Намерения и политики маршрутизации azure Виртуальная глобальная сеть

Развертывание в Azure		 Этот шаблон подготавливает Виртуальная глобальная сеть Azure с двумя концентраторами с включенными функциями намерения и политик маршрутизации.

Определение ресурса шаблона ARM

Тип ресурса firewallPolicies можно развернуть с помощью операций, предназначенных для:

Список измененных свойств в каждой версии API см. в журнале изменений.

Формат ресурсов

Чтобы создать ресурс Microsoft.Network/firewallPolicies, добавьте следующий код JSON в шаблон.

{
  "type": "Microsoft.Network/firewallPolicies",
  "apiVersion": "2023-04-01",
  "name": "string",
  "location": "string",
  "tags": {
    "tagName1": "tagValue1",
    "tagName2": "tagValue2"
  },
  "identity": {
    "type": "string",
    "userAssignedIdentities": {}
  },
  "properties": {
    "basePolicy": {
      "id": "string"
    },
    "dnsSettings": {
      "enableProxy": "bool",
      "requireProxyForNetworkRules": "bool",
      "servers": [ "string" ]
    },
    "explicitProxy": {
      "enableExplicitProxy": "bool",
      "enablePacFile": "bool",
      "httpPort": "int",
      "httpsPort": "int",
      "pacFile": "string",
      "pacFilePort": "int"
    },
    "insights": {
      "isEnabled": "bool",
      "logAnalyticsResources": {
        "defaultWorkspaceId": {
          "id": "string"
        },
        "workspaces": [
          {
            "region": "string",
            "workspaceId": {
              "id": "string"
            }
          }
        ]
      },
      "retentionDays": "int"
    },
    "intrusionDetection": {
      "configuration": {
        "bypassTrafficSettings": [
          {
            "description": "string",
            "destinationAddresses": [ "string" ],
            "destinationIpGroups": [ "string" ],
            "destinationPorts": [ "string" ],
            "name": "string",
            "protocol": "string",
            "sourceAddresses": [ "string" ],
            "sourceIpGroups": [ "string" ]
          }
        ],
        "privateRanges": [ "string" ],
        "signatureOverrides": [
          {
            "id": "string",
            "mode": "string"
          }
        ]
      },
      "mode": "string"
    },
    "sku": {
      "tier": "string"
    },
    "snat": {
      "autoLearnPrivateRanges": "string",
      "privateRanges": [ "string" ]
    },
    "sql": {
      "allowSqlRedirect": "bool"
    },
    "threatIntelMode": "string",
    "threatIntelWhitelist": {
      "fqdns": [ "string" ],
      "ipAddresses": [ "string" ]
    },
    "transportSecurity": {
      "certificateAuthority": {
        "keyVaultSecretId": "string",
        "name": "string"
      }
    }
  }
}

Значения свойств

firewallPolicies

Имя Описание Значение
тип Тип ресурса Microsoft.Network/firewallPolicies
версия_API Версия API ресурсов '2023-04-01'
name имя ресурса. строка (обязательно)

Ограничение символов: 1–80

Допустимые символы:
Буквенно-цифровые символы, символы подчеркивания, точки и дефисы.

Начинается с буквенно-цифрового символа. Заканчивается буквенно-цифровым символом или символом подчеркивания.
location Расположение ресурса. строка
tags Теги ресурсов. Словарь имен и значений тегов. См . раздел Теги в шаблонах
удостоверение Удостоверение политики брандмауэра. Управляемое удостоверение службы
properties Свойства политики брандмауэра. FirewallPolicyPropertiesFormat

Управляемое удостоверение службы

Имя Описание Значение
тип Тип удостоверения, используемого для ресурса. Тип SystemAssigned, UserAssigned включает как условно созданное удостоверение, так и набор удостоверений, назначенных пользователем. Тип None приведет к удалению всех удостоверений из виртуальной машины. "Нет"
SystemAssigned
SystemAssigned, UserAssigned
UserAssigned
userAssignedIdentities Список удостоверений пользователей, связанных с ресурсом. Ссылки на ключ словаря удостоверений пользователей будут иметь идентификаторы ресурсов ARM в формате "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{identityName}". объект

FirewallPolicyPropertiesFormat

Имя Описание Значение
BasePolicy Родительская политика брандмауэра, от которой наследуются правила. SubResource
dnsSettings Определение параметров прокси-сервера DNS. DnsSettings
explicitProxy Явное определение параметров прокси-сервера. ExplicitProxy
insights Аналитика политики брандмауэра. FirewallPolicyInsights
вторжениеDetection Конфигурация для обнаружения вторжений. FirewallPolicyIntrusionDetection
sku SKU политики брандмауэра. FirewallPolicySku
snat Частные IP-адреса или диапазоны IP-адресов, к которым трафик не будет SNAT. FirewallPolicySnat
sql Определение параметров SQL. FirewallPolicySQL
threatIntelMode Режим работы для аналитики угроз. "Оповещение"
"Deny"
"Выкл."
threatIntelWhitelist ThreatIntel Allowlist для политики брандмауэра. FirewallPolicyThreatIntelWhitelist
transportSecurity Определение конфигурации TLS. FirewallPolicyTransportSecurity

SubResource

Имя Описание Значение
идентификатор Идентификатор ресурса. строка

DnsSettings

Имя Описание Значение
enableProxy Включите DNS-прокси в брандмауэрах, подключенных к политике брандмауэра. bool
requireProxyForNetworkRules Полные доменные имена в правилах сети поддерживаются, если задано значение true. bool
servers Список пользовательских DNS-серверов. string[]

ExplicitProxy

Имя Описание Значение
enableExplicitProxy Если задано значение true, явный режим прокси-сервера включен. bool
enablePacFile Если задано значение true, необходимо указать порт файла PAC и URL-адрес. bool
httpPort Номер порта для явного протокола HTTP прокси-сервера не может быть больше 64000. INT
httpsPort Номер порта для явного протокола HTTPS прокси-сервера не может быть больше 64000. INT
pacFile URL-адрес SAS для PAC-файла. строка
pacFilePort Номер порта для брандмауэра для обслуживания PAC-файла. INT

FirewallPolicyInsights

Имя Описание Значение
isEnabled Флаг, указывающий, включены ли аналитические сведения в политике. bool
logAnalyticsResources Рабочие области, необходимые для настройки аналитики политики брандмауэра. FirewallPolicyLogAnalyticsResources
retentionDays Количество дней, в течение которых аналитика должна быть включена в политике. INT

FirewallPolicyLogAnalyticsResources

Имя Описание Значение
defaultWorkspaceId Идентификатор рабочей области по умолчанию для Аналитики политики брандмауэра. SubResource
workspaces Список рабочих областей для Аналитики политики брандмауэра. FirewallPolicyLogAnalyticsWorkspace[]

FirewallPolicyLogAnalyticsWorkspace

Имя Описание Значение
region Регион для настройки рабочей области. строка
workspaceId Идентификатор рабочей области для аналитики политики брандмауэра. SubResource

FirewallPolicyIntrusionDetection

Имя Описание Значение
настройка Свойства конфигурации обнаружения вторжений. FirewallPolicyIntrusionDetectionConfiguration
mode Общее состояние обнаружения вторжений. "Оповещение"
"Deny"
"Выкл."

FirewallPolicyIntrusionDetectionConfiguration

Имя Описание Значение
bypassTrafficSettings Список правил для пропуска трафика. FirewallPolicyIntrusionDetectionBypassTrafficSpecifi...[]
privateRanges Диапазоны частных IP-адресов IDPS используются для определения направления трафика (например, входящего, исходящего и т. д.). По умолчанию диапазонами частных IP-адресов считаются только диапазоны, определенные документом IANA RFC 1918. Чтобы изменить диапазоны по умолчанию, укажите диапазоны частных IP-адресов с помощью этого свойства. string[]
signatureOverrides Список конкретных состояний подписей. FirewallPolicyIntrusionDetectionSignatureSpecificati...[]

FirewallPolicyIntrusionDetectionBypassTrafficSpecifi...

Имя Описание Значение
description Описание правила обхода трафика. строка
destinationAddresses Список конечных IP-адресов или диапазонов для этого правила. string[]
destinationIpGroups Список целевых ipGroups для этого правила. string[]
destinationPorts Список конечных портов или диапазонов. string[]
name Имя правила обхода трафика. строка
protocol Протокол обхода правила. "ANY"
ICMP
"TCP"
"UDP"
sourceAddresses Список исходных IP-адресов или диапазонов для этого правила. string[]
sourceIpGroups Список исходных ipGroups для этого правила. string[]

FirewallPolicyIntrusionDetectionSignatureSpecificati...

Имя Описание Значение
идентификатор Идентификатор подписи. строка
mode Состояние подписи. "Оповещение"
"Deny"
"Выкл."

FirewallPolicySku

Имя Описание Значение
Уровень Уровень политики брандмауэра. "Базовый"
"Премиум"
"Стандартный"

FirewallPolicySnat

Имя Описание Значение
autoLearnPrivateRanges Режим работы для автоматического обучения частных диапазонов без SNAT "Отключено"
"Включено"
privateRanges Список частных IP-адресов или диапазонов IP-адресов, которые не должны быть SNAT. string[]

FirewallPolicySQL

Имя Описание Значение
allowSqlRedirect Флаг, указывающий, включена ли фильтрация трафика перенаправления SQL. Для включения флага не требуется правило с использованием порта 11000–11999. bool

FirewallPolicyThreatIntelWhitelist

Имя Описание Значение
Полных доменных имен Список полных доменных имен для списка разрешенных объектов ThreatIntel. string[]
ipAddresses Список IP-адресов для списка разрешенных threatIntel. string[]

FirewallPolicyTransportSecurity

Имя Описание Значение
certificateAuthority ЦС, используемый для создания промежуточного ЦС. FirewallPolicyCertificateAuthority

FirewallPolicyCertificateAuthority

Имя Описание Значение
keyVaultSecretId Идентификатор секрета (незашифрованный pfx в кодировке Base-64) объекта Secret или Certificate, хранящегося в KeyVault. строка
name Имя сертификата ЦС. строка

Шаблоны быстрого запуска

Следующие шаблоны быстрого запуска развертывают этот тип ресурса.

Шаблон Описание
Использование Брандмауэр Azure в качестве прокси-сервера DNS в звезд & ообразной топологии

Развертывание в Azure		 В этом примере показано, как развернуть звездообразную топологию в Azure с помощью Брандмауэр Azure. Центральная виртуальная сеть выступает в качестве центральной точки подключения ко многим периферийным виртуальным сетям, которые подключены к центральной виртуальной сети через пиринг между виртуальными сетями.
Создание брандмауэра и политики брандмауэра с помощью правил и ip-групп

Развертывание в Azure		 Этот шаблон развертывает Брандмауэр Azure с политикой брандмауэра (включая несколько правил приложения и сети), ссылающейся на группы IP-адресов в правилах приложения и сети.
Создание брандмауэра, FirewallPolicy с явным прокси-сервером

Развертывание в Azure		 Этот шаблон создает Брандмауэр Azure FirewalllPolicy с явным прокси-сервером и правила сети с ipGroups. Кроме того, включает настройку виртуальной машины Linux Jumpbox.
Создание брандмауэра с брандмауэромПолитика и IpGroup

Развертывание в Azure		 Этот шаблон создает Брандмауэр Azure с БрандмауэромlPolicy, ссылающимся на правила сети с ipGroups. Кроме того, включает настройку виртуальной машины Linux Jumpbox.
Среда тестирования для Брандмауэр Azure Premium

Развертывание в Azure		 Этот шаблон создает Брандмауэр Azure premium и политику брандмауэра с функциями уровня "Премиум", такими как обнаружение проверки вторжений (IDPS), проверка TLS и фильтрация веб-категорий.
Создание настройки песочницы с помощью политики брандмауэра

Развертывание в Azure		 Этот шаблон создает виртуальную сеть с 3 подсетями (подсеть сервера, подсеть jumpbox и подсеть AzureFirewall), виртуальную машину jumpbox с общедоступным IP-адресом, виртуальную машину сервера, маршрут UDR для указания на Брандмауэр Azure для подсети сервера и Брандмауэр Azure с 1 или более общедоступными IP-адресами. Кроме того, создает политику брандмауэра с 1 примером правила приложения, 1 примером правила сети и частными диапазонами по умолчанию.
Защищенные виртуальные концентраторы

Развертывание в Azure		 Этот шаблон создает защищенный виртуальный концентратор с помощью Брандмауэр Azure для защиты облачного сетевого трафика, предназначенного в Интернет.
Назначение и политики маршрутизации azure Виртуальная глобальная сеть

Развертывание в Azure		 Этот шаблон подготавливает Виртуальная глобальная сеть Azure с двумя концентраторами с включенными функциями намерения и политики маршрутизации.

Определение ресурса Terraform (поставщик AzAPI)

Тип ресурса firewallPolicies можно развернуть с помощью операций, предназначенных для:

  • Группы ресурсов

Список измененных свойств в каждой версии API см. в журнале изменений.

Формат ресурсов

Чтобы создать ресурс Microsoft.Network/firewallPolicies, добавьте следующую terraform в шаблон.

resource "azapi_resource" "symbolicname" {
  type = "Microsoft.Network/firewallPolicies@2023-04-01"
  name = "string"
  location = "string"
  parent_id = "string"
  tags = {
    tagName1 = "tagValue1"
    tagName2 = "tagValue2"
  }
  identity {
    type = "string"
    identity_ids = []
  }
  body = jsonencode({
    properties = {
      basePolicy = {
        id = "string"
      }
      dnsSettings = {
        enableProxy = bool
        requireProxyForNetworkRules = bool
        servers = [
          "string"
        ]
      }
      explicitProxy = {
        enableExplicitProxy = bool
        enablePacFile = bool
        httpPort = int
        httpsPort = int
        pacFile = "string"
        pacFilePort = int
      }
      insights = {
        isEnabled = bool
        logAnalyticsResources = {
          defaultWorkspaceId = {
            id = "string"
          }
          workspaces = [
            {
              region = "string"
              workspaceId = {
                id = "string"
              }
            }
          ]
        }
        retentionDays = int
      }
      intrusionDetection = {
        configuration = {
          bypassTrafficSettings = [
            {
              description = "string"
              destinationAddresses = [
                "string"
              ]
              destinationIpGroups = [
                "string"
              ]
              destinationPorts = [
                "string"
              ]
              name = "string"
              protocol = "string"
              sourceAddresses = [
                "string"
              ]
              sourceIpGroups = [
                "string"
              ]
            }
          ]
          privateRanges = [
            "string"
          ]
          signatureOverrides = [
            {
              id = "string"
              mode = "string"
            }
          ]
        }
        mode = "string"
      }
      sku = {
        tier = "string"
      }
      snat = {
        autoLearnPrivateRanges = "string"
        privateRanges = [
          "string"
        ]
      }
      sql = {
        allowSqlRedirect = bool
      }
      threatIntelMode = "string"
      threatIntelWhitelist = {
        fqdns = [
          "string"
        ]
        ipAddresses = [
          "string"
        ]
      }
      transportSecurity = {
        certificateAuthority = {
          keyVaultSecretId = "string"
          name = "string"
        }
      }
    }
  })
}

Значения свойств

firewallPolicies

Имя Описание Значение
тип Тип ресурса "Microsoft.Network/firewallPolicies@2023-04-01"
name имя ресурса. string (обязательно)

Ограничение символов: 1-80

Допустимые символы:
Буквенно-цифровые символы, символы подчеркивания, точки и дефисы.

Начинается с буквенно-цифрового символа. Заканчивается буквенно-цифровым символом или символом подчеркивания.
location Расположение ресурса. строка
parent_id Для развертывания в группе ресурсов используйте идентификатор этой группы ресурсов. string (обязательно)
tags Теги ресурсов. Словарь имен и значений тегов.
удостоверение Удостоверение политики брандмауэра. Управляемое удостоверение службы
properties Свойства политики брандмауэра. FirewallPolicyPropertiesFormat

Управляемое удостоверение службы

Имя Описание Значение
тип Тип удостоверения, используемого для ресурса. Тип SystemAssigned, UserAssigned включает как условно созданное удостоверение, так и набор удостоверений, назначенных пользователем. Тип None приведет к удалению всех удостоверений из виртуальной машины. "SystemAssigned"
"SystemAssigned, UserAssigned"
UserAssigned
identity_ids Список удостоверений пользователей, связанных с ресурсом. Ссылки на ключ словаря удостоверений пользователей будут иметь идентификаторы ресурсов ARM в формате "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{identityName}". Массив идентификаторов удостоверений пользователей.

FirewallPolicyPropertiesFormat

Имя Описание Значение
BasePolicy Родительская политика брандмауэра, от которой наследуются правила. SubResource
dnsSettings Определение параметров прокси-сервера DNS. DnsSettings
explicitProxy Явное определение параметров прокси-сервера. ExplicitProxy
insights Аналитика политики брандмауэра. FirewallPolicyInsights
вторжениеDetection Конфигурация для обнаружения вторжений. FirewallPolicyIntrusionDetection
sku Номер SKU политики брандмауэра. FirewallPolicySku
snat Частные IP-адреса или диапазоны IP-адресов, к которым трафик не будет SNAT. FirewallPolicySnat
sql Определение параметров SQL. FirewallPolicySQL
threatIntelMode Режим работы для аналитики угроз. "Оповещение"
"Запретить"
"Выкл."
threatIntelWhitelist ThreatIntel Allowlist для политики брандмауэра. FirewallPolicyThreatIntelWhitelist
transportSecurity Определение конфигурации TLS. FirewallPolicyTransportSecurity

SubResource

Имя Описание Значение
идентификатор Идентификатор ресурса. строка

DnsSettings

Имя Описание Значение
enableProxy Включите DNS-прокси в брандмауэрах, подключенных к политике брандмауэра. bool
requireProxyForNetworkRules Полные доменные имена в правилах сети поддерживаются, если задано значение true. bool
servers Список пользовательских DNS-серверов. string[]

ExplicitProxy

Имя Описание Значение
enableExplicitProxy Если задано значение true, явный режим прокси-сервера включен. bool
enablePacFile Если задано значение true, необходимо указать порт и URL-адрес файла PAC. bool
httpPort Номер порта для явного протокола HTTP прокси-сервера не может превышать 64000. INT
httpsPort Номер порта для явного протокола HTTPS прокси-сервера не может превышать 64000. INT
pacFile URL-адрес SAS для PAC-файла. строка
pacFilePort Номер порта для брандмауэра для обслуживания PAC-файла. INT

FirewallPolicyInsights

Имя Описание Значение
isEnabled Флаг, указывающий, включена ли аналитика в политике. bool
logAnalyticsResources Рабочие области, необходимые для настройки аналитики политики брандмауэра. FirewallPolicyLogAnalyticsResources
retentionDays Количество дней, в течение которых аналитика должна быть включена в политике. INT

FirewallPolicyLogAnalyticsResources

Имя Описание Значение
defaultWorkspaceId Идентификатор рабочей области по умолчанию для Аналитики политики брандмауэра. SubResource
workspaces Список рабочих областей для Аналитики политики брандмауэра. FirewallPolicyLogAnalyticsWorkspace[]

FirewallPolicyLogAnalyticsWorkspace

Имя Описание Значение
region Регион для настройки рабочей области. строка
workspaceId Идентификатор рабочей области для аналитики политики брандмауэра. SubResource

FirewallPolicyIntrusionDetection

Имя Описание Значение
настройка Свойства конфигурации обнаружения вторжений. FirewallPolicyIntrusionDetectionConfiguration
mode Общее состояние обнаружения вторжений. "Оповещение"
"Запретить"
"Выкл."

FirewallPolicyIntrusionDetectionConfiguration

Имя Описание Значение
bypassTrafficSettings Список правил для пропуска трафика. FirewallPolicyIntrusionDetectionBypassTrafficSpecifi...[]
privateRanges Диапазоны частных IP-адресов IDPS используются для определения направления трафика (например, входящего, исходящего и т. д.). По умолчанию диапазонами частных IP-адресов считаются только диапазоны, определенные документом IANA RFC 1918. Чтобы изменить диапазоны по умолчанию, укажите диапазоны частных IP-адресов с помощью этого свойства. string[]
signatureOverrides Список определенных состояний подписей. FirewallPolicyIntrusionDetectionSignatureSpecificati...[]

FirewallPolicyIntrusionDetectionBypassTrafficSpecifi...

Имя Описание Значение
description Описание правила обхода трафика. строка
destinationAddresses Список целевых IP-адресов или диапазонов для этого правила. string[]
destinationIpGroups Список целевых ipGroups для этого правила. string[]
destinationPorts Список конечных портов или диапазонов. string[]
name Имя правила обхода трафика. строка
protocol Протокол обхода правила. "ANY"
"ICMP"
"TCP"
"UDP"
sourceAddresses Список исходных IP-адресов или диапазонов для этого правила. string[]
sourceIpGroups Список исходных ipGroups для этого правила. string[]

FirewallPolicyIntrusionDetectionSignatureSpecificati...

Имя Описание Значение
идентификатор Идентификатор подписи. строка
mode Состояние подписи. "Оповещение"
"Запретить"
"Выкл."

FirewallPolicySku

Имя Описание Значение
Уровень Уровень политики брандмауэра. "Basic"
"Премиум"
"Стандартный"

FirewallPolicySnat

Имя Описание Значение
autoLearnPrivateRanges Режим работы для автоматического обучения частных диапазонов без SNAT "Отключено"
"Включено"
privateRanges Список частных IP-адресов или диапазонов IP-адресов, которые не должны быть SNAT. string[]

FirewallPolicySQL

Имя Описание Значение
allowSqlRedirect Флаг, указывающий, включена ли фильтрация трафика перенаправления SQL. Для включения флага не требуется использовать порт 11000–11999. bool

FirewallPolicyThreatIntelWhitelist

Имя Описание Значение
Полных доменных имен Список полных доменных имен для списка разрешений ThreatIntel. string[]
ipAddresses Список IP-адресов для списка разрешений ThreatIntel. string[]

FirewallPolicyTransportSecurity

Имя Описание Значение
certificateAuthority ЦС, используемый для создания промежуточного ЦС. FirewallPolicyCertificateAuthority

FirewallPolicyCertificateAuthority

Имя Описание Значение
keyVaultSecretId Секретный идентификатор объекта (в кодировке Base-64 в незашифрованном формате PFX) Secret или Certificate, хранящегося в KeyVault. строка
name Имя сертификата ЦС. строка