你当前正在访问 Microsoft Azure Global Edition 技术文档网站。如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

将 Azure 网络安全组 (NSG) 重定位到另一个区域

项目
03/06/2024

本文介绍如何通过将 NSG 的源配置和安全规则复制到另一个区域，来将 NSG 重定位到新区域。

先决条件

请确保 Azure 网络安全组位于目标 Azure 区域中。
将新的 NSG 关联到目标区域中的资源。
若要导出 NSG 配置并部署模板，以便在另一区域创建 NSG，需要“网络参与者”角色或更高级别的角色。
确定源网络布局和当前正在使用的所有资源。此布局包括但不限于负载均衡器、公共 IP 和虚拟网络。
验证 Azure 订阅是否允许在已使用的目标区域中创建 NSG。请联系支持部门，启用所需配额。
确保订阅提供足够的资源，以便为此过程添加 NSG。请参阅 Azure 订阅和服务限制、配额和约束。

停机时间

要了解可能涉及的故障时间，请参阅面向 Azure 的云采用框架：选择重定位方法。

准备

以下步骤说明如何使用资源管理器模板准备网络安全组，以进行配置和安全规则的移动，并使用门户将 NSG 配置和安全规则移到目标区域。

若要使用 Azure 门户导出和修改模板，请执行以下操作：

登录 Azure 门户。
选择“所有资源”，然后选择你的存储帐户。
选择“自动化”>“导出模板”。>
在“导出模板”边栏选项卡中选择“部署”。
选择“模板”>“编辑参数”，在联机编辑器中打开 parameters.json 文件。

若要编辑 NSG 名称的参数，请更改 parameters 下的 value 属性：

        {
        "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentParameters.json#",
        "contentVersion": "1.0.0.0",
        "parameters": {
        "networkSecurityGroups_myVM1_nsg_name": {
           "value": "<target-nsg-name>"
            }
           }
        }

将编辑器中的源 NSG 值更改为目标 NSG 的所选名称。请务必将名称括在引号中。
在编辑器中选择“保存”。
选择“模板”>“编辑模板”，在联机编辑器中打开 template.json 文件。

若要编辑要将 NSG 配置和安全规则移到其中的目标区域，请在在线编辑器中更改 resources 下的 location 属性：

        "resources": [
        {
        "type": "Microsoft.Network/networkSecurityGroups",
        "apiVersion": "2019-06-01",
        "name": "[parameters('networkSecurityGroups_myVM1_nsg_name')]",
        "location": "<target-region>",
        "properties": {
            "provisioningState": "Succeeded",
            "resourceGuid": "2c846acf-58c8-416d-be97-ccd00a4ccd78",
         }
        }
       ]

若要获取区域位置代码，请参阅 Azure 位置。区域的代码是不带空格的区域名称，“美国中部” = “centralus”。

也可选择更改模板中的其他参数，这些参数是可选的，具体取决于你的要求：

安全规则 - 可以通过编辑的方式设置哪些规则能够部署到目标 NSG 中，只需在 template.json 文件的 securityRules 节中添加或删除规则即可：

   "resources": [
    {
    "type": "Microsoft.Network/networkSecurityGroups",
    "apiVersion": "2019-06-01",
    "name": "[parameters('networkSecurityGroups_myVM1_nsg_name')]",
    "location": "<target-region>",
    "properties": {
        "provisioningState": "Succeeded",
        "resourceGuid": "2c846acf-58c8-416d-be97-ccd00a4ccd78",
        "securityRules": [
            {
                "name": "RDP",
                "etag": "W/\"c630c458-6b52-4202-8fd7-172b7ab49cf5\"",
                "properties": {
                    "provisioningState": "Succeeded",
                    "protocol": "TCP",
                    "sourcePortRange": "*",
                    "destinationPortRange": "3389",
                    "sourceAddressPrefix": "*",
                    "destinationAddressPrefix": "*",
                    "access": "Allow",
                    "priority": 300,
                    "direction": "Inbound",
                    "sourcePortRanges": [],
                    "destinationPortRanges": [],
                    "sourceAddressPrefixes": [],
                    "destinationAddressPrefixes": []
                     }
            },
        ]
    }

若要完成在目标 NSG 中添加或删除规则的操作，还需编辑 template.json 文件末尾的自定义规则类型，具体格式见下面的示例：

     {
      "type": "Microsoft.Network/networkSecurityGroups/securityRules",
      "apiVersion": "2019-06-01",
      "name": "[concat(parameters('networkSecurityGroups_myVM1_nsg_name'), '/Port_80')]",
      "dependsOn": [
          "[resourceId('Microsoft.Network/networkSecurityGroups', parameters('networkSecurityGroups_myVM1_nsg_name'))]"
      ],
      "properties": {
          "provisioningState": "Succeeded",
          "protocol": "*",
          "sourcePortRange": "*",
          "destinationPortRange": "80",
          "sourceAddressPrefix": "*",
          "destinationAddressPrefix": "*",
          "access": "Allow",
          "priority": 310,
          "direction": "Inbound",
          "sourcePortRanges": [],
          "destinationPortRanges": [],
          "sourceAddressPrefixes": [],
          "destinationAddressPrefixes": []
      }

在在线编辑器中选择“保存”。

若要使用 PowerShell 导出和修改模板，请执行以下操作：

使用 Connect-AzAccount 命令登录到 Azure 订阅，然后按屏幕说明操作：
```
Connect-AzAccount
```

使用 Get-AzNetworkSecurityGroup 获取要移到目标区域的 NSG 的资源 ID，将其置于一个变量中：

$sourceNSGID = (Get-AzNetworkSecurityGroup -Name <source-nsg-name> -ResourceGroupName <source-resource-group-name>).Id

将源 NSG 导出到执行 Export-AzResourceGroup 命令时所在的目录中的某个 .json 文件：

Export-AzResourceGroup -ResourceGroupName <source-resource-group-name> -Resource $sourceNSGID -IncludeParameterDefaultValue

已下载的文件将根据从其导出了资源的资源组来命名。找到通过名为 <resource-group-name>.json 的命令导出的文件，在所选编辑器中将其打开：
```
notepad <source-resource-group-name>.json
```

若要编辑 NSG 名称的参数，请将源 NSG 名称的属性 defaultValue 更改为目标 NSG 的名称，确保对名称使用引号：

        {
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "networkSecurityGroups_myVM1_nsg_name": {
        "defaultValue": "<target-nsg-name>",
        "type": "String"
        }
    }

若要编辑要将 NSG 配置和安全规则移到其中的目标区域，请更改 resources 下的 location 属性：

        "resources": [
        {
        "type": "Microsoft.Network/networkSecurityGroups",
        "apiVersion": "2019-06-01",
        "name": "[parameters('networkSecurityGroups_myVM1_nsg_name')]",
        "location": "<target-region>",
        "properties": {
            "provisioningState": "Succeeded",
            "resourceGuid": "2c846acf-58c8-416d-be97-ccd00a4ccd78", 
         }
        }

若要获取区域位置代码，可以通过运行以下命令来使用 Azure PowerShell cmdlet Get-AzLocation：
```
Get-AzLocation | format-table
```

也可选择更改 <resource-group-name>.json 中的其他参数，这些参数是可选的，具体取决于你的要求：

安全规则 - 可以通过编辑的方式设置哪些规则能够部署到目标 NSG 中，只需在 <resource-group-name>.json 文件的 securityRules 节中添加或删除规则即可：

   "resources": [
          {
          "type": "Microsoft.Network/networkSecurityGroups",
          "apiVersion": "2019-06-01",
          "name": "[parameters('networkSecurityGroups_myVM1_nsg_name')]",
          "location": "TARGET REGION",
          "properties": {
               "provisioningState": "Succeeded",
               "resourceGuid": "2c846acf-58c8-416d-be97-ccd00a4ccd78",
          "securityRules": [
            {
                "name": "RDP",
                "etag": "W/\"c630c458-6b52-4202-8fd7-172b7ab49cf5\"",
                "properties": {
                     "provisioningState": "Succeeded",
                     "protocol": "TCP",
                     "sourcePortRange": "*",
                     "destinationPortRange": "3389",
                     "sourceAddressPrefix": "*",
                     "destinationAddressPrefix": "*",
                     "access": "Allow",
                     "priority": 300,
                     "direction": "Inbound",
                     "sourcePortRanges": [],
                     "destinationPortRanges": [],
                     "sourceAddressPrefixes": [],
                     "destinationAddressPrefixes": []
                    }
                ]
    }

若要完成在目标 NSG 中添加或删除规则的操作，还需编辑 <resource-group-name>.json 文件末尾的自定义规则类型，具体格式见下面的示例：

   {
    "type": "Microsoft.Network/networkSecurityGroups/securityRules",
    "apiVersion": "2019-06-01",
    "name": "[concat(parameters('networkSecurityGroups_myVM1_nsg_name'), '/Port_80')]",
    "dependsOn": [
        "[resourceId('Microsoft.Network/networkSecurityGroups', parameters('networkSecurityGroups_myVM1_nsg_name'))]"
    ],
    "properties": {
        "provisioningState": "Succeeded",
        "protocol": "*",
        "sourcePortRange": "*",
        "destinationPortRange": "80",
        "sourceAddressPrefix": "*",
        "destinationAddressPrefix": "*",
        "access": "Allow",
        "priority": 310,
        "direction": "Inbound",
        "sourcePortRanges": [],
        "destinationPortRanges": [],
        "sourceAddressPrefixes": [],
        "destinationAddressPrefixes": []
    }

保存 <resource-group-name>.json 文件。

重新部署

Portal
PowerShell

选择“基本信息”>“订阅”，以选择要将目标 NSG 部署到的订阅。
选择“基本信息”>“资源组”，以选择要将目标 NSG 部署到的资源组。可以单击“新建”来为目标 NSG 创建新的资源组。确保该名称不同于现有 NSG 的源资源组名称。
选择“基本信息”>“位置”，以确认是否将其设置为要将 NSG 部署到的目标位置。
在“设置”下，确认名称是否与先前在 parameters 编辑器中输入的名称相匹配。
选中“条款和条件”下的框。
选择“购买”按钮，以部署目标网络安全组。

使用 New-AzResourceGroup 在目标区域创建资源组，以便部署目标 NSG：
```
New-AzResourceGroup -Name <target-resource-group-name> -location <target-region>
```

使用 New-AzResourceGroupDeployment 将编辑的 <resource-group-name>.json 文件部署到在上一步创建的资源组：


New-AzResourceGroupDeployment -ResourceGroupName <target-resource-group-name> -TemplateFile <source-resource-group-name>.json

若要验证是否已在目标区域创建这些资源，请使用 Get-AzResourceGroup 和 Get-AzNetworkSecurityGroup：


Get-AzResourceGroup -Name <target-resource-group-name>


Get-AzNetworkSecurityGroup -Name <target-nsg-name> -ResourceGroupName <target-resource-group-name>

弃用

Portal
PowerShell

若要丢弃目标 NSG，请删除包含目标 NSG 的资源组。为此，请从门户上的仪表板中选择该资源组，然后选择概述页顶部的“删除”。

部署以后，如果希望重新开始或弃用目标中的 NSG，请删除在目标中创建的资源组，系统就会删除已移动的 NSG。若要删除资源组，请使用 Remove-AzResourceGroup：


Remove-AzResourceGroup -Name <target-resource-group-name>

清理

Portal
PowerShell

若要提交更改并完成 NSG 的移动，请删除源 NSG 或资源组。为此，请从门户上的仪表板中选择该网络安全组或资源组，然后选择每个页面顶部的“删除”。

若要提交所做的更改并完成 NSG 的移动，以及删除源 NSG 或资源组，请使用 Remove-AzResourceGroup 或 Remove-AzNetworkSecurityGroup：


Remove-AzResourceGroup -Name <source-resource-group-name>


Remove-AzNetworkSecurityGroup -Name <source-nsg-name> -ResourceGroupName <source-resource-group-name>

后续步骤

在本教程中，我们将 Azure 网络安全组从一个区域移到了另一个区域，并清理了源资源。若要详细了解如何在区域之间移动资源，以及如何在 Azure 中进行灾难恢复，请参阅：

Share via