Se aplica a: ✔️ Front Door (clásico)
Los niveles Estándar y Premium de Azure Front Door aportan las últimas características de red de entrega en la nube a Azure. Al utilizar funciones de seguridad mejoradas y un servicio todo en uno, proteges el contenido de tu aplicación y lo acercas a tus usuarios finales a través de la red global de Microsoft. Este artículo le guía a través del proceso de migración para migrar el perfil de Azure Front Door (clásico) a un perfil de nivel Estándar o Premium con Azure PowerShell.
Requisitos previos
- Revise el artículo acerca de la migración del nivel de Front Door.
- Asegúrese de que el perfil de Front Door (clásico) pueda ser migrado:
- Azure Front Door Estándar y Premium requieren que todos los dominios personalizados usen HTTPS. Si no tienes tu propio certificado, usa un certificado gestionado de Azure Front Door. El certificado es gratuito y Azure lo gestiona por ti.
- La afinidad de sesión está activada en la configuración del grupo de origen para un perfil Azure Front Door Standard o Premium. En Azure Front Door (clásico), establece la afinidad de sesión a nivel de dominio. Como parte de la migración, la afinidad de sesión se basa en la configuración del perfil de Front Door (clásico). Si tienes dos dominios en tu perfil clásico que comparten el mismo pool backend (grupo de origen), la afinidad de sesión debe ser consistente en ambos dominios para que la validación de migración pase.
- El más reciente módulo de Azure PowerShell instalado localmente o Azure Cloud Shell. Para más información, consulte Instalación y configuración de Azure PowerShell.
Nota:
No es necesario realizar ningún cambio de DNS antes o durante el proceso de migración. Sin embargo, una vez que termine la migración y el tráfico fluya por tu nuevo perfil de Azure Front Door, necesitas actualizar tus registros DNS. Para más información, véase la transición del extremo posterior a la migración.
Validar la compatibilidad
Abra Azure PowerShell y conecte su cuenta de Azure. Para más información, consulte Conectarse a Azure PowerShell.
Pruebe el perfil de Azure Front Door (clásico) para ver si es compatible con la migración. Utiliza el comando Test-AzFrontDoorCdnProfileMigration para probar tu perfil. Reemplace los valores del nombre del grupo de recursos y el id. de recurso por sus propios valores. Utilice Get-AzFrontDoor para obtener el identificador de recurso del perfil de Front Door (clásico).
Reemplace los valores siguientes en el comando:
-
<subscriptionId>: el ID de suscripción.
-
<resourceGroupName>: nombre del grupo de recursos de Front Door (clásico).
-
<frontdoorClassicName>: nombre del perfil de Front Door (clásico).
Test-AzFrontDoorCdnProfileMigration -ResourceGroupName <resourceGroupName> -ClassicResourceReferenceId /subscriptions/<subscriptionId>/resourcegroups/<resourceGroupName>/providers/Microsoft.Network/frontdoors/<frontdoorClassicName>
Si la migración es compatible, verás la siguiente salida:
CanMigrate DefaultSku
---------- ----------
True Standard_AzureFrontDoor or Premium_AzureFrontDoor
Si la migración no es compatible, verá la siguiente salida:
CanMigrate DefaultSku
---------- ----------
False
Preparación para la migración
Nota:
- Actualmente, el certificado gestionado no está soportado para Azure Front Door Standard ni para Premium en Azure Government Cloud. Debe usar BYOC para Azure Front Door Estándar o Premium en la nube de Azure Government, o bien esperar hasta que esta funcionalidad esté disponible.
Ejecute el comando Start-AzFrontDoorCdnProfilePrepareMigration para prepararse para la migración. Sustituye los valores del nombre del grupo de recursos, ID de recurso y nombre de perfil por tus propios valores. Para SkuName, utiliza Standard_AzureFrontDoor o bien Premium_AzureFrontDoor.
SkuName se basa en la salida del comando Test-AzFrontDoorCdnProfileMigration.
Reemplace los valores siguientes en el comando:
-
<subscriptionId>: el ID de suscripción.
-
<resourceGroupName>: nombre del grupo de recursos de Front Door (clásico).
-
<frontdoorClassicName>: nombre del perfil de Front Door (clásico).
Start-AzFrontDoorCdnProfilePrepareMigration -ResourceGroupName <resourceGroupName> -ClassicResourceReferenceId /subscriptions/<subscriptionId>/resourcegroups/<resourceGroupName>/providers/Microsoft.Network/frontdoors/<frontdoorClassicName> -ProfileName myAzureFrontDoor -SkuName Premium_AzureFrontDoor
La salida es similar a la siguiente:
Starting the parameter validation process.
The parameters are successfully validated.
Your new Front Door profile is being created. Wait until the process finishes. This process might take several minutes.
Your new Front Door profile with the configuration is successfully created.
Ejecute el comando Get-AzFrontDoorWafPolicy para obtener el ID de recurso de su directiva WAF. Reemplace los valores del nombre del grupo de recursos y el nombre de la directiva WAF por sus propios valores.
Get-AzFrontDoorWafPolicy -ResourceGroupName myAFDResourceGroup -Name myClassicFrontDoorWAF
La salida es similar a la siguiente:
PolicyMode : Detection
PolicyEnabledState : Enabled
RedirectUrl :
CustomBlockResponseStatusCode : 403
CustomBlockResponseBody :
RequestBodyCheck : Disabled
CustomRules : {}
ManagedRules : {Microsoft.Azure.Commands.FrontDoor.Models.PSAzureManagedRule}
Etag :
ProvisioningState : Succeeded
Sku : Classic_AzureFrontDoor
Tags :
Id : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myAFDResourceGroup/providers/Microsoft.Network/frontdoorwebapplicationfirewallpolicies/myClassicFrontDoorWAF
Name : myFrontDoorWAF
Type :
Ejecute el comando New-AzFrontDoorCdnMigrationWebApplicationFirewallMappingObject para crear un objeto en memoria para la migración de directivas WAF. Utiliza el ID de WAF en el último paso para MigratedFromId. Para usar una directiva WAF existente, reemplace el valor de MigratedToId por un identificador de recurso de una directiva WAF que coincida con el nivel de Front Door al que va a migrar. Si va a crear una nueva copia de directiva WAF, puede cambiar el nombre de la directiva WAF en el id. de recurso.
$wafMapping = New-AzFrontDoorCdnMigrationWebApplicationFirewallMappingObject -MigratedFromId /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myAFDResourceGroup/providers/Microsoft.Network/frontdoorwebapplicationfirewallpolicies/myClassicFrontDoorWAF -MigratedToId /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myAFDResourceGroup/providers/Microsoft.Network/frontdoorwebapplicationfirewallpolicies/myFrontDoorWAF
Ejecute el comando Start-AzFrontDoorCdnProfilePrepareMigration para prepararse para la migración. Reemplace los valores del nombre del grupo de recursos, el id. de recurso y el nombre del perfil por sus propios valores. Para SkuName utiliza Standard_AzureFrontDoor o Premium_AzureFrontDoor.
SkuName se basa en la salida del comando Test-AzFrontDoorCdnProfileMigration.
Reemplace los valores siguientes en el comando:
-
<subscriptionId>: el ID de suscripción.
-
<resourceGroupName>: nombre del grupo de recursos de Front Door (clásico).
-
<frontdoorClassicName>: nombre del perfil de Front Door (clásico).
Start-AzFrontDoorCdnProfilePrepareMigration -ResourceGroupName <resourceGroupName> -ClassicResourceReferenceId /subscriptions/<subscriptionId>/resourcegroups/<resourceGroupName>/providers/Microsoft.Network/frontdoors/<frontdoorClassicName> -ProfileName myAzureFrontDoor -SkuName Premium_AzureFrontDoor -MigrationWebApplicationFirewallMapping $wafMapping
La salida es similar a la siguiente:
Starting the parameter validation process.
The parameters are successfully validated.
Your new Front Door profile is being created. Wait until the process finishes. This process might take several minutes.
Your new Front Door profile with the configuration is successfully created.
Si va a migrar un perfil de Front Door con BYOC, debe habilitar la identidad administrada en el perfil de Front Door. Debe conceder acceso al perfil de Front Door al almacén de claves donde se almacena el certificado.
Ejecute el comando Start-AzFrontDoorCdnProfilePrepareMigration para prepararse para la migración. Sustituye los valores del nombre del grupo de recursos, ID de recurso y nombre de perfil por tus propios valores. Para SkuName, usa Standard_AzureFrontDoor o bien Premium_AzureFrontDoor.
SkuName se basa en la salida del comando Test-AzFrontDoorCdnProfileMigration.
Asignado por el sistema
Para IdentityType, utilice SystemAssigned.
Start-AzFrontDoorCdnProfilePrepareMigration -ResourceGroupName myAFDResourceGroup -ClassicResourceReferenceId /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myAFDResourceGroup/providers/Microsoft.Network/Frontdoors/myAzureFrontDoorClassic -ProfileName myAzureFrontDoor -SkuName Premium_AzureFrontDoor -IdentityType SystemAssigned
Asignado por el usuario
Ejecute el comando Get-AzUserAssignedIdentity para obtener el identificador de recurso de una identidad asignada por el usuario.
$id = Get-AzUserAssignedIdentity -ResourceGroupName myResourceGroup -Name afduseridentity
$id.Id
La salida es similar a la siguiente:
/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myAFDResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/afduseridentity
Para IdentityType, use UserAssigned y para IdentityUserAssignedIdentity,* use el id. de recurso del paso anterior.
Reemplace los valores siguientes en el comando:
-
<subscriptionId>: el ID de suscripción.
-
<resourceGroupName>: nombre del grupo de recursos de Front Door (clásico).
-
<frontdoorClassicName>: nombre del perfil de Front Door (clásico).
Start-AzFrontDoorCdnProfilePrepareMigration -ResourceGroupName <resourceGroupName> -ClassicResourceReferenceId /subscriptions/<subscriptionId>/resourcegroups/<resourceGroupName>/providers/Microsoft.Network/frontdoors/<frontdoorClassicName> -ProfileName myAzureFrontDoor -SkuName Premium_AzureFrontDoor -IdentityType UserAssigned -IdentityUserAssignedIdentity @{"/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/afduseridentity" = @{}}
La salida es similar a la siguiente:
Starting the parameter validation process.
The parameters are successfully validated.
Your new Front Door profile is being created. Wait until the process finishes. This process might take several minutes.
Your new Front Door profile with the configuration is successfully created.
En este ejemplo, se muestra cómo migrar un perfil de Front Door con varias directivas WAF y habilitar la identidad asignada por el sistema y por el usuario.
Ejecute el comando Get-AzFrontDoorWafPolicy para obtener el ID de recurso de su directiva WAF. Reemplace los valores del nombre del grupo de recursos y el nombre de la directiva WAF por sus propios valores.
Get-AzFrontDoorWafPolicy -ResourceGroupName myAFDResourceGroup -Name myClassicFrontDoorWAF
La salida es similar a la siguiente:
PolicyMode : Detection
PolicyEnabledState : Enabled
RedirectUrl :
CustomBlockResponseStatusCode : 403
CustomBlockResponseBody :
RequestBodyCheck : Disabled
CustomRules : {}
ManagedRules : {Microsoft.Azure.Commands.FrontDoor.Models.PSAzureManagedRule}
Etag :
ProvisioningState : Succeeded
Sku : Classic_AzureFrontDoor
Tags :
Id : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myAFDResourceGroup/providers/Microsoft.Network/frontdoorwebapplicationfirewallpolicies/myClassicFrontDoorWAF
Name : myFrontDoorWAF
Type :
Ejecute el comando New-AzFrontDoorCdnMigrationWebApplicationFirewallMappingObject para crear un objeto en memoria para la migración de directivas WAF. Utiliza el ID de WAF en el último paso para MigratedFromId. Para usar una directiva WAF existente, reemplace el valor de MigratedToId por un identificador de recurso de una directiva WAF que coincida con el nivel de Front Door al que va a migrar. Si va a crear una nueva copia de directiva WAF, puede cambiar el nombre de la directiva WAF en el id. de recurso.
$wafMapping1 = New-AzFrontDoorCdnMigrationWebApplicationFirewallMappingObject -MigratedFromId /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myAFDResourceGroup/providers/Microsoft.Network/frontdoorwebapplicationfirewallpolicies/myClassicFrontDoorWAF1 -MigratedToId /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myAFDResourceGroup/providers/Microsoft.Network/frontdoorwebapplicationfirewallpolicies/myFrontDoorWAF1
$wafMapping2 = New-AzFrontDoorCdnMigrationWebApplicationFirewallMappingObject -MigratedFromId /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myAFDResourceGroup/providers/Microsoft.Network/frontdoorwebapplicationfirewallpolicies/myClassicFrontDoorWAF2 -MigratedToId /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myAFDResourceGroup/providers/Microsoft.Network/frontdoorwebapplicationfirewallpolicies/myFrontDoorWAF2
Especifique ambos tipos de identidad administrada en una variable.
$identityType = "SystemAssigned, UserAssigned"
Ejecute el comando Get-AzUserAssignedIdentity para obtener el identificador de recurso de una identidad asignada por el usuario.
$id1 = Get-AzUserAssignedIdentity -ResourceGroupName myResourceGroup -Name afduseridentity1
$id1.Id
$id2 = Get-AzUserAssignedIdentity -ResourceGroupName myResourceGroup -Name afduseridentity2
$id2.Id
La salida es similar a la siguiente:
/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myAFDResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/afduseridentity1
/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myAFDResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/afduseridentity2
Especifique el identificador de recurso de identidad asignado por el usuario en una variable.
$userInfo = @{
"subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/afduseridentity1" = @{}}
"subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/afduseridentity2" = @{}}
}
Ejecute el comando Start-AzFrontDoorCdnProfilePrepareMigration para prepararse para la migración. Reemplace los valores del nombre del grupo de recursos, el id. de recurso y el nombre del perfil por sus propios valores. Para SkuName utiliza Standard_AzureFrontDoor o Premium_AzureFrontDoor.
SkuName se basa en la salida del comando Test-AzFrontDoorCdnProfileMigration. El parámetro MigrationWebApplicationFirewallMapping toma una matriz de objetos de migración de directivas WAF. El parámetro IdentityType toma una lista separada por comas de tipos de identidad. El parámetro IdentityUserAssignedIdentity toma una tabla hash de ID de identidad de recursos asignados por el usuario.
Reemplace los valores siguientes en el comando:
-
<subscriptionId>: el ID de suscripción.
-
<resourceGroupName>: nombre del grupo de recursos de Front Door (clásico).
-
<frontdoorClassicName>: nombre del perfil de Front Door (clásico).
Start-AzFrontDoorCdnProfilePrepareMigration -ResourceGroupName <resourceGroupName> -ClassicResourceReferenceId /subscriptions/<subscriptionId>/resourcegroups/<resourceGroupName>/providers/Microsoft.Network/frontdoors/<frontdoorClassicName> -ProfileName myAzureFrontDoor -SkuName Premium_AzureFrontDoor -MigrationWebApplicationFirewallMapping @($wafMapping1, $wafMapping2) -IdentityType $identityType -IdentityUserAssignedIdentity $userInfo
La salida es similar a la siguiente:
Starting the parameter validation process.
The parameters are successfully validated.
Your new Front Door profile is being created. Wait until the process finishes. This process might take several minutes.
Your new Front Door profile with the configuration is successfully created.
Migrar
Ejecute el comando Enable-AzFrontDoorCdnProfileMigration para migrar Front Door (clásico).
Enable-AzFrontDoorCdnProfileMigration -ProfileName myAzureFrontDoor -ResourceGroupName myAFDResourceGroup
La salida es similar a la siguiente:
Start to migrate.
This process disables your Front Door (classic) profile and moves all your traffic and configurations to the new Front Door profile.
Migrate succeeded.
Ejecute el comando Stop-AzFrontDoorCdnProfileMigration para anular el proceso de migración.
Stop-AzFrontDoorCdnProfileMigration -ProfileName myAzureFrontDoor -ResourceGroupName myAFDResourceGroup
La salida es similar a la siguiente:
Start to abort the migration.
Your new Front Door profile is deleted and your existing profile remains active. WAF policies aren't deleted.
Wait until the process finishes. This process can take several minutes.
Abort succeeded.
Corte de puntos finales tras la migración
Azure Front Door (clásica) usa un nombre de dominio completo (FQDN) distinto al de Azure Front Door Estándar o Premium. Por ejemplo, un punto de conexión clásico podría ser contoso.azurefd.net, mientras que un punto de conexión Estándar o Premium podría ser contoso-mdjf2jfgjf82mnzx.z01.azurefd.net. Para más información, consulte Puntos de conexión en Azure Front Door.
Aunque Azure Front Door enruta automáticamente el tráfico desde el punto final clásico hacia tu nuevo perfil Standard o Premium sin ningún cambio de configuración, debes completar la siguiente acción posterior a la migración según tu situación:
Dominios personalizados: Actualiza el registro DNS para que apunte al nuevo endpoint Azure Front Door Standard/Premium.
Uso directo del endpoint predeterminado clásico: Sustituye el nombre de host clásico por el nuevo nombre de host del endpoint en tus aplicaciones, clientes e integraciones.
Ambos endpoints siguen funcionando durante la transición, así que puedes hacer y validar este cambio sin tiempo de inactividad.
Warning
Complete la migración al nuevo punto de conexión de Azure Front Door Standard/Premium antes del 31 de marzo de 2028. A partir del 1 de abril de 2028, los endpoints clásicos ya no son compatibles y podrían dejar de funcionar. Dominios personalizados, aplicaciones o clientes que aún dependen de un endpoint clásico pueden dejar de recibir tráfico.
Contenido relacionado