発信接続用のハブ アンド スポーク ネットワークで NAT ゲートウェイと Azure Firewall を統合する

• アクティブなサブスクリプションが含まれる Azure アカウント。 無料でアカウントを作成できます。

• アクティブなサブスクリプションが含まれる Azure アカウント。 無料でアカウントを作成できます。

Azure Cloud Shell

Azure は、ブラウザーから使用できる対話型シェル環境である Azure Cloud Shell をホストします。 Cloud Shell で Bash または PowerShell を使用して、Azure サービスを操作できます。 Cloud Shell にプレインストールされているコマンドを使用すると、ローカル環境に何もインストールしなくても、この記事のコードを実行できます。

Azure Cloud Shell を起動するには:

選択肢	例とリンク
コードまたはコマンド ブロックの右上隅にある [使ってみる] を選択します。 [使ってみる] を選択しても、コードまたはコマンドは Cloud Shell に自動的にはコピーされません。
https://shell.azure.com に移動するか、[Cloud Shell を起動する] ボタンを選択して、ブラウザーで Cloud Shell を開きます。
Azure portal の右上にあるメニュー バーの [Cloud Shell] ボタンを選択します。

Azure Cloud Shell を使用するには、以下のようにします。

1. Cloud Shell を起動します。

2. コード ブロック (またはコマンド ブロック) の [コピー] ボタンを選択し、コードまたはコマンドをコピーします。

3. Windows および Linux では Ctrl+Shift+V を選択し、macOS では Cmd+Shift+V を選択して、コードまたはコマンドをクラウドシェルセッションに貼り付けます。

4. 「を選択し、 を入力してコードまたはコマンドを実行します。」

コマンドをローカルで実行する場合は、開始前にAz.Networkモジュールを含む最新のAzure PowerShellリリースをインストールするか更新してください。 例では StandardV2 SKUを使用しています。 Get-Moduleを使ってインストールされたネットワークモジュールを-ListAvailable Az.Networkで確認してください。 Connect-AzAccountでサインインしてください。

1. Azure portal にサインインします。

2. ポータルの上部にある検索ボックスに、「 リソース グループ」と入力します。 検索結果から [リソース グループ] を選択します。

3. [+ 作成] を選択します。

4. [リソース グループの作成] の [基本] タブで、次の情報を入力または選択します。

   設定	値
   サブスクリプション	サブスクリプションを選択します。
   リソースグループ	test-rg
   リージョン	米国西部

5. [Review + create]\(レビュー + 作成\) を選択します。

6. ［作成］を選択します

New-AzResourceGroup を使用して Azure リソース グループを作成します。 Azure リソース グループとは、Azure リソースのデプロイと管理に使用する論理コンテナーです。

次の例では、westus の場所に test-rg という名前のリソース グループを作成します。

$rsg = @{
    Name = 'test-rg'
    Location = 'westus'
}
New-AzResourceGroup @rsg

1. Azure portal にサインインします。

2. Azure portal の上部にある検索ボックスに、「仮想ネットワーク」と入力します。 検索結果で、[仮想ネットワーク] を選択します。

3. ［作成］を選択します

4. [仮想ネットワークの作成] の [基本] タブで、次の情報を入力するか選びます。

   設定	値
   プロジェクトの詳細
   サブスクリプション	サブスクリプションを選択します。
   リソースグループ	test-rg またはリソース グループを選択します。
   インスタンスの詳細
   名前	「vnet-hub」と入力します。
   リージョン	地域を選択します。 この例では米国西部を使用します。

5. [ IP アドレス ] タブを選択するか、[ 次へ: セキュリティ]、[ 次へ: IP アドレス] の順に選択します。

6. [サブネット] で、既定のサブネットを選択します。

7. [サブネットの編集] で次の情報を入力するか選びます。

   設定	値
   サブネットの目的	既定値のままにします。
   名前	「subnet-1」と入力します。

8. 残りの設定は既定のままにして、[ 保存] を選択します。

9. [+ サブネットの追加] を選択します。

10. [ サブネットの追加] で、 次の情報を入力または選択します。

    設定	値
    サブネットの目的	[Azure Bastion] を選択します。

11. 残りの設定は既定のままにして、[ 追加] を選択します。

12. [+ サブネットの追加] を選択します。

13. [ サブネットの追加] で、 次の情報を入力または選択します。

    設定	値
    サブネットの目的	[Azure Firewall] を選択します。

14. 残りの設定は既定のままにして、[ 追加] を選択します。

15. [ 確認と作成] を選択し、[ 作成] を選択します。

New-AzVirtualNetwork を使用してハブ仮想ネットワークを作成します。

# Create hub virtual network
$vnetParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'vnet-hub'
    AddressPrefix = '10.0.0.0/16'
}
$hubVnet = New-AzVirtualNetwork @vnetParams

Add-AzVirtualNetworkSubnetConfig を使用して、Azure Firewall と Azure Bastion のサブネットを作成します。

# Create default subnet
$subnetParams = @{
    Name = 'subnet-1'
    AddressPrefix = '10.0.0.0/24'
    VirtualNetwork = $hubVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

# Create subnet for Azure Firewall
$subnetParams = @{
    Name = 'AzureFirewallSubnet'
    AddressPrefix  = '10.0.1.64/26'
    VirtualNetwork = $hubVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

# Create subnet for Azure Bastion
$subnetParams = @{
    Name = 'AzureBastionSubnet'
    AddressPrefix  = '10.0.1.0/26'
    VirtualNetwork = $hubVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

Set-AzVirtualNetwork を使用して、仮想ネットワークを更新します。

# Create the virtual network
$hubVnet | Set-AzVirtualNetwork

1. Azure portal の上部にある検索ボックスに、「 Bastion」と入力します。 検索結果で [Bastions ] を選択します。

2. ［作成］を選択します

3. [Bastion の作成] の [基本] タブで、次の情報を入力または選択します。

   設定	値
   プロジェクトの詳細
   サブスクリプション	サブスクリプションを選択します。
   リソースグループ	test-rg またはリソース グループを選択します。
   インスタンスの詳細
   名前	「bastion」と入力します。
   リージョン	地域を選択します。 この例では米国西部を使用します。
   レベル	[Basic] を選択します。
   仮想ネットワーク	[VNet-hub] を選択します。
   サブネット	[AzureBastionSubnet] を選択します。
   パブリック IP アドレス	新しい標準の静的パブリックIPアドレス「 public-ip-bastion」を作成しましょう。

   Bastion Basicはピアードスポーク仮想ネットワーク内のテストVMへの接続をサポートしています。 Bastion Developerはピア接続された仮想ネットワークへの接続をサポートしていません。 詳細については、 Bastion SKUの比較をご覧ください。

4. [ 確認と作成] を選択し、[ 作成] を選択します。

New-AzPublicIpAddress を使用して、Azure Bastion のパブリック IP を作成します。

# Create public IP for Azure Bastion
$publicIpBastionParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'public-ip-bastion'
    Sku = 'Standard'
    AllocationMethod = 'Static'
}
$publicIpBastion = New-AzPublicIpAddress @publicIpBastionParams

New-AzBastion を使用して Azure Bastion を作成します。

# Create Azure Bastion
$bastionParams = @{
    ResourceGroupName = "test-rg"
    Name = "bastion"
    VirtualNetworkName = "vnet-hub"
    PublicIpAddressName = "public-ip-bastion"
    PublicIPAddressRgName = "test-rg"
    VirtualNetworkRgName = "test-rg"
    Sku = "Basic"
}
New-AzBastion @bastionParams

1. ポータルの上部にある検索ボックスに、「Firewall」と入力します。 検索結果で [ファイアウォール] を選択します。

2. [+ 作成] を選択します。

3. 「ファイアウォール作成」の「基本」タブで、以下の表を使ってファイアウォールの設定を行います:

   設定	値
   プロジェクトの詳細
   サブスクリプション	サブスクリプションを選択します。
   リソースグループ	test-rg を選択します。
   インスタンスの詳細
   名前	「firewall」と入力します。
   リージョン	米国西部を選択する。
   ファイアウォール SKU	[Standard] を選択します。
   ファイアウォール管理	[ファイアウォール ポリシーを使用してこのファイアウォールを管理する] を選択します。
   ファイアウォール ポリシー	[\) を選択します名前: . を入力しますリージョン: を選択ポリシーレベル: .[ 。
   仮想ネットワークを選択する
   仮想ネットワーク	[既存のものを使用] を選択します。
   仮想ネットワーク	[VNet-hub] を選択します。
   パブリック IP アドレス
   パブリック IP アドレス	Add new を選択します。 名前: public-ip-firewall と入力します。 SKU: Standard。 割り当て: Static。 OK を選択します。

4. このチュートリアルで「 Enable Firewall Management NIC 」をクリアし、次に 「次:Advanced」を選択します。

5. 「Advanced」タブで「NATゲートウェイを有効にする」を選択してください。 StandardV2 NATゲートウェイで「新しく作成」を選択してください。

   ファイアウォールを作成する際はNATゲートウェイは任意です。 このチュートリアルにより、NATゲートウェイのパブリックIPアドレスを通じてアウトバウンドSNATを提供できます。 StandardV2 NAT Gatewayをサポートしていない地域では、フォームに検証エラーが表示されます。 Basicsでサポートされている地域を選択して、このチュートリアルを続けてください。

6. Create a new StandardV2 NAT Gatewayで、Nameにnat-gatewayを入力してください。

7. パブリックIPv4アドレスの中で「パブリックIPアドレスを作成」を選択してください。 名前にはpublic-ip-natを入力してください。

8. SKUがStandardV2で、割り当てが静的であることを確認し、OKを選択してください。

9. パブリック IPv4 アドレス の下で、(New) public-ip-nat が選択されていることを確認してください。 このIPv4チュートリアルでは、IPv6アドレスとパブリックIPプレフィックスフィールドを選択していないままにしてください。

   

10. [追加]を選択します。 Advancedモードで「NATゲートウェイを有効にする」が選択されていること、そしてStandardV2 NATゲートウェイに「(新しい)nat-gateway」が表示されることを確認します。

    

11. [Review + create]\(レビュー + 作成\) を選択します。 要約に West US、 Standard ファイアウォールSKU、 vnet-hub、 public-ip-firewall、そして新しい StandardV2 NATゲートウェイが表示されているか確認してください。

12. ［作成］を選択します

    この展開ではファイアウォール、NATゲートウェイ、そしてそれらのパブリックIPアドレスが作成されます。 また、NATゲートウェイを AzureFirewallSubnetと関連付けています。 デプロイには、数分かかります。

    ファイアウォール自身の公開IPアドレスは保持してください。 アウトバウンドSNATはNATゲートウェイのパブリックIPを使用し、インバウンドDNATはファイアウォールのパブリックIPを使用します。 ワークロードのルートは依然としてファイアウォールのプライベートIPアドレスを指しています。

13. デプロイが完了したら、 test-rg リソース グループに移動し、 ファイアウォール リソースを選択します。

14. ファイアウォールのプライベートおよびパブリック IP アドレスをメモします。 これらのアドレスは後で使用します。

New-AzPublicIpAddress を使用して、Azure Firewall のパブリック IP を作成します。

# Create public IP for Azure Firewall
$publicIpFirewallParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'public-ip-firewall'
    AllocationMethod  = 'Static'
    Sku = 'Standard'
}
$publicIpFirewall = New-AzPublicIpAddress @publicIpFirewallParams

New-AzFirewallPolicy を使用してファイアウォール ポリシーを作成します。

# Create firewall policy
$firewallPolicyParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'firewall-policy'
}
$firewallPolicy = New-AzFirewallPolicy @firewallPolicyParams

New-AzFirewall を使用して Azure Firewall を作成します。

# Create Azure Firewall
    $firewallParams = @{
        ResourceGroupName = 'test-rg'
        Location = 'westus'
        Name = 'firewall'
        VirtualNetworkName = 'vnet-hub'
        PublicIpName = 'public-ip-firewall'
        FirewallPolicyId = $firewallPolicy.Id
    }
    $firewall = New-AzFirewall @firewallParams

新しいNATゲートウェイは作らないでください。 前述のセクションで作成されたリソースと協会を確認してください:

1. test-rgを開き、nat-gatewayを選択します。 SKUが StandardV2 で、場所がファイアウォールと一致しているかを確認してください。
2. vnet-hubを開き、Subnetsを選択し、AzureFirewallSubnetを選択します。
3. NATゲートウェイがNAT-gatewayに設定されているか確認してください。 サブネットの設定はそのままにしてください。
4. public-ip-natを開いて、StandardV2 SKUを使用しているか確認してください。 このアドレスは標準SKUを使用するpublic-ip-firewallとは別です。

New-AzPublicIpAddress を使用して、NAT ゲートウェイのゾーン冗長 IPv4 パブリック IP アドレスを作成します。

## Create public IP address for NAT gateway ##
$ip = @{
    Name = 'public-ip-nat'
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Sku = 'StandardV2'
    AllocationMethod = 'Static'
    IpAddressVersion = 'IPv4'
    Zone = 1,2,3
}
$publicIPIPv4 = New-AzPublicIpAddress @ip

New-AzNatGateway を使用して NAT ゲートウェイ リソースを作成します。

StandardV2 NATゲートウェイはデフォルトでゾーン冗長です。 このゲートウェイを単一のゾーンに割り当てるのではなく、オプションの Zone パラメータを省略してください。

## Create NAT gateway resource ##
$nat = @{
    ResourceGroupName = 'test-rg'
    Name = 'nat-gateway'
    IdleTimeoutInMinutes = '4'
    Sku = 'StandardV2'
    Location = 'westus'
    PublicIpAddress = $publicIPIPv4
}
$natGateway = New-AzNatGateway @nat

Set-AzVirtualNetworkSubnetConfig を使用して、NAT ゲートウェイを AzureFirewallSubnet に関連付けます。

# Get the hub virtual network
$vnetHub = Get-AzVirtualNetwork -ResourceGroupName 'test-rg' -Name 'vnet-hub'

# Associate NAT gateway with AzureFirewallSubnet
$subnetParams = @{
    VirtualNetwork = $vnetHub
    Name = 'AzureFirewallSubnet'
    AddressPrefix = '10.0.1.64/26'
    NatGateway = $natGateway
}
Set-AzVirtualNetworkSubnetConfig @subnetParams

# Update the virtual network
$vnetHub | Set-AzVirtualNetwork

1. ポータルの上部にある検索ボックスに、「仮想ネットワーク」と入力します。 検索結果で、[仮想ネットワーク] を選択します。

2. [+ 作成] を選択します。

3. [仮想ネットワークの作成] の [基本] タブで、次の情報を入力するか選びます。

   設定	値
   プロジェクトの詳細
   サブスクリプション	サブスクリプションを選択します。
   リソースグループ	test-rg を選択します。
   インスタンスの詳細
   名前	「vnet-spoke」と入力します。
   リージョン	米国西部を選択する。

4. [次へ] を選択して、[セキュリティ] タブに進みます。

5. [次へ] を選択して、[IP アドレス] タブに進みます。

6. [IP アドレス] タブの [IPv4 アドレス空間] で、[アドレス空間の削除] を選んで、自動設定されているアドレス空間を削除します。

7. [+ IPv4 アドレス空間の追加] を選びます。

8. [IPv4 アドレス空間] に「10.2.0.0/16」と入力します。 マスクの選択では、既定値の /16 (65,536 アドレス) のままにします。

9. [+ サブネットの追加] を選択します。

10. [サブネットの追加] で、次の情報を入力または選択します:

    設定	値
    サブネットの目的	既定値の [既定] のままにします。
    名前	「subnet-private」と入力します。
    IPv4
    IPv4 アドレス範囲	既定値の 10.1.0.0/16 のままにします。
    開始アドレス	既定値の 10.1.0.0 のままにします。
    サイズ	既定値の /24 (256 アドレス) のままにします。

11. [追加]を選択します。

12. [Review + create]\(レビュー + 作成\) を選択します。

13. ［作成］を選択します

New-AzVirtualNetwork を使用して、スポーク仮想ネットワークを作成します。

# Create spoke virtual network
$vnetParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'vnet-spoke'
    AddressPrefix = '10.1.0.0/16'
}
$spokeVnet = New-AzVirtualNetwork @vnetParams

Add-AzVirtualNetworkSubnetConfig を使用して、スポーク仮想ネットワークのサブネットを作成します。

# Create subnet in spoke virtual network
$subnetParams = @{
    Name = 'subnet-private'
    AddressPrefix = '10.1.0.0/24'
    VirtualNetwork = $spokeVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

Set-AzVirtualNetwork を使用して、スポーク仮想ネットワークを更新します。

# Create the virtual network
$spokeVnet | Set-AzVirtualNetwork

1. ポータルの上部にある検索ボックスに、「仮想ネットワーク」と入力します。 検索結果で、[仮想ネットワーク] を選択します。

2. [VNet-hub] を選択します。

3. [設定] で [ピアリング] を選択します。

4. [+ 追加]を選択します。

5. [ピアリングの追加] で、次の情報を入力するか選びます。

   設定	値
   リモート仮想ネットワークの概要
   [Peering link name]\(ピアリング リンク名\)	「vnet-spoke-to-vnet-hub」と入力します。
   仮想ネットワークのデプロイ モデル	既定値の [リソース マネージャー] のままにします。
   サブスクリプション	サブスクリプションを選択します。
   仮想ネットワーク	[vnet-spoke (test-rg)] を選択します。
   リモート仮想ネットワーク ピアリングの設定
   'vnet-spoke' に 'vnet-hub' へのアクセスを許可する	既定値の [選択済み] のままにします。
   'vnet-spoke' が 'vnet-hub' から転送されたトラフィックを受信することを許可する	チェックボックスを選択します。
   'vnet-spoke' のゲートウェイまたはルート サーバーが 'vnet-hub' にトラフィックを転送することを許可する	既定値の[未選択] のままにします。
   'vnet-spoke' が 'vnet-hub' のリモート ゲートウェイまたはルート サーバーを使用できるようにする	既定値の[未選択] のままにします。
   ローカル仮想ネットワークの概要
   [Peering link name]\(ピアリング リンク名\)	「vnet-hub-to-vnet-spoke」と入力します。
   ローカル仮想ネットワーク ピアリングの設定
   'vnet-hub' に 'vnet-spoke' へのアクセスを許可する	既定値の [選択済み] のままにします。
   'vnet-hub' が 'vnet-spoke' から転送されたトラフィックを受信することを許可する	チェックボックスを選択します。
   'vnet-hub' のゲートウェイまたはルート サーバーが 'vnet-spoke' にトラフィックを転送することを許可する	既定値の[未選択] のままにします。
   'vnet-hub' が 'vnet-spoke' のリモート ゲートウェイまたはルート サーバーを使用できるようにする	既定値の[未選択] のままにします。

6. [追加]を選択します。

7. [最新の情報に更新] を選択し、[ピアリングの状態] が [接続済み] であることを確認します。

Add-AzVirtualNetworkPeering を使用して、ハブからスポークへのピアリングを作成します。

# Create peering from hub to spoke
$peeringParams = @{
    Name = 'vnet-hub-to-vnet-spoke'
    VirtualNetwork = $hubVnet
    RemoteVirtualNetworkId = $spokeVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @peeringParams

Add-AzVirtualNetworkPeering を使用して、スポークからハブへのピアリングを作成します。

# Create peering from spoke to hub
$peeringParams = @{
    Name = 'vnet-spoke-to-vnet-hub'
    VirtualNetwork = $spokeVnet
    RemoteVirtualNetworkId = $hubVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @peeringParams

1. ポータルの上部にある検索ボックスに、「Firewall」と入力します。 検索結果で [ファイアウォール] を選択します。

2. [ファイアウォール] を選択します。

3. [ファイアウォール] の [概要] で、[ファイアウォールのプライベート IP] フィールド内の IP アドレスをメモします。 この例の IP アドレスは 10.0.1.68 です。

Get-AzFirewall を使用して、ファイアウォールのプライベート IP アドレスを取得します。

# Get the private IP address of the firewall
$firewallParams = @{
    ResourceGroupName = 'test-rg'
    Name = 'firewall'
}
$firewall = Get-AzFirewall @firewallParams
$firewall.IpConfigurations[0].PrivateIpAddress

1. ポータルの上部にある検索ボックスに、「ルート テーブル」と入力します。 検索結果で [ルート テーブル] を選択します。

2. [+ 作成] を選択します。

3. [ルート テーブルの作成] で、次の情報を入力または選択します。

   設定	値
   プロジェクトの詳細
   サブスクリプション	サブスクリプションを選択します。
   リソースグループ	test-rg を選択します。
   インスタンスの詳細
   リージョン	米国西部を選択する。
   名前	「route-table-spoke」と入力します。
   ゲートウェイのルートを伝達する	このため、 [いいえ]を選択します。

4. [Review + create]\(レビュー + 作成\) を選択します。

5. ［作成］を選択します

6. ポータルの上部にある検索ボックスに、「ルート テーブル」と入力します。 検索結果で [ルート テーブル] を選択します。

7. [route-table-spoke] を選択します。

8. [設定] で [ルート] を選択します。

9. [ルート] で [+ 追加] を選択します。

10. [ルートの追加] で、次の情報を入力または選択します。

    設定	値
    ルート名	「Route-To-Hub」と入力します。
    変換先の型	[IP アドレス] を選択します。
    宛先 IP アドレス/CIDR 範囲	「0.0.0.0/0」と入力します。
    ネクストホップの種類	[仮想アプライアンス] を選択します。
    次ホップ アドレス	先ほど記録したファイアウォールのプライベートIPアドレスを入力してください。 NATゲートウェイのパブリックIPアドレスは使わないでください。

11. [追加]を選択します。

12. [設定] の [サブネット] を選択します。

13. [+ 関連付け] を選択します。

14. [サブネットの関連付け] で、次の情報を入力または選択します。

    設定	値
    仮想ネットワーク	[vnet-spoke (test-rg)] を選択します。
    サブネット	[subnet-private] を選択します。

15. [OK]を選択します。

New-AzRouteTable を使用してルート テーブルを作成します。

# Create route table
$routeTableParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'route-table-spoke'
}
$routeTable = New-AzRouteTable @routeTableParams

Add-AzRouteConfig を使用して、ルート テーブルにルートを作成します。

# Create route
$routeConfigParams = @{
    Name = 'route-to-hub'
    AddressPrefix = '0.0.0.0/0'
    NextHopType = 'VirtualAppliance'
    NextHopIpAddress = $firewall.IpConfigurations[0].PrivateIpAddress
    RouteTable = $routeTable
}
Add-AzRouteConfig @routeConfigParams

Set-AzRouteTable を使用してルート テーブルを更新します。

# Update the route table
$routeTable | Set-AzRouteTable

Set-AzVirtualNetworkSubnetConfig を使用して、ルート テーブルをスポーク サブネットに関連付けます。

# Associate route table with subnet
$subnetConfigParams = @{
    VirtualNetwork = $spokeVnet
    Name = 'subnet-private'
    AddressPrefix = '10.1.0.0/24'
    RouteTable = $routeTable
}
Set-AzVirtualNetworkSubnetConfig @subnetConfigParams

Set-AzVirtualNetwork を使用して、スポーク仮想ネットワークを更新します。

# Update the virtual network
$spokeVnet | Set-AzVirtualNetwork

1. ポータルの上部にある検索ボックスに、「Firewall」と入力します。 検索結果で [ファイアウォール ポリシー] を選択します。

2. [ファイアウォール ポリシー] を選択します。

3. [設定] を展開して、[ネットワーク規則] を選びます。

4. [+ 規則コレクションの追加] を選択します。

5. [規則コレクションの追加] で、次の情報を入力または選択します。

   設定	値
   名前	「spoke-to-internet」と入力します。
   ルール コレクションの種類	[ネットワーク] を選択します。
   Priority	「100」と入力します。
   ルール コレクションのアクション	[許可] を選択します。
   Rule Collection Group	[DefaultNetworkRuleCollectionGroup] を選択します。
   ルール
   名前	「allow-web」と入力します。
   送信元の種類	[IP Address]\(IP アドレス\)。
   source	「10.1.0.0/24」と入力します。
   プロトコル	[TCP] を選択します。
   ターゲット ポート	「80,443」と入力します。
   変換先の型	[IP アドレス] を選択します。
   到着地	「*」と入力します

6. [追加]を選択します。

Get-AzFirewallPolicy を使用して、既存のファイアウォール ポリシーを取得します。

# Get the existing firewall policy
$firewallPolicyParams = @{
    Name = 'firewall-policy'
    ResourceGroupName = 'test-rg'
}
$firewallPolicy = Get-AzFirewallPolicy @firewallPolicyParams

New-AzFirewallPolicyNetworkRule を使用してネットワーク ルールを作成します。

# Create a network rule for web traffic
$networkRuleParams = @{
    Name = 'allow-internet'
    SourceAddress = '10.1.0.0/24'
    Protocol = 'TCP'
    DestinationAddress = '*'
    DestinationPort = '80', '443'
}
$networkRule = New-AzFirewallPolicyNetworkRule @networkRuleParams

New-AzFirewallPolicyFilterRuleCollection を使用して、ネットワーク ルールのルール コレクションを作成します。

# Create a rule collection for the network rule
$ruleCollectionParams = @{
    Name = 'spoke-to-internet'
    Priority = 100
    Rule = $networkRule
    ActionType = 'Allow'
}
$ruleCollection = New-AzFirewallPolicyFilterRuleCollection @ruleCollectionParams

New-AzFirewallPolicyRuleCollectionGroup を使用して、ルール コレクション グループを作成します。

$newRuleCollectionGroupParams = @{
        Name = 'DefaultNetworkRuleCollectionGroup'
        Priority = 200
        FirewallPolicyObject = $firewallPolicy
        RuleCollection = $ruleCollection
    }
New-AzFirewallPolicyRuleCollectionGroup @newRuleCollectionGroupParams

1. ポータルで、[仮想マシン] を検索して選択します。

2. [仮想マシン] で [+ 作成]、[Azure 仮想マシン] の順に選択します。

3. [仮想マシンの作成] の [基本] タブで、次の情報を入力または選択します。

   設定	値
   プロジェクトの詳細
   サブスクリプション	サブスクリプションを選択します。
   リソースグループ	test-rg を選択します。
   インスタンスの詳細
   仮想マシン名	「vm-spoke」と入力します。
   リージョン	米国西部を選択する。
   可用性のオプション	[インフラストラクチャ冗長は必要ありません] を選択します。
   セキュリティの種類	規定値である [標準] のままにします。
   Image	[Ubuntu Server 24.04 LTS - x64 Gen2] を選びます。
   VM アーキテクチャ	既定値の [x64] のままにします。
   サイズ	サイズを選択します。
   管理者アカウント
   認証の種類	[SSH 公開キー] を選択します。
   ユーザー名	「azureuser」と入力します。
   SSH 公開キーのソース	[新しいキーの組を生成] を選択します。
   キーの組名	「vm-spoke-key」と入力します。
   受信ポートの規則
   パブリック受信ポート	[なし] を選択します。

4. ページの上部にある [ネットワーク] タブを選ぶか、または [次へ: ディスク] を選んでから [次へ: ネットワーク] を選びます。

5. [ネットワーク] タブで、次の情報を入力または選択します。

   設定	値
   ネットワーク インターフェイス
   仮想ネットワーク	[vnet-spoke] を選択します。
   サブネット	[subnet-private (10.1.0.0/24)] を選びます。
   パブリック IP	[なし] を選択します。
   NIC ネットワーク セキュリティ グループ	[Advanced] \(詳細設定) を選択します。
   ネットワーク セキュリティ グループを構成する	[新規作成] を選択します。 名前として「nsg-1」を入力します。 残りの部分は既定値のままにし、[OK] を選択します。

6. 残りの設定は既定値のままにし、[確認と作成] を選択します。

7. 設定を確認し、[作成]を選択します。

8. [ 新しいキー ペアの生成 ] ダイアログ ボックスが表示されます。 [Download private key and create resource]\(秘密キーをダウンロードしてリソースを作成する\) を選択します。

秘密キーがローカル コンピューターにダウンロードされます。 このチュートリアルの後半でAzure Bastionで仮想マシンに接続する際に、vm-spoke-key用のプライベートキーをダウンロードする必要があります。

仮想マシンの展開が終わるまで待ってから次のステップに進みましょう。

New-AzNetworkSecurityGroup を使用して、ネットワーク セキュリティ グループを作成します。

$nsgParams = @{
    ResourceGroupName = "test-rg"
    Name = "nsg-1"
    Location = "westus"
}
New-AzNetworkSecurityGroup @nsgParams

New-AzNetworkInterface を使用してネットワーク インターフェイスを作成します。

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-1"
    SubnetId = (Get-AzVirtualNetwork -ResourceGroupName "test-rg" -Name "vnet-spoke").Subnets[0].Id
    NetworkSecurityGroupId = (Get-AzNetworkSecurityGroup -ResourceGroupName "test-rg" -Name "nsg-1").Id
    Location = "westus"
}
New-AzNetworkInterface @nicParams

Get-Credential を使用して VM のユーザー名とパスワードを設定し、$cred 変数に格納します。

$cred = Get-Credential

New-AzVMConfig を使用して VM を定義します。

$vmConfigParams = @{
    VMName = "vm-spoke"
    VMSize = "Standard_DS4_v2"
    }
$vmConfig = New-AzVMConfig @vmConfigParams

Set-AzVMOperatingSystem と Set-AzVMSourceImage を使用して、残りの VM 構成を作成します。 次の例では、Ubuntu Server 仮想マシンを作成します。

$osParams = @{
    VM = $vmConfig
    ComputerName = "vm-spoke"
    Credential = $cred
    }
$vmConfig = Set-AzVMOperatingSystem @osParams -Linux -DisablePasswordAuthentication

$imageParams = @{
    VM = $vmConfig
    PublisherName = "Canonical"
    Offer = "ubuntu-24_04-lts"
    Skus = "server"
    Version = "latest"
    }
$vmConfig = Set-AzVMSourceImage @imageParams

Add-AzVMNetworkInterface を使用して、前に作成した NIC を VM にアタッチします。

# Get the network interface object
$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-1"
    }
$nic = Get-AzNetworkInterface @nicParams

$vmConfigParams = @{
    VM = $vmConfig
    Id = $nic.Id
    }
$vmConfig = Add-AzVMNetworkInterface @vmConfigParams

New-AzVM を使用して VM を作成します。 このコマンドは、サインイン用の仮想マシンの SSH キーを生成します。 秘密キーの場所を記録しておきます。 後の手順で Azure Bastion を使って仮想マシンに接続するために、秘密キーが必要です。

$vmParams = @{
    VM = $vmConfig
    ResourceGroupName = "test-rg"
    Location = "westus"
    SshKeyName = "vm-spoke-key"
    }
New-AzVM @vmParams -GenerateSshKey

1. ポータルの上部にある検索ボックスに、「パブリック IP」と入力します。 検索結果から [パブリック IP アドレス] を選択します。

2. [public-ip-nat] を選択します。

3. IPアドレスの値をメモしてください。 この記事で使用される例は 203.0.113.25 です。

Get-AzPublicIpAddress を使用して、NAT ゲートウェイのパブリック IP アドレスを取得します。

# Get the public IP address of the NAT gateway
$publicIpNatParams = @{
    ResourceGroupName = 'test-rg'
    Name = 'public-ip-nat'
}
$publicIpNat = Get-AzPublicIpAddress @publicIpNatParams
$publicIpNat.IpAddress

作成したリソースの使用が終了したら、リソース グループとそのすべてのリソースを削除して構いません。

1. Azure portal で、「リソース グループ」を検索して選択します。

2. [リソース グループ] ページで、test-rg リソース グループを選択します。

3. [test-rg] ページで、[リソース グループの削除] を選択します。

4. [削除を確認するために、リソース グループ名を入力してください] に「test-rg」と入力し、[削除] を選びます。

Remove-AzResourceGroup を使用してリソース グループを削除します。

# Remove resource group
$rgParams = @{
    Name = 'test-rg'
}
Remove-AzResourceGroup @rgParams