NSG

NSGフローログとは、NSG（ネットワーク セキュリティ グループ）で通過した通信情報をログに記録する、Network Wacther の機能です。 NSGフローログの設定を行う際、ストレージアカウントにログを保持できる期間は、永続的に保持するか、1～365日の保持期間を定める事が出来ます。 保持期限を定める場合、一見、最長で365日までしか設定できないように見えますが、NSGフローログ設定後に保持期間を変更する事で、365日以上の保持設定が可能です！ 本記事では、NSGフローログの365日以上の保持期間設定手順について、解説します。 事前準備（NSG フローログ 設定手順） NSG フローロ…

AzureでNSGの設定を行う際、特にRDPの許可を極力制限したい場合に、自分のIPのみに限定することがよくあります。 これまでは別途自分のグローバルIPを調べていたのですが、いつの間にかAzureポータルから自分のIPを指定できるようになっていました。 NSGで自分のIPからのアクセスのみを制限する方法 これまでの方法 グローバルIPを調べる NSGにルールを追加する 新しい方法 補足：Just-In-Time VM アクセスを使う おわりに NSGで自分のIPからのアクセスのみを制限する方法 これまでの方法 これまでは、次のようにしていました グローバルIPを調べる 下記のサイトなどでグロ…

はじめに 前に似たようなタイトルで記事を書きましたが、そのときは送信元が * または Internet タグだったら、というシンプルなものでした。 今回はそれよりもう少し細かく制御するポリシーを作りました。 ロジックがなかなか面倒だったのでその辺の紹介も兼ねて。 ちなみに前回のはこれ www.michikusayan.com 2022/10/28 x.x.x.x/x でのレンジ指定にも対応できるよう改修しました。 目次 はじめに 目次 やりたいこと カスタム ポリシー 条件 1 : NSG の受信許可ルールであること 条件 2 : 送信元 IP アドレスに、許可されている IP アドレス以外が…

はじめに Azure IaaS を使う際にまず間違いなく使用する、 L4 ACL の NSG について、送信元や宛先 IP アドレスを指定できるものの、現状は FQDN を指定することができません。 送信元または宛先 IP が変動するため FQDN で指定したい NSG で FQDN が使えないから Any 宛て、だと許可範囲が広すぎる FQDN のためだけに FW を入れるなどコストがかかるようなことはしたくない そんな時に使える解決策として、 Azure Functions を用いた NSG ルール更新を実装したのでまとめます。 目次 はじめに 目次 構成 環境構築 NSG Functio…

はじめに 今回は、Azureポリシーを用いてリソースの設定値を制限する方法の紹介です。 以前、AutomationにPowerShellスクリプトを登録して特定のNSGルールを検出し、SendGridでメール通知する、という記事を投稿しました。 www.michikusayan.com これだと結局メールを確認する必要があり面倒で、NSGの作成/変更を検出して何とかしたいなぁと調べたところ、 Azureポリシーで特定の設定値を禁止できそうだったため試してみました。 「ソースIPアドレスがAnyのNSGルールは作成不可」というルールを設定します。 2022/10 追記 : 本記事のポリシーよりも…

はじめに AzureのIaaS環境を構成するにあたり、NSG(ネットワークセキュリティグループ)はまず間違いなく使用します。 何かしらのシステム基盤であればもちろんのこと、比較的自由に利用できる検証環境の場合でもNSGでのアクセス制御をしているでしょう。 自由に使わせる場合、よくわからずVMをデプロイしたらNSGを適用していたのに発信元IPアドレスがAnyで許可してた、ということもあると思います。(おまけ参照) ただ、毎度チェックするわけにもいかないので、発信元IPアドレスがAnyのNSGルールをまとめて、表形式でメール通知するAutomationジョブを作成してみました。 2019年11月2…