조직에서는 새 애플리케이션 또는 워크로드 온보딩, 보안 취약성 해결, 유지 관리 수행 또는 사용하지 않는 규칙을 병합하거나 제거하여 정책을 최적화하는 등 다양한 이유로 Azure Firewall Policy를 업데이트해야 하는 경우가 많습니다. 이러한 업데이트에는 여러 기여자가 포함될 수 있으며 각 변경 내용을 배포하는 데 몇 분 정도 걸릴 수 있습니다.
Azure Firewall 정책 초안 + 배포를 사용하면 2단계 접근 방식을 사용하여 이 프로세스를 간소화할 수 있습니다.
지원되는 시나리오 및 제한 사항
초안 및 배포 기능은 특정 사용 사례를 위해 설계되었으며 특정 제약 조건이 있습니다.
지원되는 시나리오
- 이 기능은 Azure Firewall 정책에만 사용할 수 있습니다. 클래식 규칙으로 구성된 방화벽은 지원하지 않습니다.
제한점
- 초안은 현재 적용된 정책의 복제본으로 만들어집니다. 초안을 만든 후 적용된 정책에 대한 변경 내용은 수동으로 업데이트하지 않는 한 초안에 반영되지 않습니다.
- 초안을 배포하면 적용된 전체 정책이 대체됩니다. 초안을 만든 후 적용된 정책에 대한 변경 내용은 초안에 추가되지 않는 한 유지되지 않습니다.
- 새 RCG(규칙 컬렉션 그룹) 만들기는 정책 초안 내에서 직접 지원되지 않습니다.
- 지정된 시간에 정책에 대한 초안은 하나만 존재할 수 있습니다.
필수 조건
- Azure 구독이 없는 경우 체험 계정을 만들어 시작할 수 있습니다.
- Azure CLI에서 이 기능을 사용하려면 Azure Firewall 확장이 설치되어 있고 버전 1.2.3 이상으로 업데이트되었는지 확인합니다.
비고
Azure PowerShell 또는 Azure REST API를 통해 이 기능을 사용하는 경우 먼저 현재 정책을 다운로드하고 이를 기반으로 초안을 수동으로 만들어야 합니다. 반면, Azure Portal 또는 CLI를 사용하면 기존 정책에서 초안이 자동으로 생성됩니다.
초안 + 배포 사용
Azure Firewall 초안 + 배포를 사용하면 프로덕션 환경에 적용하기 전에 방화벽 정책을 대량으로 업데이트할 수 있습니다.
Azure Portal에서 기존 방화벽 정책으로 이동하거나 새 방화벽 정책을 만듭니다.
Azure Firewall 정책 페이지의 관리 섹션에서 초안 및 배포를 선택한 다음 새 초안 만들기를 선택합니다. 이렇게 하면 현재 적용된 정책의 정확한 복사본인 초안이 만들어집니다.
초안 페이지에서 규칙 또는 설정을 변경하거나 추가합니다. 이러한 페이지는 배포된 정책의 페이지와 동일합니다. 변경 내용은 초안을 배포할 때만 적용됩니다.
변경 내용을 확인하려면 배포 화면으로 돌아가 업데이트된 규칙 또는 설정을 검토합니다. 변경 내용을 적용하려면 초안 배포를 선택합니다. 배포되면 초안이 현재 정책을 대체하고 최신 버전이 됩니다. 배포 후 초안이 삭제됩니다.
필요에 따라 이 프로세스를 반복하여 방화벽 정책을 추가로 업데이트합니다.
az login 명령을 실행하여 Azure 계정에 로그인합니다.
az login
az network firewall policy draft create 명령을 사용하여 초안을 만듭니다. 이 명령은 현재 적용된 정책의 초안을 만듭니다. 및 --policy-name 매개 변수를 --resource-group 사용하여 방화벽 정책의 이름 및 리소스 그룹을 지정할 수 있습니다.
az network firewall policy draft create --policy-name fw-policy --resource-group test-rg
az network firewall policy draft update 명령을 사용하여 초안의 설정을 업데이트합니다. 이 명령을 사용하면 초안에 대한 위협 인텔리전스 모드 및 IDPS 모드를 수정할 수 있습니다. 매개 변수를 --threat-intel-mode 사용하여 원하는 위협 인텔리전스 모드 및 --idps-mode 매개 변수를 설정하여 IDPS(침입 감지 및 방지 시스템) 모드를 구성합니다.
az network firewall policy draft update --policy-name fw-policy --resource-group test-rg --threat-intel-mode Off --idps-mode Deny
초안 규칙 업데이트
az network firewall policy rule-collection-group draft create 명령을 사용하여 RCG(새 규칙 컬렉션 그룹)를 만듭니다.
az network firewall policy rule-collection-group draft create --rule-collection-group-name rcg-b --policy-name fw-policy --resource-group test-rg --priority 303
초안의 기존 RCG에 NAT 규칙 컬렉션 추가
az network firewall policy rule-collection-group draft collection add-nat-collection \
--name nat_collection_1 \
--collection-priority 10003 \
--policy-name fw-policy \
--resource-group test-rg \
--rule-collection-group-name rcg-c \
--action DNAT \
--rule-name network_rule_21 \
--description "test" \
--destination-addresses "202.120.36.15" \
--source-addresses "202.120.36.13" "202.120.36.14" \
--translated-address 128.1.1.1 \
--translated-port 1234 \
--destination-ports 12000 12001 \
--ip-protocols TCP UDP
az network firewall policy draft show 명령을 사용하여 초안의 세부 정보를 봅니다.
az network firewall policy draft show --policy-name fw-policy --resource-group test-rg
az network firewall policy deploy 명령을 사용하여 변경 내용을 적용하는 초안을 배포합니다.
az network firewall policy deploy --name fw-policy --resource-group test-rg
az network firewall policy draft delete 명령을 더 이상 사용할 필요가 없는 경우 초안을 삭제합니다.
az network firewall policy draft delete --policy-name fw-policy --resource-group test-rg
New-AzFirewallPolicyDraft cmdlet을 사용하여 현재 적용된 정책의 초안을 만듭니다. 정책 이름 및 리소스 그룹을 지정합니다.
New-AzFirewallPolicyDraft -AzureFirewallPolicyName fw-policy -ResourceGroupName test-rg
Set-AzFirewallPolicyDraft cmdlet을 사용하여 초안의 설정을 업데이트합니다. 예를 들어 위협 인텔리전스 모드 및 IDPS 모드를 업데이트할 수 있습니다.
Set-AzFirewallPolicyDraft -AzureFirewallPolicyName fw-policy -ResourceGroupName test-rg -ThreatIntelWhitelist $threatIntelWhitelist
다음 cmdlet으로 초안 규칙을 업데이트합니다.
New-AzFirewallPolicyRuleCollectionGroupDraft -AzureFirewallPolicyRuleCollectionGroupName rcg-a -ResourceGroupName test-rg -AzureFirewallPolicyName fw-policy -Priority 200
$rule1 = New-AzFirewallPolicyApplicationRule -Name "Allow-HTTP" -Protocol "Http:80" -SourceAddress "10.0.0.0/24" -TargetFqdn www.example.com
$rule2 = New-AzFirewallPolicyApplicationRule -Name "Allow-HTTPS-2" -Protocol "Https:443" -SourceAddress "10.0.0.0/24" -TargetFqdn "www.secureexample.com"
$ruleCollection = New-AzFirewallPolicyFilterRuleCollection -Name "Allow-Rules" -Priority 100 -Rule $rule1, $rule2 -ActionType Allow
Set-AzFirewallPolicyRuleCollectionGroupDraft -AzureFirewallPolicyRuleCollectionGroupName rcg-b -ResourceGroupName test-rg -AzureFirewallPolicyName fw-policy -Priority 400 -RuleCollection $ruleCollection
Get-AzFirewallPolicyDraft cmdlet을 사용하여 초안의 세부 정보를 봅니다.
Get-AzFirewallPolicyDraft -AzureFirewallPolicyName fw-policy -ResourceGroupName test-rg
Deploy-AzFirewallPolicy cmdlet을 사용하여 초안의 변경 내용을 라이브 정책에 적용합니다.
Deploy-AzFirewallPolicy -Name fw-policy -ResourceGroupName test-rg
변경 내용을 적용하지 않고 초안을 삭제하려면 Remove-AzFirewallPolicyDraft cmdlet을 사용합니다.
Remove-AzFirewallPolicyDraft -AzureFirewallPolicyName fw-policy -ResourceGroupName test-rg
다음 단계