Cloud Firewall:インターネットファイアウォール用のアクセス制御ポリシーの作成

カスタムポリシーの作成

ビジネス要件に基づいて、インターネットファイアウォール用のカスタムアウトバウンドまたはインバウンドポリシーを作成できます。

1. Cloud Firewall コンソール にログインします。

2. 左側のナビゲーションウィンドウで、[防御設定] > アクセス制御 > インターネットボーダー を選択します。

3. アウトバウンド タブまたは インバウンド タブで、ドロップダウンリストから IPV4 または IPV6 を選択し、Create Policy をクリックします。デフォルトでは、IPv4 アドレスのアクセス制御ポリシーが作成されます。

   

4. アウトバウンドポリシーの作成 パネルまたは インバウンドポリシーの作成 パネルで、カスタム作成 タブをクリックします。

5. 次の表に基づいてポリシーを設定し、[OK] をクリックします。

   インターネット経由のアウトバウンドトラフィックを保護するためのアクセス制御ポリシーの作成

   パラメーター	説明
   ソースタイプ	ネットワークトラフィックの開始元。ソース タイプを選択し、選択したソース タイプに基づいてソース アドレスを入力する必要があります。 ソース タイプを [IP] に設定する場合は、192.168.0.0/16 などの 1 つ以上の CIDR ブロックを指定します。最大 2,000 個の CIDR ブロックを指定できます。複数の CIDR ブロックはコンマ (,) で区切ります。 一度に複数の CIDR ブロックを入力すると、Cloud Firewall は入力された CIDR ブロックを含むアドレス帳を自動的に作成します。アクセス コントロール ポリシーを保存すると、Cloud Firewall はこのアドレス帳の名前を指定するように求めます。 ソース タイプを [アドレス帳] に設定する場合は、IPv4 または IPv6 アドレス帳が構成されていることを確認します。アドレス帳の作成方法の詳細については、「アドレス帳を管理する」をご参照ください。
   ソース
   宛先タイプ	ネットワークトラフィックの受信者。選択した宛先タイプに基づいて、ネットワークトラフィックの送信先の宛先タイプを選択し、宛先アドレスを入力する必要があります。 送信元タイプを [IP] に設定する場合は、192.168.0.0/16 などの 1 つ以上の CIDR ブロックを指定します。最大 2,000 個の CIDR ブロックを指定できます。複数の CIDR ブロックはコンマ (,) で区切ります。 一度に複数の CIDR ブロックを入力すると、Cloud Firewall は入力された CIDR ブロックを含むアドレス帳を自動的に作成します。アクセス制御ポリシーを保存すると、Cloud Firewall はこのアドレス帳の名前を指定するように求めます。 送信元タイプを [アドレス帳] に設定する場合は、IPv4 または IPv6 アドレス帳が構成されていることを確認してください。アドレス帳の作成方法の詳細については、「アドレス帳の管理」をご参照ください。 宛先タイプを [ドメイン名] に設定する場合は、ドメイン名識別モードを選択します。有効な値： FQDN ベース (メッセージが Host/SNI を抽出): HTTP、HTTPS、SMTP、SMTPS、SSL、POPS、IMAPS トラフィックを管理する場合、このモードを選択することをお勧めします。 DNS ベースの動的名前解決: HTTP、HTTPS、SMTP、SMTPS、SSL、POPS、IMAPS 以外のトラフィックを管理する場合、このモードを選択することをお勧めします。 重要 このモードは、ワイルドカードドメイン名またはワイルドカードドメイン名のアドレス帳をサポートしていません。 [FQDN および DNS ベースの動的解決]: HTTP、HTTPS、SMTP、SMTPS、SSL、POPS、IMAPS トラフィックを管理する場合に、特定またはすべてのトラフィックに HOST または SNI フィールドが含まれていない場合は、このモードを選択することをお勧めします。 重要 このモードは、ACL エンジン管理 モードが [厳格] の場合にのみ有効になります。このモードは、ワイルドカードドメイン名またはワイルドカードドメイン名のアドレス帳をサポートしていません。 宛先タイプを [場所] に設定する場合は、宛先のトラフィック宛先の 1 つ以上の場所を選択します。中国国内または中国国外の 1 つ以上の場所を選択できます。
   宛先
   プロトコルタイプ	トランスポート層プロトコル。有効な値：[TCP]、[UDP]、[ICMP]、および [ANY]。プロトコルタイプが不明な場合は、[ANY] を選択します。
   ポートの種類	宛先のポートの種類とポート番号。 [ポート] に設定した場合は、ポート範囲を入力します。「ポート番号/ポート番号」の形式でポート範囲を指定します。例：22/22 または 80/88。複数のポート範囲はカンマ (,) で区切ります。最大 2,000 個のポート範囲を入力できます。 複数のポート範囲を入力すると、Cloud Firewall によって、入力したポート範囲を含むアドレス帳が自動的に作成されます。アクセス制御ポリシーを保存すると、Cloud Firewall によって、このアドレス帳の名前を指定するように求められます。 [ポートの種類] を [アドレス帳] に設定した場合は、ポートアドレス帳が設定されていることを確認します。アドレス帳の作成方法の詳細については、「アドレス帳を管理する」をご参照ください。
   ポート
   アプリケーション	トラフィックのアプリケーションタイプ。 選択できるアプリケーションは、指定した宛先タイプとプロトコルによって異なります。 [プロトコルタイプ] を TCP に設定した場合: [宛先タイプ] が IP、IP [アドレス帳]、または [ロケーション] に設定されている場合: すべてのアプリケーションを選択できます。 [宛先タイプ] が ドメイン名 またはドメイン [アドレス帳] に設定されている場合: [ドメイン名識別モード] を FQDN ベースの解決 (パケット内のホストまたは SNI フィールドを抽出) に設定した場合、HTTP、HTTPS、SMTP、SMTPS、SSL、POPS、または IMAPS のみを選択できます。 [ドメイン名識別モード] を DNS ベースの動的解決 に設定した場合、すべてのアプリケーションを選択できます。 [ドメイン名識別モード] を FQDN および DNS ベースの動的解決 に設定した場合、HTTP、HTTPS、SMTP、SMTPS、SSL、POPS、または IMAPS のみを選択できます。 [プロトコルタイプ] を UDP に設定した場合、ANY または DNS を選択できます。 [プロトコルタイプ] を ICMP または ANY に設定した場合、ANY のみを選択できます。 説明 Cloud Firewall は、ポート番号ではなくパケット特性に基づいてアプリケーションタイプを識別します。 Cloud Firewall がパケット内のアプリケーションタイプを識別できない場合、Cloud Firewall はパケットを許可します。 アプリケーションタイプが不明なトラフィックをブロックする場合は、インターネットファイアウォールの厳格モードを有効にすることをお勧めします。 詳細については、「概要」をご参照ください。
   アクション	アクセス制御ポリシーに指定した上記の条件にトラフィックが一致した場合の、トラフィックに対するアクション。有効な値： 許可: トラフィックが許可されます。 拒否: トラフィックが拒否され、通知は送信されません。 監視: トラフィックが記録され、許可されます。関連フィールドを指定してトラフィックログをフィルタリングし、一定期間トラフィックを観察できます。その後、ビジネス要件に基づいて、ポリシーアクションを 許可 または 拒否 に変更します。
   説明	アクセス制御ポリシーの説明です。ポリシーを識別しやすい説明を入力してください。
   優先度	アクセス制御ポリシーの優先度です。デフォルト値: [最低]。有効な値: [最高]: アクセス制御ポリシーは最高の優先度を持ちます。 [最低]: アクセス制御ポリシーは最低の優先度を持ちます。
   ポリシーの有効期間	アクセスコントロールポリシーの有効期間。ポリシーは、有効期間内のみトラフィックの照合に使用できます。有効値： 常に有効。 単一の期間：このオプションを選択した場合は、単一の期間を指定します。 繰り返し周期：このオプションを選択した場合は、ポリシーを有効にする期間と日付を指定します。 説明 開始日は終了日より前である必要があります。ポリシーが有効になるまで 3 ～ 5 分かかります。 [無期限に繰り返す] を選択すると、終了日は自動的に 2099 年 12 月 31 日に設定されます。 よくある質問：繰り返しの期間に指定した期間が 2 つのカレンダー日にまたがる場合、アクセスコントロールポリシーは有効になりますか？
   有効化ステータス	ポリシーを有効にするかどうかを指定します。 アクセス制御ポリシーの作成時にステータスをオフにした場合、アクセス制御ポリシーのリストでポリシーを有効にできます。

   インターネット経由のインバウンドトラフィックを保護するためのアクセス制御ポリシーを作成する

   パラメータ	説明
   ソースタイプ	ネットワークトラフィックの開始元。ソースの種類を選択し、選択したソースの種類に基づいてソースアドレスを入力する必要があります。 [ソースの種類] を [IP] に設定する場合は、192.168.0.0/16 などの 1 つ以上の CIDR ブロックを指定します。最大 2,000 個の CIDR ブロックを指定できます。複数の CIDR ブロックはコンマ (,) で区切ります。 一度に複数の CIDR ブロックを入力すると、Cloud Firewall によって、入力された CIDR ブロックを含むアドレス帳が自動的に作成されます。アクセス制御ポリシーを保存すると、Cloud Firewall によって、このアドレス帳の名前を指定するように求められます。 [ソースの種類] を [アドレス帳] に設定する場合は、IP アドレス帳が設定されていることを確認します。アドレス帳の作成方法の詳細については、「アドレス帳を管理する」をご参照ください。 [ソースの種類] を [場所] に設定する場合は、場所 にトラフィックソースの 1 つ以上の場所を選択します。中国国内または中国国外の 1 つ以上の場所を選択できます。
   ソース
   宛先の種類	ネットワークトラフィックの受信者。宛先の種類を選択し、選択した宛先の種類に基づいて、ネットワークトラフィックが送信される宛先アドレスを入力する必要があります。 [宛先の種類] を [IP] に設定する場合は、192.168.0.0/16 などの 1 つ以上の CIDR ブロックを指定します。最大 2,000 個の CIDR ブロックを指定できます。複数の CIDR ブロックはコンマ (,) で区切ります。 一度に複数の CIDR ブロックを入力すると、Cloud Firewall によって、入力された CIDR ブロックを含むアドレス帳が自動的に作成されます。アクセス制御ポリシーを保存すると、Cloud Firewall によって、このアドレス帳の名前を指定するように求められます。 [宛先の種類] を [アドレス帳] に設定する場合は、IP アドレス帳が設定されていることを確認します。アドレス帳の作成方法の詳細については、「アドレス帳を管理する」をご参照ください。
   宛先
   プロトコルの種類	トランスポート層プロトコル。有効値: [TCP]、[UDP]、[ICMP]、[ANY]。プロトコルの種類が不明な場合は、[ANY] を選択します。
   ポートの種類	宛先のポートの種類とポート番号。 [ポートの種類] を [ポート] に設定する場合は、ポート範囲を入力します。ポート番号/ポート番号の形式でポート範囲を指定します。例: 22/22 または 80/88。複数のポート範囲はコンマ (,) で区切ります。最大 2,000 個のポート範囲を入力できます。 複数のポート範囲を入力すると、Cloud Firewall によって、入力されたポート範囲を含むアドレス帳が自動的に作成されます。アクセス制御ポリシーを保存すると、Cloud Firewall によって、このアドレス帳の名前を指定するように求められます。 [ポートの種類] を [アドレス帳] に設定する場合は、ポートアドレス帳が設定されていることを確認します。アドレス帳の作成方法の詳細については、「アドレス帳を管理する」をご参照ください。
   ポート
   アプリケーション	トラフィックのアプリケーションの種類。 [プロトコルの種類] を [TCP] に設定すると、[HTTP]、[HTTPS]、[SMTP]、[SMTPS]、[SSL]、[FTP] など、すべてのアプリケーションを選択できます。 [プロトコルの種類] を [UDP] に設定すると、[ANY] または [DNS] を選択できます。 [プロトコルの種類] を [ICMP] または [ANY] に設定すると、[ANY] のみを選択できます。 説明 Cloud Firewall は、ポート番号ではなくパケット特性に基づいてアプリケーションの種類を識別します。Cloud Firewall がパケット内のアプリケーションの種類を識別できない場合、Cloud Firewall はパケットを許可します。アプリケーションの種類が不明なトラフィックをブロックする場合は、インターネットファイアウォールの厳格モードを有効にすることをお勧めします。詳細については、「概要」をご参照ください。
   操作	トラフィックがアクセス制御ポリシーに指定した上記の条件を満たしている場合にトラフィックに対して実行される操作。有効値: [許可]: トラフィックが許可されます。 [拒否]: トラフィックが拒否され、通知は送信されません。 [監視]: トラフィックが記録され、許可されます。関連フィールドを指定することでトラフィックログをフィルタリングし、一定期間トラフィックを観察できます。その後、ビジネス要件に基づいて、ポリシー操作を [許可] または [拒否] に変更します。
   説明	アクセス制御ポリシーの説明。ポリシーの識別に役立つ説明を入力します。
   優先度	アクセス制御ポリシーの優先度。デフォルト値: [最低]。有効値: [最高]: アクセス制御ポリシーの優先度が最も高くなります。 [最低]: アクセス制御ポリシーの優先度が最も低くなります。
   ポリシーの有効期間	アクセス制御ポリシーの有効期間。ポリシーは、有効期間内にのみトラフィックの照合に使用できます。有効値: 常に有効。 単一の期間: このオプションを選択した場合は、単一の期間を指定します。 繰り返し周期: このオプションを選択した場合は、ポリシーを有効にする期間と日付を指定します。 説明 開始日は終了日よりも前である必要があります。ポリシーが有効になるまで 3 ～ 5 分かかります。 [無期限に繰り返す] を選択すると、終了日は自動的に 2099 年 12 月 31 日に設定されます。 よくある質問: 繰り返しの期間に指定した期間が 2 つの暦日にまたがる場合、アクセス制御ポリシーは有効になりますか。
   有効化ステータス	ポリシーを有効にするかどうかを指定します。アクセス制御ポリシーの作成時に [ステータス] をオフにした場合は、アクセス制御ポリシーのリストでポリシーを有効にできます。

推奨されるインテリジェント ポリシーを適用する

Cloud Firewall は、過去 30 日間のトラフィックを自動的に学習し、特定されたトラフィック リスクに基づいて複数のインテリジェント ポリシーを推奨します。推奨されるインテリジェント ポリシーがビジネス要件を満たしている場合は、ポリシーを適用できます。

az mysql flexible-server firewall-rule create コマンドを使用して、Web アプリのパブリック IP アドレスの MySQL サーバーファイアウォールを構成します。Web アプリのパブリック IP アドレスは、az webapp show コマンドで取得できます。

1. 左側のナビゲーションウィンドウで、[防御設定] > アクセス制御 > インターネットボーダー を選択します。

2. [推奨インテリジェントポリシー] ページに移動します。次のいずれかの方法を使用できます。

   • ポリシーリストの上にある右上隅で、[インテリジェントポリシー] をクリックします。表示されるパネルで、[送信] または [受信] タブをクリックします。

     

   • アウトバウンド または インバウンド タブで、Create Policy をクリックします。表示されるパネルで、[推奨インテリジェントポリシー] タブをクリックします。

3. 推奨インテリジェントポリシーを表示して適用します。ポリシーを見つけて [ポリシーの適用] をクリックします。または、複数のポリシーを選択して 一括送信 をクリックすることもできます。

推奨される共通ポリシーの適用

推奨される共通ポリシーがビジネス要件を満たしている場合は、ポリシーを適用できます。

1. 左側のナビゲーションウィンドウで、[防御設定] > アクセス制御 > インターネットボーダー を選択します。

2. アウトバウンド タブまたは インバウンド タブで、Create Policy をクリックします。表示されるパネルで、[推奨される共通ポリシー] タブをクリックします。

3. 推奨される共通ポリシーを表示して適用します。ポリシーを見つけて、Quick Apply をクリックします。