クイックスタート: 複数のパブリック IP アドレスを持つ Azure Firewall を作成する - Terraform

2025-04-24

このクイックスタートでは、Terraform を使用して、パブリック IP アドレスプレフィックスから複数のパブリック IP アドレスを持つ Azure Firewall をデプロイします。デプロイ後のファイアウォールには、2 つの Windows Server 2019 仮想マシンへの RDP 接続を許可する NAT 規則コレクションルールが割り当てられます。

Terraform を使用すると、クラウドインフラストラクチャの定義、プレビュー、デプロイが可能になります。 Terraform を使用して、 HCL 構文を使用して構成ファイルを作成します。 HCL 構文を使用すると、クラウドプロバイダー (Azure など) とクラウドインフラストラクチャを構成する要素を指定できます。構成ファイルを作成したら、インフラストラクチャの変更をデプロイする前にプレビューできる 実行プラン を作成します。変更を確認したら、実行プランを適用してインフラストラクチャをデプロイします。

複数のパブリック IP アドレスを持つ Azure Firewall の詳細については、「 Azure PowerShell を使用して複数のパブリック IP アドレスを持つ Azure Firewall をデプロイする」を参照してください。

この記事では、次の方法について説明します。

random_petを使用してランダムな値 (リソースグループ名で使用される) を作成する

random_passwordを使用して Windows VM のランダムなパスワードを作成する

azurerm_resource_groupを使用して Azure リソースグループを作成する

azurerm_public_ip_prefixを使用して Azure パブリック IP プレフィックスを作成する

azurerm_public_ipを使用して Azure パブリック IP を作成する

azurerm_virtual_networkを使用して Azure Virtual Network を作成する

azurerm_subnetを使用して Azure サブネットを作成する

azurerm_network_interfaceを使用してネットワークインターフェイスを作成する

azurerm_network_security_groupを使用してネットワークセキュリティグループを作成する (ネットワークセキュリティ規則の一覧を含む)

azurerm_network_interface_security_group_associationを使用してネットワークインターフェイスとネットワークセキュリティグループ間の関連付けを作成する

azurerm_windows_virtual_machineを使用して Windows 仮想マシンを作成する

azurerm_firewall_policyを使用して Azure Firewall ポリシーを作成する

azurerm_firewall_policy_rule_collection_groupを使用して Azure Firewall ポリシー規則コレクショングループを作成する

azurerm_firewallを使用して Azure Firewall を作成する

azurerm_route_tableを使用してルートテーブルを作成する

を使用してルートテーブルとサブネット間の関連付けを作成 azurerm_subnet_route_table_association

[前提条件]

Terraform のインストールと構成

Terraform コードを実装する

注

この記事のサンプルコードは、 Azure Terraform GitHub リポジトリにあります。 Terraform の現在および以前のバージョンからのテスト結果を含むログファイルを表示できます。

Terraform を使用して Azure リソースを管理する方法を示すその他の記事とサンプルコードを参照してください

サンプルの Terraform コードをテストするディレクトリを作成し、それを現在のディレクトリにします。

providers.tf という名前のファイルを作成し、次のコードを挿入します。

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~>3.0"
    }
    random = {
      source  = "hashicorp/random"
      version = "~>3.0"
    }
  }
}

provider "azurerm" {
  features {
    virtual_machine {
      delete_os_disk_on_deletion     = true
      skip_shutdown_and_force_delete = true
    }
  }
}

main.tf という名前のファイルを作成し、次のコードを挿入します。

resource "random_pet" "rg_name" {
  prefix = var.resource_group_name_prefix
}

resource "random_password" "password" {
  count       = 2
  length      = 20
  min_lower   = 1
  min_upper   = 1
  min_numeric = 1
  min_special = 1
  special     = true
}

resource "azurerm_resource_group" "rg" {
  name     = random_pet.rg_name.id
  ___location = var.resource_group_location
}

resource "azurerm_public_ip_prefix" "pip_prefix" {
  name                = "pip-prefix"
  ___location            = azurerm_resource_group.rg.___location
  resource_group_name = azurerm_resource_group.rg.name
  sku                 = "Standard"
  prefix_length       = 31
}

resource "azurerm_public_ip" "pip_azfw" {
  name                = "pip-azfw"
  ___location            = azurerm_resource_group.rg.___location
  resource_group_name = azurerm_resource_group.rg.name
  sku                 = "Standard"
  allocation_method   = "Static"
  public_ip_prefix_id = azurerm_public_ip_prefix.pip_prefix.id
}

resource "azurerm_public_ip" "pip_azfw_2" {
  name                = "pip-azfw-1"
  ___location            = azurerm_resource_group.rg.___location
  resource_group_name = azurerm_resource_group.rg.name
  sku                 = "Standard"
  allocation_method   = "Static"
  public_ip_prefix_id = azurerm_public_ip_prefix.pip_prefix.id
}

resource "azurerm_virtual_network" "azfw_vnet" {
  name                = "azfw-vnet"
  ___location            = azurerm_resource_group.rg.___location
  resource_group_name = azurerm_resource_group.rg.name
  address_space       = ["10.10.0.0/16"]
}

resource "azurerm_subnet" "azfw_subnet" {
  name                 = "AzureFirewallSubnet"
  resource_group_name  = azurerm_resource_group.rg.name
  virtual_network_name = azurerm_virtual_network.azfw_vnet.name
  address_prefixes     = ["10.10.0.0/26"]
}

resource "azurerm_subnet" "backend_subnet" {
  name                 = "subnet-backend"
  resource_group_name  = azurerm_resource_group.rg.name
  virtual_network_name = azurerm_virtual_network.azfw_vnet.name
  address_prefixes     = ["10.10.1.0/24"]
}

resource "azurerm_network_interface" "backend_nic" {
  count               = 2
  name                = "nic-backend-${count.index + 1}"
  ___location            = azurerm_resource_group.rg.___location
  resource_group_name = azurerm_resource_group.rg.name

  ip_configuration {
    name                          = "ipconfig-backend-${count.index + 1}"
    subnet_id                     = azurerm_subnet.backend_subnet.id
    private_ip_address_allocation = "Dynamic"
  }
}

resource "azurerm_network_security_group" "backend_nsg" {
  name                = "nsg-backend"
  ___location            = azurerm_resource_group.rg.___location
  resource_group_name = azurerm_resource_group.rg.name
  security_rule {
    name                       = "RDP"
    priority                   = 300
    direction                  = "Inbound"
    access                     = "Allow"
    protocol                   = "Tcp"
    source_port_range          = "*"
    destination_port_range     = "3389"
    source_address_prefix      = "*"
    destination_address_prefix = "*"
  }
}

resource "azurerm_network_interface_security_group_association" "vm_backend_nsg_association" {
  count                     = 2
  network_interface_id      = azurerm_network_interface.backend_nic[count.index].id
  network_security_group_id = azurerm_network_security_group.backend_nsg.id
}

resource "azurerm_windows_virtual_machine" "vm_backend" {
  count                 = 2
  name                  = "vm-backend-${count.index + 1}"
  resource_group_name   = azurerm_resource_group.rg.name
  ___location              = azurerm_resource_group.rg.___location
  size                  = var.virtual_machine_size
  admin_username        = var.admin_username
  admin_password        = random_password.password[count.index].result
  network_interface_ids = [azurerm_network_interface.backend_nic[count.index].id]
  os_disk {
    caching              = "ReadWrite"
    storage_account_type = "Standard_LRS"
  }
  source_image_reference {
    publisher = "MicrosoftWindowsServer"
    offer     = "WindowsServer"
    sku       = "2019-Datacenter"
    version   = "latest"
  }
}

resource "azurerm_firewall_policy" "azfw_policy" {
  name                     = "azfw-policy"
  resource_group_name      = azurerm_resource_group.rg.name
  ___location                 = azurerm_resource_group.rg.___location
  sku                      = var.firewall_sku_tier
  threat_intelligence_mode = "Alert"
}

resource "azurerm_firewall_policy_rule_collection_group" "policy_rule_collection_group" {
  name               = "RuleCollectionGroup"
  firewall_policy_id = azurerm_firewall_policy.azfw_policy.id
  priority           = 300
  application_rule_collection {
    name     = "web"
    priority = 100
    action   = "Allow"
    rule {
      name = "wan-address"
      protocols {
        type = "Http"
        port = 80
      }
      protocols {
        type = "Https"
        port = 443
      }
      destination_fqdns = ["getmywanip.com"]
      source_addresses  = ["*"]
    }
    rule {
      name = "google"
      protocols {
        type = "Http"
        port = 80
      }
      protocols {
        type = "Https"
        port = 443
      }
      destination_fqdns = ["www.google.com"]
      source_addresses  = ["10.10.1.0/24"]
    }
    rule {
      name = "wupdate"
      protocols {
        type = "Http"
        port = 80
      }
      protocols {
        type = "Https"
        port = 443
      }
      destination_fqdn_tags = ["WindowsUpdate"]
      source_addresses      = ["*"]
    }
  }
  nat_rule_collection {
    name     = "Coll-01"
    action   = "Dnat"
    priority = 200
    rule {
      name                = "rdp-01"
      protocols           = ["TCP"]
      translated_address  = "10.10.1.4"
      translated_port     = "3389"
      source_addresses    = ["*"]
      destination_address = azurerm_public_ip.pip_azfw.ip_address
      destination_ports   = ["3389"]
    }
    rule {
      name                = "rdp-02"
      protocols           = ["TCP"]
      translated_address  = "10.10.1.5"
      translated_port     = "3389"
      source_addresses    = ["*"]
      destination_address = azurerm_public_ip.pip_azfw.ip_address
      destination_ports   = ["3389"]
    }
  }
}

resource "azurerm_firewall" "fw" {
  name                = "azfw"
  ___location            = azurerm_resource_group.rg.___location
  resource_group_name = azurerm_resource_group.rg.name
  sku_name            = "AZFW_VNet"
  sku_tier            = var.firewall_sku_tier
  ip_configuration {
    name                 = "azfw-ipconfig"
    subnet_id            = azurerm_subnet.azfw_subnet.id
    public_ip_address_id = azurerm_public_ip.pip_azfw.id
  }
  ip_configuration {
    name                 = "azfw-ipconfig-2"
    public_ip_address_id = azurerm_public_ip.pip_azfw_2.id
  }
  firewall_policy_id = azurerm_firewall_policy.azfw_policy.id
}

resource "azurerm_route_table" "rt" {
  name                          = "rt-azfw-eus"
  ___location                      = azurerm_resource_group.rg.___location
  resource_group_name           = azurerm_resource_group.rg.name
  disable_bgp_route_propagation = false
  route {
    name                   = "azfw"
    address_prefix         = "0.0.0.0/0"
    next_hop_type          = "VirtualAppliance"
    next_hop_in_ip_address = "10.10.0.4"
  }
}

resource "azurerm_subnet_route_table_association" "jump_subnet_rt_association" {
  subnet_id      = azurerm_subnet.backend_subnet.id
  route_table_id = azurerm_route_table.rt.id
}

variables.tf という名前のファイルを作成し、次のコードを挿入します。

variable "resource_group_location" {
  type        = string
  description = "Location for all resources."
  default     = "eastus"
}

variable "resource_group_name_prefix" {
  type        = string
  description = "Prefix for the Resource Group Name that's combined with a random id so name is unique in your Azure subcription."
  default     = "rg"
}

variable "firewall_sku_tier" {
  type        = string
  description = "Firewall SKU."
  default     = "Premium" # Valid values are Standard and Premium
  validation {
    condition     = contains(["Standard", "Premium"], var.firewall_sku_tier)
    error_message = "The SKU must be one of the following: Standard, Premium"
  }
}

variable "virtual_machine_size" {
  type        = string
  description = "Size of the virtual machine."
  default     = "Standard_D2_v3"
}

variable "admin_username" {
  type        = string
  description = "Value of the admin username."
  default     = "azureuser"
}

outputs.tf という名前のファイルを作成し、次のコードを挿入します。

output "resource_group_name" {
  value = azurerm_resource_group.rg.name
}
output "backend_admin_password" {
  sensitive = true
  value     = azurerm_windows_virtual_machine.vm_backend[*].admin_password
}

Terraform を初期化する

terraform init 実行して、Terraform デプロイを初期化します。このコマンドは、Azureリソースを管理するために必要なAzureプロバイダーをダウンロードします。

terraform init -upgrade

重要なポイント:

-upgrade パラメーターは、必要なプロバイダープラグインを、構成のバージョン制約に準拠する最新バージョンにアップグレードします。

Terraform実行計画を作成する

terraform プランを実行して実行プランを作成します。

terraform plan -out main.tfplan

重要なポイント:

terraform plan コマンドは実行プランを作成しますが、実行はしません。代わりに、それは設定ファイルで指定された設定を作成するために必要な手順を決定します。このパターンを使用すると、実際のリソースに変更を加える前に、実行プランが期待と一致するかどうかを確認できます。
任意の-outパラメーターを使用すると、プランの出力ファイルを指定することができます。 -out パラメーターを使用すると、レビューしたプランがそのまま適用されることが保証されます。

Terraform 実行プランを適用する

terraform apply を実行して、実行プランをクラウドインフラストラクチャに適用します。

terraform apply main.tfplan

重要なポイント:

terraform apply コマンドの例では、以前に terraform plan -out main.tfplanを実行していることを前提としています。
-out パラメーターに別のファイル名を指定した場合は、terraform apply への呼び出しで同じファイル名を使用してください。
-out パラメーターを使用しなかった場合は、パラメーターを指定せずに terraform apply を呼び出します。

結果を確認してください。

Azure CLI

Azure リソースグループ名を取得します。

resource_group_name=$(terraform output -raw resource_group_name)

az network ip-group list を実行して、2 つの新しい IP グループを表示します。
```
az network ip-group list --resource-group $resource_group_name
```

リソースをクリーンアップする

Terraform を使用して作成されたリソースが不要になったら、次の手順を実行します。

terraform プランを実行し、destroy フラグを指定します。
```
terraform plan -destroy -out main.destroy.tfplan
```
重要なポイント:
- terraform plan コマンドは実行プランを作成しますが、実行はしません。代わりに、それは設定ファイルで指定された設定を作成するために必要な手順を決定します。このパターンを使用すると、実際のリソースに変更を加える前に、実行プランが期待と一致するかどうかを確認できます。
- 任意の-outパラメーターを使用すると、プランの出力ファイルを指定することができます。 -out パラメーターを使用すると、レビューしたプランがそのまま適用されることが保証されます。
terraform apply を実行して実行プランを適用します。
```
terraform apply main.destroy.tfplan
```

Azure での Terraform のトラブルシューティング

Azure で Terraform を使用するときの一般的な問題のトラブルシューティング

次のステップ

チュートリアル: Azure portal を使用してハイブリッドネットワークに Azure Firewall をデプロイして構成する

次の方法で共有

クイック スタート: 複数のパブリック IP アドレスを持つ Azure Firewall を作成する - Terraform

[前提条件]

Terraform コードを実装する

Terraform を初期化する

Terraform実行計画を作成する

Terraform 実行プランを適用する

結果を確認してください。

リソースをクリーンアップする

Azure での Terraform のトラブルシューティング

次のステップ

フィードバック

その他のリソース

クイックスタート: 複数のパブリック IP アドレスを持つ Azure Firewall を作成する - Terraform