チュートリアル:Azure portal を使用して Web アプリケーションファイアウォールのあるアプリケーションゲートウェイを作成する

[アーティクル]
05/11/2023

このチュートリアルでは、Azure portal を使用して、Web アプリケーションファイアウォール (WAF) のあるアプリケーションゲートウェイを作成する方法を示します。 WAF は、OWASP ルールを使用してアプリケーションを保護します。こうしたルールには、SQL インジェクション、クロスサイトスクリプティング攻撃、セッションハイジャックなどの攻撃に対する保護が含まれます。アプリケーションゲートウェイを作成してから、それをテストして正しく動作していることを確認します。 Azure Application Gateway では、ポートにリスナーを割り当て、ルールを作成し、バックエンドプールにリソースを追加することによって、お客様のアプリケーション Web トラフィックを特定のリソースに転送します。わかりやすくするために、このチュートリアルでは、パブリックフロントエンド IP、このアプリケーションゲートウェイで単一サイトをホストするための基本リスナー、バックエンドプールに使用される 2 つの Linux 仮想マシン、および基本要求ルーティング規則を使用する簡単な設定を使用します。

このチュートリアルでは、以下の内容を学習します。

WAF 対応のアプリケーションゲートウェイの作成
バックエンドサーバーとして使用される仮想マシンの作成
ストレージアカウントの作成と診断の構成
アプリケーションゲートウェイのテスト

Web アプリケーションファイアウォールの例の図。

Note

Azure を操作するには、Azure Az PowerShell モジュールを使用することをお勧めします。作業を開始するには、Azure PowerShell のインストールに関する記事を参照してください。 Az PowerShell モジュールに移行する方法については、「AzureRM から Az への Azure PowerShell の移行」を参照してください。

前提条件

Azure サブスクリプションをお持ちでない場合は、開始する前に無料アカウントを作成してください。

Azure portal にサインインします。

アプリケーションゲートウェイの作成

Azure portal の左側のメニューにある [リソースの作成] を選択します。 [新規作成] ウィンドウが表示されます。
[ネットワーク] を選択し、おすすめのリストで [Application Gateway] を選択します。

[基本] タブ

[基本] タブで、次のアプリケーションゲートウェイの設定に以下の値を入力します。
- [リソースグループ] :リソースグループには、myResourceGroupAG を選択します。存在しない場合は、 [新規作成] を選択して作成します。
- [アプリケーションゲートウェイ名] :アプリケーションゲートウェイの名前として「myAppGateway」と入力します。
- [レベル] : [WAF V2] を選択します。
- [WAF ポリシー]: [新規作成] を選択し、新しいポリシーの名前を入力して [OK] を選択します。マネージドコアルールセット (CRS) を含む基本の WAF ポリシーが作成されます。
お客様が作成するリソースの間で Azure による通信が行われるには、仮想ネットワークが必要です。新しい仮想ネットワークを作成することも、既存の仮想ネットワークを使用することもできます。この例では、アプリケーションゲートウェイの作成と同時に新しい仮想ネットワークを作成します。 Application Gateway インスタンスは、個別のサブネットに作成されます。この例では 2 つのサブネットを作成します。1 つはアプリケーションゲートウェイ用で、もう 1 つはバックエンドサーバー用です。

[仮想ネットワークの構成] で、[新規作成] を選択して新しい仮想ネットワークを作成します。 [仮想ネットワークの作成] ウィンドウが開いたら、次の値を入力して、仮想ネットワークと 2 つのサブネットを作成します。
- Name:仮想ネットワークの名前として「myVNet」と入力します。
- [サブネット名] (Application Gateway サブネット): [サブネット] グリッドには、 [既定] という名前のサブネットが表示されます。このサブネットの名前を myAGSubnet に変更します。
  アプリケーションゲートウェイサブネットには、アプリケーションゲートウェイのみを含めることができます。その他のリソースは許可されません。
- [サブネット名] (バックエンドサーバーサブネット): [サブネット] グリッドの 2 行目で、 [サブネット名] 列に「myBackendSubnet」と入力します。
- [アドレス範囲] (バックエンドサーバーサブネット): [サブネット] グリッドの 2 行目に、myAGSubnet のアドレス範囲と重複しないアドレス範囲を入力します。たとえば、myAGSubnet のアドレス範囲が 10.21.0.0/24 の場合は、myBackendSubnet のアドレス範囲として「10.21.1.0/24」と入力します。
[OK] を選択して [仮想ネットワークの作成] ウィンドウを閉じ、仮想ネットワークの設定を保存します。
[基本] タブで、その他の設定の既定値をそのまま使用し、 [次へ:フロントエンド] を選択します。

[フロントエンド] タブ

[フロントエンド] タブで、 [フロントエンド IP アドレスの種類] が [パブリック] に設定されていることを確認します。
ユースケースに従って、フロントエンド IP を [パブリック] または [両方] に設定できます。この例では、パブリックフロントエンド IP を選択します。

Note

Application Gateway v2 SKU では、[パブリック] と [両方] のフロントエンド IP アドレスの種類が現在サポートされています。 [プライベート] フロントエンド IP 構成のみは、現在サポートされていません。
[パブリック IP アドレス] として [新規追加] を選択し、パブリック IP アドレス名として「myAGPublicIPAddress」と入力し、 [OK] を選択します。
バックエンド を選択します。

[バックエンド] タブ

バックエンドプールは、要求を処理するバックエンドサーバーに要求をルーティングするために使用されます。バックエンドプールは、NIC、仮想マシンスケールセット、パブリック IP、内部 IP、完全修飾ドメイン名 (FQDN)、および Azure App Service などのマルチテナントバックエンドで構成できます。この例では、アプリケーションゲートウェイを使用して空のバックエンドプールを作成した後、バックエンドターゲットをバックエンドプールに追加します。

[バックエンド] タブで、 [バックエンドプールの追加] を選択します。
開いた [バックエンドプールの追加] ウィンドウで、次の値を入力して空のバックエンドプールを作成します。
- Name:バックエンドプールの名前として「myBackendPool」と入力します。
- [ターゲットを持たないバックエンドプールを追加します] : [はい] を選択して、ターゲットを持たないバックエンドプールを作成します。アプリケーションゲートウェイを作成した後で、バックエンドターゲットを追加します。
[バックエンドプールの追加] ウィンドウで、 [追加] を選択してバックエンドプールの構成を保存し、 [バックエンド] タブに戻ります。
[バックエンド] タブで、 [次へ:構成] を選択します。

[構成] タブ

[構成] タブで、ルーティング規則を使用して作成したフロントエンドとバックエンドプールを接続します。

[ルーティング規則] 列で [ルーティング規則の追加] を選択します。
開いた [ルーティング規則の追加] ウィンドウで、 [規則名] に「myRoutingRule」と入力します。
[優先度] に、優先度番号を入力します。
ルーティング規則にはリスナーが必要です。 [ルーティング規則の追加] ウィンドウ内の [リスナー] タブで、リスナーの次の値を入力します。
- [リスナー名] :リスナーの名前として「myListener」と入力します。
- [フロントエンド IP] : [パブリック] を選択して、フロントエンド用に作成したパブリック IP を選択します。
  
  [リスナー] タブで他の設定の既定値をそのまま使用し、 [バックエンドターゲット] タブを選択して、ルーティング規則の残りの部分を構成します。
[バックエンドターゲット] タブで、 [バックエンドターゲット] の [myBackendPool] を選択します。
[バックエンド設定] で、[新規追加] を選択して新しいバックエンド設定を作成します。この設定によって、ルーティング規則の動作が決まります。開いた [Add Backend setting](バックエンド設定の追加) ウィンドウで、[Backend settings name](バックエンド設定名) として「myBackendSetting」と入力します。ウィンドウの他の設定については既定値をそのまま使用し、[追加] を選択して [ルーティング規則の追加] ウィンドウに戻ります。
[ルーティング規則の追加] ウィンドウで [追加] を選択してルーティング規則を保存し、 [構成] タブに戻ります。
タグ、次へ:確認と作成 をクリックします。

[確認と作成] タブ

[確認と作成 ] タブの設定を確認し、 [作成] を選択して、仮想ネットワーク、パブリック IP アドレス、およびアプリケーションゲートウェイを作成します。 Azure によるアプリケーションゲートウェイの作成には数分かかる場合があります。

次のセクションに進む前に、デプロイが正常に完了するまで待機します。

バックエンドターゲットの追加

この例では、ターゲットのバックエンドとして仮想マシンを使用します。既存の仮想マシンを使用することも、新しい仮想マシンを作成することもできます。 Azure がアプリケーションゲートウェイのバックエンドサーバーとして使用する 2 つの仮想マシンを作成します。

これを行うには、次を実行します。

バックエンドサーバーとして使用される 2 つの新しい Linux VM (myVM と myVM2) を作成します。
NGINX を仮想マシンにインストールして、アプリケーションゲートウェイが正常に作成されたことを確認します。
バックエンドサーバーをバックエンドプールに追加します。

仮想マシンの作成

Azure portal で、 [リソースの作成] を選択します。 [リソースの作成] ウィンドウが表示されます。
[仮想マシン] で、[作成] を選択します。
[基本] タブで、次の仮想マシンの設定に以下の値を入力します。
- [リソースグループ] :リソースグループ名には、myResourceGroupAG を選択します。
- [仮想マシン名] : 仮想マシンの名前として「myVM」と入力します。
- [イメージ]: Ubuntu Server 20.04 LTS - Gen2。
- [認証の種類]: パスワード
- [ユーザー名]: 管理者ユーザーの名前を入力します。
- [パスワード] : 管理者のパスワードを入力します。
- [パブリック受信ポート] : [なし] を選択します。
他の既定値をそのまま使用し、 [Next: ディスク] を選択します。
[ディスク] タブの既定値をそのまま使用し、 [Next: Networking](次へ : ネットワーク) を選択します。
[ネットワーク] タブで、 [仮想ネットワーク] に myVNet が選択されていること、および [サブネット] が myBackendSubnet に設定されていることを確認します。
[パブリック IP] で、 [なし] を選択します。
他の既定値をそのまま使用し、 [Next: 管理] を選択します。
[次へ: 監視] を選択し、[起動の診断] を [無効] に設定します。他の既定値をそのまま使用し、 [確認および作成] を選択します。
[確認および作成] タブで、設定を確認し、検証エラーを修正してから、 [作成] を選択します。
仮想マシンの作成が完了するのを待って先に進みます。

テスト用に NGINX をインストールする

この例では、Azure がアプリケーションゲートウェイを正常に作成したことを確認するためにのみ、仮想マシンに NGINX をインストールします。

Bash Cloud Shell を開きます。そのためには、Azure portal の上部のナビゲーションバーで [Cloud Shell] アイコンを選択して、ドロップダウンリストで [Bash] を選択します。

次のコマンドを実行して、NGINX を仮想マシンにインストールします。

 az vm extension set \
 --publisher Microsoft.Azure.Extensions \
 --version 2.0 \
 --name CustomScript \
 --resource-group myResourceGroupAG \
 --vm-name myVM \
 --settings '{ "fileUris": ["https://raw.githubusercontent.com/Azure/azure-docs-powershell-samples/master/application-gateway/iis/install_nginx.sh"], "commandToExecute": "./install_nginx.sh" }'

2 つ目の仮想マシンを作成し、先ほど完了した手順を使用して NGINX をインストールします。仮想マシン名とコマンドレットの --vm-name 設定に myVM2 を使用します。

バックエンドプールヘのバックエンドサーバーの追加

[すべてのリソース] を選択し、myAppGateway を選択します。
左側のメニューで [バックエンドプール] を選択します。
[myBackendPool] を選択します。
[ターゲットの種類] の下のドロップダウンリストで [仮想マシン] を選択します。
[ターゲット] で、myVM に関連付けられているネットワークインターフェイスをドロップダウンリストから選択します。
myVM2 についても同じ手順を繰り返します。
[保存] を選択します。
デプロイが完了するまで待ってから次の手順に進んでください。

アプリケーションゲートウェイのテスト

NGINX はアプリケーションゲートウェイを作成するのには不要ですが、Azure によってアプリケーションゲートウェイが正常に作成されたかどうかを確認するためにインストールしました。 Web サービスを使用して、アプリケーションゲートウェイをテストします。

[概要] ページで、アプリケーションゲートウェイのパブリック IP アドレスを見つけます。

または、[すべてのリソース] を選択し、検索ボックスに「myAGPublicIPAddress」と入力してから、検索結果でそれを選択できます。 Azure によって、 [概要] ページにパブリック IP アドレスが表示されます。
そのパブリック IP アドレスをコピーし、ブラウザーのアドレスバーに貼り付けます。
応答を確認します。応答が有効であれば、アプリケーションゲートウェイが正常に作成され、バックエンドと正常に接続できることが保証されます。

リソースをクリーンアップする

アプリケーションゲートウェイと共に作成したリソースが不要になったら、リソースグループを削除します。リソースグループを削除することで、アプリケーションゲートウェイとそのすべての関連リソースも削除します。

リソースグループを削除するには:

Azure portal の左側のメニューにある [リソースグループ] を選択します。
[リソースグループ] ページで、リストの myResourceGroupAG を探して選択します。
[リソースグループ] ページで、 [リソースグループの削除] を選択します。
[TYPE THE RESOURCE GROUP NAME](リソースグループ名を入力してください) に「myResourceGroupAG」と入力し、 [削除] を選択します。

次のステップ

Web アプリケーションファイアウォールの詳細

チュートリアル:Azure portal を使用して Web アプリケーション ファイアウォールのあるアプリケーション ゲートウェイを作成する