Criar, alterar ou eliminar um grupo de segurança de rede
As regras de segurança em grupos de segurança de rede permitem-lhe filtrar o tipo de tráfego que pode fluir de/para as sub-redes da rede virtual e as interfaces de rede. Para saber mais sobre grupos de segurança de rede, consulte Visão geral de grupos de segurança de rede. Em seguida, conclua o tutorial Filtrar tráfego de rede para obter alguma experiência com grupos de segurança de rede.
Pré-requisitos
Se não tiver uma conta do Azure com uma subscrição ativa, crie uma gratuitamente. Conclua uma destas tarefas antes de iniciar o restante deste artigo:
Utilizadores do portal: inicie sessão no portal do Azure com a sua conta do Azure.
Usuários do PowerShell: execute os comandos no Azure Cloud Shell ou execute o PowerShell localmente a partir do seu computador. O Azure Cloud Shell é um shell interativo gratuito que pode utilizar para executar os passos neste artigo. Tem as ferramentas comuns do Azure pré-instaladas e configuradas para utilização com a sua conta. Na guia do navegador Azure Cloud Shell, localize a lista suspensa Selecionar ambiente e escolha PowerShell se ainda não estiver selecionada.
Se você estiver executando o PowerShell localmente, use o módulo do Azure PowerShell versão 1.0.0 ou posterior. Execute
Get-Module -ListAvailable Az.Networkpara localizar a versão instalada. Se precisar de instalar ou atualizar, veja Install Azure PowerShell module(Instalar o módulo do Azure PowerShell). ExecuteConnect-AzAccountpara entrar no Azure.Usuários da CLI do Azure: execute os comandos no Azure Cloud Shell ou execute a CLI do Azure localmente a partir do seu computador. O Azure Cloud Shell é um shell interativo gratuito que pode utilizar para executar os passos neste artigo. Tem as ferramentas comuns do Azure pré-instaladas e configuradas para utilização com a sua conta. Na guia do navegador Azure Cloud Shell, localize a lista suspensa Selecionar ambiente e escolha Bash se ainda não estiver selecionada.
Se você estiver executando a CLI do Azure localmente, use a CLI do Azure versão 2.0.28 ou posterior. Execute
az --versionpara localizar a versão instalada. Se precisar de instalar ou atualizar, veja Install Azure CLI (Instalar o Azure CLI). Executeaz loginpara entrar no Azure.
Atribua a função de colaborador de rede ou uma função personalizada com as permissões apropriadas.
Trabalhar com grupos de segurança de rede
Você pode criar, exibir tudo, exibir detalhes, alterar e excluir um grupo de segurança de rede. Você também pode associar ou dissociar um grupo de segurança de rede de uma interface de rede ou sub-rede.
Criar um grupo de segurança de rede
Há um limite para quantos grupos de segurança de rede você pode criar para cada região e assinatura do Azure. Para saber mais, consulte Limites de assinatura, cotas e restrições de serviço e assinatura do Azure.
Na caixa de pesquisa na parte superior do portal, insira Grupo de segurança de rede. Selecione Grupos de segurança de rede nos resultados da pesquisa.
Selecione + Criar.
Na página Criar grupo de segurança de rede, na guia Noções básicas, insira ou selecione os seguintes valores:
Definição Ação Detalhes do projeto Subscrição Selecione a subscrição do Azure. Grupo de recursos Selecione um grupo de recursos existente ou crie um novo selecionando Criar novo. Este exemplo usa o grupo de recursos myResourceGroup . Detalhes da instância Nome do grupo de segurança de rede Introduza um nome para o grupo de segurança de rede que está a criar. Região Selecione a região desejada. 
Selecione Rever + criar.
Depois de ver a mensagem Validação aprovada , selecione Criar.
Ver todos os grupos de segurança de rede
Na caixa de pesquisa na parte superior do portal, insira Grupo de segurança de rede. Selecione Grupos de segurança de rede nos resultados da pesquisa para ver a lista de grupos de segurança de rede na sua subscrição.
Ver detalhes de um grupo de segurança de rede
Na caixa de pesquisa na parte superior do portal, introduza Grupo de segurança de rede e selecione Grupos de segurança de rede nos resultados da pesquisa.
Selecione o nome do seu grupo de segurança de rede.
Em Configurações, você pode exibir as regras de segurança de entrada, regras de segurança de saída, interfaces de rede e sub-redes às quais o grupo de segurança de rede está associado.
Em Monitoramento, você pode habilitar ou desabilitar as configurações de diagnóstico. Para obter mais informações, consulte Log de recursos para um grupo de segurança de rede.
Em Ajuda, pode ver Regras de segurança eficazes. Para obter mais informações, consulte Diagnosticar um problema de filtro de tráfego de rede de máquina virtual.
Para saber mais sobre as configurações comuns do Azure listadas, consulte os seguintes artigos:
Alterar um grupo de segurança de rede
As alterações mais comuns em um grupo de segurança de rede são:
Associar ou dissociar um grupo de segurança de rede de ou para uma interface de rede
Associar ou dissociar um grupo de segurança de rede de ou para uma sub-rede
Associar ou dissociar um grupo de segurança de rede de ou para uma interface de rede
Para obter mais informações sobre a associação e dissociação de um grupo de segurança de rede, consulte Associar ou dissociar um grupo de segurança de rede.
Associar ou dissociar um grupo de segurança de rede de ou para uma sub-rede
Na caixa de pesquisa na parte superior do portal, introduza Grupo de segurança de rede e selecione Grupos de segurança de rede nos resultados da pesquisa.
Selecione o nome do seu grupo de segurança de rede e, em seguida, selecione Sub-redes.
Para associar um grupo de segurança de rede à sub-rede, selecione + Associar e, em seguida, selecione a sua rede virtual e a sub-rede à qual pretende associar o grupo de segurança de rede. Selecione OK.
Para dissociar um grupo de segurança de rede da sub-rede, selecione os três pontos ao lado da sub-rede da qual você deseja dissociar o grupo de segurança de rede e selecione Dissociar. Selecione Yes (Sim).
Excluir um grupo de segurança de rede
Se um grupo de segurança de rede estiver associado a sub-redes ou interfaces de rede, ele não poderá ser excluído. Dissocie um grupo de segurança de rede de todas as sub-redes e interfaces de rede antes de tentar excluí-lo.
Na caixa de pesquisa na parte superior do portal, introduza Grupo de segurança de rede e selecione Grupos de segurança de rede nos resultados da pesquisa.
Selecione o grupo de segurança de rede que deseja excluir.
Selecione Excluir e, em seguida, selecione Sim na caixa de diálogo de confirmação.
Trabalhar com regras de segurança
Um grupo de segurança de rede contém zero ou mais regras de segurança. Você pode criar, exibir tudo, exibir detalhes, alterar e excluir uma regra de segurança.
Criar uma regra de segurança
Há um limite para quantas regras por grupo de segurança de rede você pode criar para cada local e assinatura do Azure. Para saber mais, consulte Limites de assinatura, cotas e restrições de serviço e assinatura do Azure.
Na caixa de pesquisa na parte superior do portal, introduza Grupo de segurança de rede e selecione Grupos de segurança de rede nos resultados da pesquisa.
Selecione o nome do grupo de segurança de rede ao qual pretende adicionar uma regra de segurança.
Selecione Regras de segurança de entrada ou Regras de segurança de saída.
Várias regras existentes estão listadas, incluindo algumas que você pode não ter adicionado. Quando você cria um grupo de segurança de rede, várias regras de segurança padrão são criadas nele. Para saber mais, consulte Regras de segurança padrão. Não é possível excluir regras de segurança padrão, mas substituí-las por regras com prioridade mais alta.
Selecione + Adicionar. Selecione ou adicione valores para as seguintes configurações e, em seguida, selecione Adicionar:
Definição valor Detalhes Source Um dos seguintes: - Qualquer
- Endereços IP
- O meu endereço IP
- Etiqueta de serviço
- Grupo de segurança de aplicações
Se você escolher Endereços IP, também deverá especificar endereços IP de origem/intervalos CIDR.
Se você escolher Etiqueta de serviço, também deverá escolher uma etiqueta de serviço de origem.
Se você escolher Grupo de segurança de aplicativo, também deverá escolher um grupo de segurança de aplicativo existente. Se você escolher Grupo de segurança de aplicativo para Origem e Destino, as interfaces de rede dentro de ambos os grupos de segurança de aplicativo deverão estar na mesma rede virtual. Saiba como criar um grupo de segurança de aplicativo.
Endereços IP de origem/intervalos CIDR Uma lista delimitada por vírgulas de endereços IP e intervalos CIDR (Roteamento entre Domínios sem Classe) Essa configuração será exibida se você definir Origem como Endereços IP. Você deve especificar um único valor ou uma lista separada por vírgulas de vários valores. Um exemplo de valores múltiplos é
10.0.0.0/16, 192.188.1.1. Há limites para o número de valores que você pode especificar. Para obter mais informações, consulte Limites do Azure.Se o endereço IP especificado for atribuído a uma VM do Azure, especifique seu endereço IP privado, não seu endereço IP público. O Azure processa regras de segurança depois de traduzir o endereço IP público para um endereço IP privado para regras de segurança de entrada, mas antes de traduzir um endereço IP privado para um endereço IP público para regras de saída. Para saber mais sobre endereços IP no Azure, consulte Endereços IP públicos e endereços IP privados.
Etiqueta de serviço de origem Uma etiqueta de serviço da lista pendente Essa configuração será exibida se você definir Source to Service Tag para uma regra de segurança. Uma etiqueta de serviço é um identificador predefinido para uma categoria de endereços IP. Para saber mais sobre as etiquetas de serviço disponíveis e o que cada etiqueta representa, consulte Etiquetas de serviço. Grupo de segurança do aplicativo de origem Um grupo de segurança de aplicativo existente Essa configuração será exibida se você definir Origem como Grupo de segurança Aplicativo. Selecione um grupo de segurança de aplicativo que exista na mesma região da interface de rede. Saiba como criar um grupo de segurança de aplicativo. Intervalos de portas de origem Um dos seguintes: - Uma única porta, como
80 - Uma variedade de portas, tais como
1024-65535 - Uma lista separada por vírgulas de portas únicas e/ou intervalos de portas, como
80, 1024-65535 - Um asterisco (
*) para permitir o tráfego em qualquer porto
Essa configuração especifica as portas nas quais a regra permite ou nega tráfego. Há limites para o número de portas que você pode especificar. Para obter mais informações, consulte Limites do Azure. Destino Um dos seguintes: - Qualquer
- Endereços IP
- Etiqueta de serviço
- Grupo de segurança de aplicações
Se você escolher endereços IP, também deverá especificar endereços IP de destino/intervalos CIDR.
Se você escolher Etiqueta de serviço, também deverá escolher uma etiqueta de serviço de destino.
Se você escolher Grupo de segurança de aplicativo, também deverá selecionar um grupo de segurança de aplicativo existente. Se você escolher Grupo de segurança de aplicativo para Origem e Destino, as interfaces de rede dentro de ambos os grupos de segurança de aplicativo deverão estar na mesma rede virtual. Saiba como criar um grupo de segurança de aplicativo.
Endereços IP de destino/intervalos CIDR Uma lista delimitada por vírgulas de endereços IP e intervalos CIDR Essa configuração será exibida se você alterar Destino para Endereços IP. Semelhante aos endereços IP de origem e de origem/intervalos CIDR, você pode especificar endereços ou intervalos únicos ou múltiplos. Há limites para o número que você pode especificar. Para obter mais informações, consulte Limites do Azure.
Se o endereço IP especificado for atribuído a uma VM do Azure, certifique-se de especificar seu IP privado, não seu endereço IP público. O Azure processa regras de segurança depois de traduzir o endereço IP público para um endereço IP privado para regras de segurança de entrada, mas antes de o Azure traduzir um endereço IP privado para um endereço IP público para regras de saída. Para saber mais sobre endereços IP no Azure, consulte Endereços IP públicos e endereços IP privados.
Etiqueta de serviço de destino Uma etiqueta de serviço da lista pendente Essa configuração será exibida se você definir Destino como Etiqueta de Serviço para uma regra de segurança. Uma etiqueta de serviço é um identificador predefinido para uma categoria de endereços IP. Para saber mais sobre as etiquetas de serviço disponíveis e o que cada etiqueta representa, consulte Etiquetas de serviço. Grupo de segurança do aplicativo de destino Um grupo de segurança de aplicativo existente Essa configuração será exibida se você definir Destino como grupo de segurança Aplicativo. Selecione um grupo de segurança de aplicativo que exista na mesma região da interface de rede. Saiba como criar um grupo de segurança de aplicativo. Serviço Um protocolo de destino da lista suspensa Essa configuração especifica o protocolo de destino e o intervalo de portas para a regra de segurança. Você pode escolher um serviço predefinido, como RDP, ou escolher Personalizado e fornecer o intervalo de portas em Intervalos de portas de destino. Intervalos de portas de destino Um dos seguintes: - Uma única porta, como
80 - Uma variedade de portas, tais como
1024-65535 - Uma lista separada por vírgulas de portas únicas e/ou intervalos de portas, como
80, 1024-65535 - Um asterisco (
*) para permitir o tráfego em qualquer porto
Assim como acontece com os intervalos de portas de origem, você pode especificar uma ou várias portas e intervalos. Há limites para o número que você pode especificar. Para obter mais informações, consulte Limites do Azure. Protocolo Qualquer, TCP, UDP ou ICMP Você pode restringir a regra ao TCP (Transmission Control Protocol), UDP (User Datagram Protocol) ou ICMP (Internet Control Message Protocol). O padrão é que a regra se aplique a todos os protocolos (Any). Ação Permitir ou Negar Essa configuração especifica se essa regra permite ou nega acesso para a configuração de origem e destino fornecida. Prioridade Um valor entre 100 e 4096 que é exclusivo para todas as regras de segurança dentro do grupo de segurança de rede O Azure processa regras de segurança em ordem de prioridade. Quanto menor o número, maior a prioridade. Recomendamos que você deixe uma lacuna entre os números de prioridade ao criar regras, como 100, 200 e 300. Deixar lacunas torna mais fácil adicionar regras no futuro, para que você possa dar-lhes prioridade maior ou menor do que as regras existentes. Nome Um nome exclusivo para a regra dentro do grupo de segurança de rede O nome pode ter até 80 caracteres. Deve começar com uma letra ou número, e deve terminar com uma letra, número ou sublinhado. O nome pode conter apenas letras, números, sublinhados, pontos ou hífenes. Descrição Uma descrição do texto Opcionalmente, você pode especificar uma descrição de texto para a regra de segurança. A descrição não pode ter mais de 140 caracteres. 
Ver todas as regras de segurança
Um grupo de segurança de rede contém zero ou mais regras. Para saber mais sobre as informações listadas ao exibir regras, consulte Regras de segurança.
Na caixa de pesquisa na parte superior do portal, introduza Grupo de segurança de rede e selecione Grupos de segurança de rede nos resultados da pesquisa.
Selecione o nome do grupo de segurança de rede para o qual você deseja exibir as regras.
Selecione Regras de segurança de entrada ou Regras de segurança de saída.
A lista contém todas as regras que você criou e as regras de segurança padrão do seu grupo de segurança de rede.
Ver detalhes de uma regra de segurança
Na caixa de pesquisa na parte superior do portal, introduza Grupo de segurança de rede e selecione Grupos de segurança de rede nos resultados da pesquisa.
Selecione o nome do grupo de segurança de rede para o qual você deseja exibir as regras.
Selecione Regras de segurança de entrada ou Regras de segurança de saída.
Selecione a regra para a qual pretende ver os detalhes. Para obter uma explicação de todas as configurações, consulte Configurações de regra de segurança.
Nota
Este procedimento só se aplica a uma regra de segurança personalizada. Não funciona se você escolher uma regra de segurança padrão.
Alterar uma regra de segurança
Na caixa de pesquisa na parte superior do portal, introduza Grupo de segurança de rede e selecione Grupos de segurança de rede nos resultados da pesquisa.
Selecione o nome do grupo de segurança de rede para o qual você deseja exibir as regras.
Selecione Regras de segurança de entrada ou Regras de segurança de saída.
Selecione a regra que deseja alterar.
Altere as configurações conforme necessário e selecione Salvar. Para obter uma explicação de todas as configurações, consulte Configurações de regra de segurança.
Nota
Este procedimento só se aplica a uma regra de segurança personalizada. Você não tem permissão para alterar uma regra de segurança padrão.
Excluir uma regra de segurança
Na caixa de pesquisa na parte superior do portal, introduza Grupo de segurança de rede e selecione Grupos de segurança de rede nos resultados da pesquisa.
Selecione o nome do grupo de segurança de rede para o qual você deseja exibir as regras.
Selecione Regras de segurança de entrada ou Regras de segurança de saída.
Selecione as regras que deseja excluir.
Selecione Eliminar e, em seguida, Sim.
Nota
Este procedimento só se aplica a uma regra de segurança personalizada. Você não tem permissão para excluir uma regra de segurança padrão.
Trabalhar com grupos de segurança de aplicações
Um grupo de segurança de aplicativo contém zero ou mais interfaces de rede. Para saber mais, consulte Grupos de segurança de aplicativos. Todas as interfaces de rede em um grupo de segurança de aplicativo devem existir na mesma rede virtual. Para saber como adicionar uma interface de rede a um grupo de segurança de aplicativo, consulte Adicionar uma interface de rede a um grupo de segurança de aplicativo.
Criar um grupo de segurança de aplicativo
Na caixa de pesquisa na parte superior do portal, insira Grupo de segurança do aplicativo. Selecione Grupos de segurança de aplicativos nos resultados da pesquisa.
Selecione + Criar.
Na página Criar um grupo de segurança de aplicativo, na guia Noções básicas, insira ou selecione os seguintes valores:
Definição Ação Detalhes do projeto Subscrição Selecione a subscrição do Azure. Grupo de recursos Selecione um grupo de recursos existente ou crie um novo selecionando Criar novo. Este exemplo usa o grupo de recursos myResourceGroup . Detalhes da instância Nome Insira um nome para o grupo de segurança do aplicativo que você está criando. Região Selecione a região na qual você deseja criar o grupo de segurança do aplicativo. 
Selecione Rever + criar.
Depois de ver a mensagem Validação aprovada , selecione Criar.
Exibir todos os grupos de segurança de aplicativos
Na caixa de pesquisa na parte superior do portal, insira Grupo de segurança do aplicativo. Selecione Grupos de segurança de aplicativos nos resultados da pesquisa. O portal do Azure exibe uma lista de seus grupos de segurança de aplicativos.
Exibir detalhes de um grupo de segurança de aplicativo específico
Na caixa de pesquisa na parte superior do portal, insira Grupo de segurança do aplicativo. Selecione Grupos de segurança de aplicativos nos resultados da pesquisa.
Selecione o grupo de segurança do aplicativo do qual você deseja exibir os detalhes.
Alterar um grupo de segurança de aplicativo
Na caixa de pesquisa na parte superior do portal, insira Grupo de segurança do aplicativo. Selecione Grupos de segurança de aplicativos nos resultados da pesquisa.
Selecione o grupo de segurança do aplicativo que você deseja alterar.
Selecione mover ao lado de Grupo de recursos ou Assinatura para alterar o grupo de recursos ou a assinatura, respectivamente.
Selecione Editar ao lado de Tags para adicionar ou remover tags. para saber mais, consulte Usar tags para organizar seus recursos do Azure e hierarquia de gerenciamento
Nota
Não é possível alterar o local de um grupo de segurança de aplicativo.
Selecione Controle de acesso (IAM) para atribuir ou remover permissões ao grupo de segurança do aplicativo.
Excluir um grupo de segurança de aplicativo
Não é possível excluir um grupo de segurança de aplicativo se ele contiver interfaces de rede. Para remover todas as interfaces de rede do grupo de segurança do aplicativo, altere as configurações da interface de rede ou exclua as interfaces de rede. Para saber mais, consulte Adicionar ou remover de grupos de segurança de aplicativos ou Excluir uma interface de rede.
Na caixa de pesquisa na parte superior do portal, insira Grupo de segurança do aplicativo. Selecione Grupos de segurança de aplicativos nos resultados da pesquisa.
Selecione o grupo de segurança do aplicativo que você deseja excluir.
Selecione Excluir e, em seguida, selecione Sim para excluir o grupo de segurança do aplicativo.
Permissões
Para gerenciar grupos de segurança de rede, regras de segurança e grupos de segurança de aplicativos, sua conta deve ser atribuída à função de colaborador de rede. Também pode ser usada uma função personalizada atribuída às permissões apropriadas, conforme listado nas tabelas a seguir:
Nota
Poderá NÃO ver a lista completa de etiquetas de serviço se a função de Colaborador de Rede tiver sido atribuída a um nível de Grupo de Recursos. Para exibir a lista completa, você pode atribuir essa função em um escopo de Assinatura. Se você só puder permitir o Colaborador de Rede para o Grupo de Recursos, também poderá criar uma função personalizada para as permissões "Microsoft.Network/locations/serviceTags/read" e "Microsoft.Network/locations/serviceTagDetails/read" e atribuí-las em um escopo de Assinatura junto com o Colaborador de Rede no escopo de Grupo de Recursos.
Grupo de segurança de rede
| Ação | Nome |
|---|---|
| Microsoft.Network/networkSecurityGroups/leitura | Obter grupo de segurança de rede |
| Microsoft.Network/networkSecurityGroups/gravação | Criar ou atualizar o grupo de segurança de rede |
| Microsoft.Network/networkSecurityGroups/excluir | Excluir grupo de segurança de rede |
| Microsoft.Network/networkSecurityGroups/join/action | Associar um grupo de segurança de rede a uma sub-rede ou interface de rede |
Nota
Para executar write operações em um grupo de segurança de rede, a conta de assinatura deve ter pelo menos read permissões para o grupo de recursos juntamente com Microsoft.Network/networkSecurityGroups/write permissão.
Regra de grupo de segurança de rede
| Ação | Nome |
|---|---|
| Microsoft.Network/networkSecurityGroups/securityRules/read | Obter regra |
| Microsoft.Network/networkSecurityGroups/securityRules/write | Criar ou atualizar regra |
| Microsoft.Network/networkSecurityGroups/securityRules/delete | Eliminar Regra |
Grupo de segurança de aplicações
| Ação | Nome |
|---|---|
| Microsoft.Network/applicationSecurityGroups/joinIpConfiguration/action | Associar uma configuração IP a um grupo de segurança de aplicações |
| Microsoft.Network/applicationSecurityGroups/joinNetworkSecurityRule/action | Associar uma regra de segurança a um grupo de segurança de aplicações |
| Microsoft.Network/applicationSecurityGroups/ler | Obter um grupo de segurança de aplicativos |
| Microsoft.Network/applicationSecurityGroups/gravação | Criar ou atualizar um grupo de segurança de aplicativo |
| Microsoft.Network/applicationSecurityGroups/delete | Excluir um grupo de segurança de aplicativo |
Próximos passos
Adicione ou remova uma interface de rede de ou para um grupo de segurança de aplicativo.
Criar e atribuir definições de Política do Azure para redes virtuais