Azure CLI アーカイブ - しょぼんブログ

Azure のネットワークセキュリティグループの規則を追加するスクリプトを作りました AzureVMを利用している方に取って、ネットワークセキュリティグループを必ず利用しているかと思いますが、そのネットワークセキュリティグループの規則を追加する際に便利なスクリプトを作成しました。 ネットワークセキュリティグループの追加には、WEBポータルから操作を行うか、Azure CLIを利用して追加するのですが、WEBポータルから追加を行うにはかなりの手間がかかります。 登録するルールが多ければ多いほどその手間が増えてしまいます。となると、Azure CLIを利用するわけですが、Azure CLIをインストールすれば、すぐにルールを追加できるというわけでなく、スクリプトを自分で書く必要があります。 #!/bin/sh # Define variables ResourceGroup=&quot;YOUR_RESOURCE_GROUP_NAME&quot; NsgName=&quot;YOUR_NSG_NAME&quot; RuleName=&quot;block-&quot; Description=&quot;\&quot;block\&quot;&quot; Type=&quot;Deny&quot; #Allow/Deny Protocol=&quot;*&quot; #Tcp/Udp/* Direction=&quot;Inbound&quot; #Inbound/Outbound Priority=&quot;&quot; SourceAddressPrefix=&quot;*&quot; SourcePortRange=&quot;*&quot; DestinationAddressPrefix=&quot;*&quot; DestinationPortRange=&quot;*&quot; PriorityNumText=&quot;./priority.txt&quot; DefaultPriorityNum=&quot;2000&quot; # Processing variables RuleName=$RuleName`date +&quot;%Y-%m-%d-%I-%M&quot;` if [ -e $PriorityNumText ]; then Priority=`cat $PriorityNumText` else echo $DefaultPriorityNum &gt; $PriorityNumText Priority=`cat $PriorityNumText` fi #Priority=`cat $PriorityNumText` cat ./cidr.txt | while read line; do i=1 RuleName=$RuleName--$i az network nsg rule create \ --resource-group &quot;$ResourceGroup&quot; \ --nsg-name &quot;$NsgName&quot; \ --name &quot;$RuleName&quot; \ --description &quot;${Description}&quot; \ --access &quot;$Type&quot; \ --protocol &quot;${Protocol}&quot; \ --direction &quot;$Direction&quot; \ --priority &quot;$Priority&quot; \ --source-address-prefix &quot;${line}&quot; \ --source-port-range &quot;${SourcePortRange}&quot; \ --destination-address-prefix &quot;${DestinationAddressPrefix}&quot; \ --destination-port-range &quot;${SourcePortRange}&quot; i=$(( i +1 )) Priority=$(( Priority + 1 )) echo $Priority &gt; $PriorityNumText done そんなわけで、サクッとShellScriptで作成しました。 使い方 LinuxもしくはWindows Subsystem for Linuxで、以下のコマンドを実行して「azire-sh」をダウンロードしてきます。 git clone https://github.com/Syobon/azure-sh.git すると、カレントディレクトリに「azure-sh」ディレクトリが作成されますので、cdコマンドで移動します。 次に、nsg-add.shを編集し、下記の項目をご自身の環境にあった値に変更します。 #ネットワークセキュリティグループのリソースグループ名を入力 ResourceGroup=&quot;YOUR_RESOURCE_GROUP_NAME&quot; #ネットワークセキュリティグループの名前を入力 NsgName=&quot;YOUR_NSG_NAME&quot; #追加するルール名のprefixを指定します。デフォルトでは「block-」となっています。 RuleName=&quot;block-&quot; #追加するルールの説明欄に記載する内容を指定します。デフォルトでは「&quot;block&quot;」となっています。 #なおダブルクォートが必須ですので、\&quot;&lt;ここに説明を入力&gt;\&quot; 説明文の前後にある\&quot;は削除しないようにしてください Description=&quot;\&quot;block\&quot;&quot; #許可ルールか、拒否ルールか指定します。 許可する場合はAllow、拒否する場合はDenyと入力します。 Type=&quot;Deny&quot; #Allow/Deny #許可もしくは拒否する通信のプロトコルを指定します。全てを対象としたい場合は*、TCPはTcp、UDPはUdpと入力します Protocol=&quot;*&quot; #Tcp/Udp/* #受信の規則か、送信の規則か選択します。受信の場合はInboundを、送信の場合はOutboundと入力します。 Direction=&quot;Inbound&quot; #Inbound/Outbound #ソースポートの指定を行います。全てを対象としたい場合は*を、特定ポートの場合はそのポート番号を #指定範囲のポートを対象とする場合は、1024-1030のように記載します。 SourcePortRange=&quot;*&quot; #ソースポートの指定を行います。全てを対象としたい場合は*を、特定ポートの場合はそのポート番号を #指定範囲のポートを対象とする場合は、1024-1030のように記載します。 DestinationPortRange=&quot;*&quot; 次に、受信規則もしくは送信規則の、送信元/受信先のIPアドレスを記載した「cidr.txt」をnsg-add.shと同じ階層に作成します。 192.168.24.20 192.168.30.21 192.168.40.0/24 上記例を見て分かるとおり、IPアドレスの決め打ちや、サブネットマスクでマスクしたアドレスを指定出来ます。 cidr.txtの準備が完了したら、「sh nsg-add.sh」を実行します。 すると、優先度2000から順にルールが追加されていきます。 シェルスクリプトの実行が終わると、nsg-add.shと同じ階層に「priority.txt」が作成されます。 優先度の管理 このスクリプトでは優先度を自動でセットするために、DefaultPriorityNum変数で、デフォルトの優先度を2000にセットし、ルールが追加される度に1ずつインクリメントされ、priority.txtに上書きしていきます。 初回実行時にpriority.txtがないか確認し、なければ「2000」と記載されたpriority.txtを作成し、ルールの追加ループを回します。 もし、priority.txtが存在する場合は、priority.txtの中身を$line変数に代入し、ルールの追加処理に回ります。 ですので、もしスクリプト実行後にpriority.txtを削除してしまった場合は、DefaultPriorityNum変数を手で編集してください。もし、そのまま編集せずに実行してしまうと、既存ルールを上書きしてしまいます。 まとめ 書きっぷりを見て分かるとおり、サーバに対して攻撃を行ってくるIPをNSGでブロックするために書いたスクリプトになります。 びっくりするくらいの脳筋スクリプトですが、作業短縮の手助けをしてくれるはずですので、活用もしくはご参考頂ければ幸いです。 README.mdはそのうち書きます・・・ Source: Github - azure-sh