ラボ回答キー: Azure VM での Windows Server のデプロイと構成

メモ: このラボをご自分のペースでクリックして進めることができる、 ラボの対話型シミュレーション が用意されています。対話型シミュレーションとホストされたラボの間に若干の違いがある場合がありますが、示されている主要な概念とアイデアは同じです。

演習 1: Azure VM デプロイ用の Azure Resource Manager (ARM) テンプレートの作成

タスク 1: Azure サブスクリプションに接続し、Microsoft Defender for Cloud のセキュリティ強化を有効にする

このタスクでは、Azure サブスクリプションに接続し、Microsoft Defender for Cloud のセキュリティ強化機能を有効にします。

SEA-ADM1 に接続してから、必要に応じて、講師から提供された資格情報でサインインします。
SEA-ADM1 で Microsoft Edge を起動して https://portal.azure.com にある Azure portal を開き、このラボで使用するサブスクリプションの所有者ロールを持つユーザーアカウントの資格情報を使用してサインインします。

注: Azure サブスクリプションで Microsoft Defender for Cloud を既に有効にしている場合は、このタスクの残りのステップをスキップし、次に直接進みます。

Azure portal のツールバーにある [リソース、サービス、ドキュメントの検索] テキストボックスで、「Microsoft Defender for Cloud」を検索して選択します。
[Microsoft Defender for Cloud | 使用開始] ページで、[アップグレード] を選択し、[エージェントのインストール] を選択します。

タスク 2: Azure portal を使用して ARM テンプレートとパラメーターファイルを生成する

このタスクでは、Azure portal を使用してリソースグループを作成し、そのリソースグループにディスクを作成します。

SEA-ADM1 で Azure portal のツールバーにある [リソース、サービス、ドキュメントの検索] テキストボックスで、「仮想マシン」を検索して選択します。 [仮想マシン] ページで、 [+ 作成] を選択し、 [仮想マシン] を選択します。

[仮想マシンの作成] ページの [基本] タブで、次の設定を指定し、他のすべての設定は既定値のままにしますが、デプロイは行いません。

設定	値
サブスクリプション	このラボで使用する Azure サブスクリプションの名前。
リソースグループ	新しいリソースグループの名前 AZ800-L0601-RG
仮想マシン名	az800L06-vm0
リージョン	Azure 仮想マシンをプロビジョニングできる Azure リージョンの名前を使用します
可用性のオプション	インフラストラクチャ冗長は必要ありません
Image	Windows Server 2022 Datacenter: Azure Edition - Gen2
Azure Spot 割引で実行する	いいえ
サイズ	Standard_D2s_v3
ユーザー名	Student
パスワード	Pa55w.rd1234
パブリック受信ポート	なし
既存の Windows Server ライセンスを使用しますか	Off

[次へ: ディスク >] を選択し、「仮想マシンの作成」ページの [ディスク] タブで、次の設定を指定します。他のすべての設定は既定値のままにします。

設定値

OS ディスクの種類 Standard HDD
[次へ: ネットワーク >] を選択し、 [仮想マシンの作成] ページの [ネットワーク] タブで、 [仮想ネットワーク] テキストボックスの後にある [新規作成] ハイパーリンクを選択します*。

設定	値
OS ディスクの種類	Standard HDD

[仮想ネットワークの作成] ページで、次の設定を指定し、他のすべての設定を既定値のままにして、[OK] を選択します。

設定	値
名前	az800L06-vnet
アドレス範囲	10.60.0.0/20
サブネット名	subnet0
サブネット範囲	10.60.0.0/24

「仮想マシンの作成」ページに戻り、[ネットワーク] タブで、次の設定を指定します。他のすべての設定は既定値のままにします。

設定	値
パブリック IP	なし
NIC ネットワークセキュリティグループ	None
高速ネットワークを有効にする	Off
負荷分散のオプション	なし

[次へ: 管理 >] を選択し、すべての設定を既定値のままにします。

[次へ: 監視 >] を選択し、 [仮想マシンの作成] ページの [管理] タブで、次の設定を指定します。他のすべての設定は既定値のままにします。

設定	値
ブート診断	マネージドストレージアカウントで有効にする (推奨)

[次へ: 詳細設定 >] を選択し、[仮想マシンの作成] ページの [詳細設定] タブで、使用可能な設定を変更せずに確認し、[確認と作成] を選択します。

注: 仮想マシンは作成しないでください。この目的で、自動生成されたテンプレートを使用します。

タスク 3: Azure portal から ARM テンプレートとパラメーターファイルをダウンロードする

Azure portal の「仮想マシンの作成」ページで、[オートメーション用のテンプレートをダウンロードする] を選択します。
「テンプレート」ページで [ダウンロード] を選択します。
template.zip の横にある省略記号ボタンを選択し、ポップアップメニューで [フォルダーに表示] を選択します。これにより、[ダウンロード] フォルダーの内容が表示されたエクスプローラーが開きます。
エクスプローラーで、template.zip をコピーし、C:\ ディレクトリに移動して、Lab06files という名前の新しいフォルダーを作成し、そのフォルダーを入力して template.zip ファイルを貼り付けます。
「テンプレート」ページから「仮想マシンの作成」ページに戻り、デプロイを完了せずに閉じます。

演習 2: VM 拡張機能ベースの構成を含むように ARM テンプレートを変更する

タスク 1: Azure VM デプロイ用の ARM テンプレートとパラメーターのファイルを確認する

SEA-ADM1 で、エクスプローラーを開始し、C:\Lab06files フォルダーを参照します。
template.zip ファイルの内容を同じフォルダーに抽出します。
メモ帳で template.json ファイルを開き、内容を確認します。メモ帳ウィンドウは開いたままにしておきます。
エクスプローラーから、メモ帳で C:\Lab06files\parameters.json ファイルを開き、その内容を確認します。
parameters.json ファイルが表示されているメモ帳ウィンドウを閉じます。

タスク 2: 既存のテンプレートに Azure VM 拡張機能セクションを追加する

SEA-ADM1 の template.json ファイルの内容が表示されているメモ帳ウィンドウで、 "resources": [ 行の直後に次のコードを挿入します。

注:intellisense 行ごとにコードを貼り付けるツールを使用している場合は、検証エラーを引き起こす余分な角かっこが追加される可能性があります。コードを最初にメモ帳に貼り付け、次に JSON ファイルに貼り付けることができます。

   {
      "type": "Microsoft.Compute/virtualMachines/extensions",
      "name": "[concat(parameters('virtualMachineName'), '/customScriptExtension')]",
      "apiVersion": "2018-06-01",
      "location": "[resourceGroup().location]",
      "dependsOn": [
         "[concat('Microsoft.Compute/virtualMachines/', parameters('virtualMachineName'))]"
      ],
      "properties": {
         "publisher": "Microsoft.Compute",
         "type": "CustomScriptExtension",
         "typeHandlerVersion": "1.7",
         "autoUpgradeMinorVersion": true,
         "settings": {
               "commandToExecute": "powershell.exe Install-WindowsFeature -name Web-Server -IncludeManagementTools && powershell.exe remove-item 'C:\\inetpub\\wwwroot\\iisstart.htm' && powershell.exe Add-Content -Path 'C:\\inetpub\\wwwroot\\iisstart.htm' -Value $('Hello World from ' + $env:computername)"
         }
      }
   },

注: コードスニペットがスクリプトの残りの部分と一致していることを確認してください。

変更を保存して、ファイルを閉じます。

演習 3: ARM テンプレートを使用して Windows Server を実行している Azure VM をデプロイする

タスク 1: ARM テンプレートを使用して Azure VM をデプロイする

SEA-ADM1 で、Azure portal が表示されているブラウザーウィンドウに切り替えます。
Azure portal のツールバーの [リソース、サービス、ドキュメントの検索] テキストボックスで、「カスタムテンプレートのデプロイ」を検索して選択します。
「カスタムデプロイ」ページで、[エディターで独自のテンプレートを作成する] を選択します。
「テンプレートの編集」ページで、[ファイルの読み込み] を選択し、前の演習で編集したテンプレートファイル template.json をアップロードして、[保存] を選択します。
「カスタムデプロイ」ページで、[パラメーターの編集] を選択します。
「パラメーターの編集」ページで、[ファイルの読み込み] を選択し、前の演習で確認したパラメーターファイル parameters.json をアップロードして、[保存] を選択します。

「カスタムデプロイ」ページに戻り、次の設定を指定して、その他の設定は既定値のままにします。

設定	値
サブスクリプション	このラボで使用している Azure サブスクリプションの名前
リソースグループ	AZ800-L0601-RG
リージョン	Azure VM をプロビジョニングできる Azure リージョンの名前
管理パスワード	Pa55w.rd1234

[確認と作成] を選択し、次に [作成] を選択します。

注: デプロイには約 10 分かかります。
デプロイが正常に完了したことを確認します。

タスク 2: Azure VM のデプロイの結果を確認する

Azure portal のツールバーの [リソース、サービス、ドキュメントの検索] テキストボックスで、「リソースグループ」を検索して選択します。
「リソースグループ」ページで、[AZ800-L0601-RG] エントリを選択します。
AZ800-L0601-RG ページの [概要] ページで、Azure VM az800L06-vm0 が含まれるリソースのリストを確認します。
リソースの一覧で、Azure VM [az800L06-vm0] エントリを選択します。
az800L06-vm0 ページの [設定] タブで、[拡張機能 + アプリケーション] を選択し、拡張機能の一覧で customScriptExtension が正常にプロビジョニングされていることを確認します。
AZ800-L0601-RG のページに戻り、[設定] セクションで [デプロイ] を選択します。
「AZ800-L0601-RG | デプロイ」ページで、[Microsoft.Template] リンクを選択します。
[Microsoft.Template | 概要] ページで、[テンプレート] を選択します。これは、デプロイに使用したテンプレートと同じであることに注意してください。

演習 4: Windows Server を実行している Azure VM への管理アクセスの構成

タスク 1: Azure Microsoft Defender for Cloud の状態を確認する

Azure portal のツールバーにある [リソース、サービス、ドキュメントの検索] テキストボックスで、「Microsoft Defender for Cloud」を検索して選択します。
Microsoft Defender for Cloud の [概要] ページで、左側の垂直メニューの [管理] セクションの、[環境設定] を選択します。
[環境設定] ページで、Azure サブスクリプションを表すエントリを選択します。
[設定 | Defender プラン] ページで、 [Microsoft Defender for Cloud プランをすべて有効にする] タイルが選択されていることを確認し、上部の [設定と監視] を選択します。
[設定と監視] ページの拡張機能の一覧で、 [Log Analytics エージェント/Azure Monitor エージェント] エントリの右側にある [構成の編集] リンクを選択します。
[自動プロビジョニング構成] のワークスペースの選択で、既定のワークスペース エントリが選択されていることを確実にし、 [適用] を選択し、 [設定と監視] ページに戻り、 [続行] を選択します。
[設定 | Defender プラン] ページで、 [保存] を選択します。

タスク 2:Just-In-Time VM アクセスの設定を確認する

Microsoft Defender for Cloud の [概要] ページに戻り、[クラウドセキュリティ] セクションで、[ワークロードの保護] を選択します。
[Microsoft Defender for Cloud | ワークロードの保護] ページで、 [Just In Time VM アクセス] を選択します。
[Just In Time VM アクセス] ページで、[構成済み]、[未構成]、および [サポート対象外] のタブを確認します。

注: 新しくデプロイされた VM が [サポート対象外] タブに表示されるまで、最大で 24 時間かかる場合があります。待機するよりも、次の演習に進んでください。

演習 5: Azure VM での Windows Server のセキュリティの構成

タスク 1: NSG を作成して構成する

Azure portal のツールバーの [リソース、サービス、ドキュメントの検索] テキストボックスで、「ネットワークセキュリティグループ」を検索して選択します。
[ネットワークセキュリティグループ] ページで、 [+ 作成] を選択します。

[ネットワークセキュリティグループの作成] ページの [基本] タブで、以下の設定を指定します (それ以外は既定値のままにしておきます)。

設定	値
サブスクリプション	このラボで使用している Azure サブスクリプションの名前
リソースグループ	AZ800-L0601-RG
名前	az800L06-vm0-nsg1
リージョン	Azure VM az800L06-vm0 をプロビジョニングした Azure リージョンの名前

[ネットワークセキュリティグループの作成] ページの [基本] タブで、[確認と作成] を選択し、[作成] を選択します。
Azure portal で AZ800-L0601-RG のページに戻り、リソースの一覧で、新しく作成されたネットワークセキュリティグループ az800L06-vm0-nsg1 を表すエントリを選択します。
az800L06-vm0-nsg1 のページで、既定の受信および送信のセキュリティ規則の一覧を確認し、[設定] セクションで [受信セキュリティ規則] を選択します。
[az800L06-vm0-nsg1 | 受信セキュリティ規則] ページで、[+ 追加] を選択します。

[受信セキュリティ規則の追加] ページで、次の設定を指定し、それ以外はすべて既定値のままにして、[追加] を選択します。

設定	値
source	[任意]
ソースポート範囲	*
宛先	[任意]
サービス	HTTP
アクション	許可
Priority	300
名前	AllowHTTPInBound

タスク 2: Azure VM への受信 HTTP アクセスを構成する

Azure portal のツールバーの [リソース、サービス、ドキュメントの検索] テキストボックスで、パブリック IP アドレスを検索して選択します。
[パブリック IP アドレス] ページで、[+ 作成] を選択します。

[パブリック IP アドレスの作成] ページの [基本] タブで、次の設定を指定します (他の設定は既定値のままにします)。

設定	値
サブスクリプション	このラボで使用している Azure サブスクリプションの名前
リソースグループ	AZ800-L0601-RG
Name	az800l06-vm0-pip1
リージョン	Azure VM az800l06-vm0 をプロビジョニングした Azure リージョンの名前
SKU	Standard

[パブリック IP アドレスの作成] ページの [基本] タブで、[確認と作成] を選択し、[作成] を選択します。
デプロイが正常に完了したことを確認します。
Azure portal で AZ800-L0601-RG のページに戻り、リソースの一覧で、Azure VM az800l06-vm0 を表すエントリを選択します。
az800l06-vm0 ページの [ネットワーク] メニューで、[ネットワーク設定] を選択します。
az800l06-vm0 | ネットワーク設定 ページで、az800l06-vm0 にアタッチされているネットワークインターフェイスを示すリンクを選択します。
ネットワークインターフェイスのプロパティを表示しているページの左側にある垂直メニューの [設定] セクションで、[ネットワークセキュリティグループ] を選択します。
[ネットワークセキュリティグループ] ページで、ドロップダウンリストから [az800l06-vm0-nsg1] を選択し、[保存] を選択します。
ネットワークインターフェイスのプロパティが表示されたページに戻り、[IP 構成] を選択して、[ipconfig1] エントリを選択します。
ipconfig1 ページの [パブリック IP アドレス] セクションで、[パブリック IP アドレスを関連付ける] ボックスを選択して、[パブリック IP アドレス] ドロップダウンリストで az800l06-vm0-pip1 を選択します。
ipconfig1 のページで、[保存] を選択します。
ネットワークインターフェイスのプロパティが表示されたページに戻り、[概要] を選択します。インターフェイスに割り当てられているパブリック IP アドレスの値を確認します。
ブラウザーで別のタブを開いてその IP アドレスに移動し、“Hello World from az800L06-vm0” が表示された Web ページが開くことを確認します。
ラボコンピューターからリモートデスクトップアプリを起動し、同じ IP アドレスに接続します。接続に失敗することを確認します。

注: Azure VM は現在、TCP ポート 3389 経由でインターネットからアクセスできないので、これは想定されています。 TCP ポート 80 経由でのみアクセスできます。

タスク 3: Azure VM の JIT 状態の再評価をトリガーする

注: このタスクは、Azure VM の JIT 状態の再評価をトリガーするために必要です。既定では、これには最大 24 時間かかる場合があります。

Azure portal で AZ800-L0601-RG のページに戻り、リソースの一覧から Azure VM az800L06-vm0 を表すエントリを選択します。
az800L06-vm0 ページの [設定] セクションで、[構成] を選択します。
[az800L06-vm0 | 構成] ページで [Just-In-Time VM アクセスを有効にする] を選択し、 [Microsoft Defender for Cloud を開く] リンクを選択します。
[Just-In-Time VM アクセス] ページで、az800L06-vm0 Azure VM を表すエントリが [構成済み] タブに表示されていることを確認します。

タスク 4: JIT VM アクセス経由で Azure VM に接続する

az800L06-vm0 のページに戻り、[接続] を選択し、ドロップダウンリストで [RDP] を選択します。
[az800L06-vm0 | 接続] ページの [接続元 IP アドレス] セクションで、[自分の IP] を選択し、[アクセス権の要求] を選択します。
要求が承認されたことを示す通知を待ち、[RDP ファイルのダウンロード] を選択し、プロンプトに従ってターゲット Azure VM に接続します。

資格情報のプロンプトが表示されたら、次の値を指定して、[OK] を選択します。

設定	値
ユーザー名	Student
パスワード	Pa55w.rd1234

Azure VM で実行されているオペレーティングシステムがリモートデスクトップ経由で正常にアクセスできることを確認し、リモートデスクトップセッションを閉じます。

演習 6: Azure 環境のプロビジョニング解除

タスク 1: Cloud Shell で PowerShell セッションを開始する

SEA-ADM1 の Azure portal を表示している Microsoft Edge ウィンドウで、Cloud Shell アイコンを選んで Azure Cloud Shell ウィンドウを開きます。
Bash または PowerShell の選択を求めるプロンプトが表示されたら、[PowerShell] を選択します。

注: Cloud Shell を起動するのが初めてで、ストレージがマウントされていませんというメッセージが表示される場合は、このラボで使用しているサブスクリプションを選択してから、[ストレージの作成] を選択します。

タスク 2: ラボでプロビジョニングしたすべての Azure リソースを特定する

[Cloud Shell] ウィンドウで次のコマンドを実行して、このラボで作成されたすべてのリソースグループのリストを表示します。
```
Get-AzResourceGroup -Name 'AZ800-L06*'
```
次のコマンドを実行して、このラボで作成したすべてのリソースグループを削除します。
```
Get-AzResourceGroup -Name 'AZ800-L06*' | Remove-AzResourceGroup -Force -AsJob
```
注: このコマンドは非同期で実行されます (-AsJob パラメーターによって決定されます)。そのため、同じ PowerShell セッション内ですぐに別の PowerShell コマンドを実行できるようになりますが、リソースグループが実際に削除されるまでに数分かかります。