Sua assinatura contém: VNet Vnet1 com as subnets subnet1 e AzureFirewallSubnet, um Azure Firewall público FW1 e uma tabela de rotas RT1 associada à subnet1 com uma rota 0.0.0.0/0 apontando para FW1. Após implantar 10 VMs do Windows Server na subnet1, nenhuma das VMs é ativada com sucesso (a ativação do Windows falha). O que você deve fazer para permitir que as VMs sejam ativadas?

A ativação do Windows em VMs do Azure requer comunicação com o serviço KMS (Key Management Service) da Microsoft. Como todo o tráfego de saída da subnet1 é roteado para o Azure Firewall (FW1) pela rota 0.0.0.0/0, o firewall precisa permitir explicitamente esse tráfego. Criar uma regra de rede de saída no FW1 que permita o tráfego para o Azure KMS (porta 1688) resolverá o problema de ativação. Configurar uma regra DNAT (Destination Network Address Translation) não é aplicável, pois DNAT é para tráfego de entrada. Implantar um Application Security Group (ASG) não é suficiente, pois o firewall ainda bloquearia o tráfego se não houvesse uma regra correspondente. Uma regra de tag de serviço AzureCloud é muito ampla e não direciona especificamente o tráfego KMS necessário.