Ihr Abonnement enthält: VNet Vnet1 mit den Subnetzen subnet1 und AzureFirewallSubnet, eine öffentliche Azure Firewall FW1 und eine Routingtabelle RT1, die subnet1 zugeordnet ist und eine 0.0.0.0/0-Route enthält, die auf FW1 zeigt. Nachdem Sie 10 Windows Server-VMs in subnet1 bereitgestellt haben, wird keine der VMs erfolgreich aktiviert (Windows-Aktivierung schlägt fehl). Was sollten Sie tun, damit die VMs aktiviert werden können?

Die korrekte Antwort ist, auf FW1 eine ausgehende Netzwerkregel zu erstellen, die Datenverkehr zum Azure Key Management Service (KMS) zulässt. Windows-VMs benötigen Zugriff auf den Azure KMS-Dienst über Port 1688, um aktiviert zu werden. Da alle ausgehenden Verbindungen von subnet1 über FW1 geleitet werden (aufgrund der Routingtabelle RT1), muss FW1 eine Regel haben, die diesen Datenverkehr explizit erlaubt. Eine DNAT-Regel (Destination Network Address Translation) ist für eingehenden Datenverkehr gedacht und würde hier nicht helfen. Eine Application Security Group (ASG) steuert den Zugriff zwischen VMs innerhalb von Subnetzen, nicht den ausgehenden Datenverkehr durch eine Firewall. Eine Diensttag-Regel für AzureCloud wäre zu breit gefasst und würde unnötigerweise viele andere Dienste zulassen, anstatt nur den spezifischen KMS-Dienst.