Su suscripción contiene: VNet Vnet1 con las subredes subnet1 y AzureFirewallSubnet, un Azure Firewall público FW1 y una tabla de rutas RT1 asociada a subnet1 con una ruta 0.0.0.0/0 que apunta a FW1. Después de implementar 10 máquinas virtuales de Windows Server en subnet1, ninguna de las máquinas virtuales se activa correctamente (falla la activación de Windows). ¿Qué debe hacer para permitir que las máquinas virtuales se activen?

La activación de Windows Server requiere acceso a un servidor de Servicio de administración de claves (KMS) de Microsoft. Dado que todo el tráfico saliente de subnet1 se enruta a través de Azure Firewall (FW1) mediante la ruta 0.0.0.0/0, FW1 debe permitir explícitamente este tráfico. Crear una regla de red saliente en FW1 que permita el tráfico al servicio KMS de Azure (usando su etiqueta de servicio o FQDN) es la solución correcta. Las reglas DNAT son para tráfico entrante, no saliente. Un Grupo de seguridad de aplicaciones (ASG) controla el tráfico entre recursos dentro de una VNet o hacia Internet, pero no puede anular las reglas de un firewall que actúa como puerta de enlace predeterminada. Permitir AzureCloud con una etiqueta de servicio es demasiado amplio y no se dirige específicamente al requisito de activación de KMS.