La tua sottoscrizione contiene: VNet Vnet1 con le subnet subnet1 e AzureFirewallSubnet, un Azure Firewall pubblico FW1 e una tabella di route RT1 associata a subnet1 con una route 0.0.0.0/0 che punta a FW1. Dopo aver distribuito 10 VM Windows Server in subnet1, nessuna delle VM si attiva correttamente (l'attivazione di Windows fallisce). Cosa dovresti fare per consentire l'attivazione delle VM?

Per l'attivazione di Windows, le VM devono poter comunicare con il servizio Azure Key Management Service (KMS) sulla porta 1688. Poiché tutto il traffico in uscita da subnet1 è instradato tramite Azure Firewall FW1 (a causa della route 0.0.0.0/0), FW1 deve esplicitamente consentire questo traffico. Creare una regola di rete in uscita su FW1 che consenta il traffico alla porta 1688 verso il service tag AzureKeyManagement (o l'indirizzo IP del KMS) risolverà il problema. Le regole DNAT sono per il traffico in entrata. Un gruppo di sicurezza delle applicazioni (ASG) non è sufficiente perché il traffico è bloccato dal firewall. Il service tag AzureCloud è troppo ampio e non specifico per l'attivazione KMS.