Bereitstellen eines FTDv-Gateways in Azure mithilfe von MCD

Einleitung

In diesem Dokument wird beschrieben, wie Sie Microsoft Azure-Voraussetzungen konfigurieren und ein virtuelles Gateway für Firewall Threat Defense (FTDv) über MCD bereitstellen.

Voraussetzungen

• Ein Azure-Abonnement, das erworben und registriert und mit der Microsoft Entra-ID verknüpft wird. Bestätigen Sie dies in der Liste der App-Registrierungen im Azure-Portal.
• Eine benutzerdefinierte Rolle, die für das Azure-Abonnement erstellt wurde und Multicloud Defense (MCD)-Zugriff auf die spezifischen Ressourcen und Aktionen gewährt, die andernfalls blockiert werden.
• Ein Abonnement für Azure Event Grid, damit MCD Echtzeit-Updates vom Azure-Abonnement erhalten kann.
• Das Azure-Abonnement, das über das MCD-Dashboard mit dem Multicloud Defense Controller verbunden ist.
• Die in Azure akzeptierten Cisco Marketplace-Bedingungen, wenn das Azure-Konto zum ersten Mal in MCD integriert wird.
• (Optional) Eine vom Benutzer zugewiesene verwaltete Identität wird konfiguriert, wenn Sie Zugriff auf Key Vault oder Blob Storage benötigen.
• Ein neues Service-VNet. VNets, die vor Einführung der FTDv-Gateway-Unterstützung erstellt wurden, können nicht für eine FTDv-Gateway-Bereitstellung verwendet werden.
• Ein aktives Abonnement für Cloud-Delivered Firewall Management Center (cdFMC), das die Zugriffskontrollrichtlinien für das FTDv-Gerät verwaltet.
• Mindestens eine FTDv-Lizenz, die Sie über Ihren Cisco Verkäufer oder Partner erworben haben.

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Navigation im Microsoft Azure-Portal
• Microsoft Entra ID (Azure AD)-Anwendungsregistrierung und rollenbasierte Zugriffskontrolle (RBAC)
• Cisco Multicloud Defense (MCD)
• Cisco Secure Firewall Threat Defense Virtual (FTDv)

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Konfigurieren

Verwenden Sie diese Verfahren, um Microsoft Azure vorzubereiten, Ihr Azure-Konto mit MCD zu verbinden und ein FTDv-Gateway bereitzustellen.

Registrieren einer Anwendung

1. Navigieren Sie mit der Suchleiste des Azure-Portals zu Microsoft Entra ID.
   
2. Klicken Sie auf Hinzufügen, und wählen Sie dann App-Registrierung aus.
   
3. Geben Sie im Formular Anmeldung registrieren folgende Werte ein:
   • Name: Ein leicht identifizierbarer Name für die Anwendung.
   • Unterstützte Kontotypen: Wählen Sie die Option aus, die am besten zu Ihrer Umgebung passt. In diesem Dokument wird nur ein Tenant verwendet.
   
4. Wählen Sie für Redirect URI (optional) die für Ihre Umgebung geeignete Option aus. In diesem Dokument wird kein Umleitungs-URI konfiguriert.
   
5. Klicken Sie auf Registrieren.
6. Nach der Registrierung der Anwendung wird die Übersichtsseite angezeigt. Kopieren Sie die Anwendungs-ID (Client) und die Verzeichnis-ID (Tenant), und speichern Sie sie auf einem Notizblock.
   
7. Navigieren Sie in der linken Navigationsleiste der Anwendungsseite zu Verwalten > Zertifikate und Schlüssel.
   
8. Klicken Sie auf Neuer Clientschlüssel.
   
9. Geben Sie auf der Seite Add a client secret (geheimen Client hinzufügen) folgende Werte ein, und klicken Sie dann auf Add (Hinzufügen):
   • Beschreibung: Eine passende Beschreibung für den geheimen Schlüssel des Clients.
   • Gültig bis: Wählen Sie aus dem Dropdown-Menü die Option aus, die am besten zu Ihrer Umgebung passt.

10. Kopieren Sie die Wert- und die geheime ID und speichern Sie sie auf einem Notizblock.

Benutzerdefinierte Rolle erstellen

1. Navigieren Sie mit der Suchleiste des Azure-Portals zu Abonnements.
   
2. Klicken Sie auf Ihr Abonnement.
   
3. Klicken Sie auf Zugriffskontrolle (IAM).
   
4. Klicken Sie auf Hinzufügen, und wählen Sie dann im Dropdown-Menü die Option Benutzerdefinierte Rolle hinzufügen aus.
   
5. Geben Sie folgende Werte ein:
   • Benutzerdefinierter Rollenname: Ein leicht identifizierbarer Name für die benutzerdefinierte Rolle.
   • Beschreibung: Eine Beschreibung der Rolle.
   • Basisberechtigungen: Klicken Sie auf das Optionsfeld Von Grund auf starten, wenn es nicht bereits ausgewählt ist.
   
   

   Anmerkung: Die bereitgestellte JSON, nicht die Registerkarte Berechtigungen, weist der benutzerdefinierten Rolle Berechtigungen zu.

   
   
   

6. Klicken Sie auf JSON.
7. Klicken Sie auf Bearbeiten.
8. Fügen Sie diesen Codeblock in die eckigen Klammern ein, um Aktionen auszuführen:

"Microsoft.ApiManagement/service/*",
"Microsoft.Compute/disks/*",
"Microsoft.Compute/images/read",
"Microsoft.Compute/sshPublicKeys/read",
"Microsoft.Compute/virtualMachines/*",
"Microsoft.ManagedIdentity/userAssignedIdentities/read",
"Microsoft.ManagedIdentity/userAssignedIdentities/assign/action",
"Microsoft.Network/loadBalancers/*",
"Microsoft.Network/natGateways/*",
"Microsoft.Network/networkinterfaces/*",
"Microsoft.Network/networkSecurityGroups/*",
"Microsoft.Network/publicIPAddresses/*",
"Microsoft.Network/routeTables/*",
"Microsoft.Network/virtualNetworks/*",
"Microsoft.Network/virtualNetworks/subnets/*",
"Microsoft.Resources/subscriptions/resourcegroups/*",
"Microsoft.Storage/storageAccounts/blobServices/*",
"Microsoft.Storage/storageAccounts/listkeys/action",
"Microsoft.Network/networkWatchers/*",
"Microsoft.Network/applicationSecurityGroups/*",
"Microsoft.Compute/diskEncryptionSets/read",
"Microsoft.Insights/Metrics/Read",
"Microsoft.Network/locations/serviceTagDetails/read",
"Microsoft.Network/locations/serviceTags/read",
"Microsoft.CognitiveServices/*/read",
"Microsoft.CognitiveServices/accounts/listkeys/action",
"Microsoft.Network/virtualHubs/*",
"Microsoft.Network/virtualHubs/hubRouteTables/*",
"Microsoft.MarketplaceOrdering/offertypes/publishers/offers/plans/agreements/*",
"Microsoft.Authorization/roleAssignments/read",
"Microsoft.Authorization/roleDefinitions/read"

Dies ist ein Beispiel für die abgeschlossene Rollendefinition:

{
    "id": "/subscriptions/redacted/providers/Microsoft.Authorization/roleDefinitions/redacted",
    "properties": {
        "roleName": "Multicloud Defense-controller-role",
        "description": "mcd azure test swesnitz",
        "assignableScopes": [
            "/subscriptions/redacted"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.ApiManagement/service/*",
                    "Microsoft.Compute/disks/*",
                    "Microsoft.Compute/images/read",
                    "Microsoft.Compute/sshPublicKeys/read",
                    "Microsoft.Compute/virtualMachines/*",
                    "Microsoft.ManagedIdentity/userAssignedIdentities/read",
                    "Microsoft.ManagedIdentity/userAssignedIdentities/assign/action",
                    "Microsoft.Network/loadBalancers/*",
                    "Microsoft.Network/natGateways/*",
                    "Microsoft.Network/networkinterfaces/*",
                    "Microsoft.Network/networkSecurityGroups/*",
                    "Microsoft.Network/publicIPAddresses/*",
                    "Microsoft.Network/routeTables/*",
                    "Microsoft.Network/virtualNetworks/*",
                    "Microsoft.Network/virtualNetworks/subnets/*",
                    "Microsoft.Resources/subscriptions/resourcegroups/*",
                    "Microsoft.Storage/storageAccounts/blobServices/*",
                    "Microsoft.Storage/storageAccounts/listkeys/action",
                    "Microsoft.Network/networkWatchers/*",
                    "Microsoft.Network/applicationSecurityGroups/*",
                    "Microsoft.Compute/diskEncryptionSets/read",
                    "Microsoft.Insights/Metrics/Read",
                    "Microsoft.Network/locations/serviceTagDetails/read",
                    "Microsoft.Network/locations/serviceTags/read",
                    "Microsoft.CognitiveServices/*/read",
                    ...

Benutzerdefinierte Rolle zuweisen

1. Klicken Sie auf der Seite der Abonnement-Zugriffskontrolle (IAM) auf Rollenzuweisung hinzufügen.
   
2. Suchen Sie nach der Rolle, die Sie im Abschnitt Benutzerdefinierte Rolle erstellen erstellt haben.
   
3. Klicken Sie auf Weiter, und belassen Sie Zuweisen des Zugriffs auf Benutzer, Gruppe oder Dienstprinzipal unverändert.
   
4. Klicken Sie auf Mitglieder auswählen.
   
5. Fügen Sie die Rolle hinzu, die Sie im Abschnitt Benutzerdefinierte Rolle erstellen erstellt haben.
   
6. Klicken Sie auf Weiter, und kopieren Sie dann die Abonnement-ID.
   
7. Klicken Sie auf Prüfen + zuweisen.
   
8. Die Übersichtsseite für das Abonnement wird angezeigt. Navigieren Sie im Menü auf der linken Seite zu Overview (Übersicht), und kopieren Sie die Abonnement-ID.
   

Damit sind die Azure-Voraussetzungen zum Hinzufügen des Azure-Kontos zu MCD abgeschlossen. Diese Verfahren beschreiben die Integration und Bereitstellung über MCD.

Azure-Konto mit MCD verbinden

1. Navigieren Sie zu SCC > Multicloud Defense.
   
2. Klicken Sie im Bereich "Cloud-Konten" auf Konto hinzufügen.
   
3. Klicken Sie auf das Azure-Symbol.
   
4. Geben Sie auf der Seite Azure-Konto verbinden folgende Werte ein:
   • Azure-Kontoname: Der Name des Azure-Kontos aus der MCD-Perspektive.
   • Verzeichnis-ID: Die Verzeichnis-ID, die Sie im Abschnitt Registrieren einer Anwendung gespeichert haben.
   • Abonnement-ID: Die Abonnement-ID, die Sie im Abschnitt Benutzerdefinierte Rolle zuweisen gespeichert haben.
   • Anwendungs-ID: Die Anwendungs-ID, die Sie im Abschnitt Registrieren einer Anwendung gespeichert haben.
   • Client-Schlüssel: Der Wert, den Sie im Abschnitt Anwendung registrieren gespeichert haben.
   
   
5. MCD erkennt und zeigt die Azure-Ressourcen an. Klicken Sie auf Next (Weiter).
   
    
   
6. Klicken Sie auf Close (Schließen).
   
7. Sie können das integrierte Konto jetzt über Infrastruktur > CSP-Konten anzeigen.
   

Erstellen eines VNet

1. Navigieren Sie zu Infrastruktur > Service-VPCs/VNets.
   
    
   
2. Klicken Sie auf Erstellen.
   
3. Geben Sie folgende Werte ein:
   • Name: Ein leicht identifizierbarer Name für das VNet, der durch dieses Verfahren für das FTDv-Gateway erstellt wird.
   • CSP-Konto: Der Name, den Sie im Abschnitt Azure-Konto mit MCD verbinden zugewiesen haben.
   • Region: Die Region, in der das FTDv-Gateway bereitgestellt wird.
   • CIDR-Block: Ein eindeutiger IP-Block für das Transit-Gateway, das dem VNet zugeordnet ist.
   • Verfügbarkeitsbereiche: Wählen Sie aus Gründen der Ausfallsicherheit mindestens zwei Verfügbarkeitsbereiche aus.
   • Ressourcengruppe: Wählen Sie + Ressourcengruppe erstellen aus dem Dropdown-Menü aus.
   • Ressourcengruppenname: Ein Name für die Ressourcengruppe.
   • Ressourcengruppen-Region: Der Bereich, der mit dem Bereich übereinstimmt, den Sie für Region ausgewählt haben.
   Klicken Sie auf Speichern.
   
4. Eine Erfolgsmeldung wird angezeigt.
   

Bestätigen Sie die Erstellung des VNet auf Azure-Seite, und navigieren Sie zu Network Foundation > Virtual Networks Overview > Virtual Networks.

Das VNet wechselt in den Status "Active", sobald es erstellt wurde.

Erstellen des Azure MCD FTDv-Gateways

1. Navigieren Sie zu Infrastruktur > Gateways.
   
2. Klicken Sie auf Gateway hinzufügen.
   
3. Geben Sie folgende Werte ein:
   • Kunden: Wählen Sie aus dem Dropdown-Menü das Azure-Konto aus, das Sie im Abschnitt Azure-Konto mit MCD verbinden verknüpft haben.
   • Gateway-Typ: Wählen Sie FTDv Gateway aus.
   • Name: Ein leicht identifizierbarer Name für das FTDv-Gateway.
   • Instanztyp: Der Instanztyp, der für Ihre Umgebung geeignet ist.
   • Minimale Instanzen: Wählen Sie im Dropdown-Menü mindestens eine Instanz aus.
   • Maximale Instanzen: Die gewünschte Anzahl von FTDv-Instanzen für Ihre Umgebung. Der maximal zulässige Wert ist 10.
   • HealthCheck-Port: Der Standardwert ist 65534. Dieser Wert wird in diesem Dokument nicht geändert.
   

4. Geben Sie folgende Werte ein:
   • Eigenschaften: Wählen Sie Egress oder Ost-West aus.
   • FTDv-Version: Die am besten auf die Umgebung abgestimmte Softwareversion.
   • Richtlinien-Regelsatz: Die Zugriffskontrollrichtlinie (ACP, Access Control Policy) für diesen FTDv-Cluster.
   • Kennwort: Ein Passwort für die FTDv-Instanzen.
   • Lizenzmodell: Das gewünschte Lizenzierungsmodell.
   • Leistungsstufe: Die Ebene, die für den erwarteten Gerätedurchsatz geeignet ist.
   • Lizenztypen: Die für diese Bereitstellung erworbenen Lizenztypen.
   • Region: Die Region, in der diese FTDv-Instanzen bereitgestellt werden.
   • VPC/VNet-ID: Das Service-VNet, das Sie im Abschnitt Erstellen eines VNet erstellt haben.
   
5. Erstellen Sie ein öffentliches Schlüsselpaar. Weitere Informationen finden Sie unter Erstellen eines SSH-Schlüsselpaars unter Windows.
   
6. Geben Sie die Werte für den öffentlichen SSH-Schlüssel und die Ressourcengruppen ein.
   
7. Deaktivieren Sie die öffentliche IP, und klicken Sie auf Weiter.
   
8. Überprüfen Sie alle von Ihnen angegebenen Werte.
   
9. Nachdem Sie die Werte überprüft und das Laden der Ressourcen abgeschlossen haben, klicken Sie auf Beenden.
   

   
   Dashboard-Ansicht, sobald Ressourcen geladen wurden.

   

   
   Dashboard-Ansicht der Gateway-Bereitstellung

   
10. Nachdem das Kabelmodem erstellt wurde, wird eine Erfolgsmeldung angezeigt. Klicken Sie auf OK.
    

Im MCD-Dashboard wird als Status ENABLING (AKTIVIEREN) angezeigt.

Überwachen Sie den Status über die Registerkarten Zusammenfassung und Instanzen.

Überprüfung

Verwenden Sie diesen Abschnitt, um zu überprüfen, ob Ihre Konfiguration ordnungsgemäß funktioniert.

• Überwachen Sie unter Compute > Virtual Machines in Azure die FTDv-Instanzen. Der Status wechselt von Erstellen zu Ausführen.
  
• Bestätigen Sie den Gateway-Status über das MCD-Dashboard.
  

Zugehörige Informationen

• Erstellen eines Service-VPC oder -VNet
• FTDv-Integrationsverfahren
• Konfigurieren der Gateway-Voraussetzungen
• Multicloud-Schutz für Azure - Überblick
• Erstellen und Verwenden eines öffentlich-privaten SSH-Schlüsselpaars für Linux-VMs in Azure
• Technischer Support und Dokumentation für Cisco Systeme

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
2.0	15-Oct-2026	Überschrift von Cluster zu Gateway aktualisiert, um technische Unklarheiten zu vermeiden
1.0	09-Oct-2026	Erstveröffentlichung