使用MCD在Azure中部署FTDv網關

下載選項

  • PDF     (6.6 MB)
    在多種裝置上使用 Adobe Reader 檢視
  • ePub     (6.0 MB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
  • Mobi (Kindle)     (3.8 MB)
    在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視
已更新: 2026 年 10 月 15 日
文件 ID:226431

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。


簡介

本文檔介紹如何配置Microsoft Azure先決條件和通過MCD部署防火牆威脅防禦虛擬(FTDv)網關。

必要條件

  • 已獲取並註冊並與Microsoft Entra ID關聯的Azure訂閱。在Azure門戶中的應用註冊列表中確認此項。
  • 為Azure訂閱建立的自定義角色，該角色授予多雲防禦(MCD)對特定資源和操作的訪問許可權，否則這些資源和操作將被阻止。
  • 對Azure事件網格的訂閱，以便MCD可以從Azure訂閱接收即時更新。
  • Azure訂閱從MCD儀表板連線到多雲防禦控制器。
  • Azure中接受的思科應用商店條款（如果這是Azure帳戶首次登入MCD）。
  • （可選）配置使用者分配的託管身份（如果您需要金鑰保管庫或Blob儲存訪問）。
  • 新的服務VNet。在引入FTDv閘道支援之前建立的VNet無法用於FTDv閘道部署。
  • 對雲交付的防火牆管理中心(cdFMC)的活動訂閱，該中心管理FTDv裝置的訪問控制策略。
  • 通過思科銷售商或合作夥伴購買的至少一個FTDv許可證。

需求

思科建議您瞭解以下主題：

  • Microsoft Azure門戶的導航
  • Microsoft Entra ID(Azure AD)應用程式註冊和基於角色的訪問控制(RBAC)
  • Cisco Multicloud Defense(MCD)
  • 思科安全防火牆威脅防禦虛擬(FTDv)

採用元件

本文件所述內容不限於特定軟體和硬體版本。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

設定

使用這些過程準備Microsoft Azure、將Azure帳戶連線到MCD以及部署FTDv網關。

註冊應用程式

  1. 使用Azure門戶搜尋欄導航到Microsoft Entra ID。
    Register an Application
  2. 按一下Add，然後選擇App registration。
    Add App Registration
  3. 在「註冊應用程式」表單上，輸入以下值：
    • 名稱:應用程式的易於識別的名稱。
    • 支援的帳戶型別:選擇最適合您環境的選項。此文檔僅使用單租戶。
    Enter Name and Supported Account Types
  4. 針對重新導向URI（可選），選擇適用於您的環境的選項。本文檔未配置重定向URI。
    For redirect URI, Choose an Option
  5. 按一下「Register」。
  6. 註冊應用程式後，將顯示概述頁面。將應用程式(客戶端)ID和目錄(租戶)ID複製並保存到記事本。
    Click Register and Overview Page Appears
  7. 在應用程式頁面的左導航欄中，導航至管理>證書和密碼。
    Navigate to Manage , Certificates and Secrets
  8. 按一下New client secret。
    Click New Client Secret
  9. 在Add a client secret頁面上，輸入以下值，然後按一下Add:
    • 說明:客戶端密碼的正確描述。
    • 到期:從下拉選單中，選擇最適合您環境的選項。
note-icon

附註：當前金鑰到期時，必須建立新金鑰。

Add a Client Secret and Enter Description and Expires

  1. 將Value和Secret ID複製並儲存到記事本。
warning-icon

警告：您只能在建立時檢視加密值。

Copy and Save the Value and Secret ID

tip-icon

提示：客戶端密碼列在Value列中。

建立自定義角色

  1. 使用Azure門戶搜尋欄導航到Subscriptions。
    Create a Custom Role
  2. 按一下您的訂閱。
    Click Your Subscription
  3. 按一下「Access control(IAM)」。
    Click Access Control (IAM)
  4. 按一下Add，然後從下拉選單中選擇Add custom role。
    Click Add then Select Add Custom Role
  5. 輸入以下值：
    • 自定義角色名稱:自定義角色的易識別名稱。
    • 說明:角色的說明。
    • 基線許可權:如果尚未選擇Start from scratch單選按鈕，請按一下。
    Enter Custom Role Name, Description and Baseline Permissions
    note-icon

    附註：您提供的JSON（而不是「許可權」頁籤）為自定義角色分配許可權。



  6. 按一下JSON。
  7. 按一下「Edit」。
  8. 將此代碼塊貼上到方括弧中，以便執行以下操作:
"Microsoft.ApiManagement/service/*",
"Microsoft.Compute/disks/*",
"Microsoft.Compute/images/read",
"Microsoft.Compute/sshPublicKeys/read",
"Microsoft.Compute/virtualMachines/*",
"Microsoft.ManagedIdentity/userAssignedIdentities/read",
"Microsoft.ManagedIdentity/userAssignedIdentities/assign/action",
"Microsoft.Network/loadBalancers/*",
"Microsoft.Network/natGateways/*",
"Microsoft.Network/networkinterfaces/*",
"Microsoft.Network/networkSecurityGroups/*",
"Microsoft.Network/publicIPAddresses/*",
"Microsoft.Network/routeTables/*",
"Microsoft.Network/virtualNetworks/*",
"Microsoft.Network/virtualNetworks/subnets/*",
"Microsoft.Resources/subscriptions/resourcegroups/*",
"Microsoft.Storage/storageAccounts/blobServices/*",
"Microsoft.Storage/storageAccounts/listkeys/action",
"Microsoft.Network/networkWatchers/*",
"Microsoft.Network/applicationSecurityGroups/*",
"Microsoft.Compute/diskEncryptionSets/read",
"Microsoft.Insights/Metrics/Read",
"Microsoft.Network/locations/serviceTagDetails/read",
"Microsoft.Network/locations/serviceTags/read",
"Microsoft.CognitiveServices/*/read",
"Microsoft.CognitiveServices/accounts/listkeys/action",
"Microsoft.Network/virtualHubs/*",
"Microsoft.Network/virtualHubs/hubRouteTables/*",
"Microsoft.MarketplaceOrdering/offertypes/publishers/offers/plans/agreements/*",
"Microsoft.Authorization/roleAssignments/read",
"Microsoft.Authorization/roleDefinitions/read"

Custom Role in JSON Format

note-icon

附註：驗證JSON代碼塊的間距和頁籤是否正確。

以下是已完成的角色定義的示例：

{
    "id": "/subscriptions/redacted/providers/Microsoft.Authorization/roleDefinitions/redacted",
    "properties": {
        "roleName": "Multicloud Defense-controller-role",
        "description": "mcd azure test swesnitz",
        "assignableScopes": [
            "/subscriptions/redacted"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.ApiManagement/service/*",
                    "Microsoft.Compute/disks/*",
                    "Microsoft.Compute/images/read",
                    "Microsoft.Compute/sshPublicKeys/read",
                    "Microsoft.Compute/virtualMachines/*",
                    "Microsoft.ManagedIdentity/userAssignedIdentities/read",
                    "Microsoft.ManagedIdentity/userAssignedIdentities/assign/action",
                    "Microsoft.Network/loadBalancers/*",
                    "Microsoft.Network/natGateways/*",
                    "Microsoft.Network/networkinterfaces/*",
                    "Microsoft.Network/networkSecurityGroups/*",
                    "Microsoft.Network/publicIPAddresses/*",
                    "Microsoft.Network/routeTables/*",
                    "Microsoft.Network/virtualNetworks/*",
                    "Microsoft.Network/virtualNetworks/subnets/*",
                    "Microsoft.Resources/subscriptions/resourcegroups/*",
                    "Microsoft.Storage/storageAccounts/blobServices/*",
                    "Microsoft.Storage/storageAccounts/listkeys/action",
                    "Microsoft.Network/networkWatchers/*",
                    "Microsoft.Network/applicationSecurityGroups/*",
                    "Microsoft.Compute/diskEncryptionSets/read",
                    "Microsoft.Insights/Metrics/Read",
                    "Microsoft.Network/locations/serviceTagDetails/read",
                    "Microsoft.Network/locations/serviceTags/read",
                    "Microsoft.CognitiveServices/*/read",
                    ...

分配自定義角色

  1. 在訂閱訪問控制(IAM)頁面中，按一下Add role assignment。
    Assign the Custom Role from Access Control Page, Select Add
  2. 搜尋您在建立自定義角色部分建立的角色。
    Search for the Role Created
  3. 按一下下一步，將Assign access設定為User、group或service principal。
    Click Next and Leave Assign Access to User, Group, or Service Principal
  4. 按一下「Select members」。
    Click Select Members
  5. 新增在建立自定義角色部分建立的角色。
    Add the Role You Created
  6. 按一下下一步，然後複製訂閱ID。
    Click Next, then Copy the Subscription ID
  7. 按一下「Review + assign」。
    Click Review + Assign
  8. 系統將顯示預訂的概述頁面。從左側選單中，導航到Overview並複製Subscription ID。
    Overview Page for Subscription Appears

這將完成Azure先決條件以將Azure帳戶新增到MCD。這些過程描述了通過MCD的整合和部署。

將Azure帳戶連線到MCD

  1. 導覽至SCC > Multicloud Defense。
    Connect the Azure Account to MCD
  2. 在主控制面板中，按一下Cloud Accounts窗格中的Add Account。
    Click Add Account in cloud Accounts
  3. 按一下Azure圖標。
    Click the Azure Icon
  4. 在「連線Azure帳戶」頁上，輸入以下值：
    • Azure帳戶名稱:從MCD視角來看Azure帳戶的名稱。
    • 目錄ID:在「註冊應用程式」部分中儲存的目錄ID。
    • 訂閱ID:在「分配自定義角色」部分中儲存的訂閱ID。
    • 應用程式ID:您在「註冊應用程式」部分中儲存的應用程式ID。
    • 客戶端密碼：在「註冊應用程式」部分中儲存的值。
    On Connect Your Azure Account enter Azure Account Number, Directory ID, Subscription ID
    On Connect Your Azure Account enter Application ID and Client Server
  5. MCD發現並顯示Azure資產。按「Next」（下一步）。
     
    MCD Discovers and Displays he Azure Assets
  6. 按一下「Close」。
    Click Close
  7. 現在，您可以從基礎設施> CSP帳戶檢視已註冊帳戶。
    View Onboarded Account from Infrastructure

建立VNet

  1. 導航到Infrastructure > Service VPCs/VNets。
     
    Create a VNet
  2. 按一下「Create」。
    Click Create
  3. 輸入以下值：
    • 名稱:此過程為FTDv網關建立的VNet的易於識別的名稱。
    • CSP帳戶:在「將Azure帳戶連線到MCD」部分中分配的名稱。
    • 地區:部署FTDv閘道的區域。
    • CIDR塊:與VNet關聯的傳輸網關的唯一IP塊。
    • 可用區:至少選擇兩個可用區域以實現恢復能力。
    • 資源組:從下拉選單中選擇+建立資源組。
    • 資源組名稱:資源組的名稱。
    • 資源組區域:與為「區域」選擇的區域對齊的區域。
    按一下「Save」。
    Enter Required Values
  4. 系統將顯示成功消息。
    A Success Message Appears

確認從Azure端建立VNet，導航到Network foundation > Virtual networks overview > Virtual Networks。

Confirm Creation

Navigate to Network Foundation, Virtual Networks Overview and Virtual Networks

一旦建立VNet，它就會轉變為「活動」狀態。

VNet Transmissions is Active

建立Azure MCD FTDv網關

  1. 導航到Infrastructure > Gateways。
    Create Azure MCD FTDv Gateway
  2. 按一下「Add Gateway」。
    Click Add Gateway
  3. 輸入以下值：
    • 帳戶:從下拉選單中，選擇在「將Azure帳戶連線到MCD」部分中連結的Azure帳戶。
    • 網關型別:選擇FTDv Gateway。
    • 名稱:FTDv閘道的易於識別名稱。
    • 例項型別:適合您環境的例項型別。
    • 最小例項:從下拉選單中選擇至少一個例項。
    • 最大例項數:環境所需的最大FTDv例項數。允許的最大值為10。
    • HealthCheck埠:預設值為65534。本文檔不更改此值。
    Enter the Required Values for the Gateway
note-icon

附註：HealthCheck Port是多雲防禦負載平衡器用於檢查例項健康狀況的埠號。分配給例項的資料路徑安全組必須允許此埠上的流量。

  1. 輸入以下值：
    • 屬性:選擇Egress或East-West。
    • FTDv版本:最適合該環境的軟體版本。
    • 策略規則集:要應用到此FTDv群集的訪問控制策略(ACP)。
    • 密碼:FTDv例項的密碼。
    • 許可證型號：所需的許可模式。
    • 效能層:適用於預期裝置吞吐量的層。
    • 許可證型別:為此部署購買的許可證型別。
    • 地區:部署這些FTDv例項的區域。
    • VPC/VNet ID:在建立VNet部分建立的服務VNet。
    Enter the Next Set of Values for the Gateway
  2. 建立公鑰對。請參閱在Windows上建立SSH金鑰對以獲取指導。
    Create a Public Key Pair
  3. 輸入SSH公鑰和資源組的值。
    Enter Values dor SSH Public Key and Resource Groups
  4. 停用公共IP，然後按一下Next。
    Disable the Public IP and then Click Next
  5. 複查您指定的所有值。
    Review all the Values that You Specified
  6. 檢視這些值和資源完成載入後，按一下完成。
    Select Finish


    載入資源後儀表板檢視。

    Dashboard View Once Resources have Loaded


    網關部署的儀表板檢視。

    Dashboard of Gateway Deploying
  7. 網關開始建立後，將出現一條成功消息。按一下「OK」（確定）。
    Successfully Created

在MCD控制面板中，狀態顯示啟用。

From the MCD Dashboard, Status Displays ENABLING

從Summary和Instances頁籤監控狀態。

Monitor the Status from the Summary and Instances Tab

驗證

使用本節內容，確認您的組態是否正常運作。

  • 在Azure中的計算>虛擬機器下，監視FTDv例項。狀態從Creating更改為Running。
    Verify Configuration Works Properly Confirm the Gateway Status from the MCD Dashboard
  • 從MCD控制面板確認網關狀態。
    Availability Zones Details

相關資訊

修訂記錄

修訂 發佈日期 意見
2.0
15-Oct-2026
將標題從群集更新為網關，以消除技術混亂。
1.0
09-Oct-2026
初始版本
TAC Authored

由思科工程師貢獻

  • Shelby Wesnitzer
    Technical Consulting Engineer

這份文件是否有所幫助？

Feedback意見

讓思科協助您

本文件適用於這些產品