Créer une VM Linux sur Azure et la protéger avec un NSG

Une machine virtuelle Azure est le service IaaS de base : un serveur virtuel dont tu choisis la taille, le système et le réseau, et dont tu administres tout ce qui tourne à l'intérieur. Elle se protège avec un groupe de sécurité réseau (NSG, Network Security Group), une liste de règles de filtrage à états qui décide quels flux peuvent l'atteindre. Ce chapitre présente les composants d'une VM, le fonctionnement d'un NSG, puis un lab complet : une VM Ubuntu qui sert une page web, accessible en SSH depuis ta seule adresse IP, arrêtée et supprimée proprement.

Les composants d'une VM Azure

Une VM n'est pas une ressource unique : c'est un assemblage. az vm create crée automatiquement ce qui manque.

Ubuntu 26.04 LTS est aussi disponible (Canonical:ubuntu-26_04-lts:server:latest). Pour trouver une image, az vm image list-offers --location francecentral --publisher Canonical --output table liste les offres de l'éditeur, az vm image list --location francecentral --publisher Canonical --offer ubuntu-26_04-lts --all --output table les versions d'une offre, et az vm list-skus --location francecentral --size Standard_B --output table vérifie qu'une taille existe dans ta région.

Le groupe de sécurité réseau (NSG)

Un NSG est une liste de règles, associée à un sous-réseau ou à une carte réseau. Chaque règle porte une priorité (de 100 à 4096), un sens (entrant ou sortant), une source et une destination (adresse, plage CIDR ou étiquette de service), un port, un protocole et une action (autoriser ou refuser).

• Les règles sont examinées par priorité croissante : la plus petite d'abord. La première qui correspond s'applique, et l'examen s'arrête.
• Le NSG est à états : si un flux entrant est autorisé, la réponse repart sans règle sortante, comme sur pfSense (cours pfSense).
• Les étiquettes de service remplacent des listes d'adresses tenues à jour par Microsoft : Internet, VirtualNetwork, AzureLoadBalancer, Storage…
• Quand un NSG est associé au sous-réseau et un autre à la carte réseau, un flux entrant doit être autorisé par les deux : celui du sous-réseau d'abord, puis celui de la carte.

Tout NSG contient six règles par défaut, impossibles à supprimer, avec les priorités les plus basses :

Résultat : tout ce qui vient d'Internet est refusé tant qu'une règle de priorité plus forte ne l'autorise pas, et la VM peut sortir vers Internet (pour ses mises à jour, par exemple).

Lab : une VM web Ubuntu protégée par un NSG

Ce lab coûte quelques centimes s'il dure une heure, et la VM B1s entre dans les services gratuits la première année. Supprime tout à la fin.

1. Prépare le groupe de ressources et repère ton adresse publique.

az group create --name rg-cloud-lab --location francecentral --tags cours=cloud

# Ton adresse IP publique, telle qu'Azure la verra
MON_IP=$(curl -s https://api.ipify.org)
echo "$MON_IP"

2. Écris un fichier cloud-init. Au premier démarrage, cloud-init installe Nginx et écrit une page d'accueil, sans que tu te connectes (cours Virtualisation).

cat > cloud-init.yaml <<'EOF'
#cloud-config
package_update: true
packages:
  - nginx
runcmd:
  - echo '<meta charset="utf-8"><h1>vm-web01 répond, Sorbier Logistique</h1>' > /var/www/html/index.html
EOF

3. Crée la VM, sans aucune règle d'accès (--nsg-rule NONE) : tu ouvriras ensuite exactement ce qu'il faut.

az vm create \
  --resource-group rg-cloud-lab \
  --name vm-web01 \
  --image Canonical:ubuntu-24_04-lts:server:latest \
  --size Standard_B1s \
  --admin-username sioadmin \
  --generate-ssh-keys \
  --public-ip-sku Standard \
  --nsg-rule NONE \
  --custom-data cloud-init.yaml

--generate-ssh-keys utilise ta clé de ~/.ssh ou en crée une : la VM n'accepte alors que l'authentification par clé, sans mot de passe (cours Linux). Au bout d'une à deux minutes, la commande affiche un résumé :

{
  "powerState": "VM running",
  "privateIpAddress": "10.0.0.4",
  "publicIpAddress": "192.0.2.50",
  "resourceGroup": "rg-cloud-lab"
}

Ici, 192.0.2.50 est une adresse d'exemple : Azure t'en attribue une de ses plages publiques, différente à chaque lab. Utilise la tienne. Le NSG a été nommé vm-web01NSG, l'adresse publique vm-web01PublicIP.

4. Ouvre le SSH pour toi seul, et le HTTP pour tout le monde.

az network nsg rule create \
  --resource-group rg-cloud-lab \
  --nsg-name vm-web01NSG \
  --name autoriser-ssh-admin \
  --priority 100 \
  --direction Inbound \
  --access Allow \
  --protocol Tcp \
  --source-address-prefixes "$MON_IP/32" \
  --destination-port-ranges 22

az network nsg rule create \
  --resource-group rg-cloud-lab \
  --nsg-name vm-web01NSG \
  --name autoriser-http \
  --priority 110 \
  --direction Inbound \
  --access Allow \
  --protocol Tcp \
  --source-address-prefixes Internet \
  --destination-port-ranges 80

# Les règles du NSG, avec les règles par défaut
az network nsg rule list --resource-group rg-cloud-lab --nsg-name vm-web01NSG --include-default --output table

5. Teste.

IP_VM=$(az vm show --show-details --resource-group rg-cloud-lab --name vm-web01 --query publicIps --output tsv)
curl "http://$IP_VM"
ssh sioadmin@"$IP_VM"

curl doit afficher <meta charset="utf-8"><h1>vm-web01 répond, Sorbier Logistique</h1>. Si tu obtiens la page par défaut de Nginx, cloud-init n'a pas fini : dans la session SSH, cloud-init status --wait attend la fin et affiche status: done. Essaie aussi le SSH depuis une autre connexion (le partage de connexion de ton téléphone, par exemple) : il doit échouer, faute de règle.

6. Arrête la VM pour de bon, puis supprime tout.

# Désallouer : le calcul n'est plus facturé (le disque et l'IP publique le restent)
az vm deallocate --resource-group rg-cloud-lab --name vm-web01

# Ou programmer un arrêt automatique chaque jour à 18 h UTC
az vm auto-shutdown --resource-group rg-cloud-lab --name vm-web01 --time 1800

# Fin du lab
az group delete --name rg-cloud-lab --yes --no-wait

Sécuriser l'administration d'une VM

• N'ouvre jamais le SSH ni le RDP à tout Internet. Des robots balaient en permanence toutes les adresses publiques et testent des mots de passe sur les ports 22 et 3389. Limite la source à une adresse connue, comme dans le lab.
• Pour se passer d'adresse publique d'administration, Azure propose Azure Bastion, un bastion managé qui donne une session SSH ou RDP dans le navigateur, et l'accès juste-à-temps (just-in-time) de Microsoft Defender for Cloud, une option payante qui n'ouvre le port que pour une durée limitée après une demande. Chez Sorbier, on passe plutôt par le VPN du siège : l'administration se fait depuis le VLAN 99 ADMIN, comme pour les serveurs locaux (cours Authentification).
• Applique les mises à jour. Les images Ubuntu installent automatiquement les correctifs de sécurité avec unattended-upgrades ; Azure Update Manager permet de suivre et planifier les mises à jour de tout un parc de VM, dans Azure ou sur site.
• Sauvegarde la VM avec Azure Backup (chapitre 13) : en IaaS, c'est à toi de le faire.

Exercices