Azure-VMs übertragen während des HA Failovers nicht alle Floating-IPs

24977

Created On 02/19/21 08:19 AM - Last Modified 10/25/25 17:18 PM

Symptom

Wenn ein Failover für einen Hochverfügbarkeitscluster VM ausgelöst wird, der in Microsoft Azure bereitgestellt wird und die Floating-Adresse als sekundäre Adresse der Schnittstellen festgelegt ist, verschieben sich eine oder mehrere Floating-Adressen IP IP nicht auf das neue aktive VM Gerät.
Um die Zeit des Failovers zeigt die pan_vm_plugin.log Datei auf dem neuen Aktiv firewall , dass die HTTP PUT Anforderung an Azure (zum Anfügen des NIC) mit dem Antwortcode 403 fehlschlägt:

vm_ha_state_trans INFO: : Probe result for detaching NIC: paloalto1-untrust is : {u'status': u'Succeeded'}
vm_ha_state_trans INFO: : DEBUG: Sending attach command for NIC : paloalto2-untrust
vm_ha_state_trans INFO: : Instance running in region 'westus'
vm_ha_state_trans INFO: : URL for put request: https://management.azure.com//subscriptions/<sanitized string>/resourceGroups
                          /paloaltonetworks/providers/Microsoft.Network/networkInterfaces/paloalto2-untrust?api-version=2019-11-01
vm_ha_state_trans INFO: : Put Request Failed: 403

Environment

VM Firewalls in Azure.
HAAktiv-Passiv konfiguriert.
Beliebig PAN-OS.
Beide Instanzen befinden sich in derselben Ressourcengruppe
Floating-Adresse IP wird als sekundäre Layer-3-Adresse der firewall Schnittstelle(n) auf dem aktiven Gerät zugewiesen

Cause

Dies ist ein Problem, das durch die Autorisierungsebene des Azure-Dienstprinzipals verursacht wird, der Firewalls zugeordnet ist.
Das Konto verfügt nicht über ausreichende Berechtigungen, um die angeforderte Übertragungsaktion auszuführen.

Resolution

Stellen Sie sicher, dass unserem zugeordneten Dienstprinzipalkonto in den IAM Einstellungen von Microsoft Azure die Rolle "Mitwirkender" zugewiesen ist.
Dadurch erhalten Sie genügend Berechtigungen, firewall um die IP Übertragung erfolgreich anzufordern.

Additional Information

Die pan_vm_plugin.log Datei kann überprüft werden, indem Sie sich anmelden firewall CLI und Folgendes ausführen: