Les machines virtuelles Azure ne transfèrent pas toutes les adresses IP flottantes pendant le HA basculement

24969

Created On 02/19/21 08:19 AM - Last Modified 10/25/25 17:18 PM

Symptom

Chaque fois que le basculement est déclenché pour un cluster haute disponibilité VM déployé sur Microsoft Azure avec l’adresse flottante définie comme adresse secondaire des interfaces, une ou plusieurs adresses flottantes IP IP ne se déplacent pas vers le nouvel appareil actif VM .
Au moment du basculement, le fichier pan_vm_plugin.log sur le nouvel actif firewall indique que la HTTP PUT demande vers Azure (pour joindre le ) échoue avec le NICcode de réponse 403 :

vm_ha_state_trans INFO: : Probe result for detaching NIC: paloalto1-untrust is : {u'status': u'Succeeded'}
vm_ha_state_trans INFO: : DEBUG: Sending attach command for NIC : paloalto2-untrust
vm_ha_state_trans INFO: : Instance running in region 'westus'
vm_ha_state_trans INFO: : URL for put request: https://management.azure.com//subscriptions/<sanitized string>/resourceGroups
                          /paloaltonetworks/providers/Microsoft.Network/networkInterfaces/paloalto2-untrust?api-version=2019-11-01
vm_ha_state_trans INFO: : Put Request Failed: 403

Environment

VM pare-feu sur Azure.
HAActif-Passif configuré.
N’importe quel PAN-OSfichier .
Les deux instances sont sous le même groupe de ressources
L’adresse flottante IP est attribuée en tant qu’adresse secondaire de couche 3 de l’interface ou des firewall interfaces sur le périphérique actif

Cause

Il s’agit d’un problème provoqué par le niveau d’autorisation du principal du service Azure associé aux pare-feu.
Le compte ne dispose pas de privilèges suffisants pour effectuer l’action de transfert demandée.

Resolution

Assurez-vous que le rôle « Contributeur » est attribué à notre compte principal de service associé dans les IAM paramètres de Microsoft Azure.
Cela donnera suffisamment de privilèges au firewall pour demander le IP transfert avec succès.

Additional Information

Le fichier pan_vm_plugin.log peut être vérifié en se connectant au firewall CLI et en exécutant :