Azure network peering when not authorized to access linked subscription

I got stacked for several hours on the case with network peering across different subscriptions with different tenantsRelated documentation. This scenario is usually when you do network peering with customer's Azure or between Azure with different owners. My case was easy since it was between Azure's managed by me, but still, there was a weird error. Luckily it got resolved by the way which you want to try too.

Azure Portal WebUI error message
Error: The client has permission to perform action 'Microsoft.Network/virtualNetworks/peer/action' on scope '<rg>/providers/Microsoft.Network/virtualNetworks/<vnet>/virtualNetworkPeerings/<peeringName>', however the current tenant 'xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx' is not authorized to access linked subscription 'yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy'.

That sounds like you are missing some access rights. I tried despite I was subscription owner in IAM configuration to add a minimal needed role "Network Contributor".
az role assignment create --assignee name.surmame@company.com --role "Network Contributor" --scope /subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/<rg>/providers/Microsoft.Network/virtualNetworks/<vnet>

and also the same right for the other side
az role assignment create --assignee name.surmame@company.com --role "Network Contributor" --scope /subscriptions/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy/resourceGroups/<rg>/providers/Microsoft.Network/virtualNetworks/<vnet>

It should be now working, but it wasn't. The portal's authorize button in peering configuration opened a window where is usually a login page, but it stayed forever on redirection. URL was https://rc.portal.azure.com/tokenauthorize#access_token=XXX. Using different web browser was not enough to resolve.

What next? Let's try to use Azure CLI via Cloud shell console.
az network vnet peering create --name vnetPeeringName --resource-group rgName --vnet-name vnetName --remote-vnet-id /subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/<rg>/providers/Microsoft.Network/virtualNetworks/<vnet> --allow-vnet-access

But an error out of this was the opposite subscription not found. So what next? WebUI is not working, the Azure command line is not working in this scenario? What's left? Yes, it's Powershell!
1) + 7)
Set-AzContext -SubscriptionId xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx -TenantId zzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzzzzzz

New-AzRoleAssignment -SignInName name.surmame@company.com -RoleDefinitionName "Network Contributor" -Scope /subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/<rg>/providers/Microsoft.Network/virtualNetworks/<vnet>

$vNetA=Get-AzVirtualNetwork -Name vnetName -ResourceGroupName rgName
Add-AzVirtualNetworkPeering -Name vnetPeeringName -VirtualNetwork $vNetA -RemoteVirtualNetworkId "/subscriptions/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy/resourceGroups/<rg2>/providers/Microsoft.Network/virtualNetworks/<vnet2>"

3) + 9)

4) + 10)
Set-AzContext -SubscriptionId yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy -TenantId qqqqqqqq-qqqq-qqqq-qqqq-qqqqqqqqqqqq

New-AzRoleAssignment -SignInName name.surmame@company.com -RoleDefinitionName "Network Contributor" -Scope /subscriptions/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy/resourceGroups/<rg2>/providers/Microsoft.Network/virtualNetworks/<vnet2>


$vNetB=Get-AzVirtualNetwork -Name vnetName2 -ResourceGroupName rgName2
Add-AzVirtualNetworkPeering -Name vnetPeeringName2 -VirtualNetwork $vNetB -RemoteVirtualNetworkId "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/<rg>/providers/Microsoft.Network/virtualNetworks/<vnet>"


Network peering is enstablished after this procedure and thing which I don't understand is why it works only in PowerShell console and not in both other options. Well, at least it's working now.


EDUMA programme review at JYU

I decided to publish my thoughts about the study programme EDUMA on JYU, which is a code name of "Master's Degree Programme in Educational Sciences at the University of Jyväskylä (Jyväskylän yliopisto)". I originally thought the programme is lousy, but it's not that simple to put blame on one place only.

How to describe what is the content of EDUMA briefly? It is a study programme about researching the area of education. The students of the programme have different backgrounds and reasons to apply, but I have observed that the current students are usually the people who were in touch with teaching or have pedagogical backgrounds and they wish to improve their skills in the area further. I think these areas and topics are not properly covered within the programme.

Let me explain by unscrolling to a bit higher level. Whether you are a doorkeeper or anyone above in some kind of educational institution around the globe you have probably heard about "the great Finnish education system". The hype exists about that unrepeatable set of environmental conditions which makes education in Finnish schools good. 

So, you are a student of teaching and you see references to the Finnish education system everywhere and you decide to go study for your masters in Finland. The next question is: Where in the country of thousand lakes? Whether you ask anyone from Vantaa airport staff to a president, you are surely going to get the answer Jyväskyla, since the city is generally known as the Mecca of teachers. So you open the website of the only one "real" university of Jyväskylä, select educational faculty, click on studying in English, and apply for only one programme offered there, even without reading fliers and specifically without reading them in between the lines. That's my answer to why there are so many interesting people studying rather unspecific and untargeted programme.

My experience from the studies themselves in quite short, as I resigned from many courses when I felt that people who are teaching are not experienced experts in their topic. Not that they would not know, but they felt more like theoreticians to me. Not all of them, but quite many. I like theories but there is a reality to every theory. I heard so much from various people about how real universities (yliopisto) are better than the universities of applied sciences (ammattikorkeakoulu) where I did my previous Finnish degree, so I expected to experience a great upgrade. The EDUMA program did not provide me that feeling in the sense of the content or structure. However, the other parameters of the programme (and the great Finnish educational system) are good, e.g. you are not just another student number; there is a trust to you and a flat hierarchy which means equality with professors, etc. 

Well, the biggest observed issue of EDUMA alumni is the lack of qualification to work in Finland as an educator, which you probably hoped for. The programme does not contain anything that would support or prove your previous pedagogical skills, so you cannot officially be even a language teacher. Secondly, the area of suggested career paths contains roles such as "educational planner, administrator, consultant, coordinator, teacher educator or researcher" which are quite narrow, small, and probably protected for Finnish students.

Despite the official government strategy to keep graduate students in Finland (to return the investment and boost competitiveness), there are not too many opportunities to find a job in that area. It is never easy of course, but there are so many people planning to leave due to a lack of work prospects. You might do better at home by selling your expertise in great Finnish education. This is my theory supported by fragments of interviews with my dear classmates.

What to do with the EDUMA issue then? In my opinion: 

  • If you are a representative of the University, please offer a programme with the better fit - check what kind of people applied in the past, review their background, modify the programme based on that.
  • If you are an employer in the area of education, think if you can offer a working position that would fit the EDUMA graduates' qualifications, but also recognize their previous knowledge and skills.
  • If you are a teacher of EDUMA, please give more concrete examples of what you mean by referenced theories. Don't present generally known stuff and point the interesting things into readings, but do it rather the other way around.
  • If you are an applicant, read the EDUMA description page once again or check the program called DEICO
  • If you are part of the student ambassador project, please don't make videos "how you like studying EDUMA" with people in their second week of studies. 
  • If you are a current student, you can anonymously post under the article.

P. S. Sorry for the clickbait on the headline, this is not actually a review. It's like with university courses when you realize in the end that the course name was not so accurate, but it was attractive to select.


Zdravotní pojištění v zahraničí

Poslední dobou mé okolí řešilo změnu zdravotní pojišťovny z důvodu, že začali pracovat v zahraničí, kdy tato skutečnost "přebíjí" stav studenta v domovské krajině či, jak se skutečnost nazývá oficiálně, jako "osoba bez zdanitelných příjmů". Otázky a problematika je stále stejná, takže si dovolím to sumarizovat pro Finsko.

Po třech měsících výkonu pracovní činnosti s typem smlouvy, u které se odvádí zdravotní pojištění, vzniká nárok na jeho uplatnění u jediné finské zdravotní pojišťovny "KELA" a to od data začátku smlouvy, tedy zpětně. U lepších firem mají tuto vlastnost i brigádnické smlouvy (částečný úvazek), což odpovídá našemu DPČ. Pak jsou nějaké možnosti být pojištěný na základě společného bydlení (delším než 6 měsíců) s partnerem spadajícím pod pojištění - tady přesně nevím, znám jenom z doslechu.

Proč to řešit? V Evropské unii nesmíte být pojištěný ve dvou zemích současně. Tam, kde jste pojištění získáváte péči i preventivního charakteru a pakliže ji budete čerpat v jiné zemi může nastat potíž s fakturací, která nejhůře skončí jako účet u vás na stole. Českou či Slovenskou pojišťovnu musíte informovat do dvou týdnů po změně, nicméně nová pojišťovna vám dá vědět nejdříve po třech měsících. Co s tím? Nic se neděje, pojišťovny si to umí vyřešit mezi sebou retrospektivně. Ze zkušenosti se nic neděje když se změna oznamuje i přes půl roku zpátky.

Co je klíčové? Při žádosti na KELA o zařazení do zdravotního pojištění je třeba si vyžádat formulář  E 104 (starší značení S041) a ten doručit své předchozí pojišťovně. Zdravotní úkony provedené v tranzitním období si pojišťovny umí vyřešit mezi sebou. Samozřejmě záleží provedených úkonech, mě osobně prošla bez zmínky i preventivní prohlídka u praktického lékaře v Česku.

Co se děje pak? Jste pojištěncem ve Finsku, kde čerpáte veškerou péči. Většinou by všichni chtěli chodit si ke svému předchozímu doktorovi v Česku, nicméně to není možné. Šlo by to, pakliže byste z KELY vymámili dokument E 106 o pokrytí celé péče a ten KELA nechce vydávat. Je určen pro 'pendlery', kteří jsou alespoň 1x týdně v domovské zemi.

Když jedete domů, budete pro systém cizinec. Nicméně lékaři vám poskytnou "bezodkladnou péči" na Evropský průkaz pojištěnce. Příslušný doktor pošle po zákroku účet své pojišťovně a ta si to vyřeší s KELA, takže to není třeba řešit nějakou platbou v hotovosti jako u cizinců mimo Evropskou unii atp. Jak tomu rozumím, jde o dobré vztahy českého doktora se svou pojišťovnou a pak je vás ochotný přijmout i se zahraniční pojišťovnou.

Na zpětné proplacení extra úkonů musíte mít cestovní pojištění uzavřené mimo Česko, protože to je jediná země, kde české cestovní pojištění neplatí. Čtete důkladně podmínky platnosti a maximální délku výjezdu! Pojišťovna totiž platí, pouze když nepřijde na způsob jak neplatit.

Možná si myslíte, že byste si mohli uzavřít produkt nazvaný cestovní pojištění do ČR. Nicméně čtěte dále: Je to "balíček sestávající se z úrazového pojištění, pojištění odpovědnosti za újmu a pojištění zavazadel. Je určen na cesty po České republice." A dále: "Pojištění do ČR nezahrnuje úhradu léčebných výloh, protože to plně kryje zdravotní pojištění ČR." A hlavně: "Pokud jste občan ČR dlouhodobě žijící v zahraničí a v ČR si neplatíte veřejné zdravotní pojištění, i tak si můžete uzavřít cestovní pojištění (pojišťovny AXA Assistance či UNIQA), ale takové pojištění neplatí v ČR a v zemi, kde žijete." Případná repatriace bude do státu, kde si platíte veřejné zdravotní pojištění. Napadlo by vás tedy, že si sjednáte Zdravotní pojištění cizinců, ale tady jsme zase na začátku: nelze mít dvě základní pojištění najednou. Není to snadné...

Odhaduji situaci tak, že v případě, kdy budete potřebovat nějaké ošetření u kterého není evidetní, jestli jde o bezodkladnou péči, tak bude lékař ověřovat, jestli vás může přijmout. To je nepohodlné, ale může se vám to klidně stát i v rámci Česka, když máte regionální pojišťovnu v místech, kde není obvyklá. Typicky třeba RBP213 v Čechách.

Takže zase zpátky do Finska: specialitou je národní formát kartičky pojištění. Mají svojí v béžové barvě a o Evropský průkaz pojištěnce je třeba zažádat zvlášť přes web Kela. Platnost evropského průkazu jsou dva roky od dne podání žádosti. Ve finských lékarnách je mnohem lepší používat národní verzi, zdravotnická zařízení oveřují nárok přes osobní (rodné) číslo a tak v cestovní peněžence může evropská varianta zůstávat trvale.

Při zpětné registraci do Česka po ukončení pracovního poměru v zahraničí to může být "zábavné", protože vzniká cyklická závislost. Preventivku pro práce-schopnost vám lékař neudělá, pokud nejste klientem české zdravotní pojišťovny, která vás ale nepojistí, dokud nemáte českou pracovní smlouvu na kterou, ale potřebujete potvrzení o práceschopnosti. Doklad o preventivní prohlídce od zahraničního lékaře zase běžně neakceptuje český zaměstnavatel. No, někdo z nich musí ustoupit...

Tolik k základním otázkám, které se v pravidelném rytmu pořád opakují.


Autem po Finsku

Nadpisem jsem začal jako by to byla pohádka, ale není... Finsko je Evropa, navíc ta vyspělá. Žádné zásadní překvapení se tu nekoná. Tímto základním článkem bych spíše sumarizoval některé místní souvislosti, které by možná mohly potencionálnímu cestovateli / řidiči uniknout při přípravě či samotné jízdě. Na článek navazuje rozšiřující text pro fajnšmekry. 

Finsko je obrovská země a všude je to daleko středoevropskými měřítky. Pod dvě hodiny cestování se mezi domorodci považuje za kousek a proto se počítadla kilometrů točí jako o závod. Nadruhou stranu se jezdí plynule. Jak se dostanete z města, tak se jede po hlavní silnici v podstatě konstatní rychlostí.

Finové jsou ohleduplní a respektují ostatní účastníky silničního provozu. Tomu odpovídá i pořádek na cestách s asertivním defensivním stylem jízdy. Dávají přednost všemu i když nemusí, neradi se někam cpou, drží rozestupy a i řidiči dodávek a Wolt rozvozů spěchají tak nějak pomalu.

Na tuto skutečnost se rychle adaptovali chodci, kteří tak nějak automaticky počítají s tím, že jim na přechodu všechno zastaví. Přijde mi, že se nesnaží navázat s řidičem oční kontakt a prostě skáčou do cesty. Jako český chodec si očním kontaktem umím vyjednat zastavení aut i mimo přechod.

Cyklisté na přechodech pro chodce přednost ze zvyku mají (i když teď přesně nevím co říká zákon), taktéž se nedívají a kromě toho se zjevují rychle. Velmi doporučuji se při odbočování vpravo pořádně podívat, jestli nejede nějaké kamikaze - pokud je souběžně stezka pro cyklisty s hlavní silnicí, pak má cyklista dokonce i přednost. Je to trošku náročné, protože přes sloupky není vidět a zrcátko má špatný úhel, ale opět Finsko je velká země a provoz je řidký.

Rovnostářští seveřani si převelice oblíbili přednost zprava. Najdete ji i na nečekaně velkých křižovatkách ve městě a je potřeba na to stále myslet, protože druhá věc: hlavní silnice nebývá označena kosočtversovou značkou. Poznáte ji tak, že na připojujících se komunikacích vidíte zboku trojúhelníky "dej přednost v jízdě”, ale taky nemusí být vidět přes čekající autobus.

Občas ve Finsku naleznete dopravně-inženýrské šílenosti. Třeba klasickou křižovatku s pravidlem pravé ruky, jen na jednom rameni je stopka. Zákazové značky na levé straně silnice, přednost chodcům při odbočování vlevo na světelné křižovatce atp. Pointou je, že vy máte vědět, jak oni to mysleli a neukecáte to, že to neplatí, když to není podle normy. 

Zvířata na cestách jsou podle statistik nejčastější dopravní nehodou, nicméně není to tak horké zejména ve spodní polovině Finska nebo jsem měl jen štěstí. Narozdíl od české srny, která pod kola skočí, losi či sobi na cestě stojí a vy to “jen” neubrzdíte. Proto je dovoleno jezdit jenom 80 km/h na rovných cestách podél lesa. Stádo sobů jsme srazili na zájezdu autobusem za polárním kruhem a dvě zvířata usmrtili. Prostě se objevili za zatáčkou a řidič to vzal naštěstí středem vozovky, než aby se snažil o nebezpečný manévr. 

Dodržujte rychlost! Jednak kvůli krizovému brždění, a taky vysokým pokutám progresivně udělovaných podle výše přijmu (ale i ta základní sazba stačí). Seveřani jsou posedlí automatickými kamerami, ale už jsem viděl i civilní dodávku s radarem. Starý typ pevných radarů v šedé bedně měří jenom ve statickém bodě, ale ty nové válcovitého tvaru monitorují úsek o délce 150 metrů. Radary se nacházejí hlavně na větších tazích a navigace Waze je má všechny v databázi, doporučuji. Tajemství o radarech: nechodí z nich pokuty vozidlům registrovaným v zahraničí (z legislativních důvodů, něco jako u nás byla osoba blízká) - kamarády vyzkoušeno na mém autě, ale pozor z Estonska pokuty chodí - vyzkoušeno osobně.

Když už jsem to nakousl, Fin nemůže řídit vůz s cizí státní značkou bez přítomnosti majitele. Vozidlo registrované v zahraničí nemůže být na území Finska déle než 6 měsíců bez přerušení a déle než rok s přerušením. Všechno kvůli povinnosti platit nemalou silniční daň.

Parkování zdarma ve městech je problém a je potřeba platit. Volná místa jsou omezena časem na parkovacím kotouči a fakt se to hlídá! Já stání hledám přes Parkopedii. Pracovní dny do 18 hodin budou problém, ale soboty po obědě a neděle nejsou problém. Mají na to takovou fajnovou dodatkovou tabulku, kdy první řádek černým fontem, je pondělí až pátek, druhý řádek černým písmem v závorce je sobota a červeně v závorce jsou neděle a svátky.

Chytákem je kulatá značka v hranatém žlutém orámování (373. Pysäköintikieltoalue). U nás se to používá ke zvýraznění značky, nicméně ve Finsku je to zóna. Používá se to zejména pro zákaz stání.

Tmavá část roku je z hlediska cestování poměrně nezajímavá, protože nejsou vidět panorámata, zvěř ani díry ve vozovce. Hodí se mít dobrá světla, se žárovkovými 55 W na mokré cestě je to o silné představivosti. Domorodci mají přídavná světla ve stylu kolik toho jen alternátor snese, ale když je potřeba se míjet a vyhýbat, tak to musí zhasnost a oba jenom doufáte, že za oslňujícími světly není žádné nebezpečí. 

Zima a čas sněhu je proti Česku stabilní, trvá dlouho v několika etapách. První sníh na čistém podkladě je radost, pak to tak různě taje do břečky a znova mrzne, než napadne pořádně. Odhrnou to, ale ujezdí se souvislá vrstva, která opět různě taje a postupně se sjíždí do hladka. Časem se vyjezdí ledové koleje až k asfaltu. Ke konci zimy horní sníh odtává a v potocí odtéká, zatímco vespod je zdrádně kluzký led. V pozdním jaru jsou cesty už suché, kromě některých zatáček ve stínu. Každá z etap má své kouzlo a piluje řidičské schopnosti.

Domorodci jezdí na zimních pneumatikách s hřeby, které vytáhnou po prvním nasněžení ke konci října a suchý asfalt hoblují se sněhovou přestávkou do konce dubna. Proto je hlavní stopa cest rozdrásaná a dělá na normálních gumách takový kravál. Mimojiné je to důvod, proč je máme v Česku zakázané používat. Celou zimu se dá jezdit na normálních zimácích, ale je potřeba používat hlavu a nejezdit když je příliš hladko a led. Důvod je takový, že vypadáte jako pitomec, když se na křižovatce do kopečku nerozjedete na zelenou a ještě při tom nabouráte auto za sebou a to nezmiňuji pokusy nečekaně zastavit. Všem ostatním to totiž jde i když s lehkým prokluzováním.

Cena benzínu je znatelně vyšší než u nás, pakliže v Česku tankujete N95 za 30 Kč litr (1,25 €), ve Finsku je cena 1,46€ (37 Kč). Nafta už poslední roky stojí stejně nebo i více. Slušně (ale ne nutně všude) je rozšířený i citelně levnější E85, na který starší benzíňáky jedou také. Hustota čerpacích stanic je dobrá a každých +/- 100 km se dá natankovat na nějaké ze samoobslužných pump. V odlehlých částech země je třeba doplňování PHM trochu více plánovat ať nedojde nevhod. Ve stručnosti k popisu dynamických cen je nejlevnější Shell za městem v první polovině týdne. LPG ve Finsku není. CNG vyjímečně jo. Navíc mají bioplyn. Nabíječky pro elektro jsou časté u motorestů a ve slušné míře ve městech, kromě toho má většina vyhrazených parkovacíh míst 230 V zásuvku pro přídavné vytápění, ze které by se dalo nabít také. 

Volba trasy: když je tma a škaredě, tak asi není co řešit a jet rovnou k cíli. Když je ale hezky a tma až pozdě či jestli vůbec doporučuji to vzít jinudy než po přímých silnicích. Jsou totiž malebnější a klidné bez provozu. Hlavní trasy mají tendence vytvářet vláčky aut za kamionem a předjížděcí pruhy se objevují sporadicky. Migračními dny je pátek odpoledne a neděle odpoledne, kdy je lepší dálkově nejezdit. Proti Česku to samozřejmě není nic, ale proč se zbytečně stresovat na cestě a neužívat si řízení osamotě.

Hlavní a větší trasy jsou v dobrém stavu a nikoho nic nepřekvapí, když z nich ale sjedete už to začíná být horší s kvalitou vozovky. No a pak je tu ohromné množství nezpevněných cest. Hliněné cesty jsou plné děr a výmolů, překvapivě se po nich dá jezdit docela rychle, zejména když nic nevíte o mechanických částech náprav. Taky se na nich příšerně práší. Doporučuji neblbnout s rallye stylem ježdění, protože na štěrkovém podkladu to smykuje jako na ledu.

To je můj úvod do řidičské průpravy. Více méně šlo jen o to nejnutnější, v dalších dílech to bude trochu více pro petrol heady.


az cli replace VMSS NSG

Let's show you some Azure Cloud settings change. It took me a while to make it work some you might appreciate it as a ready-made command(s).

If you don't like the existing network security group object linked with your virtual machine scale set, you can change it by using set command replacing value there with new id. There is no separate az vmss update command for it.

used variables:
  • $subscriptionId
  • $resourceGroup
  • $vmssName
  • $nsgNameNew
az cli command:
  • az vmss update --name $vmssName -g $resourceGroup --set virtualMachineProfile.networkProfile.networkInterfaceConfigurations[0].networkSecurityGroup.id=/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.Network/networkSecurityGroups/$nsgNameNew
You need to refresh all nodes in VMSS before you can use that new NSG rules or delete old NSG object. You can do it by command
  • az vmss update-instances --instance-ids '*' --name $vmssName --resource-group $resourceGroup --output none --no-wait
or by portal =>  Virtual machine scale set => Scaling => Manual scale => Instance count => 0 and later increasing again. Deallocating VMSS is not enough.

I hope it helped.