تمكين الوصول في الوقت المناسب على الأجهزة الظاهرية

• يتطلب JIT تمكين Microsoft Defender for Servers الخطة 2 على الاشتراك.

• يمكن للأدوارReader وSecurityReader عرض حالة JIT والمعلمات.

• إذا كنت ترغب في إنشاء أدوار مخصصة تعمل مع JIT، فأنت بحاجة إلى التفاصيل من الجدول التالي:

  لتمكين المستخدم من:	أذونات لتعيين
  تكوين أو تحرير نهج JIT لجهاز ظاهري	عيّن هذه الإجراءات للدور: في نطاق اشتراك (أو مجموعة موارد عند استخدام API أو PowerShell فقط) المقترن بالجهاز الظاهري: Microsoft.Security/locations/jitNetworkAccessPolicies/write في نطاق اشتراك (أو مجموعة موارد عند استخدام API أو PowerShell فقط) من الجهاز الظاهري: Microsoft.Compute/virtualMachines/write
  طلب وصول JIT إلى VM	عيّن هذه الإجراءات للمستخدم: Microsoft.Security/locations/jitNetworkAccessPolicies/initiate/action Microsoft.Security/locations/jitNetworkAccessPolicies/*/read Microsoft.Compute/virtualMachines/read Microsoft.Network/networkInterfaces/*/read Microsoft.Network/publicIPAddresses/read
  اقرأ نُهج JIT	عيّن هذه الإجراءات للمستخدم: Microsoft.Security/locations/jitNetworkAccessPolicies/read Microsoft.Security/locations/jitNetworkAccessPolicies/initiate/action Microsoft.Security/policies/read Microsoft.Security/pricings/read Microsoft.Compute/virtualMachines/read Microsoft.Network/*/read

  إشعار

  فقط أذونات Microsoft.Security ذات الصلة بـ AWS.

• لإعداد JIT على جهاز Amazon Web Service (AWS) الظاهري، تحتاج إلى توصيل حساب AWS الخاص بك ب Microsoft Defender for Cloud.

  تلميح

  لإنشاء الدور الأقل امتيازاً للمستخدمين الذين يحتاجون إلى طلب وصول JIT إلى جهاز ظاهري، وعدم إجراء أي عمليات JIT أخرى، استخدم البرنامج النصي Set-JitLeastPrivilegedRole من صفحات مجتمع Defender for Cloud GitHub.

  إشعار

  لإنشاء نهج JIT مخصص بنجاح، يجب ألا يتجاوز اسم النهج، بالإضافة إلى اسم الجهاز الظاهري المستهدف، إجمالي 56 حرفا.

يمكنك استخدام Defender for Cloud أو يمكنك تمكين الوصول إلى الجهاز الظاهري ل JIT برمجيا باستخدام خياراتك المخصصة، أو يمكنك تمكين JIT باستخدام معلمات افتراضية ذات تعليمات برمجية مضمنة من أجهزة Azure الظاهرية.

يظهر الوصول إلى الجهاز الظاهري في الوقت المناسب الأجهزة الظاهرية المجمعة في:

• تم التكوين - تم تكوين الأجهزة الظاهرية لدعم الوصول إلى الجهاز الظاهري في الوقت المناسب، ويظهر:
  • عدد طلبات JIT المعتمدة في الأيام السبعة الماضية
  • آخر تاريخ ووقت وصول
  • تفاصيل الاتصال التي تم تكوينها
  • المستخدم الأخير
• غير مكون - الأجهزة الظاهرية دون تمكين JIT، ولكن يمكن أن يدعم JIT. نوصي بتمكين JIT لهذه الأجهزة الظاهرية.
• غير مدعوم - الأجهزة الظاهرية التي لا تدعم JIT بسبب:
  • مجموعة أمان الشبكة المفقودة (NSG) أو Azure Firewall - يتطلب JIT تكوين NSG أو تكوين جدار حماية (أو كليهما)
  • يدعم الجهاز الظاهري الكلاسيكي - JIT الأجهزة الظاهرية التي يتم نشرها من خلال Azure Resource Manager. تعرف على المزيد حول نماذج توزيع Resource Manager الكلاسيكية مقابل Azure.
  • أخرى - يتم تعطيل حل JIT في نهج الأمان للاشتراك أو مجموعة الموارد.

تمكين JIT على الأجهزة الظاهرية من Microsoft Defender for Cloud

من Defender for Cloud، يمكنك تمكين وتكوين الوصول إلى الجهاز الظاهري ل JIT.

1. افتح Workload protections ، وفي الحماية المتقدمة، حدد Just-in-time VM access.

2. في علامة التبويب الأجهزة الظاهرية غير المكونة ، ضع علامة على الأجهزة الظاهرية للحماية باستخدام JIT وحدد تمكين JIT على الأجهزة الظاهرية.

   تفتح صفحة الوصول إلى الجهاز الظاهري ل JIT سرد المنافذ التي يوصي Defender for Cloud بحمايتها:

   • 22 - SSH
   • 3389 - RDP
   • 5985 - WinRM
   • 5986 - WinRM

   لتخصيص الوصول إلى JIT:

   1. حدد إضافة.

   2. حدد أحد المنافذ في القائمة لتحريره أو إدخال منافذ أخرى. لكل منفذ، يمكنك تعيين:

      • البروتوكول - البروتوكول المسموح به على هذا المنفذ عند الموافقة على طلب
      • عناوين IP المصدر المسموح بها - نطاقات IP المسموح بها على هذا المنفذ عند الموافقة على طلب
      • الحد الأقصى لوقت الطلب - الحد الأقصى لنافذة الوقت التي يمكن خلالها فتح منفذ معين

   3. حدد موافق.

3. لحفظ تكوين المنفذ، حدد حفظ.

تحرير تكوين JIT على جهاز ظاهري بواسطة JIT باستخدام Defender for Cloud

يمكنك تعديل تكوين الجهاز الظاهري في الوقت المناسب عن طريق إضافة منفذ جديد وتكوينه للحماية لهذا الجهاز الظاهري، أو عن طريق تغيير أي إعداد آخر متعلق بمنفذ محمي بالفعل.

لتحرير قواعد JIT الحالية لجهاز ظاهري:

1. افتح Workload protections ، وفي الحماية المتقدمة، حدد Just-in-time VM access.

2. في علامة التبويب Configured virtual machines، انقر بزر الماوس الأيمن فوق VM وحدد Edit.

3. في تكوين الوصول إلى الجهاز الظاهري في الوقت المحدد، يمكنك إما تحرير قائمة المنفذ أو تحديد إضافة منفذ مخصص جديد.

4. عند الانتهاء من تحرير المنافذ، حدد حفظ.

طلب الوصول إلى جهاز ظاهري ممكن بواسطة JIT من Microsoft Defender for Cloud

عندما يكون لدى الجهاز الظاهري JIT ممكن، يجب عليك طلب الوصول للاتصال به. يمكنك طلب الوصول بأي من الطرق المدعومة، بغض النظر عن كيفية تمكين JIT.

1. من صفحة الوصول إلى الجهاز الظاهري في الوقت المناسب، حدد علامة التبويب تكوين.

2. حدد الأجهزة الظاهرية التي تريد الوصول إليها:

   • تشير الأيقونة الموجودة في عمود تفاصيل الاتصال إلى ما إذا تم تمكين JIT على مجموعة أمان الشبكة أو جدار الحماية. إذا تم تمكينه على كليهما، فستظهر أيقونة جدار الحماية فقط.

   • يظهر عمود تفاصيل الاتصال ion المستخدم والمنافذ التي يمكنها الوصول إلى الجهاز الظاهري.

3. حدد Request access. يتم فتح نافذة طلب الوصول.

4. ضمن طلب الوصول، حدد المنافذ التي تريد فتحها لكل جهاز ظاهري، وعناوين IP المصدر التي تريد فتح المنفذ عليها، والنافذة الزمنية لفتح المنافذ.

5. حدد فتح المنافذ.

   إشعار

   إذا كان المستخدم الذي يطلب الوصول خلف وكيل، يمكنك إدخال نطاق عنوان IP للوكيل.

الأجهزة الظاهرية لدى Azure

تمكين JIT على الأجهزة الظاهرية من أجهزة Azure الظاهرية

يمكنك تمكين JIT على جهاز ظاهري من صفحات أجهزة Azure الظاهرية في مدخل Microsoft Azure.

1. من ⁧⁩مدخل Azure⁧⁩، ابحث عن ⁧⁩الأجهزة الظاهرية⁧⁩ وحددها.

2. حدد الجهاز الظاهري الذي تريد حمايته باستخدام JIT.

3. في القائمة، حدد تكوين.

4. ضمن الوصول في الوقت المناسب، حدد تمكين في الوقت المناسب.

   بشكل افتراضي، يستخدم الوصول في الوقت المناسب للجهاز الظاهري هذه الإعدادات:

   • أجهزة Windows
     • منفذ RDP: 3389
     • الحد الأقصى للوصول المسموح به: ثلاث ساعات
     • عناوين IP المصدر المسموح بها: أي
   • أجهزة Linux
     • منفذ SSH: 22
     • الحد الأقصى للوصول المسموح به: ثلاث ساعات
     • عناوين IP المصدر المسموح بها: أي

5. لتحرير أي من هذه القيم أو إضافة المزيد من المنافذ إلى تكوين JIT، استخدم صفحة Microsoft Defender for Cloud في الوقت المناسب:

   1. من قائمة Defender for Cloud، حدد الوصول إلى الجهاز الظاهري في الوقت المناسب.

   2. من علامة التبويب تكوين، انقر بزر الماوس الأيمن فوق الجهاز الظاهري الذي تريد إضافة منفذ إليه، وحدد تحرير.

      

   3. ضمن تكوين الوصول إلى الجهاز الظاهري ل JIT، يمكنك إما تحرير الإعدادات الموجودة لمنفذ محمي بالفعل أو إضافة منفذ مخصص جديد.

   4. عند الانتهاء من تحرير المنافذ، حدد حفظ.

طلب الوصول إلى جهاز ظاهري ممكن بواسطة JIT من صفحة اتصال الجهاز الظاهري Azure

عندما يكون لدى الجهاز الظاهري JIT ممكن، يجب عليك طلب الوصول للاتصال به. يمكنك طلب الوصول بأي من الطرق المدعومة، بغض النظر عن كيفية تمكين JIT.

لطلب الوصول من أجهزة Azure الظاهرية:

1. في مدخل Microsoft Azure، افتح صفحات الأجهزة الظاهرية.

2. حدد الجهاز الظاهري الذي تريد الاتصال به، وافتح صفحة الاتصال.

   يتحقق Azure لمعرفة ما إذا تم تمكين JIT على هذا الجهاز الظاهري.

   • إذا لم يتم تمكين JIT للجهاز الظاهري، فستتم مطالبتك بتمكينه.

   • إذا تم تمكين JIT، فحدد طلب الوصول لتمرير طلب وصول باستخدام IP المطلوب والنطاق الزمني والمنافذ التي تم تكوينها لهذا الجهاز الظاهري.

PowerShell

تمكين JIT على أجهزة VMs باستخدام PowerShell

لتمكين الوصول إلى الجهاز الظاهري في الوقت المناسب من PowerShell، استخدم Microsoft Defender for Cloud PowerShell cmdlet Set-AzJitNetworkAccessPolicyالرسمي.

مثال - تمكين الوصول إلى الجهاز الظاهري في الوقت المناسب على جهاز ظاهري معين باستخدام القواعد التالية:

• إغلاق المنفذين 22 و3389
• تعيين نافذة زمنية قصوى تبلغ 3 ساعات لكل منها بحيث يمكن فتحها لكل طلب تمت الموافقة عليه
• السماح للمستخدم الذي يطلب الوصول للتحكم في عناوين IP المصدر
• السماح للمستخدم الذي يطلب الوصول بإنشاء جلسة عمل ناجحة بناء على طلب وصول تمت الموافقة عليه في الوقت المناسب

تنشئ أوامر PowerShell التالية تكوين JIT هذا:

1. تعيين متغير يحتوي على قواعد الوصول إلى الجهاز الظاهري في الوقت المناسب للجهاز الظاهري:

   $JitPolicy = (@{
       id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
       ports=(@{
           number=22;
           protocol="*";
           allowedSourceAddressPrefix=@("*");
           maxRequestAccessDuration="PT3H"},
           @{
           number=3389;
           protocol="*";
           allowedSourceAddressPrefix=@("*");
           maxRequestAccessDuration="PT3H"})})
   

2. إدراج قواعد الوصول إلى الجهاز الظاهري في الوقت المناسب في صفيف:

   $JitPolicyArr=@($JitPolicy)
   

3. تكوين قواعد الوصول إلى الجهاز الظاهري في الوقت المناسب على الجهاز الظاهري المحدد:

   Set-AzJitNetworkAccessPolicy -Kind "Basic" -Location "LOCATION" -Name "default" -ResourceGroupName "RESOURCEGROUP" -VirtualMachine $JitPolicyArr
   

   استخدم المعلمة -Name لتحديد جهاز ظاهري. على سبيل المثال، لإنشاء تكوين JIT لجهازين ظاهريين مختلفين، VM1 وVM2، استخدم: Set-AzJitNetworkAccessPolicy -Name VM1 و Set-AzJitNetworkAccessPolicy -Name VM2.

طلب الوصول إلى جهاز ظاهري ممكن بواسطة JIT باستخدام PowerShell

في المثال التالي، يمكنك مشاهدة طلب وصول الجهاز الظاهري في الوقت المناسب إلى جهاز ظاهري معين للمنفذ 22، ولعنوان IP محدد، ولمقدار معين من الوقت:

شغّل الأوامر التالية في "PowerShell":

1. تكوين خصائص الوصول إلى طلب الجهاز الظاهري:

   $JitPolicyVm1 = (@{
       id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
       ports=(@{
         number=22;
         endTimeUtc="2020-07-15T17:00:00.3658798Z";
         allowedSourceAddressPrefix=@("IPV4ADDRESS")})})
   

2. إدراج معلمات طلب الوصول إلى الجهاز الظاهري في صفيف:

   $JitPolicyArr=@($JitPolicyVm1)
   

3. إرسال الوصول إلى الطلب (استخدم معرف المورد من الخطوة 1)

   Start-AzJitNetworkAccessPolicy -ResourceId "/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Security/locations/LOCATION/jitNetworkAccessPolicies/default" -VirtualMachine $JitPolicyArr
   

تعرف على المزيد في وثائق PowerShell cmdlet.

واجهة برمجة تطبيقات REST

تمكين JIT على الأجهزة الظاهرية باستخدام واجهة برمجة تطبيقات REST

يمكن استخدام ميزة الوصول إلى الجهاز الظاهري في الوقت المناسب عبر واجهة برمجة تطبيقات Microsoft Defender for Cloud. استخدم واجهة برمجة التطبيقات هذه للحصول على معلومات حول الأجهزة الظاهرية المكونة، وإضافة أجهزة جديدة، وطلب الوصول إلى جهاز ظاهري، والمزيد.

تعرف على المزيد في نهج الوصول إلى شبكة JIT.

طلب الوصول إلى جهاز ظاهري يدعم JIT باستخدام واجهة برمجة تطبيقات REST

يمكن استخدام ميزة الوصول إلى الجهاز الظاهري في الوقت المناسب عبر واجهة برمجة تطبيقات Microsoft Defender for Cloud. استخدم واجهة برمجة التطبيقات هذه للحصول على معلومات حول الأجهزة الظاهرية المكونة، وإضافة أجهزة جديدة، وطلب الوصول إلى جهاز ظاهري، والمزيد.

تعرف على المزيد في نهج الوصول إلى شبكة JIT.

مراجعة نشاط الوصول إلى JIT في Defender for Cloud

يمكنك الحصول على رؤى حول أنشطة الجهاز الظاهري باستخدام البحث في السجل. لعرض السجلات:

1. من الوصول إلى الجهاز الظاهري في الوقت المناسب،حدد علامة التبويب تكوين.

2. بالنسبة للجهاز الظاهري الذي تريد تدقيقه، افتح قائمة القطع الناقص في نهاية الصف.

3. حدد سجل النشاط من القائمة.

   

   يوفر سجل النشاط طريقة عرض تمت تصفيتها للعمليات السابقة لهذا الجهاز الظاهري جنبا إلى جنب مع الوقت والتاريخ والاشتراك.

4. لتنزيل معلومات السجل، حدد تنزيل كـ CSV.