Häufig gestellte Fragen zu Azure Bastion

Häufig gestellte Fragen zum Bastion-Dienst und zur Bereitstellung

Welche Browser werden unterstützt?

Der Browser muss HTML 5 unterstützen. Verwenden Sie unter Windows den Microsoft Edge-Browser oder Google Chrome. Verwenden Sie unter macOS Google Chrome. Microsoft Edge Chromium wird auch für Windows und Mac unterstützt.

Wie ist das Preismodell aufgebaut?

Die Preise für Azure Bastion setzen sich aus einer Kombination der Stundenpreise basierend auf der SKU und den Instanzen (Skalierungseinheiten) sowie den Datenübertragungsraten zusammen. Die Stundenpreise gelten ab dem Zeitpunkt der Bereitstellung von Bastion, unabhängig von der Nutzung ausgehender Daten. Aktuelle Preisinformationen finden Sie auf der Seite Azure Bastion –Preise.

Wird IPv6 unterstützt?

Zurzeit wird IPv6 nicht unterstützt. Azure Bastion unterstützt nur IPv4. Dies bedeutet, dass Sie Ihrer Bastion-Ressource nur eine öffentliche IPv4-Adresse zuweisen können und dass Sie Bastion verwenden können, um eine Verbindung mit IPv4-Ziel-VMs herzustellen. Sie können Bastion auch verwenden, um eine Verbindung mit Dual Stack-Ziel-VMs herzustellen, aber Sie können über Azure Bastion nur IPv4-Datenverkehr senden.

Wo speichert Azure Bastion Kundendaten?

Azure Bastion speichert Kundendaten in der Region, in der sie bereitgestellt werden, und verschiebt sie nicht aus dieser Region.

Unterstützt Azure Bastion Verfügbarkeitszonen?

Einige Regionen unterstützen die Möglichkeit, Azure Bastion in einer Verfügbarkeitszone (oder mehrere, für Zonenredundanz) bereitzustellen. Um zonal bereitzustellen, können Sie die Verfügbarkeitszonen auswählen, die Sie unter Instanzdetails bereitstellen möchten, wenn Sie Bastion mithilfe manuell angegebener Einstellungen bereitstellen. Sie können die Verfügbarkeit von Zonen nach der Bereitstellung von Bastion nicht ändern. Wenn Sie keine Zone auswählen können, haben Sie möglicherweise eine Azure-Region ausgewählt, die noch keine Verfügbarkeitszonen unterstützt. Weitere Informationen zu Verfügbarkeitszonen finden Sie unter Verfügbarkeitszonen.

Die Unterstützung für Verfügbarkeitszonen befindet sich derzeit in der Vorschau. Während der Vorschau sind die folgenden Regionen verfügbar:

• East US
• Australien (Osten)
• USA (Ost) 2
• USA (Mitte)
• Katar, Mitte
• Südafrika, Norden
• Europa, Westen
• USA, Westen 2
• Nordeuropa
• Schweden, Mitte
• UK, Süden
• Kanada, Mitte

Bietet Azure Bastion Unterstützung für Virtual WAN?

Ja, Sie können Azure Bastion für Virtual WAN-Bereitstellungen verwenden. Die Bereitstellung von Azure Bastion innerhalb eines Virtual WAN-Hubs wird jedoch nicht unterstützt. Sie können Azure Bastion in einem virtuellen Spoke-Netzwerk bereitstellen und die Funktion für IP-basierte Verbindungen nutzen, um eine Verbindung mit VMs herzustellen, die über den Virtual WAN-Hub in einem anderen virtuellen Netzwerk bereitgestellt sind. Wenn der Azure Virtual WAN-Hub als geschützter virtueller Hub in Azure Firewall integriert wird, muss sich das Azure Bastion-Subnetz (AzureBastionSubnet) in einem virtuellen Netzwerk befinden, in dem die Verteilung der Standardroute 0.0.0.0/0 auf Verbindungsebene des virtuellen Netzwerks deaktiviert ist.

Kann ich Azure Bastion verwenden, wenn ich den Internetdatenverkehr mittels Tunnelerzwingung zurück in die lokale Umgebung leite?

Nein. Wenn Sie eine Standardroute (0.0.0.0/0) über ExpressRoute oder VPN ankündigen und diese Route in Ihre virtuellen Netzwerke eingefügt wird, wird dadurch der Azure Bastion-Dienst unterbrochen.

Azure Bastion muss mit bestimmten internen Endpunkten kommunizieren können, um erfolgreich eine Verbindung mit Zielressourcen herzustellen. Daher können Sie Azure Bastion mit Azure Privates DNS-Zonen verwenden, solange sich der ausgewählte Zonenname nicht mit der Benennung dieser internen Endpunkte überschneidet. Stellen Sie vor der Bereitstellung Ihrer Azure Bastion-Ressource sicher, dass das virtuelle Hostnetzwerk nicht mit einer privaten DNS-Zone mit den folgenden Bezeichnungen verknüpft ist:

• management.azure.com
• blob.core.windows.net
• core.windows.net
• vaultcore.windows.net
• vault.azure.net
• azure.com

Sie können eine private DNS-Zone verwenden, die auf einen der Namen in der vorherigen Liste endet (z. B. „privatelink.blob.core.windows.net“).

Azure Bastion wird nicht mit privaten Azure DNS-Zonen in nationalen Clouds unterstützt.

privatelink.azure.com kann nicht in management.privatelink.azure.com aufgelöst werden

Dies kann darauf zurückzuführen sein, dass die private DNS-Zone für „privatelink.azure.com“, die mit dem virtuellen Bastion-Netzwerk verknüpft ist, dazu führt, dass CNAME-Einträge für „management.azure.com“ im Hintergrund in „management.privatelink.azure.com“ aufgelöst werden. Erstellen Sie einen CNAME-Eintrag in der Zone „privatelink.azure.com“ für „management.privatelink.azure.com“ zu „arm-frontdoor-prod.trafficmanager.net“, um eine erfolgreiche DNS-Auflösung zu ermöglichen.

Unterstützt Azure Bastion Private Link?

Nein, Azure Bastion unterstützt Azure Private Link derzeit nicht.

Warum wird bei der Verwendung von „Bastion bereitstellen“ im Portal ein Fehler mit dem Hinweis angezeigt, dass das Subnetz nicht hinzugefügt werden konnte?

Derzeit müssen Sie Ihrem virtuellen Netzwerk für die meisten Adressräume ein Subnetz mit dem Namen AzureBastionSubnet hinzufügen, bevor Sie Bastion bereitstellen auswählen.

Sind spezielle Berechtigungen erforderlich, um Bastion im AzureBastionSubnet bereitzustellen?

Um Bastion im AzureBastionSubnet bereitzustellen, sind Schreibberechtigungen erforderlich. Beispiel: Microsoft.Network/virtualNetworks/write.

Kann ich über ein Azure Bastion subnet der Größe /27 oder kleiner (/28, /29 usw.) verfügen?

Für Azure Bastion, die am oder nach dem 2. November 2021 bereitgestellt wurden, beträgt die Mindestgröße von AzureBastionSubnet /26 oder höher (/25, /24 usw.). Alle vor diesem Datum in Subnetzen der Größe /27 bereitgestellten Azure Bastion-Ressourcen sind von dieser Änderung nicht betroffen und funktionieren weiterhin. Wir empfehlen jedoch dringend, die Größe aller vorhandenen AzureBastionSubnets auf /26 heraufzusetzen, falls Sie in Zukunft Hostskalierung nutzen möchten.

Kann ich mehrere Azure-Ressourcen in meinem Azure Bastion Subnetz bereitstellen?

Nein. Das Azure Bastion Subnetz (AzureBastionSubnet) ist nur für die Bereitstellung Ihrer Azure Bastion-Ressource reserviert.

Wird benutzerdefiniertes Routing (User-Defined Routing, UDR) in einem Azure Bastion-Subnetz unterstützt?

Nein. UDR wird in einem Azure Bastion-Subnetz nicht unterstützt.

In Szenarien, bei denen Azure Bastion und Azure Firewall bzw. ein virtuelles Netzwerkgerät (Network Virtual Appliance, NVA) im gleichen virtuellen Netzwerk vorhanden sind, müssen Sie den Datenverkehr zwischen einem Azure Bastion-Subnetz und Azure Firewall nicht erzwingen, da die Kommunikation zwischen Azure Bastion und Ihren VMs privat ist. Weitere Informationen finden Sie unter Zugreifen auf virtuelle Computer hinter Azure Firewall mit Bastion.

Welche SKU sollte ich verwenden?

Azure Bastion verfügt über mehrere SKUs. Sie sollten eine SKU basierend auf Ihren Verbindungs- und Featureanforderungen auswählen. Eine vollständige Liste der SKU-Ebenen und unterstützten Verbindungen und Features finden Sie im Artikel Konfigurationseinstellungen .

Kann ich eine SKU upgraden?

Ja. Die Schritte finden Sie unter Upgraden einer SKU. Weitere Informationen finden Sie im Artikel zu den Konfigurationseinstellungen.

Kann ich eine SKU herabstufen?

Nein. Das Herabstufen einer SKU wird nicht unterstützt. Weitere Informationen finden Sie im Artikel zu den Konfigurationseinstellungen.

Unterstützt Bastion die Konnektivität mit Azure Virtual Desktop?

Nein, die Bastion-Konnektivität mit Azure Virtual Desktop wird nicht unterstützt.

Behandeln von Bereitstellungsfehlern

Überprüfen Sie die Fehlermeldungen, und stellen Sie bei Bedarf eine Supportanfrage im Azure-Portal. Bereitstellungsfehler können durch Einschränkungen für Azure-Abonnements, Kontingente und sonstige Einschränkungen verursacht werden. Insbesondere können Kunden eine Beschränkung der Anzahl von zulässigen öffentlichen IP-Adressen pro Abonnement feststellen, wodurch ein Fehler bei der Azure Bastion-Bereitstellung verursacht wird.

Wie integriere ich Azure Bastion in meinen Plan zur Notfallwiederherstellung?

Azure Bastion wird innerhalb von virtuellen Netzwerken oder virtuellen Peer-Netzwerken bereitgestellt und ist einer Azure-Region zugeordnet. Sie sind für die Bereitstellung von Azure Bastion in einem virtuellen Netzwerk an einem Notfallwiederherstellungsstandort verantwortlich. Wenn eine Azure-Region ausfällt, führen Sie einen Failover-Vorgang für Ihre VMs auf die DR-Region durch. Verwenden Sie dann den Azure-Bastion-Host, der in der Azure-Region bereitgestellt wird, um eine Verbindung mit den virtuellen Computern herzustellen, die dort jetzt bereitgestellt werden.

Unterstützt Bastion das Verschieben eines VNet in eine andere Ressourcengruppe?

Nein Wenn Sie Ihr virtuelles Netzwerk in eine andere Ressourcengruppe verschieben (auch wenn es sich im selben Abonnement befindet), müssen Sie Bastion zuerst aus dem virtuellen Netzwerk löschen und dann das virtuelle Netzwerk in die neue Ressourcengruppe verschieben. Sobald sich das virtuelle Netzwerk in der neuen Ressourcengruppe befindet, können Sie Bastion im virtuellen Netzwerk bereitstellen.

Unterstützt Bastion Zonenredundanzen?

Derzeit unterstützen neue Bastion-Bereitstellungen standardmäßig keine Zonenredundanzen. Zuvor bereitgestellte Bastion-Instanzen könnten zonenredundant sein. Die Ausnahmen sind Bastion-Bereitstellungen in „Südkorea, Mitte“ und „Asien, Südosten“, die Zonenredundanzen unterstützen.

Unterstützt Microsoft Entra Gastkonten?

Ja, Microsoft Entra-Gastkonten können Zugriff auf Bastion erhalten und eine Verbindung mit virtuellen Computern herstellen. Microsoft Entra-Gastbenutzer können keine Verbindung mit Azure VMs über die Microsoft Entra-Authentifizierung herstellen. Benutzer ohne Gaststatus werden über die Microsoft Entra-Authentifizierung unterstützt. Weitere Informationen zur Microsoft Entra-Authentifizierung für virtuelle Azure-Computer (für Benutzer ohne Gaststatus) finden Sie unter Anmelden bei einer Windows-VM in Azure mithilfe von Microsoft Entra ID.

Werden benutzerdefinierte Domänen mit freigabefähigen Bastion-Links unterstützt?

Nein, benutzerdefinierte Domänen werden für freigabefähige Bastion-Links nicht unterstützt. Benutzer*innen erhalten einen Zertifikatfehler, wenn sie versuchen, bestimmte Domänen im CN/SAN des Bastion-Hostzertifikats hinzuzufügen.

Häufig gestellte Fragen zur VM-Verbindung und zu verfügbaren Funktionen

Sind für den Zugriff auf einen virtuellen Computer Rollen erforderlich?

Zum Herstellen einer Verbindung sind die folgenden Rollen erforderlich:

• Rolle „Leser“ für den virtuellen Computer
• Rolle „Leser“ für den Netzwerkadapter mit privater IP-Adresse des virtuellen Computers
• Rolle „Leser“ für die Azure Bastion-Ressource
• Rolle „Leser“ im virtuellen Netzwerk der Ziel-VM (wenn sich die Bastion-Bereitstellung in einem virtuellen Netzwerk mit Peering befindet)

Außerdem müssen die Benutzer*innen über die erforderlichen Rechte zur Verbindungsherstellung mit der VM verfügen. Wenn Benutzer*innen beispielsweise per RDP eine Verbindung mit einer Windows-VM herstellen und nicht Mitglied der lokalen Administratorengruppe sind, müssen sie Mitglied der Gruppe „Remotedesktopbenutzer“ sein.

Warum erhalte ich vor Beginn der Bastion-Sitzung die Fehlermeldung „Ihre Sitzung ist abgelaufen.“?

Dieser Fehler ist zu erwarten, wenn Sie direkt von einer anderen Browsersitzung oder -registerkarte aus zu der URL navigieren. Er trägt zum Schutz Ihrer Sitzung bei und sorgt dafür, dass nur über das Azure-Portal auf die Sitzung zugegriffen werden kann. Melden Sie sich beim Azure-Portal an, und starten Sie Ihre Sitzung erneut.

Benötige ich eine öffentliche IP-Adresse auf meinem virtuellen Computer, um eine Verbindung über Azure Bastion herzustellen?

Nein. Wenn Sie mithilfe von Azure Bastion eine Verbindung mit einem virtuellen Computer herstellen, benötigen Sie auf diesem virtuellen Azure-Computer keine öffentliche IP-Adresse. Der Bastion-Dienst öffnet die RDP-/SSH-Sitzung oder -Verbindung mit Ihrer VM über die private IP-Adresse der VM in Ihrem virtuellen Netzwerk.

Benötige ich einen RDP- oder SSH-Client?

Nein. Sie können mit Ihrem Browser über das Azure-Portal auf Ihren virtuellen Computer zugreifen. Informationen zu verfügbaren Verbindungen und Methoden finden Sie unter Informationen zu VM-Verbindungen und -Features.

Benötigen Benutzer bestimmte Rechte auf einem virtuellen Zielcomputer für RDP-Verbindungen?

Wenn ein Benutzer über RDP eine Verbindung mit einer Windows-VM herstellt, muss er über Rechte für die Ziel-VM verfügen. Wenn der Benutzer kein lokaler Administrator ist, fügen Sie den Benutzer der Gruppe „Remotedesktopbenutzer“ auf der Ziel-VM hinzu.

Kann ich eine Verbindung mit meiner VM mithilfe eines nativen Clients herstellen?

Ja. Sie können eine Verbindung mit einer VM über Ihren lokalen Computer mithilfe eines nativen Clients herstellen. Informationen dazu finden Sie unter Herstellen einer Verbindung mit einer VM mithilfe des nativen Clients.

Muss auf dem virtuellen Azure-Computer ein Agent ausgeführt werden?

Nein. Sie müssen keinen Agent oder eine andere Software in Ihrem Browser oder auf Ihrem virtuellen Azure-Computer installieren. Für den Bastion-Dienst ist kein Agent und keine zusätzliche Software für RDP/SSH erforderlich.

Welche Features werden für VM-Sitzungen unterstützt?

Die unterstützten Features sind unter Informationen zu VM-Verbindungen und -Features aufgeführt.

Ist das Zurücksetzen des Kennworts für lokale Benutzer verfügbar, die sich über einen freigegebenen Link verbinden?

Nein. In einigen Organisationen gibt es Unternehmensrichtlinien, die ein Zurücksetzen des Kennworts vorschreiben, wenn sich ein Benutzer zum ersten Mal bei einem lokalen Konto anmeldet. Bei der Verwendung freizugebender Links kann der Benutzer das Kennwort nicht ändern, auch wenn eine Schaltfläche „Kennwort zurücksetzen“ erscheint.

Ist Remoteaudio für VMs verfügbar?

Ja. Weitere Informationen finden Sie unter Informationen zu VM-Verbindungen und -Features.

Unterstützt Azure Bastion die Dateiübertragung?

Azure Bastion bietet Unterstützung für die Dateiübertragung zwischen Ihrem virtuellen Zielcomputer und dem lokalen Computer mithilfe von Bastion und einem nativen RDP- oder SSH-Client. Zu diesem Zeitpunkt können Sie Dateien nicht mithilfe von PowerShell oder über das Azure-Portal hochladen oder herunterladen. Weitere Informationen finden Sie unter Hochladen und Herunterladen von Dateien mithilfe des nativen Clients.

Funktioniert die Bastion-Härtung bei virtuellen Computern, die mit der AADJ VM-Erweiterung verknüpft sind?

Dieses Feature funktioniert nicht bei Computern, die mit der AADJ VM-Erweiterung verknüpft sind, unter Verwendung von Microsoft Entra-Benutzern. Weitere Informationen finden Sie unter Anmelden bei einer Windows-VM in Azure mithilfe von Microsoft Entra ID.

Ist Bastion mit VMs kompatibel, die als RDS-Sitzungshosts eingerichtet sind?

Bastion unterstützt keine Verbindung mit einer VM, die als RDS-Sitzungshost eingerichtet ist.

Welche Tastaturlayouts werden während der Bastion-Remotesitzung unterstützt?

Azure Bastion unterstützt derzeit die folgenden Tastaturlayouts auf dem virtuellen Computer:

• en-us-qwerty
• en-gb-qwerty
• de-ch-qwertz
• de-de-qwertz
• fr-be-azerty
• fr-fr-azerty
• fr-ch-qwertz
• hu-hu-qwertz
• it-it-qwerty
• ja-jp-qwerty
• pt-br-qwerty
• es-es-qwerty
• es-latam-qwerty
• sv-se-qwerty
• tr-tr-qwerty

Um die richtigen Tastenzuordnungen für Ihre Zielsprache festzulegen, müssen Sie das Tastaturlayout auf Ihrem lokalen Computer und das Tastaturlayout des virtuellen Zielcomputers auf Ihre Zielsprache festlegen. Beide Tastaturen müssen auf Ihre Zielsprache festgelegt werden, um die richtigen Tastenzuordnungen im virtuellen Zielcomputer einzurichten.

Navigieren Sie zum Festlegen Ihrer Zielsprache als Tastaturlayout auf einer Windows-Arbeitsstation zu „Einstellungen“ > „Uhrzeit und Sprache“ > „Sprache und Region“. Wählen Sie unter „Bevorzugte Sprachen“ die Option „Sprache hinzufügen“ aus, und fügen Sie dann Ihre Zielsprache hinzu. Anschließend können Sie Ihre Tastaturlayouts auf der Symbolleiste sehen. Wenn Sie Englisch (USA) als Tastaturlayout festlegen möchten, wählen Sie auf der Symbolleiste "ENG" aus, oder klicken Sie auf Windows + Leerzeichen, um die Tastaturlayouts zu öffnen.

Gibt es eine Tastaturlösung zum Umschalten des Fokus zwischen einem virtuellen Computer und einem Browser?

Benutzer können mithilfe von STRG+UMSCHALT+ALT den Fokus effektiv zwischen dem virtuellen Computer und dem Browser umschalten.

Wie kann ich den Tastatur- oder Mausfokus von einer Instanz zurücknehmen?

Klicken Sie zweimal hintereinander auf die Windows-Taste, um den Fokus im Bastion-Fenster zurückzusetzen.

Wie hoch ist die maximale Bildschirmauflösung, die von Bastion unterstützt wird?

Derzeit ist 1920x1080 (1080p) die maximal unterstützte Auflösung.

Unterstützt Azure Bastion die Zeitzonenkonfiguration oder Zeitzonenumleitung für virtuelle Zielcomputer?

Azure Bastion unterstützt derzeit keine Zeitzonenumleitung und ist nicht zeitzonenkonfigurierbar. Zeitzoneneinstellungen für einen virtuellen Computer können manuell aktualisiert werden, nachdem erfolgreich eine Verbindung mit dem Gastbetriebssystem hergestellt wurde.

Wird eine vorhandene Sitzung während der Wartung auf dem Bastionhost getrennt?

Ja, vorhandene Sitzungen für die Bastion-Zielressource werden während der Wartung für die Bastion-Ressource getrennt.

Ich stelle mithilfe einer JIT-Richtlinie eine Verbindung mit einer VM her. Benötige ich zusätzliche Berechtigungen?

Wenn ein Benutzer mithilfe einer JIT-Richtlinie eine Verbindung mit einer VM herstellt, sind keine zusätzlichen Berechtigungen erforderlich. Weitere Informationen zum Herstellen einer Verbindung mit einer VM unter Verwendung einer JIT-Richtlinie finden Sie unter Aktivieren des Just-In-Time-Zugriffs auf VMs.

Häufig gestellte Fragen zum VNet-Peering

Kann ich weiterhin mehrere Bastionhosts in mittels Peering verbundenen virtuellen Netzwerken bereitstellen?

Ja. Standardmäßig wird Benutzern der Bastionhost angezeigt, der im selben virtuellen Netzwerk bereitgestellt ist, in dem sich die VM befindet. Im Menü Verbinden können Benutzer jedoch mehrere Bastionhosts anzeigen, die in den mittels Peering verbundenen Netzwerken erkannt wurden. Sie können den gewünschten Bastionhost auswählen, über den sie eine Verbindung mit der im virtuellen Netzwerk bereitgestellten VM herstellen möchten.

Funktionieren Verbindungen über Bastion auch, wenn meine Peering-VNETs in unterschiedlichen Abonnements bereitgestellt wurden?

Ja, die Konnektivität über Bastion funktioniert weiterhin für virtuelle Peer-Netzwerke in verschiedenen Abonnements für einen einzelnen Mandanten. Abonnements, die sich über zwei verschiedene Mandanten erstrecken, werden nicht unterstützt. Damit Bastion im Dropdownmenü Verbinden angezeigt wird, muss der Benutzer unter Abonnement >> Globales Abonnement die Abonnements auswählen, auf die er Zugriff hat.

Ich habe Zugriff auf das Peering-VNET, sehe aber die dort bereitgestellte VM nicht.

Vergewissern Sie sich, dass der Benutzer über Lesezugriff auf die VM und das virtuelle Peer-Netzwerk verfügt. Überprüfen Sie außerdem unter IAM, ob der Benutzer Lesezugriff auf folgende Ressourcen hat:

• Rolle „Leser“ für den virtuellen Computer
• Rolle „Leser“ für den Netzwerkadapter mit privater IP-Adresse des virtuellen Computers
• Rolle „Leser“ für die Azure Bastion-Ressource
• Rolle „Leser“ im virtuellen Netzwerk (nicht erforderlich, wenn kein mittels Peering verbundenes virtuelles Netzwerk vorhanden ist).

Berechtigungen	BESCHREIBUNG	Berechtigungstyp
Microsoft.Network/bastionHosts/read	Ruft einen Bastionhost ab.	Aktion
Microsoft.Network/virtualNetworks/BastionHosts/action	Ruft Bastionhost-Verweise in einem virtuellen Netzwerk ab.	Aktion
Microsoft.Network/virtualNetworks/bastionHosts/default/action	Ruft Bastionhost-Verweise in einem virtuellen Netzwerk ab.	Aktion
Microsoft.Network/networkInterfaces/read	Ruft eine Netzwerkschnittstellendefinition ab.	Aktion
Microsoft.Network/networkInterfaces/ipconfigurations/read	Ruft eine IP-Konfigurationsdefinition für Netzwerkschnittstellen ab.	Aktion
Microsoft.Network/virtualNetworks/read	Dient zum Abrufen der Definition des virtuellen Netzwerks.	Aktion
Microsoft.Network/virtualNetworks/subnets/virtualMachines/read	Ruft Verweise auf alle virtuellen Computer im Subnetz eines virtuellen Netzwerks ab.	Aktion
Microsoft.Network/virtualNetworks/virtualMachines/read	Ruft Verweise auf alle virtuellen Computer in einem virtuellen Netzwerk ab.	Aktion

Nächste Schritte

Weitere Informationen finden Sie unter Was ist Azure Bastion.