Entwickler- und Administratorzugriff auf Azure VMs

Der sichere Remotezugriff auf Azure-VMs ermöglicht es Ihnen, Workloads zu verwalten, ohne Verwaltungsports dem Internet zugänglich zu machen. In diesem Artikel werden Azure Bastion, Point-to-Site-VPN und Just-in-Time-VM-Zugriff verglichen, um Ihnen bei der Auswahl des richtigen Ansatzes zu helfen.

Inhalt dieses Artikels

In diesem Artikel wird erläutert, wie Sie sicher auf virtuelle Azure-Computer zu Verwaltungszwecken zugreifen können, ohne Verwaltungsports im Internet verfügbar zu machen.

Wer diesen Artikel benötigt

Lesen Sie diesen Artikel, wenn Sie:

  • Sie müssen SSH oder RDP verwenden, um eine Verbindung mit Azure VMs für die Entwicklung oder Verwaltung herzustellen.
  • Möchten Sie öffentliche IP-Adressen auf virtuellen Computern entfernen, während sie den Verwaltungszugriff beibehalten.
  • Verwalten Sie ein Hub-and-Spoke-Netzwerk, und benötigen Sie einen zentralen Remotezugriff für Ihr Team.
  • Sicherheitsrichtlinien einhalten, die direkt aus dem Internet erreichbare Managementports verbieten.

Heben und Verschieben des Fokus: Stellen Sie Azure Bastion im Hub bereit, damit Administratoren migrierte VMs über SSH oder RDP ohne öffentliche IPs erreichen und lokale Jump-Box-Workflows ersetzen.

Modernisierungsfokus: Kombinieren Sie Bastionhost mit Abonnement- und RBAC-Trennung, sodass Plattform- und App-Teams eingeschränkten Zugriff erhalten und Bastionhost pro Region für aktive Immobilien bereitstellen.

Cloudübergreifender Fokus: Bieten Sie Administratorzugriff über einen gesicherten Hub (Bastion oder Point-to-Site VPN) und vermeiden Sie die Bereitstellung von Verwaltungsports für Workloads, die aus anderen Clouds migriert wurden.

Azure Dienste und Features

In der folgenden Tabelle sind die Azure Dienste aufgeführt, die sicheren Remotezugriff auf virtuelle Computer ermöglichen.

Service Was es bietet Wann wird es verwendet?
Azure Bastion (Einfach) Browserbasiertes SSH und RDP über das Azure Portal. Für den virtuellen Computer ist keine öffentliche IP erforderlich. Zwei dedizierte Hostinstanzen mit 40 gleichzeitigen RDP- oder 80 gleichzeitigen SSH-Sitzungen. Jeder virtuelle Computer, auf den Administratoren zugreifen müssen, ohne einen öffentlichen Port verfügbar zu machen.
Azure Bastion (Standard) Alles in Basic plus nativer Clientunterstützung, Dateiübertragung, freigabefähige Links, IP-basierte Verbindungen, benutzerdefinierte eingehende Ports und skalierbare Hostinstanzen (2–50). Teams benötigen umfangreichere Administratorworkflows wie Dateiuploads oder Verbindungen über die Azure CLI.
Azure Bastion (Premium) Alles in Standard plus nur private Bereitstellung (keine öffentliche IP auf der Bastion-Ressource selbst) und Sitzungsaufzeichnung. Hochsicherheitsumgebungen, in denen selbst der Bastion-Host keine öffentliche IP-Adresse haben darf.
Point-to-Site-VPN (P2S) Einzelne Client-VPN-Verbindung mit dem virtuellen Netzwerk. Bietet vollständigen Netzwerkzugriff auf alle VNet-Ressourcen, nicht nur virtuelle Computer. Administratoren, die Zugriff auf viele Ressourcen benötigen, die über RDP und SSH hinausgehen, z. B. Datenbanken, Speicher oder interne Web-Apps.
Just-in-Time(JIT)-VM-Zugriff Öffnet Verwaltungsports nur, wenn sie explizit angefordert werden, für ein begrenztes Zeitfenster. Erstellt temporäre NSG- oder Azure Firewall-Zulassungsregeln. Verringerung der Angriffsfläche für VMs, die weiterhin öffentliche IP-Adressen beibehalten.

Wie man auswählt

Der richtige Dienst hängt davon ab, ob Sie browserbasierten Zugriff, vollständige Netzwerkkonnektivität oder temporäre Portöffnungen benötigen.

So greifen Sie sicher auf VMs zu

Verwenden Sie diese Tabelle, um den richtigen Ansatz basierend auf Ihren Anforderungen zu wählen.

Anforderung Empfohlener Dienst Warum?
Browserbasiertes RDP oder SSH ohne Zu installierende Clientsoftware Azure Bastion (Basic oder Standard) Bastion bietet portalbasierten Zugriff direkt über den Browser. Auf dem virtuellen Computer ist kein VPN-Client oder öffentliche IP erforderlich.
Nur privater Zugriff mit null öffentlichen IP-Adressen, einschließlich der Bastion-Ressource Azure Bastion (Premium) Premium unterstützt nur private Bereitstellungen, wodurch die öffentliche IP auf Bastion selbst beseitigt wird.
Vollständiger virtueller Netzwerkzugriff für ein Administratorteam, nicht nur RDP und SSH Point-to-Site-VPN P2S VPN gibt dem Client eine IP-Adresse auf dem VNet, sodass alle Netzwerkressourcen erreichbar sind.
Reduzieren der Angriffsfläche für VMs mit öffentlichen IPs Just-in-Time-VM-Zugriff JIT hält Verwaltungsports standardmäßig geschlossen und öffnet sie nur für genehmigte Benutzer während eines begrenzten Zeitfensters.

Zugriffsmuster für Administratoren

Diagramm, das Administratorzugriffsszenarien mit Azure Bastion in einem Hub-VNet zeigt, das VMs in Spoke-VNets erreicht, sowie einen Point-to-Site-VPN-Client, der über ein VPN-Gateway eine Verbindung herstellt.

Bastion SKU-Vergleich

Funktion Basic Standard Premium
Browserbasiertes SSH und RDP ✅ ✅ ✅
Unterstützung für VNet-Peering (Hub-Spoke) ✅ ✅ ✅
Nativer Client (Azure CLI) ❌ ✅ ✅
Hochladen und Herunterladen von Dateien ❌ ✅ ✅
Teilbare Links ❌ ✅ ✅
IP-basierte Verbindungen ❌ ✅ ✅
Benutzerdefinierter eingehender Port ❌ ✅ ✅
Skalierbare Hostinstanzen (2 bis 50) ❌ ✅ ✅
Nur private Bereitstellung (keine öffentliche IP) ❌ ❌ ✅
Sitzungsaufzeichnungen ❌ ❌ ✅

Tip

Die Kostendifferenz zwischen Standard und Premium ist marginal. Verwenden Sie Bastion Premium für Produktionsworkloads.

Point-to-Site-VPN-Protokolle

P2S VPN unterstützt drei Tunnelprotokolle:

  • OpenVPN: TLS-basiert funktioniert auf Windows, macOS, Linux, iOS und Android. Unterstützt Microsoft Entra ID Authentifizierung und mehrstufige Authentifizierung (MFA).
  • IKEv2: Standardsbasierte IPsec funktioniert auf Windows und macOS.
  • SSTP (Secure Socket Tunneling Protocol): Proprietär, TLS-basiert, nur für Windows.

Important

SSTP wird schrittweise eingestellt. Ab dem 31. März 2026 können Sie SSTP nicht mehr auf VPN-Gateways aktivieren. Vorhandene SSTP-fähige Gateways beenden die Annahme von Verbindungen am 31. März 2027. Verwenden Sie OpenVPN oder IKEv2 für alle neuen Bereitstellungen. Microsoft Entra ID Authentifizierung und MFA werden nur mit dem OpenVPN-Tunneltyp unterstützt.

Überlegungen zum Entwurf

Schwerpunkt der Konzeption des Lift-and-Shift-Administratorzugriffs

  • Stellen Sie Azure Bastion im Hub-VNet bereit, sodass jedes per Peering verbundene Spoke-Netzwerk seine VMs über SSH oder RDP ohne öffentliche IP-Adressen erreichen kann, und ersetzen Sie damit On-Premises-Jump-Box-Workflows.
  • Entfernen Sie öffentliche IPs aus migrierten VMs, sobald Bastion vorhanden ist, um die Angriffsfläche zu verkleinern.
  • Verwenden Sie Point-to-Site-VPN, wenn Administratoren viele Ressourcen über einzelne virtuelle Computer hinaus erreichen müssen.
  • Sorgen Sie dafür, dass Administratorzugriffsmuster für migrierte Workloads konsistent bleiben, um Vorgänge zu vereinfachen.

Modernisieren des Entwurfsfokus für den Administratorzugriff

  • Koppeln Sie Bastion mit einer Trennung nach Abonnements und RBAC, sodass Plattformteams den Hub und die Konnektivität verwalten, während App-Teams gezielten Zugriff auf ihre Spoke-Netzwerke erhalten.
  • Stellen Sie Bastion in jeder Region für Aktiv-Aktiv-Architekturen bereit, damit Administratoren sowohl in den primären als auch in den Sicherungsregionen auf Ressourcen zugreifen können.
  • Verwenden Sie eine Bastion-SKU, die Ihren Anforderungen entspricht, z. B. eine ausschließlich private Bereitstellung oder die Unterstützung nativer Clients.
  • Integrieren Sie Microsoft Entra ID Authentifizierung und MFA für Point-to-Site-VPN, wo Sie es verwenden (OpenVPN-Tunneltyp).

Designfokus für den cloudübergreifenden Administratorzugriff

  • Zentralisieren Sie den Administratorzugriff in einem gesicherten Virtual WAN Hub, sodass Die Betreiber Azure Workloads erreichen, die von anderen Clouds ohne öffentliche Endpunkte pro Workload migriert wurden.
  • Weisen Sie virtuellen Computern keine öffentlichen IP-Adressen für die Verwaltung zu; leiten Sie SSH oder RDP über Bastion im Hub weiter.
  • Wo Teams Ressourcen über Clouds hinweg verwalten, standardisieren Sie das Point-to-Site-VPN oder Bastion, damit Die Zugriffsmethoden konsistent bleiben.
  • Leiten Sie den Administratordatenverkehr über die geprüfte Hubfirewall weiter, sodass er die gleiche cloudübergreifende Sicherheitsrichtlinie wie Ihr Workloaddatenverkehr befolgt.

Voraussetzungen

Stellen Sie vor dem Einrichten des sicheren Remotezugriffs folgendes sicher:

  • Ein virtuelles Netzwerk, in dem Ihre VMs bereitgestellt sind (siehe Virtuelle Netzwerke und Subnetze)
  • Für Azure Bastion: Ein Subnetz namens AzureBastionSubnet mit einer Mindestgröße von /26 (64 Adressen). Dieses Subnetz kann keine anderen Ressourcen hosten.
  • Für P2S VPN: Ein Gatewaysubnetz und eine VPN-Gatewayressource (siehe VPN- und ExpressRoute-Konnektivität für die Gatewayplanung)
  • Für den JIT-VM-Zugriff: Microsoft Defender for Servers Plan 2 im Abonnement aktiviert

Sicherheitsüberlegungen

Caution

Erstellen Sie niemals eine NSG-Regel, die eingehenden RDP-Datenverkehr (TCP 3389) oder SSH-Datenverkehr (TCP 22) von 0.0.0.0/0 (beliebigen Quellen im Internet) zulässt. Diese Konfiguration setzt VMs Brute-Force-Angriffen aus und ist eine häufige Ursache für Sicherheitsvorfälle.

Befolgen Sie die folgenden Sicherheitspraktiken für den Remote-VM-Zugriff:

  • Verwenden Sie Bastion oder P2S VPN anstelle öffentlicher IPs. Beide Ansätze halten den Management-Datenverkehr vom öffentlichen Internet fern. Entfernen Sie öffentliche IP-Adressen von virtuellen Computern, wenn Sie sie nicht mehr benötigen.
  • Stellen Sie Bastion im Hub-VNet bereit. Eine einzelne Bastion-Instanz im virtuellen Hubnetzwerk kann auf VMs in allen gekoppelten Spoke-VNets zugreifen. Sie benötigen nicht in jedem Spoke eine Bastion-Bereitstellung. Verwenden Sie Standard- oder Premium-SKU für Hub-Spoke-Topologien.
  • Aktivieren Sie MFA für P2S VPN. Konfigurieren Sie Microsoft Entra ID Authentifizierung mit Microsoft Entra Conditional Access, um eine mehrstufige Authentifizierung zu erfordern. MFA erfordert den OpenVPN-Tunneltyp und die Azure VPN-Clientanwendung.
  • Legen Sie kurze JIT-Zeitfenster fest. Wenn Sie den Just-in-Time-Zugriff verwenden, beschränken Sie die Dauer auf die erforderliche Mindestzeit. Nach Ablauf des Zeitraums kehren die NSG-Regeln in ihren vorherigen Sperrzustand zurück. Vorhandene Verbindungen werden nicht unterbrochen, aber das System blockiert neue Verbindungen.
  • Wenden Sie NSG-Regeln auf das AzureBastionSubnet an. Befolgen Sie die Anleitung zum Sichern von Bastion für erforderliche eingehende und ausgehende Regeln im Bastion-Subnetz.

Note

Der JIT-VM-Zugriff erstellt standardmäßig temporäre NSG-Zulassungsregeln. JIT kann auch mit Azure Firewall arbeiten, aber nur, wenn die Firewall klassische Regeln verwendet. Firewalls, die über Azure Firewall Manager (Firewallrichtlinien) verwaltet werden, unterstützen keine JIT-Integration.

Weitere Informationen

Nächste Schritte

Tip

Auf eigene Faust erkunden? Kehren Sie zum Übersichtsnavigator zurück, um Ihren nächsten Artikel nach Funktion zu finden.

Als Nächstes in Ihrer Lift-and-Shift-Reise:

Planen Sie DNS für die Legacynamenauflösung: Bewahren Sie während der Migration das bisherige DNS-Namensverhalten mithilfe von Azure Privates DNS-Zonen und Aliasdatensätzen.

Als Nächstes in Ihrer Modernisierungsreise:

Richten Sie private Konnektivität zu PaaS-Diensten ein: Erstellen Sie in jedem Spoke Private Link-Subnetze für die Konnektivität Ihrer PaaS-Dienste.

Als Nächstes in Ihrer cloudübergreifenden Reise:

DNS-Umstellung und Namensauflösung planen: DNS-Einträge zuordnen, TTLs reduzieren und die cloudübergreifende Namensauflösung vor der Migrationsumstellung konfigurieren.

  • Last updated on