Condividi tramite

Abilitare e disabilitare la console seriale di Azure

  • Articolo

Proprio come qualsiasi altra risorsa, la console seriale di Azure può essere abilitata e disabilitata. La console seriale è abilitata per impostazione predefinita per tutte le sottoscrizioni in Azure globale. Attualmente, la disabilitazione della console seriale disabiliterà il servizio per l'intero abbonamento. La disabilitazione o la riattivazione della console seriale per un abbonamento richiede l'accesso a livello di collaboratore o superiore per l'abbonamento.

È anche possibile disabilitare la console seriale per una singola macchina virtuale o un'istanza del set di scalabilità di macchine virtuali disabilitando la diagnostica di avvio. Sarà necessario l'accesso a livello di collaboratore o superiore sia per il set di scalabilità di VM/macchine virtuali che per l'account di archiviazione della diagnostica di avvio.

Disabilitazione a livello di macchina virtuale

La console seriale può essere disabilitata per una macchina virtuale specifica o un set di scalabilità di macchine virtuali disabilitando l'impostazione di diagnostica di avvio. Disattivare la diagnostica di avvio dal portale di Azure per disabilitare la console seriale per la macchina virtuale o il set di scalabilità di macchine virtuali. Se si usa la console seriale in un set di scalabilità di macchine virtuali, assicurarsi di aggiornare le istanze del set di scalabilità di macchine virtuali al modello più recente.

Abilitazione/disabilitazione a livello di abbonamento

Nota

Assicurarsi di essere nel cloud corretto (Cloud pubblico di Azure, Azure US Government Cloud e così via) prima di eseguire questo comando. È possibile verificare con az cloud list e impostare il cloud con az cloud set -n <Name of cloud>.

Interfaccia della riga di comando di Azure

La console seriale può essere disabilitata e riabilitata per un'intera sottoscrizione utilizzando i seguenti comandi nell'interfaccia della riga di comando di Azure (è possibile utilizzare il pulsante "Prova" per avviare un'istanza di Azure Cloud Shell in cui è possibile eseguire i comandi):

Per disabilitare la console seriale per un abbonamento, utilizzare i seguenti comandi:

$subscriptionId=$(az account show --output=json | jq -r .id)

az resource invoke-action --action disableConsole --ids "/subscriptions/$subscriptionId/providers/Microsoft.SerialConsole/consoleServices/default" --api-version="2018-05-01"

Per abilitare la console seriale per un abbonamento, utilizzare i seguenti comandi:

$subscriptionId=$(az account show --output=json | jq -r .id)

az resource invoke-action --action enableConsole --ids "/subscriptions/$subscriptionId/providers/Microsoft.SerialConsole/consoleServices/default" --api-version="2018-05-01"

Per ottenere lo stato corrente abilitato/disabilitato della console seriale per un abbonamento, utilizzare i seguenti comandi:

$subscriptionId=$(az account show --output=json | jq -r .id)

az resource show --ids "/subscriptions/$subscriptionId/providers/Microsoft.SerialConsole/consoleServices/default" --output=json --api-version="2018-05-01" | jq .properties

PowerShell

La console seriale può anche essere abilitata e disabilitata tramite PowerShell.

Per disabilitare la console seriale per un abbonamento, utilizzare i seguenti comandi:

$subscription=(Get-AzContext).Subscription.Id

Invoke-AzResourceAction -Action disableConsole -ResourceId /subscriptions/$subscription/providers/Microsoft.SerialConsole/consoleServices/default -ApiVersion 2018-05-01

Per abilitare la console seriale per un abbonamento, utilizzare i seguenti comandi:

$subscription=(Get-AzContext).Subscription.Id

Invoke-AzResourceAction -Action enableConsole -ResourceId /subscriptions/$subscription/providers/Microsoft.SerialConsole/consoleServices/default -ApiVersion 2018-05-01

Abilitazione dell'accesso con privilegi minimi alla console seriale tramite RBAC

Per abilitare l'accesso con privilegi minimi alla console seriale, è necessario creare un ruolo di Azure con le autorizzazioni necessarie che disponga dei diritti per il gruppo di risorse della macchina virtuale (la macchina virtuale su cui è necessario accedere alla console seriale) o per la sottoscrizione in cui si trova la macchina virtuale. È possibile assegnare questo ruolo di Azure agli utenti che devono accedere alla console seriale.

Il ruolo che crei richiederà le seguenti autorizzazioni di Azure Actions:

"Microsoft.Compute/virtualMachines/start/action",
"Microsoft.Compute/virtualMachines/read",
"Microsoft.Compute/virtualMachines/write",
"Microsoft.Resources/subscriptions/resourceGroups/read",
"Microsoft.Storage/storageAccounts/listKeys/action",
"Microsoft.Storage/storageAccounts/read",
"Microsoft.SerialConsole/serialPorts/connect/action"

La tabella seguente spiega cosa fa ogni azione di Azure:

Azione Azure Descrizione
"Microsoft.Compute/virtualMachines/start/action" Avvia la macchina virtuale
"Microsoft.Compute/virtualMachines/read" Ottieni le proprietà di una macchina virtuale
"Microsoft.Compute/virtualMachines/write" Crea una nuova macchina virtuale o aggiorna una macchina virtuale esistente
"Microsoft.Resources/subscriptions/resourceGroups/read" Ottiene o elenca i gruppi di risorse
"Microsoft.Storage/storageAccounts/listKeys/action" Restituisce le chiavi di accesso per l'account di archiviazione specificato
"Microsoft.Storage/storageAccounts/read" Restituisce l'elenco degli account di archiviazione o ottiene le proprietà per l'account di archiviazione specificato
"Microsoft.SerialConsole/serialPorts/connect/action" Connettersi a una porta seriale

Il codice JSON seguente può essere usato per definire un ruolo personalizzato con accesso con privilegi minimi alle macchine virtuali in una sottoscrizione e alle macchine virtuali in un gruppo di risorse in una sottoscrizione.

Se si desidera assegnare l'accesso solo alle macchine virtuali in un gruppo di risorse, eliminare il primo valore "/subscriptions/<subscriptionID>/" nella proprietà assignableScopes seguente.

Se si desidera assegnare l'accesso alle macchine virtuali in una sottoscrizione, eliminare il secondo valore "/subscriptions/<subscriptionID>/resourceGroups/<resourceGroup>" nella proprietà assignableScopes seguente.

"properties": {
    "roleName": "Azure Serial Console Access Role",
    "description": "Serial Console access with least privilege.",
    "assignableScopes": [
        "/subscriptions/<subscriptionID>/"
        "/subscriptions/<subscriptionID>/resourceGroups/<resourceGroup>"
    ],
    "permissions": [
        {
            "actions": [
                "Microsoft.Compute/virtualMachines/start/action",
                "Microsoft.Compute/virtualMachines/read",
                "Microsoft.Compute/virtualMachines/write",
                "Microsoft.Resources/subscriptions/resourceGroups/read",
                "Microsoft.Storage/storageAccounts/listKeys/action",
                "Microsoft.Storage/storageAccounts/read",
                "Microsoft.SerialConsole/serialPorts/connect/action"
            ],
            "notActions": [],
            "dataActions": [],
            "notDataActions": []
        }
    ]
}

Per istruzioni su come usare il portale di Azure per creare un ruolo personalizzato per l'accesso con privilegi minimi alla console seriale, leggere la documentazione seguente Creare o aggiornare i ruoli personalizzati di Azure usando il portale di Azure.

Per Passaggio 1: determinare le autorizzazioni necessarie, le autorizzazioni necessarie per il ruolo sono le azioni di Azure mostrate sopra.

Per Passaggio 5: Ambiti assegnabili, imposta l'ambito in modo che sia il gruppo di risorse della macchina virtuale se desideri che solo l'utente con il ruolo abbia accesso alla console seriale di una particolare macchina virtuale. È inoltre possibile impostare l'ambito in modo che sia la sottoscrizione se si desidera che l'utente disponga dell'accesso alla console seriale a qualsiasi VM nella sottoscrizione.

Per istruzioni su come usare il portale di Azure per assegnare ruoli, leggere la documentazione seguente Assegna ruoli di Azure usando il portale di Azure.

Passaggi successivi

Contattaci per ricevere assistenza

In caso di domande o bisogno di assistenza, creare una richiesta di supporto tecnico oppure formula una domanda nel Supporto della community di Azure. È possibile anche inviare un feedback sul prodotto al feedback della community di Azure.