NSGにおけるMicrosoftDefenderForCloud-JITRuleについて

Question

現在、VMのNSGの受信セキュリティ規則において、Microsoft Defender for Cloud による「JIT（Just-In-Time）ルール」が設定されていることにより、Bastion経由でのVMへのアクセスができない状況となっております。

当該JITルールの削除を検討しておりますが、ルールのプロトコルが「Any」となっており、適用範囲が広いため、そのまま削除して問題ないか懸念しております。

もし当該ルールの削除がセキュリティ上望ましくない場合には、Bastion経由でVMにアクセス可能とするために、そのルールに対してどの項目をどのように設定すべきか、ご教示いただけますと幸いです。

何卒よろしくお願いいたします。

Answer 1

How to Enable Just-In-Time VM Access in Azure Security Center

Bastion サブネットに対する許可のルールを MicrosoftDefenderForCloud-JITRule より優先されるルールとして構成すると良いようですね。

Answer 2

Hi ＰｅｎｇＪｉａｙｕｅ / Peng，Jiayue ,

Microsoft Q&A プラットフォームへようこそ。

英語から日本語へ翻訳してご案内しております。そのため、翻訳上の都合により、一部不自然な表現や文法上の誤りが含まれる場合がございます。あらかじめご了承ください。

Azure VM の NSG（ネットワーク セキュリティ グループ）における Microsoft Defender for Cloud の JIT（Just-In-Time）ルールについて Bastion 経由でのアクセスができない場合の対応方法をご案内します。

JIT ルールの削除について JIT ルールのプロトコルが「Any」となっている場合、そのルールは複数のプロトコル（RDP, SSH など）をカバーしており、削除すると JIT によるアクセス制御が失われ、セキュリティ リスクが高まる可能性があります。 そのため、単純に削除するのは推奨されません。

Bastion 経由でのアクセスを許可する設定方法 Azure Bastion を利用する場合、Bastion サービスが VM への接続時に使用するポート（通常は RDP: 3389 または SSH: 22）へのアクセスが NSG で許可されている必要があります。

Bastion 用の受信ルール追加例 NSG の受信セキュリティ規則で、以下のようなルールを追加します。

• AzureBastionSubnet または Bastion のパブリック IP
• VM の IP またはサブネット
• TCP
• ポート: 3389（RDP）または 22（SSH）
• アクション: 許可

JIT ルールの範囲を見直し、Bastion からのアクセスを許可するように調整します。

• JIT で許可する IP 範囲に Bastion の IP を含める
• Bastion 経由のアクセスのみ許可するように NSG ルールの優先度を設定

参考ドキュメント

• Azure Bastion の構成と NSG 設定
• JIT VM アクセスの構成
• NSG ルールの優先順位とベスト プラクティス

この情報がお役に立ちましたら、ぜひ「賛成票（Upvote）」をお願いいたします。