Wdrażanie usługi Bastion przy użyciu programu Azure PowerShell

  • Artykuł

W tym artykule pokazano, jak wdrożyć usługę Azure Bastion przy użyciu jednostki SKU w warstwie Standardowa przy użyciu programu PowerShell. Usługa Azure Bastion to usługa PaaS, która jest utrzymywana dla Ciebie, a nie host bastionu instalowany na maszynie wirtualnej i samodzielnie utrzymywany. Wdrożenie usługi Azure Bastion dotyczy sieci wirtualnej, a nie subskrypcji/konta lub maszyny wirtualnej. Aby uzyskać więcej informacji na temat usługi Azure Bastion, zobacz Co to jest usługa Azure Bastion?

Po wdrożeniu usługi Bastion w sieci wirtualnej możesz nawiązać połączenie z maszynami wirtualnymi za pośrednictwem prywatnego adresu IP. To bezproblemowe środowisko protokołu RDP/SSH jest dostępne dla wszystkich maszyn wirtualnych w tej samej sieci wirtualnej. Jeśli maszyna wirtualna ma publiczny adres IP, którego nie potrzebujesz, możesz go usunąć.

Diagram showing Azure Bastion architecture.

W tym artykule utworzysz sieć wirtualną (jeśli jeszcze jej nie masz), wdrożysz usługę Azure Bastion przy użyciu programu PowerShell i połączysz się z maszyną wirtualną. Usługę Bastion można również wdrożyć przy użyciu następujących innych metod:

Uwaga

Korzystanie z usługi Azure Bastion ze strefami usługi Azure Prywatna strefa DNS jest obsługiwane. Istnieją jednak ograniczenia. Aby uzyskać więcej informacji, zobacz Często zadawane pytania dotyczące usługi Azure Bastion.

Przed rozpoczęciem

Sprawdź, czy masz subskrypcję platformy Azure. Jeśli nie masz jeszcze subskrypcji platformy Azure, możesz aktywować korzyści dla subskrybentów MSDN lub utworzyć bezpłatne konto.

PowerShell

W tym artykule są używane polecenia cmdlet programu PowerShell. Aby uruchomić polecenia cmdlet, możesz użyć usługi Azure Cloud Shell. Cloud Shell to bezpłatna interaktywna powłoka, której można użyć do wykonania kroków opisanych w tym artykule. Udostępnia ona wstępnie zainstalowane i najczęściej używane narzędzia platformy Azure, które są skonfigurowane do użycia na koncie.

Aby otworzyć usługę Cloud Shell, wybierz pozycję Otwórz program CloudShell w prawym górnym rogu bloku kodu. Możesz również otworzyć usługę Cloud Shell na osobnej karcie przeglądarki, przechodząc do strony https://shell.azure.com/powershell. Wybierz pozycję Kopiuj , aby skopiować bloki kodu, wklej je w usłudze Cloud Shell, a następnie wybierz klawisz Enter, aby je uruchomić.

Możesz również zainstalować i uruchomić polecenia cmdlet programu Azure PowerShell lokalnie na komputerze. Polecenia cmdlet programu PowerShell są często aktualizowane. Jeśli nie zainstalowano najnowszej wersji, wartości określone w instrukcjach mogą zakończyć się niepowodzeniem. Aby znaleźć wersje programu Azure PowerShell zainstalowane na komputerze, użyj Get-Module -ListAvailable Az polecenia cmdlet . Aby zainstalować lub zaktualizować, zobacz Instalowanie modułu programu Azure PowerShell.

Przykładowe wartości

Poniższe przykładowe wartości można użyć podczas tworzenia tej konfiguracji lub możesz zastąpić własną.

** Przykładowe wartości sieci wirtualnej i maszyny wirtualnej:**

Nazwa/nazwisko Wartość
Maszyna wirtualna TestVM
Grupa zasobów TestRG1
Region (Region) Wschodnie stany USA
Sieć wirtualna Sieć wirtualna 1
Przestrzeń adresowa 10.1.0.0/16
Podsieci FrontEnd: 10.1.0.0/24

Wartości usługi Azure Bastion:

Nazwa/nazwisko Wartość
Nazwisko VNet1-bastion
Nazwa podsieci FrontEnd
Nazwa podsieci AzureBastionSubnet
Adresy azureBastionSubnet Podsieć w przestrzeni adresowej sieci wirtualnej z maską podsieci /26 lub większą.
Na przykład 10.1.1.0/26.
Warstwa/jednostka SKU Standardowa
Publiczny adres IP Tworzyć w programie
Nazwa publicznego adresu IP VNet1-ip
Jednostka SKU publicznego adresu IP Standardowa
Przypisywanie Static

Wdrażanie usługi Bastion

Ta sekcja ułatwia tworzenie sieci wirtualnej, podsieci i wdrażanie usługi Azure Bastion przy użyciu programu Azure PowerShell.

Ważne

Ceny godzinowe zaczynają się od momentu wdrożenia usługi Bastion, niezależnie od użycia danych wychodzących. Aby uzyskać więcej informacji, zobacz Cennik i jednostki SKU. Jeśli wdrażasz usługę Bastion w ramach samouczka lub testu, zalecamy usunięcie tego zasobu po zakończeniu korzystania z niego.

  1. Utwórz grupę zasobów, sieć wirtualną i podsieć frontonu, z którą wdrożysz maszyny wirtualne, z którymi połączysz się za pośrednictwem usługi Bastion. Jeśli używasz programu PowerShell lokalnie, otwórz konsolę programu PowerShell z podwyższonym poziomem uprawnień i połącz się z platformą Connect-AzAccount Azure przy użyciu polecenia .

    New-AzResourceGroup -Name TestRG1 -Location EastUS ` 
$frontendSubnet = New-AzVirtualNetworkSubnetConfig -Name FrontEnd `
-AddressPrefix "10.1.0.0/24" ` 
$virtualNetwork = New-AzVirtualNetwork `
-Name TestVNet1 -ResourceGroupName TestRG1 `
-Location EastUS -AddressPrefix "10.1.0.0/16" `
-Subnet $frontendSubnet ` 
$virtualNetwork | Set-AzVirtualNetwork

  2. Skonfiguruj i ustaw podsieć usługi Azure Bastion dla sieci wirtualnej. Ta podsieć jest zarezerwowana wyłącznie dla zasobów usługi Azure Bastion. Tę podsieć należy utworzyć przy użyciu wartości nazwy AzureBastionSubnet. Ta wartość informuje platformę Azure o podsieci do wdrożenia zasobów usługi Bastion. Przykład w poniższej sekcji ułatwia dodanie podsieci usługi Azure Bastion do istniejącej sieci wirtualnej.

    Ustaw zmienną.

    $vnet = Get-AzVirtualNetwork -Name "TestVNet1" -ResourceGroupName "TestRG1"

    Dodaj podsieć.

    Add-AzVirtualNetworkSubnetConfig `
-Name "AzureBastionSubnet" -VirtualNetwork $vnet `
-AddressPrefix "10.1.1.0/26" | Set-AzVirtualNetwork

  3. Utwórz publiczny adres IP dla usługi Azure Bastion. Publiczny adres IP to publiczny adres IP zasobu usługi Bastion, do którego będzie uzyskiwany dostęp RDP/SSH (przez port 443). Publiczny adres IP musi znajdować się w tym samym regionie co tworzony zasób usługi Bastion.

    $publicip = New-AzPublicIpAddress -ResourceGroupName "TestRG1" `
-name "VNet1-ip" -location "EastUS" `
-AllocationMethod Static -Sku Standard

  4. Utwórz nowy zasób usługi Azure Bastion w podsieci AzureBastionSubnet przy użyciu polecenia New-AzBastion . W poniższym przykładzie użyto jednostki SKU w warstwie Podstawowa. Można jednak również wdrożyć usługę Bastion przy użyciu jednostki SKU w warstwie Standardowa, zmieniając wartość -SKU na "Standardowa". Jednostka SKU w warstwie Standardowa umożliwia skonfigurowanie większej liczby funkcji usługi Bastion i nawiązanie połączenia z maszynami wirtualnymi przy użyciu większej liczby typów połączeń. Usługę Bastion można również wdrożyć automatycznie przy użyciu jednostki SKU dewelopera. Aby uzyskać więcej informacji, zobacz Jednostki SKU usługi Bastion.

    New-AzBastion -ResourceGroupName "TestRG1" -Name "VNet1-bastion" `
-PublicIpAddressRgName "TestRG1" -PublicIpAddressName "VNet1-ip" `
-VirtualNetworkRgName "TestRG1" -VirtualNetworkName "TestVNet1" `
-Sku "Basic"

  5. Wdrożenie zasobów usługi Bastion trwa około 10 minut. Maszynę wirtualną można utworzyć w następnej sekcji podczas wdrażania usługi Bastion w sieci wirtualnej.

Tworzenie maszyny wirtualnej

Maszynę wirtualną można utworzyć przy użyciu przewodnika Szybki start: tworzenie maszyny wirtualnej przy użyciu programu PowerShell lub przewodnika Szybki start: tworzenie maszyny wirtualnej przy użyciu artykułów w portalu . Upewnij się, że maszyna wirtualna została wdrożona w tej samej sieci wirtualnej, w której wdrożono usługę Bastion. Maszyna wirtualna utworzona w tej sekcji nie jest częścią konfiguracji usługi Bastion i nie staje się hostem bastionu. Połączysz się z tą maszyną wirtualną w dalszej części tego samouczka za pośrednictwem usługi Bastion.

Następujące wymagane role dla zasobów.

  • Wymagane role maszyny wirtualnej:

    • Rola czytelnika na maszynie wirtualnej.
    • Rola czytelnika na karcie sieciowej z prywatnym adresem IP maszyny wirtualnej.

  • Wymagane porty wejściowe:

    • W przypadku maszyn wirtualnych z systemem Windows — RDP (3389)
    • W przypadku maszyn wirtualnych z systemem Linux — SSH (22)

Łączenie z maszyną wirtualną

Aby nawiązać połączenie z maszyną wirtualną, możesz użyć kroków Połączenie ion w poniższej sekcji. Do nawiązania połączenia z maszyną wirtualną można również użyć dowolnego z poniższych artykułów. Niektóre typy połączeń wymagają jednostki SKU usługi Bastion w warstwie Standardowa.

kroki Połączenie ion

  1. W witrynie Azure Portal przejdź do maszyny wirtualnej, z którą chcesz nawiązać połączenie.

  2. W górnej części okienka wybierz pozycję Połączenie> Bastion, aby przejść do okienka bastionu. Możesz również przejść do okienka bastionu, korzystając z menu po lewej stronie.

  3. Opcje dostępne w okienku bastionu zależą od jednostki SKU usługi Bastion. Jeśli używasz jednostki SKU w warstwie Podstawowa, połączysz się z komputerem z systemem Windows przy użyciu protokołu RDP i portu 3389. Ponadto w przypadku jednostki SKU w warstwie Podstawowa nawiąż połączenie z komputerem z systemem Linux przy użyciu protokołu SSH i portu 22. Nie masz opcji zmiany numeru portu ani protokołu. Można jednak zmienić język klawiatury dla protokołu RDP, rozwijając Połączenie ion Ustawienia.

    Screenshot of Azure Bastion connection settings.

    Jeśli używasz jednostki SKU w warstwie Standardowa, dostępnych jest więcej opcji protokołu połączenia i portu. Rozwiń Ustawienia Połączenie ion, aby wyświetlić opcje. Zazwyczaj, o ile nie skonfigurujesz różnych ustawień maszyny wirtualnej, nawiążesz połączenie z komputerem z systemem Windows przy użyciu protokołu RDP i portu 3389. Nawiąż połączenie z komputerem z systemem Linux przy użyciu protokołu SSH i portu 22.

    Screenshot of expanded connection settings.

  4. W polu Typ uwierzytelniania wybierz z listy rozwijanej. Protokół określa dostępne typy uwierzytelniania. Wypełnij wymagane wartości uwierzytelniania.

    Screenshot that shows the dropdown list box for authentication type.

  5. Aby otworzyć sesję maszyny wirtualnej na nowej karcie przeglądarki, pozostaw wybraną kartę Otwórz w nowej przeglądarce .

  6. Wybierz Połączenie, aby nawiązać połączenie z maszyną wirtualną.

  7. Upewnij się, że połączenie z maszyną wirtualną zostanie otwarte bezpośrednio w witrynie Azure Portal (za pośrednictwem kodu HTML5) przy użyciu portu 443 i usługi Bastion.

    Screenshot of a computer desktop with an open connection over port 443.

    Uwaga

    Po nawiązaniu połączenia pulpit maszyny wirtualnej będzie wyglądać inaczej niż na przykładowym zrzucie ekranu.

Używanie klawiszy skrótów klawiaturowych podczas nawiązywania połączenia z maszyną wirtualną może nie spowodować takiego samego zachowania, jak klawisze skrótów na komputerze lokalnym. Na przykład po nawiązaniu połączenia z maszyną wirtualną z systemem Windows z klienta systemu Windows ctrl+Alt+End jest skrótem klawiaturowym ctrl+Alt+Delete na komputerze lokalnym. Aby to zrobić z komputera Mac podczas nawiązywania połączenia z maszyną wirtualną z systemem Windows, skrót klawiaturowy to Fn+Ctrl+Alt+Backspace.

Aby włączyć dane wyjściowe audio

Możesz włączyć zdalne dane wyjściowe audio dla maszyny wirtualnej. Niektóre maszyny wirtualne automatycznie włączają to ustawienie, natomiast inne wymagają ręcznego włączania ustawień dźwięku. Ustawienia są zmieniane na samej maszynie wirtualnej. Wdrożenie usługi Bastion nie wymaga żadnych specjalnych ustawień konfiguracji w celu włączenia zdalnych danych wyjściowych dźwięku.

Uwaga

Dane wyjściowe audio wykorzystują przepustowość połączenia internetowego.

Aby włączyć zdalne dane wyjściowe audio na maszynie wirtualnej z systemem Windows:

  1. Po nawiązaniu połączenia z maszyną wirtualną zostanie wyświetlony przycisk audio w prawym dolnym rogu paska narzędzi. Kliknij prawym przyciskiem myszy przycisk audio, a następnie wybierz pozycję Dźwięki.
  2. Zostanie wyświetlony komunikat podręczny z pytaniem, czy chcesz włączyć usługę audio systemu Windows. Wybierz opcję Tak. Więcej opcji dźwięku można skonfigurować w preferencjach dźwięku.
  3. Aby zweryfikować dane wyjściowe dźwięku, umieść wskaźnik myszy na przycisku audio na pasku narzędzi.

Usuwanie publicznego adresu IP maszyny wirtualnej

Usługa Azure Bastion nie używa publicznego adresu IP do nawiązywania połączenia z maszyną wirtualną klienta. Jeśli nie potrzebujesz publicznego adresu IP dla maszyny wirtualnej, możesz usunąć skojarzenie publicznego adresu IP. Zobacz Usuwanie skojarzenia publicznego adresu IP z maszyny wirtualnej platformy Azure.

Następne kroki