Máquinas virtuais do Azure
Habilite o JIT em suas VMs a partir de máquinas virtuais do Azure
Você pode habilitar o JIT em uma VM nas páginas de máquinas virtuais do Azure do portal do Azure.
Gorjeta
Se uma VM já tiver o JIT habilitado, a página de configuração da VM mostrará que o JIT está habilitado. Você pode usar o link para abrir a página de acesso à VM JIT no Defender for Cloud para visualizar e alterar as configurações.
No portal do Azure, procure e selecione Máquinas virtuais.
Selecione a máquina virtual que deseja proteger com JIT.
No menu, selecione Configuração.
Em Acesso just-in-time, selecione Ativar just-in-time.
Por padrão, o acesso just-in-time para a VM usa estas configurações:
- Máquinas Windows
- Porta RDP: 3389
- Acesso máximo permitido: Três horas
- Endereços IP de origem permitidos: Qualquer
- Máquinas Linux
- Porta SSH: 22
- Acesso máximo permitido: Três horas
- Endereços IP de origem permitidos: Qualquer
Para editar qualquer um desses valores ou adicionar mais portas à sua configuração JIT, use a página just-in-time do Microsoft Defender for Cloud:
No menu do Defender for Cloud, selecione Acesso à VM just-in-time.
Na guia Configurado, clique com o botão direito do mouse na VM à qual você deseja adicionar uma porta e selecione Editar.
Em Configuração de acesso à VM JIT, você pode editar as configurações existentes de uma porta já protegida ou adicionar uma nova porta personalizada.
Quando terminar de editar as portas, selecione Salvar.
Solicitar acesso a uma VM habilitada para JIT na página de conexão da máquina virtual do Azure
Quando uma VM tem um JIT habilitado, você precisa solicitar acesso para se conectar a ele. Você pode solicitar acesso de qualquer uma das maneiras suportadas, independentemente de como você habilitou o JIT.
Para solicitar acesso de máquinas virtuais do Azure:
No portal do Azure, abra as páginas de máquinas virtuais.
Selecione a VM à qual você deseja se conectar e abra a página Conectar .
O Azure verifica se o JIT está habilitado nessa VM.
Se o JIT não estiver habilitado para a VM, você será solicitado a habilitá-lo.
Se o JIT estiver habilitado, selecione Solicitar acesso para passar uma solicitação de acesso com o IP solicitante, o intervalo de tempo e as portas que foram configuradas para essa VM.
Nota
Depois que uma solicitação é aprovada para uma VM protegida pelo Firewall do Azure, o Defender for Cloud fornece ao usuário os detalhes de conexão adequados (o mapeamento de porta da tabela DNAT) a ser usado para se conectar à VM.
PowerShell
Ativar o JIT nas VMs com o PowerShell
Para habilitar o acesso just-in-time à VM a partir do PowerShell, use o cmdlet Set-AzJitNetworkAccessPolicyoficial do Microsoft Defender for Cloud PowerShell .
Exemplo - Habilite o acesso just-in-time à VM em uma VM específica com as seguintes regras:
- Feche as portas 22 e 3389
- Defina uma janela de tempo máxima de 3 horas para cada um para que possam ser abertos por solicitação aprovada
- Permitir que o usuário que está solicitando acesso controle os endereços IP de origem
- Permitir que o usuário que está solicitando acesso estabeleça uma sessão bem-sucedida mediante uma solicitação de acesso just-in-time aprovada
Os seguintes comandos do PowerShell criam essa configuração JIT:
Atribua uma variável que contenha as regras de acesso de VM just-in-time para uma VM:
$JitPolicy = (@{
id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
ports=(@{
number=22;
protocol="*";
allowedSourceAddressPrefix=@("*");
maxRequestAccessDuration="PT3H"},
@{
number=3389;
protocol="*";
allowedSourceAddressPrefix=@("*");
maxRequestAccessDuration="PT3H"})})
Insira as regras de acesso de VM just-in-time da VM em uma matriz:
$JitPolicyArr=@($JitPolicy)
Configure as regras de acesso à VM just-in-time na VM selecionada:
Set-AzJitNetworkAccessPolicy -Kind "Basic" -Location "LOCATION" -Name "default" -ResourceGroupName "RESOURCEGROUP" -VirtualMachine $JitPolicyArr
Use o parâmetro -Name para especificar uma VM. Por exemplo, para estabelecer a configuração JIT para duas VMs diferentes, VM1 e VM2, use: Set-AzJitNetworkAccessPolicy -Name VM1 e Set-AzJitNetworkAccessPolicy -Name VM2.
Pedir acesso a uma VM com o JIT ativado com o PowerShell
No exemplo a seguir, você pode ver uma solicitação de acesso de VM just-in-time a uma VM específica para a porta 22, para um endereço IP específico e para um período de tempo específico:
Execute os seguintes comandos no PowerShell:
Configure as propriedades de acesso de solicitação de VM:
$JitPolicyVm1 = (@{
id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
ports=(@{
number=22;
endTimeUtc="2020-07-15T17:00:00.3658798Z";
allowedSourceAddressPrefix=@("IPV4ADDRESS")})})
Insira os parâmetros de solicitação de acesso da VM em uma matriz:
$JitPolicyArr=@($JitPolicyVm1)
Envie o acesso à solicitação (use o ID do recurso da etapa 1)
Start-AzJitNetworkAccessPolicy -ResourceId "/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Security/locations/LOCATION/jitNetworkAccessPolicies/default" -VirtualMachine $JitPolicyArr
Saiba mais na documentação do cmdlet do PowerShell.
API REST
Habilite o JIT em suas VMs usando a API REST
O recurso de acesso à VM just-in-time pode ser usado por meio da API do Microsoft Defender for Cloud. Use essa API para obter informações sobre VMs configuradas, adicionar novas, solicitar acesso a uma VM e muito mais.
Saiba mais em Políticas de acesso à rede JIT.
Solicitar acesso a uma VM habilitada para JIT usando a API REST
O recurso de acesso à VM just-in-time pode ser usado por meio da API do Microsoft Defender for Cloud. Use essa API para obter informações sobre VMs configuradas, adicionar novas, solicitar acesso a uma VM e muito mais.
Saiba mais em Políticas de acesso à rede JIT.
Auditar a atividade de acesso JIT no Defender for Cloud
Você pode obter informações sobre as atividades da VM usando a pesquisa de log. Para visualizar os logs:
VMs implantadas por meio do Azure Resource Manager
VMs implantadas com modelos de implantação clássicos
