Så här ansluter du med Secure Shell (SSH) och loggar in på en virtuell Azure-dator som kör Windows

Artikel
10/17/2024

Gäller för: ✔️ Flexibla skalningsuppsättningar för virtuella Windows-datorer ✔️

Win32 OpenSSH-projektet gör fjärranslutningar med Secure Shell allmänt förekommande genom att tillhandahålla inbyggt stöd i Windows. Funktionen tillhandahålls i Windows Server version 2019 och senare och kan läggas till i äldre versioner av Windows med hjälp av ett tillägg för virtuell dator (VM).

Exemplen nedan använder variabler. Du kan ange variabler i din miljö på följande sätt.

Gränssnitt	Exempel
Bash/ZSH	myResourceGroup='resGroup10'
PowerShell	$myResourceGroup='resGroup10'

Aktivera SSH

Först måste du aktivera SSH på din Windows-dator.

Distribuera SSH-tillägget för Windows. Tillägget tillhandahåller en automatiserad installation av Win32 OpenSSH-lösningen, ungefär som att aktivera funktionen i nyare versioner av Windows. Använd följande exempel för att distribuera tillägget.

az vm extension set --resource-group $myResourceGroup --vm-name $myVM --name WindowsOpenSSH --publisher Microsoft.Azure.OpenSSH --version 3.0

Set-AzVMExtension -ResourceGroupName $myResourceGroup -VMName $myVM -Name 'OpenSSH' -Publisher 'Microsoft.Azure.OpenSSH' -Type 'WindowsOpenSSH' -TypeHandlerVersion '3.0'

{
  "type": "Microsoft.Compute/virtualMachines/extensions",
  "name": "[concat(parameters('VMName'), '/WindowsOpenSSH')]",
  "apiVersion": "2020-12-01",
  "location": "[parameters('location')]",
  "properties": {
    "publisher": "Microsoft.Azure.OpenSSH",
    "type": "WindowsOpenSSH",
    "typeHandlerVersion": "3.0"
  }
}

resource windowsOpenSSHExtension 'Microsoft.Compute/virtualMachines/extensions@2020-12-01' = {
  parent: virtualMachine
  name: 'WindowsOpenSSH'
  location: resourceGroup().location
  properties: {
    publisher: 'Microsoft.Azure.OpenSSH'
    type: 'WindowsOpenSSH'
    typeHandlerVersion: '3.0'
  }
}

Öppna TCP-port

Se till att rätt port (som standard TCP 22) är öppen för att tillåta anslutning till den virtuella datorn.

az network nsg rule create -g $myResourceGroup --nsg-name $myNSG -n allow-SSH --priority 1000 --source-address-prefixes 208.130.28.4/32 --destination-port-ranges 22 --protocol TCP

Get-AzNetworkSecurityGroup -Name $MyNSG -ResourceGroupName $myResourceGroup | Add-AzNetworkSecurityRuleConfig -Name allow-SSH -access Allow -Direction Inbound -Priority 1000 -SourceAddressPrefix 208.130.28.4/32 -SourcePortRange '*' -DestinationAddressPrefix '*' -DestinationPortRange 22 -Protocol TCP | Set-AzNetworkSecurityGroup

{
  "type": "Microsoft.Network/networkSecurityGroups/securityRules",
  "apiVersion": "2021-08-01",
  "name": "allow-SSH",
  "properties": {
    "access": "Allow",
    "destinationAddressPrefix": "*",
    "destinationPortRange": "22",
    "direction": "Inbound",
    "priority": "1000",
    "protocol": "TCP",
    "sourceAddressPrefix": "208.130.28.4/32",
    "sourcePortRange": "*"
  }
}

resource allowSSH 'Microsoft.Network/networkSecurityGroups/securityRules@2021-08-01' = {
  name: 'allowSSH'
  parent: MyNSGSymbolicName
  properties: {
    access: 'Allow'
    destinationAddressPrefix: '*'
    destinationPortRange: 'string'
    destinationPortRanges: [
      '22'
    ]
    direction: 'Inbound'
    priority: 1000
    protocol: 'TCP'
    sourceAddressPrefix: '208.130.28.4/32'
    sourcePortRange: '*'
  }
}

Den virtuella datorn måste ha en offentlig IP-adress. Om du vill kontrollera om den virtuella datorn har en offentlig IP-adress väljer du Översikt på den vänstra menyn och tittar på avsnittet Nätverk . Om du ser en IP-adress bredvid offentlig IP-adress har den virtuella datorn en offentlig IP-adress. Mer information om hur du lägger till en offentlig IP-adress till en befintlig virtuell dator finns i Associera en offentlig IP-adress till en virtuell dator
Kontrollera att den virtuella datorn körs. På fliken Översikt i avsnittet Essentials kontrollerar du att den virtuella datorns status är Körs. Starta den virtuella datorn genom att välja Starta överst på sidan.

Autentisering

Du kan autentisera till Windows-datorer med antingen användarnamn och lösenord eller SSH-nycklar. Azure stöder inte etablering av offentliga nycklar till Windows-datorer automatiskt, men du kan kopiera nyckeln med hjälp av RunCommand-tillägget.

Översikt över SSH och nycklar

SSH är ett krypterat anslutningsprotokoll som ger säkra inloggningar över oskyddade anslutningar. Även om SSH tillhandahåller en krypterad anslutning gör användning av lösenord med SSH-anslutningar fortfarande den virtuella datorn sårbar för råstyrkeattacker. Vi rekommenderar att du ansluter till en virtuell dator via SSH med hjälp av ett offentligt-privat nyckelpar, även kallat SSH-nycklar.

Den offentliga nyckeln placeras på den virtuella datorn.
Den privata nyckeln finns kvar i ditt lokala system. Skydda den privata nyckeln. Dela den inte med andra.

När du använder en SSH-klient för att ansluta till den virtuella datorn (som har den offentliga nyckeln) testar den virtuella fjärrdatorn klienten för att se till att den har rätt privat nyckel. Om klienten har den privata nyckeln beviljas den åtkomst till den virtuella datorn.

Beroende på organisationens säkerhetsprinciper kan du återanvända ett enda offentligt-privat nyckelpar för att få åtkomst till flera virtuella Azure-datorer och -tjänster. Du behöver inte ett separat par nycklar för varje virtuell dator eller tjänst som du vill komma åt.

Din offentliga nyckel kan delas med vem som helst, men bara du (eller din lokala säkerhetsinfrastruktur) ska ha åtkomst till din privata nyckel.

SSH-nyckelformat som stöds

Azure stöder för närvarande följande nyckeltyper:

SSH-protokoll 2 (SSH-2) RSA (Rivest, Shamir, Adleman) med en minsta längd på 2 048 bitar
ED25519 nycklar med en fast längd på 256 bitar

Andra nyckelformat som Elliptic-curve Diffie-Hellman (ECDH) och Elliptic Curve Digital Signature Algorithm (ECDSA) stöds för närvarande inte.

Kopiera en offentlig nyckel med hjälp av RunCommand-tillägget.

RunCommand-tillägget är en enkel lösning för att kopiera en offentlig nyckel till Windows-datorer och se till att filen har rätt behörigheter.

az vm run-command invoke -g $myResourceGroup -n $myVM --command-id RunPowerShellScript --scripts "MYPUBLICKEY | Add-Content 'C:\ProgramData\ssh\administrators_authorized_keys' -Encoding UTF8;icacls.exe 'C:\ProgramData\ssh\administrators_authorized_keys' /inheritance:r /grant 'Administrators:F' /grant 'SYSTEM:F'"

Invoke-AzVMRunCommand -ResourceGroupName $myResourceGroup -VMName $myVM -CommandId 'RunPowerShellScript' -ScriptString "MYPUBLICKEY | Add-Content 'C:\ProgramData\ssh\administrators_authorized_keys' -Encoding UTF8;icacls.exe 'C:\ProgramData\ssh\administrators_authorized_keys' /inheritance:r /grant 'Administrators:F' /grant 'SYSTEM:F'"

{
  "type": "Microsoft.Compute/virtualMachines/runCommands",
  "apiVersion": "2022-03-01",
  "name": "[concat(parameters('VMName'), '/RunPowerShellScript')]",
  "location": "[parameters('location')]",
  "properties": {
    "timeoutInSeconds":600
    "source": {
      "script": "MYPUBLICKEY | Add-Content 'C:\\ProgramData\\ssh\\administrators_authorized_keys -Encoding UTF8';icacls.exe 'C:\\ProgramData\\ssh\\administrators_authorized_keys' /inheritance:r /grant 'Administrators:F' /grant 'SYSTEM:F'"
    }
  }
}

resource runPowerShellScript 'Microsoft.Compute/virtualMachines/runCommands@2022-03-01' = {
  name: 'RunPowerShellScript'
  location: resourceGroup().location
  parent: virtualMachine
  properties: {
    timeoutInSeconds: 600
    source: {
      script: "MYPUBLICKEY | Add-Content 'C:\ProgramData\ssh\administrators_authorized_keys' -Encoding UTF8;icacls.exe 'C:\ProgramData\ssh\administrators_authorized_keys' /inheritance:r /grant 'Administrators:F' /grant 'SYSTEM:F'"
    }
  }
}

Ansluta med Az CLI

Anslut till Windows-datorer med hjälp av Az SSH kommandon.

az ssh vm  -g $myResourceGroup -n $myVM --local-user $myUsername

Det går också att skapa en nätverkstunnel för specifika TCP-portar via SSH-anslutningen. Ett bra användningsfall för detta är Fjärrskrivbord som standard till port 3389.

az ssh vm  -g $myResourceGroup -n $myVM --local-user $myUsername -- -L 3389:localhost:3389

Anslut från Azure Portal

Gå till Azure Portal för att ansluta till en virtuell dator. Sök efter Virtuella datorer.
Välj den virtuella datorn i listan.
Välj Anslut på den vänstra menyn.
Välj det alternativ som passar ditt önskade sätt att ansluta. Portalen hjälper dig att gå igenom förutsättningarna för att ansluta.

Nästa steg

Lär dig hur du överför filer till en befintlig virtuell dator i Använda SCP för att flytta filer till och från en virtuell dator.

Dela via