Azure Bastion kullanarak Windows VM'ye RDP bağlantısı oluşturma

Bu makalede, Azure Bastion kullanarak Windows sanal makinelerinize güvenli bir RDP bağlantısının nasıl oluşturulacağı açıklanır. Azure portalı (tarayıcı tabanlı), belirtilen IP adresi aracılığıyla veya yerel Windows bilgisayarınızda yerel istemci kullanarak bağlanabilirsiniz. Azure Bastion kullandığınızda sanal makineleriniz bir istemci, aracı veya ek yazılım gerektirmez. Azure Bastion, RDP/SSH bağlantı noktalarını genel İnternet'e göstermeden sanal ağdaki tüm sanal makinelere güvenli bir şekilde bağlanır. Daha fazla bilgi için bkz. Azure Bastion nedir?

Azure CLI (SSH ve tünel dahil) kullanan yerel istemci bağlantıları için bkz. Native client kullanarak vm'ye bağlanma. SSH kullanarak Windows bir sanal makineye bağlanmak için bkz. Windows VM'sine SSH bağlantısı oluşturma.

Aşağıdaki diyagramda RDP bağlantısı kullanan ayrılmış dağıtım mimarisi gösterilmektedir.

Önkoşullar

Başlamadan önce aşağıdaki ölçütleri karşıladığınızdan emin olun:

• Sanal makinenin bulunduğu sanal ağda veya eşlenmiş sanal ağda konuşlandırılmış bir Azure Bastion konağı. Bastion konağı ayarlamak için bkz. Bastion konağı oluşturma. İhtiyacınız olan SKU, bağlantı yönteminize bağlıdır:

  Bağlantı yöntemi	En düşük SKU	Ek yapılandırma
  Azure portalı (tarayıcı)	Basic	Hiçbiri
  Özel bağlantı noktalarıyla Azure portalı	Standart	Hiçbiri
  IP tabanlı bağlantı	Standart	IP tabanlı bağlantı etkinleştirildi
  Yerel istemci (RDP)	Standart	Yerel istemci desteği etkin

• RDP aracılığıyla bağlanan kullanıcıların hedef sanal makinede hakları olmalıdır. Kullanıcı yerel yönetici değilse, Uzak Masaüstü Users grubuna ekleyin.

• Azure Bastion varsayılan olarak RDP 3389 bağlantı noktasını kullanır. Özel bağlantı noktaları için Standart SKU veya üzeri gerekir. Yükseltmek için bkz. SKU'yu yükseltme.

• Sanal ağdaki Windows bir sanal makine (veya IP tabanlı bağlantılar için sanal ağdan ulaşılabilir).

• Gerekli roller:

  • Sanal makinedeki okuyucu rolü.
  • Sanal makinenin IP'sine sahip NIC'de okuyucu rolü.
  • Azure Bastion kaynağındaki okuyucu rolü.
  • Hedef sanal makinenin sanal ağında okuyucu rolü (Bastion dağıtımı eşlenmiş bir sanal ağdaysa).
  • Sanal Makine Yöneticisi Oturum Açma veya Sanal Makine Kullanıcı Oturum Açma rolü (yalnızca Microsoft Entra ID kimlik doğrulaması için gereklidir).

İlave gereksinimler için lütfen Azure Bastion SSS'ye bakın.

Kimlik doğrulama yöntemleri

Azure Bastion aracılığıyla RDP bağlantıları için aşağıdaki kimlik doğrulama yöntemleri kullanılabilir. İlgili adımları görmek için bir kimlik doğrulama yöntemi seçin.

Kimlik doğrulama yöntemi	Desteklenen bağlantı yöntemleri	En düşük SKU
Microsoft Entra ID (Önizleme) (RDP için Önizleme)	Azure portalı, yerel istemci	Temel (portal), Standart (yerel istemci)
Kullanıcı adı ve parola	Azure portalı, IP adresi (portal), yerel istemci	Temel (portal), Standart (IP adresi, yerel istemci)
Kerberos	Azure portalı	Basic

RDP kullanarak sanal makineye bağlanma

İlgili adımları görmek için bir bağlantı yöntemi seçin. Bastion bağlantı sayfasına gittikten sonra kimlik doğrulama yönteminizi seçin.

Azure portalı

Windows sanal makinenize tarayıcı tabanlı rdp bağlantısı oluşturmak için Azure portalını kullanın. Bu yöntem doğrudan tarayıcınız üzerinden bağlanır. Yerel bilgisayarınızda yerel RDP istemcisi veya ek yazılım gerekmez. Temel SKU veya üzeri, özel bağlantı noktalarına ihtiyacınız varsa Standart SKU gereklidir.

1. Azure portalında sanal makinenizi seçin. Sol bölmeden, önce Bağlan'ı, ardından Bastion'ı seçin.

2. Bağlantı ayarları sekmesinde, protokol olarak RDP'yi seçin ve varsayılan olarak 3389 olarak değiştirdiyseniz bağlantı noktası numarasını girin.

3. Kimlik doğrulama yönteminizi seçin. Microsoft Entra ID (Önizleme) önerilir. Diğer seçenekler için bkz . Kimlik doğrulama yöntemleri.

4. Sanal makinenize rdp bağlantısını yeni bir tarayıcı sekmesinde açmak için Bağlan'ı seçin.

Uyarı

Sorun giderme ipuçları için bkz. RDP bağlantı sorunlarını giderme ve Azure veya Arc özellikli Windows Server üzerinde bir Windows sanal makinesinde Microsoft Entra oturum açma sorunlarını giderme

IP adresi (portal)

Azure portalını kullanarak belirtilen IP adresini kullanarak Windows sanal makinenize tarayıcı tabanlı rdp bağlantısı oluşturun. Bu yöntem tarayıcınız üzerinden bağlanır ve yerel bir RDP istemcisi veya yerel bilgisayarınızda ek yazılım gerektirmez. Standart SKU veya üzeri gereklidir ve IP tabanlı bağlantıyı etkinleştirmeniz gerekir.

IP tabanlı bağlantıyı etkinleştirme

IP adresi kullanarak bağlanabilmeniz için önce Bastion dağıtımınızda IP tabanlı bağlantıyı etkinleştirmeniz gerekir.

1. Azure portalında Bastion dağıtımınıza gidin.

2. Yapılandırma sayfasındaki Katman için SKU'nun Standart SKU veya üzeri olarak ayarlandığını doğrulayın. SKU Temel SKU olarak ayarlandıysa, açılan listeden daha yüksek bir SKU seçin.

3. IP tabanlı bağlantı'ya tıklayın.

4. Değişiklikleri uygulamak için Uygula'yı seçin. Bastion yapılandırmasının tamamlanması birkaç dakika sürer.

5. Hedef sanal makinenin IP adresini Azure portalından bir sanal makine seçmek yerine doğrudan Bastion Connect sayfasında belirtirsiniz.

IP adresi kullanarak bağlanma

1. Belirtilen IP adresini kullanarak bir sanal makineye bağlanmak için bağlantıyı doğrudan sanal makine sayfasından değil Bastion'dan yapın. Bastion kaynağınızda Bağlan'ı seçerek Bağlan sayfasını açın.

2. Bastion Connect sayfasında , IP adresi için hedef sanal makinenin IP adresini girin.

   

3. Bağlantı ayarlarınızı istediğiniz Protokol (RDP) ve Bağlantı Noktası'na ayarlayın.

4. Kullanıcı Adı ve Parola alanına kimlik bilgilerinizi girin.

5. Sanal makinenize bağlanmak için Bağlan'ı seçin.

IP adresi aracılığıyla yerel istemci RDP bağlantıları için bu sayfadaki Yerel istemci sekmesine bakın.

Yerel istemci

Azure CLI (az network bastion rdp) kullanarak yerel Windows bir bilgisayardan Windows sanal makinenize bağlanın. Bu yöntem, standart SKU veya üzeri ile yerel istemci desteği yapılandırılmış olmayı gerektirir.

Bir kullanıcı RDP aracılığıyla bir Windows VM'ye bağlandığında, hedef VM üzerinde hakları olmalıdır. Kullanıcı yerel yönetici değilse, kullanıcıyı hedef VM'de Uzak Masaüstü Kullanıcılar grubuna ekleyin.

1. az login kullanarak Azure hesabınızda oturum açın. Birden fazla aboneliğiniz varsa, bunları az account list kullanarak görüntüleyebilir ve Bastion kaynağınızı içeren aboneliği az account set --subscription "<subscription ID>" kullanarak seçebilirsiniz.

2. RDP aracılığıyla bağlanmak için aşağıdaki örneği kullanın.

   az network bastion rdp --name "<BastionName>" --resource-group "<ResourceGroupName>" --target-resource-id "<VMResourceId>"
   

3. Komutu çalıştırdıktan sonra kimlik bilgilerinizi girmeniz istenir. Yerel bir kullanıcı adı ve parola veya Microsoft Entra kimlik bilgilerinizi kullanabilirsiniz. Hedef VM'nizde oturum açtıktan sonra, bilgisayarınızdaki yerel istemci MSTSC aracılığıyla VM oturumunuzla açılır.

   Önemli

   Microsoft Entra ID'ye birleştirilen VM'lere uzak bağlantıya yalnızca Windows 10 veya üstü bilgisayarlardan izin verilir. Bu bilgisayarlar, Microsoft Entra kayıtlı (Windows 10 20H1'den başlayarak), Microsoft Entra birleştirilmiş veya Microsoft Entra hibrit birleştirilmiş olmalıdır ve aynı dizine bağlanmalıdır.

Kimlik doğrulama yöntemini belirtme

İsteğe bağlı olarak, komutun bir parçası olarak kimlik doğrulama yöntemini de belirtebilirsiniz.

• Microsoft Entra authentication: Windows 10 sürüm 20H2+, Windows 11 21H2+ ve Windows Server 2022 için --enable-mfa kullanın. Daha fazla bilgi için bkz . az network bastion rdp - isteğe bağlı parametreler.

Özel bağlantı noktası belirtme

RDP aracılığıyla bir Windows VM'sine bağlanırken özel bir bağlantı noktası belirtebilirsiniz.

Bunun özellikle yararlı olabileceği senaryolardan biri, bağlantı noktası 22 aracılığıyla bir Windows VM'ye bağlanmaktır. Bu, az network bastion ssh komutuyla ilgili sınırlamalar için olası bir geçici çözümdür ve Windows yerel istemci tarafından Windows VM'ye bağlanmak için kullanılamaz.

Özel bir bağlantı noktası belirtmek için, aşağıdaki örnekte gösterildiği gibi oturum açma komutuna --resource-port alanını ekleyin.

az network bastion rdp --name "<BastionName>" --resource-group "<ResourceGroupName>" --target-resource-id "<VMResourceId>" --resource-port "22"

Windows VM IP adresine RDP

Kaynak kimliği yerine vm özel IP adresine de bağlanabilirsiniz. Microsoft Entra kimlik doğrulaması ve özel bağlantı noktaları ve protokoller bu tür bir bağlantı kullanılırken desteklenmez. IP tabanlı bağlantılar hakkında daha fazla bilgi için bkz . VM'ye bağlanma - IP adresi.

az network bastion komutunu kullanarak --target-resource-id'i --target-ip-address ile değiştirin ve belirtilen IP adresini kullanarak VM'nize bağlanın.

az network bastion rdp --name "<BastionName>" --resource-group "<ResourceGroupName>" --target-ip-address "<VMIPAddress>"

SSH ve tünel bağlantıları için bkz. Bastion ve Windows yerel istemcisi kullanarak vm'ye bağlanma.

Sınırlamalar

• IP tabanlı bağlantılar: IP tabanlı bağlantı, VPN üzerinden zorlamalı tünel oluşturma veya ExpressRoute bağlantı hattı üzerinden varsayılan bir yol tanıtıldığında çalışmaz. Azure Bastion, İnternet'e erişim gerektirir ve zorla tünelleme veya varsayılan rotanın reklâmı sonucunda trafik kara deliğe düşebilir.
• IP tabanlı bağlantılar: UDR, IP tabanlı bağlantılar da dahil olmak üzere Bastion alt ağı üzerinde desteklenmez.
• IP tabanlı bağlantılar: IP tabanlı bağlantılara sahip yerel istemci aracılığıyla sanal makineye bağlanırken özel bağlantı noktaları ve protokoller şu anda desteklenmemektedir.
• Microsoft Entra ID: Microsoft Entra kimlik doğrulaması IP tabanlı RDP bağlantıları için desteklenmez. Yerel istemci üzerinden IP tabanlı SSH bağlantıları Entra ID kimlik doğrulamasını destekler. Entra ID kimlik doğrulaması ayrıntıları için bkz. Microsoft Entra ID kimlik doğrulaması hakkında.
• Session recording: portalda RDP + Entra ID kimlik doğrulaması, graphical session recording ile eşzamanlı olarak kullanılamaz.

Sonraki Adımlar

• SSH
• Azure Bastion nedir?
• Microsoft Entra ID kimlik doğrulamasını kimlik tabanlı erişim için yapılandırın.
• Etki alanına katılmış sanal makineler için Kerberos kimlik doğrulamasını yapılandırın.
• Yerel istemci kullanarak dosyaları sanal makinenize aktarabilirsiniz.
• Azure portalı erişimi olmayan kullanıcılar için paylaşılabilir bir bağlantı yapılandırın.
• Azure Bastion SSS