Virtuální počítače Azure
Povolení JIT na virtuálních počítačích z virtuálních počítačů Azure
JIT na virtuálním počítači můžete povolit na stránkách virtuálních počítačů Azure na webu Azure Portal.
Tip
Pokud už má virtuální počítač povolený JIT, stránka konfigurace virtuálního počítače ukazuje, že je povolený JIT. Pomocí odkazu můžete otevřít přístupovou stránku virtuálního počítače JIT v Defenderu pro cloud a zobrazit a změnit nastavení.
Na webu Azure Portal vyhledejte a vyberte Virtuální počítače.
Vyberte virtuální počítač, který chcete chránit pomocí JIT.
V nabídce vyberte Možnost Konfigurace.
V části Přístup za běhu vyberte Povolit za běhu.
Ve výchozím nastavení používá přístup za běhu pro virtuální počítač tato nastavení:
- Počítače s Windows
- Port RDP: 3389
- Maximální povolený přístup: Tři hodiny
- Povolené zdrojové IP adresy: Všechny
- Počítače s Linuxem
- Port SSH: 22
- Maximální povolený přístup: Tři hodiny
- Povolené zdrojové IP adresy: Všechny
Pokud chcete upravit některou z těchto hodnot nebo přidat další porty do konfigurace JIT, použijte stránku Microsoft Defenderu for Cloud za běhu:
V nabídce Defenderu pro cloud vyberte přístup k virtuálnímu počítači za běhu.
Na kartě Konfigurace klikněte pravým tlačítkem na virtuální počítač, do kterého chcete přidat port, a vyberte Upravit.
V části Konfigurace přístupu k virtuálním počítačům JIT můžete buď upravit stávající nastavení již chráněného portu, nebo přidat nový vlastní port.
Po dokončení úprav portů vyberte Uložit.
Žádost o přístup k virtuálnímu počítači s podporou JIT ze stránky připojení virtuálního počítače Azure
Pokud má virtuální počítač povolený JIT, musíte požádat o přístup, abyste se k němu mohli připojit. Přístup můžete požádat v libovolném z podporovaných způsobů bez ohledu na to, jak jste jiT povolili.
Vyžádání přístupu z virtuálních počítačů Azure:
Na webu Azure Portal otevřete stránky virtuálních počítačů.
Vyberte virtuální počítač, ke kterému se chcete připojit, a otevřete stránku Připojit .
Azure zkontroluje, jestli je na tomto virtuálním počítači povolená JIT.
Pokud pro virtuální počítač není povolený JIT, zobrazí se výzva k jeho povolení.
Pokud je povolená možnost JIT, vyberte Možnost Požádat o přístup a předejte žádost o přístup s požadovanou IP adresou, časovým rozsahem a porty nakonfigurovanými pro tento virtuální počítač.
Poznámka:
Po schválení žádosti pro virtuální počítač chráněný službou Azure Firewall poskytuje Defender for Cloud uživateli správné podrobnosti o připojení (mapování portů z tabulky DNAT), které se mají použít pro připojení k virtuálnímu počítači.
PowerShell
Povolení JIT na virtuálních počítačích pomocí PowerShellu
Pokud chcete povolit přístup k virtuálním počítačům za běhu z PowerShellu, použijte oficiální rutinu Set-AzJitNetworkAccessPolicyMicrosoft Defenderu pro Cloud PowerShell .
Příklad : Povolení přístupu k virtuálnímu počítači za běhu na konkrétním virtuálním počítači s následujícími pravidly:
- Zavření portů 22 a 3389
- Nastavení maximálního časového intervalu 3 hodin pro každý z nich, aby bylo možné je otevřít na základě schválené žádosti
- Povolit uživateli, který žádá o přístup k řízení zdrojových IP adres
- Povolit uživateli, který žádá o přístup, aby na základě schválené žádosti o přístup za běhu vytvořil úspěšnou relaci
Následující příkazy PowerShellu vytvoří tuto konfiguraci JIT:
Přiřaďte proměnnou, která obsahuje pravidla přístupu k virtuálnímu počítači za běhu pro virtuální počítač:
$JitPolicy = (@{
id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
ports=(@{
number=22;
protocol="*";
allowedSourceAddressPrefix=@("*");
maxRequestAccessDuration="PT3H"},
@{
number=3389;
protocol="*";
allowedSourceAddressPrefix=@("*");
maxRequestAccessDuration="PT3H"})})
Vložte pravidla přístupu k virtuálnímu počítači za běhu do pole:
$JitPolicyArr=@($JitPolicy)
Nakonfigurujte pravidla přístupu k virtuálním počítačům za běhu na vybraném virtuálním počítači:
Set-AzJitNetworkAccessPolicy -Kind "Basic" -Location "LOCATION" -Name "default" -ResourceGroupName "RESOURCEGROUP" -VirtualMachine $JitPolicyArr
K zadání virtuálního počítače použijte parametr -Name. Pokud například chcete vytvořit konfiguraci JIT pro dva různé virtuální počítače, VM1 a VM2, použijte: Set-AzJitNetworkAccessPolicy -Name VM1 a Set-AzJitNetworkAccessPolicy -Name VM2.
Žádost o přístup k virtuálnímu počítači s podporu JIT pomocí PowerShellu
V následujícím příkladu vidíte žádost o přístup k virtuálnímu počítači za běhu pro konkrétní virtuální počítač pro port 22, konkrétní IP adresu a určitou dobu:
V PowerShellu spusťte následující příkazy:
Nakonfigurujte vlastnosti přístupu žádosti o přístup k virtuálnímu počítači:
$JitPolicyVm1 = (@{
id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
ports=(@{
number=22;
endTimeUtc="2020-07-15T17:00:00.3658798Z";
allowedSourceAddressPrefix=@("IPV4ADDRESS")})})
Do pole vložte parametry žádosti o přístup k virtuálnímu počítači:
$JitPolicyArr=@($JitPolicyVm1)
Odeslání přístupu k žádosti (použití ID prostředku z kroku 1)
Start-AzJitNetworkAccessPolicy -ResourceId "/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Security/locations/LOCATION/jitNetworkAccessPolicies/default" -VirtualMachine $JitPolicyArr
Další informace najdete v dokumentaci k rutinám PowerShellu.
REST API
Povolení JIT na virtuálních počítačích pomocí rozhraní REST API
Funkci přístupu k virtuálním počítačům za běhu je možné použít prostřednictvím rozhraní Microsoft Defender for Cloud API. Toto rozhraní API slouží k získání informací o nakonfigurovaných virtuálních počítačích, přidání nových virtuálních počítačů, vyžádání přístupu k virtuálnímu počítači a další.
Další informace najdete v zásadách přístupu k síti JIT.
Vyžádání přístupu k virtuálnímu počítači s podporou JIT pomocí rozhraní REST API
Funkci přístupu k virtuálním počítačům za běhu je možné použít prostřednictvím rozhraní Microsoft Defender for Cloud API. Toto rozhraní API slouží k získání informací o nakonfigurovaných virtuálních počítačích, přidání nových virtuálních počítačů, vyžádání přístupu k virtuálnímu počítači a další.
Další informace najdete v zásadách přístupu k síti JIT.
Auditování aktivity přístupu JIT v Defenderu pro cloud
Pomocí prohledávání protokolu můžete získat přehled o aktivitách virtuálních počítačů. Zobrazení protokolů:
