Informationen zu Azure Bastion-Konfigurationseinstellungen
In den Abschnitten in diesem Artikel werden die Ressourcen und Einstellungen für Azure Bastion erläutert.
SKUs
Eine SKU wird auch als Tarif bezeichnet. Azure Bastion unterstützt mehrere SKU-Ebenen. Wenn Sie Bastion konfigurieren, wählen Sie die SKU-Ebene aus. Sie entscheiden die SKU-Ebene basierend auf den Features, die Sie verwenden möchten. In der folgenden Tabelle wird die Verfügbarkeit von Features in der jeweiligen SKU dargestellt.
Feature | Entwickler-SKU | Basic-SKU | Standard-SKU | Premium-SKU |
---|---|---|---|---|
Herstellen einer Verbindung mit VMs im selben virtuellen Netzwerk | Ja | Ja | Ja | Ja |
Herstellen einer Verbindung mit virtuellen Zielcomputern in virtuellen Netzwerken mit Peering | Nein | Ja | Ja | Ja |
Unterstützung für gleichzeitige Verbindungen | Nein | Ja | Ja | Ja |
Das Zugreifen auf private Schlüssel für virtuelle Linux-Computer in Azure Key Vault (AKV) | Ja | Ja | Ja | Ja |
Herstellen einer Verbindung mit einer Linux-VM über SSH | Ja | Ja | Ja | Ja |
Herstellen einer Verbindung mit einer Windows-VM über RDP | Ja | Ja | Ja | Ja |
Herstellen einer Verbindung mit einer Linux-VM über RDP | Nein | Nein | Ja | Ja |
Herstellen einer Verbindung mit einer Windows-VM über SSH | Nein | Nein | Ja | Ja |
Angeben eines benutzerdefinierten eingehenden Ports | Nein | Nein | Ja | Ja |
Herstellen einer Verbindung mit virtuellen Computern mithilfe der Azure CLI | Nein | Nein | Ja | Ja |
Hostskalierung | Nein | Nein | Ja | Ja |
Hochladen oder Herunterladen von Dateien | Nein | Nein | Ja | Ja |
Kerberos-Authentifizierung | Nein | Ja | Ja | Ja |
Freigabefähiger Link | Nein | Nein | Ja | Ja |
Herstellen einer Verbindung mit VMs über IP-Adresse | Nein | Nein | Ja | Ja |
VM-Audioausgabe | Ja | Ja | Ja | Ja |
Deaktivieren von Kopieren/Einfügen (webbasierte Clients) | Nein | Nein | Ja | Ja |
Sitzungsaufzeichnungen | No | Nr. | Nein | Ja |
Rein private Bereitstellung | No | Nr. | Nein | Ja |
Entwickler-SKU
Die Entwickler-SKU von Bastion ist eine kostenlose, einfache SKU. Diese SKU eignet sich ideal für Dev/Test-Benutzer*innen, die eine sichere Verbindung mit ihren virtuellen Computern herstellen möchten und keine zusätzlichen Bastion-Funktionen oder Hostskalierung benötigen. Mit der Developer-SKU können Sie über die Seite für VM-Verbindungen eine Verbindung mit jeweils einer Azure-VM herstellen.
Wenn Sie Bastion mit der Developer-SKU bereitstellen, unterscheiden sich die Bereitstellungsanforderungen von der Bereitstellung mit anderen SKUs. In der Regel wird beim Erstellen eines Bastionhosts ein Host in AzureBastionSubnet in Ihrem virtuellen Netzwerk bereitgestellt. Der Bastionhost ist für Ihre Verwendung vorgesehen. Wenn Sie die Entwickler-SKU verwenden, wird kein Bastionhost in Ihrem virtuellen Netzwerk bereitgestellt, und Sie benötigen AzureBastionSubnet nicht. Der Entwickler-SKU-Bastionhost ist jedoch keine dedizierte Ressource. Stattdessen ist er Teil eines freigegebenen Pools.
Da die Bastion-Ressource mit Developer-SKU nicht dediziert ist, sind die Features für die Developer-SKU eingeschränkt. Im Abschnitt SKU der Bastion-Konfigurationseinstellungen werden die Features nach SKU aufgeführt. Sie können die Entwickler-SKU jederzeit auf eine höhere SKU aktualisieren, wenn Sie weitere Funktionen benötigen. Siehe Aktualisieren einer SKU.
Die Entwickler-SKU ist derzeit in den folgenden Regionen verfügbar:
- USA, Mitte (EUAP)
- USA, Osten 2 (EUAP)
- USA, Westen-Mitte
- USA Nord Mitte
- USA, Westen
- Nordeuropa
Hinweis
VNet-Peering wird zurzeit für die Developer-SKU nicht unterstützt.
Premium-SKU
Die Premium-SKU ist eine neue SKU, die Bastion-Features wie Session Recording und Private-Only Bastion unterstützt. Wenn Sie Bastion bereitstellen, sollten Sie die Premium-SKU nur dann auswählen, wenn Sie die unterstützten Features benötigen.
Angeben der SKU
Methode | SKU-Wert | Links |
---|---|---|
Azure-Portal | Ebene – Entwickler | Schnellstart |
Azure-Portal | Dienstebene: Basic | Schnellstart |
Azure-Portal | Ebene – Basic oder höher | Tutorial |
Azure PowerShell | Ebene – Basic oder höher | Vorgehensweise |
Azure CLI | Ebene – Basic oder höher | Vorgehensweise |
Aktualisieren einer SKU
Sie können jederzeit ein Upgrade einer SKU durchführen, um weitere Features hinzuzufügen. Weitere Informationen finden Sie unter Upgrade einer SKU.
Hinweis
Das Herabstufen einer SKU wird nicht unterstützt. Zum Herabstufen müssen Sie Azure Bastion löschen und neu erstellen.
Azure Bastion-Subnetz
Wichtig
Für Azure Bastion, die am oder nach dem 2. November 2021 bereitgestellt wurden, beträgt die Mindestgröße von AzureBastionSubnet /26 oder höher (/25, /24 usw.). Alle Azure Bastion-Ressourcen, die vor diesem Datum in Subnetzen der Größe /27 bereitgestellt wurden, sind von dieser Änderung nicht betroffen und funktionieren weiterhin. Es wird jedoch dringend empfohlen, die Größe eines vorhandenen AzureBastionSubnet auf /26 zu erhöhen, falls Sie sich für die zukünftige Nutzung der Hostskalierung entscheiden.
Wenn Sie Azure Bastion mit einer beliebigen SKU mit Ausnahme der Entwickler-SKU bereitstellen, erfordert Bastion ein dediziertes Subnetz namens AzureBastionSubnet. Sie müssen dieses Subnetz in demselben virtuellen Netzwerk erstellen, in dem Sie Azure Bastion bereitstellen möchten. Das Subnetz muss über die folgende Konfiguration verfügen:
- Subnetz: AzureBastionSubnet.
- Die Subnetzgröße muss /26 oder größer sein (/25, /24 usw.).
- Für die Hostskalierung wird ein wird ein Subnetz ab /26 empfohlen. Die Verwendung eines kleineren Subnetzbereichs schränkt die Anzahl der Skalierungseinheiten ein. Weitere Informationen finden Sie im Abschnitt Hostskalierung in diesem Artikel.
- Das Subnetz muss sich im selben virtuellen Netzwerk und in derselben Ressourcengruppe wie der Bastionhost befinden.
- Das Subnetz darf keine anderen Ressourcen enthalten.
Sie können diese Einstellung konfigurieren, indem Sie die folgende Methoden anwenden:
Methode | Wert | Links |
---|---|---|
Azure-Portal | Subnet | Schnellstart Tutorial |
Azure PowerShell | -subnetName | cmdlet |
Azure CLI | --subnet-name | command |
Öffentliche IP-Adresse
Azure Bastion-Bereitstellungen, außer Entwickler-SKU und Private-Only, erfordern eine öffentliche IP-Adresse. Die öffentliche IP-Adresse muss über die folgende Konfiguration verfügen:
- Die SKU für öffentliche IP-Adressen muss Standard sein.
- Die Zuweisungs-/Zuordnungsmethode für öffentliche IP-Adressen muss Statisch sein.
- Der Name der öffentlichen IP-Adresse ist der Ressourcenname, mit dem Sie auf diese öffentliche IP-Adresse verweisen möchten.
- Sie können eine öffentliche IP-Adresse verwenden, die Sie bereits erstellt haben, sofern sie die für Azure Bastion erforderlichen Kriterien erfüllt und noch nicht verwendet wird.
Sie können diese Einstellung konfigurieren, indem Sie die folgende Methoden anwenden:
Methode | Wert | Links |
---|---|---|
Azure-Portal | Öffentliche IP-Adresse | Azure portal |
Azure PowerShell | -PublicIpAddress | cmdlet |
Azure CLI | --public-ip create | Befehl |
Instanzen und Hostskalierung
Eine Instanz ist eine optimierte Azure-VM, die erstellt wird, wenn Sie Azure Bastion konfigurieren. Sie wird vollständig von Azure verwaltet und führt alle Prozesse aus, die für Azure Bastion erforderlich sind. Eine Instanz wird auch als Skalierungseinheit bezeichnet. Sie stellen über eine Azure Bastion-Instanz eine Verbindung mit Client-VMs her. Wenn Sie Azure Bastion mithilfe der Basic-SKU konfigurieren, werden zwei Instanzen erstellt. Wenn Sie die Standard-SKU oder höher verwenden, können Sie eine Anzahl von Instanzen (mindestens zwei Instanzen) angeben. Dies wird als Hostskalierung bezeichnet.
Jede Instanz kann 20 gleichzeitige RDP-Verbindungen und 40 gleichzeitige SSH-Verbindungen für mittlere Workloads unterstützen. (Weitere Informationen finden Sie unter Grenzwerte und Kontingente für Azure-Abonnements.) Die Anzahl der Verbindungen pro Instanz hängt davon ab, welche Aktionen Sie ausführen, wenn Sie eine Verbindung mit der Client-VM herstellen. Wenn Sie z. B. datenintensiv vorgehen, wird eine größere Last für die zu verarbeitende Instanz erstellt. Sobald die gleichzeitigen Sitzungen überschritten werden, ist eine weitere Skalierungseinheit (Instanz) erforderlich.
Instanzen werden im AzureBastionSubnet erstellt. Zur Unterstützung der Hostskalierung sollte azureBastionSubnet /26 oder größer sein. Die Verwendung eines kleineren Subnetzes schränkt die Anzahl der Instanzen ein, die Sie erstellen können. Weitere Informationen zu AzureBastionSubnet finden Sie im Abschnitt Subnetz in diesem Artikel.
Sie können diese Einstellung konfigurieren, indem Sie die folgende Methoden anwenden:
Methode | Wert | Verknüpfungen | Erfordert Standard-SKU oder höher |
---|---|---|---|
Azure-Portal | Anzahl von Instanzen | Vorgehensweise | Ja |
Azure PowerShell | ScaleUnit | Vorgehensweise | Ja |
Benutzerdefinierte Ports
Sie können den Port angeben, den Sie zum Herstellen einer Verbindung mit Ihren VMs verwenden möchten. Standardmäßig sind die für die Verbindung verwendeten eingehenden Ports 3389 für RDP und 22 für SSH. Wenn Sie einen Wert für den benutzerdefinierten Port konfigurieren, geben Sie diesen Wert an, wenn Sie eine Verbindung mit der VM herstellen.
Benutzerdefinierte Ports werden nur für die Standard-SKU oder höher unterstützt.
Freigabefähiger Link
Mit dem Bastion-Feature Freigabefähiger Link können Benutzer mithilfe von Azure Bastion eine Verbindung mit einer Zielressource herstellen, ohne auf das Azure-Portal zuzugreifen.
Wenn ein Benutzer ohne Azure-Anmeldeinformationen auf einen teilbaren Link klickt, wird eine Webseite geöffnet, auf der der Benutzer aufgefordert wird, sich über RDP oder SSH bei der Zielressource anzumelden. Benutzer authentifizieren sich mit Benutzername und Kennwort oder privatem Schlüssel, je nachdem, was Sie im Azure-Portal für die Zielressource konfiguriert haben. Benutzer können sich mit denselben Ressourcen verbinden, mit denen Sie sich derzeit mit Azure Bastion verbinden können: VMs oder VM-Skalierungsgruppe.
Methode | Wert | Verknüpfungen | Erfordert Standard-SKU oder höher |
---|---|---|---|
Azure-Portal | Freigabefähiger Link | Konfigurieren | Ja |
Rein private Bereitstellung
Rein private Bastion-Bereitstellungen sperren Workloads End-to-End, indem eine nicht über das Internet routingfähige Bereitstellung von Bastion erstellt wird, die rein privaten IP-Adresszugriff zulässt. Rein private Bastion-Bereitstellungen erlauben keine Verbindungen mit dem Bastionhost über die öffentliche IP-Adresse. Im Gegensatz dazu ermöglicht eine reguläre Azure Bastion-Bereitstellung Benutzern die Verbindung mit dem Bastionhost mithilfe einer öffentlichen IP-Adresse. Weitere Informationen finden Sie unter Bereitstellen von Bastion als nur privat.
Sitzungsaufzeichnungen
Wenn das Azure Bastion Sitzungsaufzeichnung-Feature aktiviert ist, können Sie die grafischen Sitzungen für Verbindungen mit virtuellen Computern (RDP und SSH) über den Bastion-Host aufzeichnen. Nachdem die Sitzung geschlossen oder getrennt wurde, werden aufgezeichnete Sitzungen in einem Blob-Container in Ihrem Speicherkonto (über SAS-URL) gespeichert. Wenn eine Sitzung getrennt ist, können Sie auf der Seite „Sitzungsaufzeichnung“ auf Ihre aufgezeichneten Sitzungen im Azure-Portal zugreifen und diese anzeigen. Für die Sitzungsaufzeichnung ist die Bastion Premium-SKU erforderlich. Weitere Informationen finden Sie unter Bastion-Sitzungsaufzeichnung.
Verfügbarkeitszonen
Einige Regionen unterstützen die Möglichkeit, Azure Bastion in einer Verfügbarkeitszone (oder mehrere, für Zonenredundanz) bereitzustellen. Stellen Sie Bastion mithilfe manuell angegebener Einstellungen bereit (nicht mithilfe der automatischen Standardeinstellungen), um zonenweise bereitzustellen. Geben Sie die gewünschten Verfügbarkeitszonen zum Zeitpunkt der Bereitstellung an. Sie können die Verfügbarkeit von Zonen nach der Bereitstellung von Bastion nicht ändern.
Die Unterstützung für Verfügbarkeitszonen befindet sich derzeit in der Vorschau. Während der Vorschau sind die folgenden Regionen verfügbar:
- East US
- Australien (Osten)
- USA (Ost) 2
- USA (Mitte)
- Katar, Mitte
- Südafrika, Norden
- Europa, Westen
- USA, Westen 2
- Nordeuropa
- Schweden, Mitte
- UK, Süden
- Kanada, Mitte
Nächste Schritte
Häufig gestellte Fragen finden Sie unter Häufig gestellte Fragen zu Azure Bastion.