Maszyny wirtualne platformy Azure
Włączanie trybu JIT na maszynach wirtualnych z maszyn wirtualnych platformy Azure
Dostęp JIT można włączyć na maszynie wirtualnej na stronach maszyn wirtualnych platformy Azure w witrynie Azure Portal.
Napiwek
Jeśli maszyna wirtualna ma już włączony tryb JIT, na stronie konfiguracji maszyny wirtualnej zostanie wyświetlony komunikat o włączeniu trybu JIT. Możesz użyć linku, aby otworzyć stronę dostępu do maszyny wirtualnej JIT w Defender dla Chmury, aby wyświetlić i zmienić ustawienia.
W witrynie Azure Portal wyszukaj i wybierz pozycję Maszyny wirtualne.
Wybierz maszynę wirtualną, którą chcesz chronić za pomocą trybu JIT.
W menu wybierz pozycję Konfiguracja.
W obszarze Dostęp just in time wybierz pozycję Włącz just-in-time.
Domyślnie dostęp just in time dla maszyny wirtualnej używa następujących ustawień:
- Maszyny z systemem Windows
- Port RDP: 3389
- Maksymalny dozwolony dostęp: trzy godziny
- Dozwolone źródłowe adresy IP: dowolne
- Maszyny z systemem Linux
- Port SSH: 22
- Maksymalny dozwolony dostęp: trzy godziny
- Dozwolone źródłowe adresy IP: dowolne
Aby edytować dowolną z tych wartości lub dodać więcej portów do konfiguracji JIT, użyj strony just in time Microsoft Defender dla Chmury:
Z menu Defender dla Chmury wybierz pozycję Dostęp just in time do maszyny wirtualnej.
Na karcie Skonfigurowane kliknij prawym przyciskiem myszy maszynę wirtualną, do której chcesz dodać port, a następnie wybierz pozycję Edytuj.
W obszarze Konfiguracja dostępu do maszyny wirtualnej JIT można edytować istniejące ustawienia już chronionego portu lub dodać nowy port niestandardowy.
Po zakończeniu edytowania portów wybierz pozycję Zapisz.
Żądanie dostępu do maszyny wirtualnej z obsługą trybu JIT na stronie połączenia maszyny wirtualnej platformy Azure
Jeśli maszyna wirtualna ma włączony dostęp JIT, musisz zażądać dostępu, aby nawiązać z nią połączenie. Dostęp można zażądać na dowolny z obsługiwanych sposobów, niezależnie od sposobu włączania trybu JIT.
Aby zażądać dostępu z maszyn wirtualnych platformy Azure:
W witrynie Azure Portal otwórz strony maszyn wirtualnych.
Wybierz maszynę wirtualną, z którą chcesz nawiązać połączenie, a następnie otwórz stronę Połącz .
Platforma Azure sprawdza, czy na tej maszynie wirtualnej jest włączony tryb JIT.
Jeśli tryb JIT nie jest włączony dla maszyny wirtualnej, zostanie wyświetlony monit o jego włączenie.
Jeśli tryb JIT jest włączony, wybierz pozycję Zażądaj dostępu, aby przekazać żądanie dostępu z żądanym adresem IP, zakresem czasu i portami skonfigurowanymi dla tej maszyny wirtualnej.
Uwaga
Po zatwierdzeniu żądania dla maszyny wirtualnej chronionej przez usługę Azure Firewall Defender dla Chmury udostępnia użytkownikowi odpowiednie szczegóły połączenia (mapowanie portów z tabeli DNAT) do nawiązania połączenia z maszyną wirtualną.
PowerShell
Włączanie funkcji JIT na maszynach wirtualnych za pomocą programu PowerShell
Aby włączyć dostęp just in time do maszyny wirtualnej z poziomu programu PowerShell, użyj oficjalnego polecenia cmdlet Set-AzJitNetworkAccessPolicyprogramu PowerShell Microsoft Defender dla Chmury .
Przykład — włączanie dostępu just in time do maszyny wirtualnej przy użyciu następujących reguł:
- Zamknij porty 22 i 3389
- Ustaw maksymalny przedział czasu wynoszący 3 godziny dla każdego z nich, aby można było je otworzyć dla zatwierdzonego żądania
- Zezwalaj użytkownikowi, który żąda dostępu do kontrolowania źródłowych adresów IP
- Zezwalaj użytkownikowi, który żąda dostępu, aby ustanowić pomyślną sesję po zatwierdzonym żądaniu dostępu just in time
Następujące polecenia programu PowerShell tworzą tę konfigurację trybu JIT:
Przypisz zmienną, która zawiera reguły dostępu just in time dla maszyny wirtualnej:
$JitPolicy = (@{
id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
ports=(@{
number=22;
protocol="*";
allowedSourceAddressPrefix=@("*");
maxRequestAccessDuration="PT3H"},
@{
number=3389;
protocol="*";
allowedSourceAddressPrefix=@("*");
maxRequestAccessDuration="PT3H"})})
Wstaw reguły dostępu just in time maszyny wirtualnej do tablicy:
$JitPolicyArr=@($JitPolicy)
Skonfiguruj reguły dostępu just in time do maszyny wirtualnej na wybranej maszynie wirtualnej:
Set-AzJitNetworkAccessPolicy -Kind "Basic" -Location "LOCATION" -Name "default" -ResourceGroupName "RESOURCEGROUP" -VirtualMachine $JitPolicyArr
Użyj parametru -Name, aby określić maszynę wirtualną. Aby na przykład ustanowić konfigurację trybu JIT dla dwóch różnych maszyn wirtualnych, maszyn wirtualnych VM1 i VM2, użyj następujących poleceń: Set-AzJitNetworkAccessPolicy -Name VM1 i Set-AzJitNetworkAccessPolicy -Name VM2.
Żądanie dostępu do maszyny wirtualnej z obsługą JIT za pomocą programu PowerShell
W poniższym przykładzie można zobaczyć żądanie dostępu just in time do określonej maszyny wirtualnej dla portu 22, dla określonego adresu IP i przez określony czas:
Uruchom następujące polecenia w programie PowerShell:
Skonfiguruj właściwości dostępu żądania maszyny wirtualnej:
$JitPolicyVm1 = (@{
id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
ports=(@{
number=22;
endTimeUtc="2020-07-15T17:00:00.3658798Z";
allowedSourceAddressPrefix=@("IPV4ADDRESS")})})
Wstaw parametry żądania dostępu do maszyny wirtualnej w tablicy:
$JitPolicyArr=@($JitPolicyVm1)
Wyślij dostęp do żądania (użyj identyfikatora zasobu z kroku 1)
Start-AzJitNetworkAccessPolicy -ResourceId "/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Security/locations/LOCATION/jitNetworkAccessPolicies/default" -VirtualMachine $JitPolicyArr
Dowiedz się więcej w dokumentacji poleceń cmdlet programu PowerShell.
Interfejs API REST
Włączanie trybu JIT na maszynach wirtualnych przy użyciu interfejsu API REST
Funkcja dostępu just in time do maszyny wirtualnej może być używana za pośrednictwem interfejsu API Microsoft Defender dla Chmury. Użyj tego interfejsu API, aby uzyskać informacje o skonfigurowanych maszynach wirtualnych, dodawać nowe, żądać dostępu do maszyny wirtualnej i nie tylko.
Dowiedz się więcej na temat zasad dostępu do sieci JIT.
Żądanie dostępu do maszyny wirtualnej z obsługą trybu JIT przy użyciu interfejsu API REST
Funkcja dostępu just in time do maszyny wirtualnej może być używana za pośrednictwem interfejsu API Microsoft Defender dla Chmury. Użyj tego interfejsu API, aby uzyskać informacje o skonfigurowanych maszynach wirtualnych, dodawać nowe, żądać dostępu do maszyny wirtualnej i nie tylko.
Dowiedz się więcej na temat zasad dostępu do sieci JIT.
Inspekcja aktywności dostępu JIT w Defender dla Chmury
Możesz uzyskać wgląd w działania maszyn wirtualnych przy użyciu wyszukiwania w dziennikach. Aby wyświetlić dzienniki:
