你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
Microsoft Defender for Cloud 中 Defender for Servers 的提供实时计算机访问功能。
可以使用 Microsoft Defender for Cloud 的实时访问保护 Azure VM 免遭未经授权的网络访问。 很多时候，防火墙包含使 VM 容易受到攻击的允许规则。 JIT 使你能够仅在需要访问时、在所需端口上以及在所需的时间段内允许访问 VM。
本文介绍了如何设置和使用实时 VM 访问，包括如何：
必须在订阅上启用 Microsoft Defender for Servers 计划 2。
支持的 VM：通过 Azure 资源管理器部署的 VM、使用经典部署模型部署的 VM、受 VM 所在的同一 VNET 上的 Azure 防火墙保护的 VM、受 Azure 防火墙管理器控制的 Azure 防火墙保护的 VM、AWS EC2 实例（预览版）
要在 AWS VM 上设置实时访问，需要将 AWS 帐户连接到 Microsoft Defender for Cloud。
对于 JIT 策略，策略名称以及目标 VM 名称总共不得超过 56 个字符。
需要具有“读者”和“SecurityReader”权限或自定义角色才能查看 JIT 状态和参数。
对于自定义角色，请分配下表中汇总的权限。 若要为只需要请求 VM 的 JIT 访问权限的用户创建最低特权角色，请使用 Set-JitLeastPrivilegedRole 脚本。
| 用户操作 | 要设置的权限 |
|---|---|
| 配置或编辑 VM 的 JIT 策略 | 将这些“操作”分配给角色：
|
| 请求 JIT 对 VM 的访问权限 | 将这些“操作”分配给用户：
|
| 读取 JIT 策略 | 将这些“操作”分配给用户：
|
注意
只有 Microsoft.Security 权限与 AWS 相关。
若要为只需要请求 VM 的 JIT 访问权限的用户创建最低特权角色，请使用 Set-JitLeastPrivilegedRole 脚本。
可以使用 Defender for Cloud，也可以使用自己的自定义选项以编程方式启用 JIT VM 访问，或者可以使用 Azure 虚拟机中的默认硬编码参数启用 JIT。
实时 VM 访问显示 VM 分组为：
从 Defender for Cloud 可以启用和配置 JIT VM 访问。
打开“工作负载保护”，在高级保护中选择“实时 VM 访问”。
在“未配置”虚拟机选项卡中，将 VM 标记为使用 JIT 进行保护，然后选择“在 VM 上启用 JIT”。
JIT VM 访问页随即打开，列出 Defender for Cloud 建议保护的端口：
若要自定义 JIT 访问，请执行以下操作：
选择 添加 。
选择列表中的某个端口进行编辑或输入其他端口。 对于每个端口，可以设置：
选择“确定”。
若要保存端口配置，请选择“保存”。
可以对 VM 的实时配置进行以下修改：添加并配置要针对该 VM 进行保护的新端口，或更改与已保护的端口相关的任何其他设置。
若要编辑 VM 的现有 JIT 规则，请执行以下操作：
打开“工作负载保护”，在高级保护中选择“实时 VM 访问”。
在“已配置”虚拟机选项卡中，右键单击某个 VM 并选择“编辑”。
在“JIT VM 访问配置”中，可以编辑端口列表或选择“添加”以添加新的自定义端口。
编辑完端口后，选择“保存”。
如果 VM 启用了 JIT，则必须请求连接到它所需的访问权限。 不管你启用 JIT 的方式如何，你都可以通过任何受支持的方式请求访问权限。
从“实时 VM 访问”页选择“已配置”选项卡。
选择要访问的 VM：
“连接详细信息”列中的图标指示是对网络安全组还是对防火墙启用了 JIT。 如果对二者均启用了 JIT，则只会显示防火墙图标。
“连接详细信息”列显示可以访问 VM 的用户和端口。
选择“请求访问权限”。 此时会打开“请求访问”窗口。
在“请求访问”下，选择要为每个 VM 打开的端口、要打开端口的源 IP 地址以及打开端口的时间范围。
选择“打开端口”。
注意
如果请求访问的用户位于代理后面，你可以输入该代理的 IP 地址范围。
可以从 Azure 门户的 Azure 虚拟机页面对 VM 启用 JIT。
提示
如果 VM 已启用 JIT，则 VM 配置页会显示已启用 JIT。 可以使用链接在 Defender for Cloud 中打开 JIT VM 访问页，以查看和更改设置。
在 Azure 门户中，搜索并选择“虚拟机”。
选择要通过 JIT 保护的虚拟机。
在菜单中选择配置。
在“实时访问”下，选择“启用实时” 。
默认情况下，VM 的实时访问使用以下设置：
若要编辑任意这些值，或将更多端口添加到 JIT 配置，请使用 Microsoft Defender for Cloud 的实时访问页：
在 Defender for Cloud 的菜单中，选择“实时 VM 访问”。
在“已配置”选项卡上，右键单击要向其添加端口的 VM，然后选择“编辑”。
在“JIT VM 访问配置”下，可以编辑已保护的端口的现有设置，也可以添加新的自定义端口。
编辑完端口后，选择“保存”。
如果 VM 启用了 JIT，则必须请求连接到它所需的访问权限。 不管你启用 JIT 的方式如何，你都可以通过任何受支持的方式请求访问权限。
若要请求从 Azure 虚拟机进行访问，请执行以下操作：
在 Azure 门户中，打开虚拟机页面。
选择要连接到的 VM，然后打开连接页。
Azure 会查看是否已在该 VM 上启用了 JIT。
如果没有为该 VM 启用 JIT，系统会提示你启用它。
如果启用了 JIT，则选择“请求访问”，以便传递访问请求，其中包含已为该 VM 配置的请求 IP、时间范围和端口。
注意
批准对受 Azure 防火墙保护的 VM 的请求之后，Defender for Cloud 会为用户提供正确的连接详细信息（DNAT 表中的端口映射），用于连接到 VM。
若要从 PowerShell 启用实时 VM 访问，请使用官方 Microsoft Defender for Cloud PowerShell cmdlet Set-AzJitNetworkAccessPolicy。
示例 - 按照以下规则对特定 VM 启用实时 VM 访问：
以下 PowerShell 命令创建此 JIT 配置：
分配变量，以便保存 VM 的实时 VM 访问规则：
$JitPolicy = (@{
id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
ports=(@{
number=22;
protocol="*";
allowedSourceAddressPrefix=@("*");
maxRequestAccessDuration="PT3H"},
@{
number=3389;
protocol="*";
allowedSourceAddressPrefix=@("*");
maxRequestAccessDuration="PT3H"})})
将 VM 的实时 VM 访问规则插入数组：
$JitPolicyArr=@($JitPolicy)
对所选 VM 配置实时 VM 访问规则：
Set-AzJitNetworkAccessPolicy -Kind "Basic" -Location "LOCATION" -Name "default" -ResourceGroupName "RESOURCEGROUP" -VirtualMachine $JitPolicyArr
使用 -Name 参数指定 VM。 例如，若要为两个不同的 VM（VM1 和 VM2）建立 JIT 配置，请使用 Set-AzJitNetworkAccessPolicy -Name VM1 和 Set-AzJitNetworkAccessPolicy -Name VM2。
在以下示例中，可以看到针对端口 22、特定 IP 地址和特定时间量对特定 VM 的实时 VM 访问请求：
在 PowerShell 中运行以下命令：
配置 VM 请求访问属性：
$JitPolicyVm1 = (@{
id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
ports=(@{
number=22;
endTimeUtc="2020-07-15T17:00:00.3658798Z";
allowedSourceAddressPrefix=@("IPV4ADDRESS")})})
在数组中插入 VM 访问请求参数：
$JitPolicyArr=@($JitPolicyVm1)
发送访问请求（使用步骤 1 中的资源 ID）
Start-AzJitNetworkAccessPolicy -ResourceId "/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Security/locations/LOCATION/jitNetworkAccessPolicies/default" -VirtualMachine $JitPolicyArr
有关详细信息，请参阅 PowerShell cmdlet 文档。
通过 Microsoft Defender for Cloud API 可以使用实时 VM 访问功能。 使用此 API 获取有关已配置 VM 的信息、添加新的 VM、请求访问 VM，等等。
有关详细信息，请参阅 JIT 网络访问策略。
通过 Microsoft Defender for Cloud API 可以使用实时 VM 访问功能。 使用此 API 获取有关已配置 VM 的信息、添加新的 VM、请求访问 VM，等等。
有关详细信息，请参阅 JIT 网络访问策略。
可以使用日志搜索深入了解 VM 活动。 若要查看日志，请执行以下操作：
从“实时 VM 访问”选择“已配置”选项卡 。
对于要审核的 VM，请打开行末尾的省略号菜单。
从菜单中选择“活动日志”。
活动日志提供了一个经筛选的视图，其中包含以前针对该 VM 进行的操作以及时间、日期和订阅。
若要下载日志信息，请选择“以 CSV 格式下载”。