Поделиться через

Создание подключения RDP к виртуальной машине Windows с помощью Бастиона Azure

В этой статье описывается, как создать безопасное подключение RDP к виртуальным машинам Windows с помощью Бастиона Azure. Вы можете подключиться через портал Azure (на основе браузера) через указанный IP-адрес или использовать собственный клиент на локальном компьютере Windows. При использовании Бастиона Azure виртуальные машины не требуют клиента, агента или дополнительного программного обеспечения. Бастион Azure безопасно подключается ко всем виртуальным машинам в виртуальной сети без предоставления портов RDP/SSH общедоступному Интернету. Дополнительные сведения см. в статье "Что такое Бастион Azure"?

Сведения о собственных подключениях клиентов с помощью Azure CLI (включая SSH и туннель), см. в статье "Подключение к виртуальной машине с помощью собственного клиента". Сведения о подключении к виртуальной машине Windows с помощью SSH см. в статье "Создание подключения SSH к виртуальной машине Windows".

На следующей схеме показана выделенная архитектура развертывания с помощью подключения RDP.

Диаграмма, показывающая архитектуру Azure Bastion.

Предпосылки

Прежде чем начать, убедитесь, что вы соответствуете следующим критериям:

  • Узел службы Azure Bastion, развернутый в виртуальной сети, где находится виртуальная машина, или в связанной виртуальной сети. Сведения о настройке узла Бастиона см. в статье "Создание узла бастиона". Необходимый номер SKU зависит от метода подключения:

    Способ подключения Минимальный номер SKU Дополнительная настройка
    Портал Azure (браузер) Basic Нет
    Портал Azure с пользовательскими портами Стандарт Нет
    Подключение на основе IP-адресов Стандарт Подключение на основе IP-адресов включено
    Нативный клиент (RDP) Стандарт Поддержка собственного клиента включена

  • Пользователи, подключающиеся через RDP, должны иметь права на целевую виртуальную машину. Если пользователь не является локальным администратором, добавьте их в группу пользователей удаленных рабочих столов .

  • Бастион Azure использует порт RDP 3389 по умолчанию. Для кастомных портов требуется SKU уровня "Стандартный" или выше. Сведения об обновлении см. в статье об обновлении номера SKU.

  • Виртуальная машина Windows в виртуальной сети (или доступная из виртуальной сети для IP-подключений).

  • Обязательные роли:

    • роль читателя на виртуальной машине;
    • Роль читателя в сетевом интерфейсном контроллере с IP-адресом виртуальной машины.
    • Роль пользователя с правами чтения в ресурсе Azure Bastion.
    • Роль читателя в виртуальной сети целевой виртуальной машины (если развертывание Bastion находится в одноранговой виртуальной сети).
    • Роль входа администратора виртуальной машины или имени входа пользователя виртуальной машины (требуется только для проверки подлинности идентификатора Microsoft Entra).

См. дополнительные требования в разделе "Бастион Azure".

Методы аутентификации

Следующие методы проверки подлинности доступны для подключений RDP через Бастион Azure. Выберите метод проверки подлинности, чтобы просмотреть соответствующие шаги.

Метод аутентификации Поддерживаемые методы подключения Минимальный номер SKU
Microsoft Entra ID (Предварительная версия для RDP) Портал Azure, собственный клиент Базовый (портал), Стандартный (собственный клиент)
Имя пользователя и пароль Портал Azure, IP-адрес (портал), собственный клиент Базовый (портал), Стандартный (IP-адрес, собственный клиент)
Kerberos Портал Azure Basic

Подключение к виртуальной машине с помощью RDP

Выберите метод подключения, чтобы просмотреть соответствующие шаги. Перейдя на страницу подключения Бастиона, выберите метод проверки подлинности.

Используйте портал Azure для создания подключения RDP на основе браузера к виртуальной машине Windows. Этот метод подключается непосредственно через браузер. На локальном компьютере нет собственного клиента RDP или дополнительного программного обеспечения. SKU "Базовый" или выше требуется, или SKU "Стандартный", если вам нужны пользовательские порты.

  1. На портале Azure выберите виртуальную машину. На левой панели выберите "Подключиться", а затем выберите Бастион.

  2. На вкладке "Параметры подключения " выберите протокол RDP и введите номер порта, если он был изменен из значения по умолчанию 3389.

  3. Выберите свой способ проверки подлинности. Рекомендуется использовать идентификатор Microsoft Entra (предварительная версия). Другие параметры см. в разделе "Методы проверки подлинности".

  4. Выберите "Подключиться ", чтобы открыть подключение RDP к виртуальной машине на новой вкладке браузера.

Замечание

См. советы по устранению неполадок в статьях «Устранение неполадок подключений RDP» и «Устранение неполадок входа Microsoft Entra для виртуальной машины Windows в Azure или с поддержкой Arc Windows Server».

Ограничения

  • Подключения на основе IP-адресов: Подключение на основе IP-адресов не работает с принудительным туннелированием по VPN или когда маршрут по умолчанию объявлен по каналу ExpressRoute. Бастион Azure требует доступа к Интернету, а принудительное туннелирование или объявление маршрута по умолчанию приводит к потере трафика.
  • Подключения на основе IP-адресов: UDR не поддерживается в подсети Бастиона, включая подключения на основе IP-адресов.
  • Подключения на основе IP-адресов: Пользовательские порты и протоколы в настоящее время не поддерживаются при подключении к виртуальной машине через собственный клиент с IP-подключениями.
  • Идентификатор Microsoft Entra: Проверка подлинности Microsoft Entra не поддерживается для подключений RDP на основе IP-адресов. Подключения SSH на основе IP через собственный клиент поддерживают проверку подлинности Entra ID. Для получения сведений о проверке подлинности Entra ID см. Сведения о проверке подлинности Microsoft Entra ID.
  • Запись сеанса: Проверка подлинности RDP + Entra ID на портале не может использоваться одновременно с записью графического сеанса.

Дальнейшие шаги

  • Last updated on