Развертывание бастиона с помощью Azure PowerShell

В этой статье показано, как развернуть Бастион Azure с помощью PowerShell. Бастион Azure — это служба PaaS, которая управляется за вас, а не узел бастиона, устанавливаемый на виртуальной машине и обслуживаемый вами. Развертывание Бастион Azure выполняется для каждой виртуальной сети, а не для каждой подписки или учетной записи или виртуальной машины. Дополнительные сведения об Бастион Azure см. в разделе Что такое Бастион Azure?

После развертывания Бастиона в виртуальной сети можно подключиться к виртуальным машинам через частный IP-адрес. Эта простая возможность подключения по протоколам RDP и SSH доступна для всех виртуальных машин в пределах одной и той же виртуальной сети. Если общедоступный IP-адрес на виртуальной машине не требуется для других целей, его можно удалить.

В этой статье вы создадите виртуальную сеть (если у вас еще нет), разверните Бастион Azure с помощью PowerShell и подключитесь к виртуальной машине. В примерах показано развертывание Bastion с использованием SKU "Стандартный", но вы можете использовать другой SKU Bastion в зависимости от желаемых функций. Дополнительные сведения см. в разделе Номера SKU Бастиона.

Вы также можете развернуть Бастион с помощью следующих других методов:

• портал Azure — развертывание бастиона
• Портал Azure - развертывание Bastion с параметрами по умолчанию и стандартным SKU
• Deploy с помощью Azure CLI

Перед началом

Убедитесь, что у вас есть Azure подписка. Если у вас еще нет подписки Azure, вы можете активировать преимущества подписчика MSDN или зарегистрироваться для учетной записи free.

PowerShell

В этой статье используются командлеты PowerShell. Для выполнения командлетов можно использовать Azure Cloud Shell. Cloud Shell — это бесплатная интерактивная оболочка, которую можно использовать для выполнения действий, описанных в этой статье. В ней есть стандартные Azure средства, предварительно установленные и настроенные для использования с вашей учетной записью.

Чтобы открыть Cloud Shell, просто выберите Open Cloudshell в правом верхнем углу блока кода. Вы также можете открыть Cloud Shell на отдельной вкладке браузера, выбрав https://shell.azure.com/powershell. Выберите Copy, чтобы скопировать блоки кода, вставить их в Cloud Shell и выбрать клавишу ВВОД, чтобы запустить их.

Вы также можете установить и запустить командлеты Azure PowerShell локально на компьютере. Командлеты PowerShell часто обновляются. Если вы не установили последнюю версию, значения, указанные в инструкциях, могут не сработать. Чтобы найти версии Azure PowerShell, установленные на компьютере, используйте командлет Get-Module -ListAvailable Az. См. раздел Установка модуля Azure PowerShell для получения сведений об установке или обновлении.

Пример значений

При создании этой конфигурации вы можете применить приведенные ниже примеры значений или заменить их собственными.

Примеры значений виртуальной сети и виртуальной машины:

Ценности Бастион Azure:

Развертывание Бастиона

В этом разделе описано, как создать виртуальную сеть, подсети и развернуть Бастион Azure с помощью Azure PowerShell.

1. Создайте группу ресурсов, виртуальную сеть и подсеть переднего плана, в которую вы развернете виртуальные машины, к которым будете подключаться через Bastion. Если вы используете PowerShell локально, откройте консоль PowerShell с повышенными привилегиями и подключитесь к Azure с помощью команды Connect-AzAccount.

   New-AzResourceGroup -Name TestRG1 -Location EastUS ` 
   $frontendSubnet = New-AzVirtualNetworkSubnetConfig -Name FrontEnd `
   -AddressPrefix "10.1.0.0/24" ` 
   $virtualNetwork = New-AzVirtualNetwork `
   -Name TestVNet1 -ResourceGroupName TestRG1 `
   -Location EastUS -AddressPrefix "10.1.0.0/16" `
   -Subnet $frontendSubnet ` 
   $virtualNetwork | Set-AzVirtualNetwork
   

2. Настройте и задайте подсеть Бастион Azure для виртуальной сети. Эта подсеть зарезервирована исключительно для Бастион Azure ресурсов. Эту подсеть необходимо создать, используя имя AzureBastionSubnet. Это значение позволяет Azure знать, в какой подсети развертывать ресурсы Бастиона. В следующем разделе показано, как добавить Бастион Azure подсеть в существующую виртуальную сеть.

   • Наименьший размер создаваемой подсети AzureBastionSubnet — /26. Мы рекомендуем создать подсеть с размером /26 или больше, чтобы обеспечить масштабирование узлов.
     • Дополнительные сведения о масштабировании узла см. в разделе Параметры конфигурации: масштабирование узлов.
     • Дополнительные сведения о параметрах см. в разделе Параметры конфигурации: AzureBastionSubnet.
   • Создайте AzureBastionSubnet без каких-либо таблиц маршрутизации или делегирований.
   • Если вы используете группы безопасности сети в подсети AzureBastionSubnet, см. статью Работа с группами безопасности сети.

   Задайте переменную .

   $vnet = Get-AzVirtualNetwork -Name "TestVNet1" -ResourceGroupName "TestRG1"
   

   Добавьте подсеть.

   Add-AzVirtualNetworkSubnetConfig `
   -Name "AzureBastionSubnet" -VirtualNetwork $vnet `
   -AddressPrefix "10.1.1.0/26" | Set-AzVirtualNetwork
   

3. Создайте общедоступный IP-адрес для Бастион Azure. Общедоступный IP-адрес — это общедоступный IP-адрес ресурса Бастиона, на котором будет доступен RDP/SSH (через порт 443). Общедоступный IP-адрес должен находиться в том же регионе, что и создаваемый ресурс Бастиона.

   $publicip = New-AzPublicIpAddress -ResourceGroupName "TestRG1" `
   -name "VNet1-ip" -location "EastUS" `
   -AllocationMethod Static -Sku Standard
   

4. Создайте новый ресурс Бастион Azure в AzureBastionSubnet с помощью команды New-AzBastion. В следующем примере используется номер SKU "Базовый". Однако вы также можете развернуть Бастион, используя другой SKU, изменив значение -SKU. Номер SKU, который вы выбираете, определяет функции Бастиона и подключается к виртуальным машинам с помощью дополнительных типов подключений. Дополнительные сведения см. в разделе Номера SKU Бастиона.

   New-AzBastion -ResourceGroupName "TestRG1" -Name "VNet1-bastion" `
   -PublicIpAddressRgName "TestRG1" -PublicIpAddressName "VNet1-ip" `
   -VirtualNetworkRgName "TestRG1" -VirtualNetworkName "TestVNet1" `
   -Sku "Basic"
   

5. Развертывание ресурсов Бастиона занимает около 10 минут. Вы можете создать виртуальную машину в следующем разделе, пока Бастион разворачивается в вашей виртуальной сети.

создание виртуальной машины;

Виртуальную машину можно создать с помощью статей Краткое руководство. Создание виртуальной машины с помощью PowerShell или Краткое руководство. Создание виртуальной машины с помощью портала. Убедитесь, что вы развертываете виртуальную машину в той же виртуальной сети, в которой развернут Бастион. Виртуальная машина, которая создается в этом разделе, не является частью конфигурации Бастиона и не становится узлом-бастионом. Подключение к этой виртуальной машине через Бастион описано далее в этом руководстве.

Ниже приведены требуемые роли для ваших ресурсов.

• Требуемые роли:

  • роль читателя на виртуальной машине;
  • роль читателя на сетевом адаптере с частным IP-адресом для виртуальной машины;
  • Роль пользователя с правами чтения в ресурсе Бастион Azure.
  • Роль читателя в виртуальной сети целевой виртуальной машины (если развертывание Bastion находится в одноранговой виртуальной сети).

• Требуемые входящие порты:

  • Для виртуальных машин Windows — RDP (3389)
  • для виртуальных машин Linux — SSH (22).

Подключение к виртуальной машине

Вы можете использовать действия по подключению в следующем разделе для подключения к виртуальной машине. Кроме того, для подключения к виртуальной машине вы можете использовать любое из приведенных ниже руководств. Для некоторых типов подключений требуется бастион Standard SKU.

• Подключение к виртуальной машине Windows
  • RDP
  • SSH
• Подключение к виртуальной машине Linux
  • SSH
• Подключение к масштабируемому набору
• Подключение через IP-адрес
• Подключение из родного клиента
  • Windows клиент
  • Клиент Linux/SSH

Действия по подключению

1. На портале Azure перейдите на виртуальную машину, к которой требуется подключиться.

2. В верхней части панели выберите Подключить>Бастион, чтобы перейти к панели Бастиона. Вы также можете перейти на панель Бастиона с помощью левого меню.

3. Параметры, доступные на панели Бастиона, зависят от номера SKU Бастиона .

   Если вы используете SKU «Стандартный» или выше, у вас есть больше вариантов протоколов подключения и портов. Разверните Параметры подключения, чтобы увидеть опции. Как правило, если для виртуальной машины не настроены разные параметры, подключитесь к компьютеру Windows с помощью RDP и порта 3389. Подключение к компьютеру Linux с помощью SSH и порта 22.

   Если вы используете SKU Basic, подключитесь к компьютеру Windows, используя RDP и порт 3389. Для Basic SKU подключение к компьютеру Linux осуществляется с помощью SSH и порта 22. Вы не можете изменить номер порта или протокол. Однако вы можете изменить язык клавиатуры для RDP, расширив параметры подключения на этой панели.

   Если вы используете номер SKU разработчика, бастион развертывается автоматически при первом подключении. Подключение к компьютеру Windows с помощью RDP и порта 3389 или на компьютере Linux с помощью SSH и порта 22. SKU для разработчиков использует архитектуру общего пула и предоставляется без дополнительных затрат в избранных регионах.

4. Для типа проверки подлинности выберите тип проверки подлинности из раскрывающегося списка. Протокол определяет доступные типы проверки подлинности. Укажите необходимые значения проверки подлинности.

5. Чтобы открыть сеанс виртуальной машины на новой вкладке браузера, оставьте "Открыть" на новой вкладке браузера.

6. Выберите Подключиться, чтобы подключиться к виртуальной машине.

7. Убедитесь, что подключение к виртуальной машине открывается непосредственно на портале Azure (через HTML5) с помощью порта 443 и службы Бастиона.

Использование сочетаний клавиш при подключении к виртуальной машине может не привести к такому же поведению, как сочетания клавиш на локальном компьютере. Например, при подключении к виртуальной машине Windows с клиента Windows сочетание клавиш CTRL+ALT+END используется вместо сочетания клавиш CTRL+ALT+DELETE на локальном компьютере. Чтобы сделать это на Mac во время подключения к виртуальной машине Windows, используйте сочетание клавиш fn+control+option+delete.

Включение аудиовыхода

Вы можете включить удаленный аудиовыход для виртуальной машины. Некоторые виртуальные машины автоматически позволяют включить этот параметр, а другие — включить параметры звука вручную. Параметры можно изменить на самой виртуальной машине. В вашем развертывании Бастиона не нужно настраивать специальные параметры конфигурации для включения удаленного аудиовыхода. В данный момент аудиоввод не поддерживается.

Чтобы включить удаленный выход звука на виртуальной машине Windows, выполните следующие действия.

1. После подключения к виртуальной машине на панели инструментов появится кнопка звука в правом нижнем углу панели инструментов. Щелкните правой кнопкой мыши звук и выберите "Звуки".
2. Всплывающее сообщение запрашивает, нужно ли включить Windows аудиослужбу. Выберите Да. Дополнительные параметры звука можно настроить в параметрах звука.
3. Чтобы проверить выходные данные звука, наведите указатель мыши на кнопку звука на панели инструментов.

Удаление общедоступного IP-адреса виртуальной машины

Бастион Azure не использует общедоступный IP-адрес для подключения к клиентской виртуальной машине. Если общедоступный IP-адрес виртуальной машины вам не нужен, вы можете отменить связь с ним. См. раздел Отсоединение общедоступного IP-адреса от виртуальной машины Azure.

Следующие шаги

• Сведения об использовании групп безопасности сети с подсетью Бастион Azure см. в статье Work with NSG.
• Сведения о пиринге виртуальной сети см. в статье Пиринги виртуальных сетей и Бастион Azure.