Vinicius Deschamps

Azure · Bastion · Security

Mejorar la seguridad con Azure Bastion

5 min de lecturaPor Vinicius Deschamps

¿Buscas una nueva forma de mejorar la seguridad para conectarte a tus VMs en Azure? Debes revisar la función Azure Bastion.

En el pasado, para asegurar la conectividad RDP y SSH a tus Azure Virtual Machines, probablemente tenías que usar una jump box a la que las personas se conectan para acceder a las demás VM.

Por supuesto, una jump box mejora la seguridad de tu acceso, pero introduce algunas brechas que Azure Bastion aborda.

Visión general de Azure Bastion

Primero, Azure Bastion es un servicio de Plataforma como Servicio que ofrece una conectividad segura de RDP y SSH para proteger tus Azure Virtual Machines.

Implementar Azure Bastion permite el acceso a todas las VMs dentro de una red virtual a través de un único punto de acceso endurecido, el AzureBastionSubnet.

azure bastion overview diagram blog vinicius deschamps
diagrama de visión general de azure bastion blog vinicius deschamps

Y como puedes imaginar, la conexión a tu VM ahora ocurrirá a través del Azure Portal, que se conecta al servicio Azure Bastion usando su IP pública y carga tu VM directamente en tu navegador.

Costo

Para disfrutar de los beneficios de Azure Bastion, tendrás un costo adicional para tu suscripción

US$0.19/hora (~ US$138.70/mes por Azure Bastion)

Además, también tienes un costo de Transferencia de Datos de Salida, pero los precios pueden variar según el uso. Sin embargo, los primeros 5GB/mes son gratis.

Requisitos

Para provisionar Azure Bastion

  • Bastion está disponible en la mayoría de las regiones de Azure pero en estas
    • Canada East
    • France South
    • Italy North
    • Switzerland West
    • Germany West Central
    • Germany North
    • Germany Northeast
    • Germany Central
    • UAE North
    • South India
    • China East
    • China East 2
    • China North 2
    • Australia Central
    • South Africa East
  • Tu red virtual debe tener una Subred denominada AzureBastionSubnet
  • La AzureBastionSubnet debe ser al menos /27 o más grande
  • Azure Bastion usa una IP pública y debe ser de Standard Public IP SKU

Para usar Azure Bastion

  • Cualquier navegador HTML5
  • Usuarios o Grupos de Seguridad que usarán la función Azure Bastion deben tener
    • Rol de Lector en la(s) Máquina(s) Virtual(es)
    • Rol de Lector en la NIC con IP privada de la Máquina Virtual
    • Rol de Lector en el recurso Azure Bastion

Provisionar Azure Bastion en un entorno nuevo

Crear Azure Bastion

Primero, vamos a crear el recurso Azure Bastion escribiendo en Azure Search Bastion y haciendo clic en Bastions

azure search bastion blog vinicius deschamps

En Bastions, haga clic en Agregar

azure bastion add blog vinicius deschamps

Para crear un Bastion, elige un Resource group (1), un Name (2) para tu instancia de Bastion así como la Region (3), luego haz clic en Create new (4) para configurar una nueva Virtual Network

azure bastion create a bastion create virtual network blog vinicius deschamps

Al crear una red virtual, ten en cuenta que tu Azure Bastion debe tener una subred llamada AzureBastionSubnet, su rango de direcciones debe ser al menos /27 y el espacio de direcciones debe poder alojarlo.

azure bastion create a bastion create virtual network azurebastionsubnet blog vinicius deschamps

Una vez que creas la nueva Virtual Network, todo lo demás bajo Configure virtual networks se completa, pero siéntete libre de cambiarlo si tienes una necesidad específica para crear el recurso Bastion. Luego haz clic en Review + Create

azure bastion create a bastion configure virtual networks blog vinicius deschamps

Ahora, verifica que todo esté correcto y haz clic en Create

azure bastion create a bastion review create create blog vinicius deschamps

Crear una Máquina Virtual con Bastion

Escribe en Azure Search Virtual Machines, y haz clic en Virtual machines

azure search virtual machine blog vinicius deschamps

En Virtual Machines, haz clic en Add (1) y Virtual Machine (2)

azure virtual machines add virutal machine blog vinicius deschamps

Tendrás que proporcionar toda la información de 1 a 8 y luego hacer clic en la pestaña Networking

azure create a virtual machine blog vinicius deschamps

En Networking debes tener cuidado de elegir las opciones y asegurarte de seleccionar el mismo Virtual Network (1) que usaste para crear la AzureBastionSubnet, y elegir cualquier Subnet (2) disponible.

Ten en cuenta que elegí None para la Public IP (3) y Public inbound ports (4) porque Azure Bastion no requiere que la Máquina Virtual tenga una IP pública ya que nos conectaremos a través de Azure Portal

Luego haz clic en Review + Create

azure create a virtual machine networking blog vinicius deschamps

Doble verificación de tu Máquina Virtual, y haz clic en Create

azure create a virtual machine review create create blog vinicius deschamps

Conectarse a la Máquina Virtual mediante Bastion

Ve a la Máquina Virtual que acabas de crear, y busca Bastion

azure virtual machine operations bastion blog vinicius deschamps

En Connect using Azure Bastion, proporciona tu Username (1) y Password (2), luego haz clic en Connect (3)

azure virtual machine bastion connect blog vinicius deschamps

Y voilá, ahora estás accediendo a tu Virtual Machine a través de tu navegador

azure virtual machine bastion remote desktop browser blog vinicius deschamps

Espero que te haya gustado

Y nos vemos en mi próxima publicación

Foto de James Sutton en Unsplash

AzureBastionSecuritySegurança

Sigue leyendo

Sobre el mismo tema.

Archivo completo →

Azure18 de agosto de 20205 min

Conceder acceso a una Máquina Virtual usando Azure Bastion

En la publicación de hoy, voy a mostrarte cómo conceder acceso a una Máquina Virtual usando [Azure Bastion](/improve-security-with-azure-bastion/). ## Puntos destacados de Azure Bastion Como probablemente viste en mi publicación [Improve Security with Azure Bastion](/improve-security-with-azure-bastion/) , [Azure Bastion](/improve-security-with-azure-bastion#azure-bastion-overview) es un servicio PaaS que ofrece una conectividad RDP y SSH segura para proteger tus Azure Virtual Machines. Dicho esto, tus máquinas virtuales ya no quedan expuestas a través de Internet cuando Azure Bastion está en funcionamiento, por lo que el acceso a ellas se realiza directamente a través del Azure Portal. ## Control de Acceso (IAM) Al mismo tiempo que quieres mejorar la seguridad, al usar Azure Bastion, no quieres dejar abierto el acceso al Azure Portal para los usuarios que necesitan acceso a la VM, ¿cierto? Para lograrlo, debes usar Access Control (IAM), que se utiliza para proporcionar acceso granular a los Azure Resources, y es posible cubrir también los requisitos específicos de Azure Bastion. ## Permisos de Azure Bastion Los permisos que Azure Bastion requiere al menos son los siguientes **Reader roles** * En la Virtual Machine * En la NIC con la IP privada de la Virtual Machine * El recurso de Azure Bastion ### Cómo conceder acceso a VM usando Azure Bastion Máquina Virtual Una vez que estás en las Virtual Machines, elige la que configuraste para Azure Bastion y haz clic en ella (1), elige **Access control (IAM)** (2), haz clic en **Add** (3) y **Add role assignment** (4) <figure class="aligncenter size-large is-resized"><img fetchpriority="high" decoding="async" src="/media/wp/2020/08/azure-virtual-machines-access-control-iam-add-add-role-assignment-blog-vinicius-deschamps-1024x191.png" alt="azure virtual machines access control iam add add role assignment blog vinicius deschamps" class="wp-image-7057" width="645" height="120" loading="lazy"></figure> Notas que se abre el siguiente blade en tu ventana, **Add role assignment**, completa según corresponda **Role** (1) elige **Reader**, escribe el nombre del usuario al que quieres conceder acceso en el campo **Select** (2) y selecciónalo (3) <figure class="aligncenter size-large is-resized"><img decoding="async" src="/media/wp/2020/08/azure-access-control-iam-add-role-assigment-blog-vinicius-deschamps.png" alt="azure access control iam add role assigment blog vinicius deschamps" class="wp-image-7058" width="416" height="314" loading="lazy"></figure> Una vez que lo selecciones, verifica que **Selected members** tenga los usuarios esperados y haz clic en **Save** <figure class="aligncenter size-large"><img decoding="async" src="/media/wp/2020/08/azure-access-control-iam-add-role-assigment-selected-members-save-blog-vinicius-deschamps.png" alt="azure access control iam add role assigment selected members save blog vinicius deschamps" class="wp-image-7059" loading="lazy"></figure> Y como nota al margen, si intentas conectar al usuario y hacer que use **Azure Bastion** de inmediato para proporcionar **Reader Role** en la Virtual Machine, así es como verá la pantalla: sin errores, nada mal, pero al mismo tiempo sin poder conectar ni proporcionar credenciales <figure class="wp-block-image size-large"><img decoding="async" src="/media/wp/2020/08/azure-bastion-connect-using-azure-bastion-after-receive-virtual-machine-read-permission-blog-vinicius-deschamps-1024x341.png" alt="azure bastion connect using azure bastion after receive virtual machine read permission blog vinicius deschamps" class="wp-image-7065" loading="lazy"></figure> #### NIC con IP privada de la Virtual Machine Mientras sigues en la Virtual Machine (1), haz clic en **Networking** (2), luego en su **Network interface** (3) <figure class="wp-block-image size-large"><img decoding="async" src="/media/wp/2020/08/azure-virtual-machines-networking-network-interface-blog-vinicius-deschamps-1024x274.png" alt="azure virtual machines networking network interface blog vinicius deschamps" class="wp-image-7060" loading="lazy"></figure> En el blade de **Network interface**, haz clic en **Access control (IAM)** (1), **Add** (2) y finalmente **Add role assignment** (3) <figure class="wp-block-image size-large"><img decoding="async" src="/media/wp/2020/08/azure-networking-network-interface-access-control-iam-add-add-role-assignment-blog-vinicius-deschamps.png" alt="azure networking network interface access control iam add add role assignment blog vinicius deschamps" class="wp-image-7062" loading="lazy"></figure> Notas el blade siguiente abierto en tu ventana, **Add role assignment**, completa según corresponda **Role** (1) elige **Reader**, escribe el nombre del usuario al que quieres conceder acceso en el campo **Select** (2) y selecciónalo (3) <figure class="aligncenter size-large"><img decoding="async" src="/media/wp/2020/08/azure-access-control-iam-add-role-assigment-blog-vinicius-deschamps.png" alt="azure access control iam add role assigment blog vinicius deschamps" class="wp-image-7058" loading="lazy"></figure> Una vez que lo selecciones, verifica que **Selected members** tenga los usuarios esperados y haz clic en **Save** <figure class="aligncenter size-large"><img decoding="async" src="/media/wp/2020/08/azure-access-control-iam-add-role-assigment-selected-members-save-blog-vinicius-deschamps.png" alt="azure access control iam add role assigment selected members save blog vinicius deschamps" class="wp-image-7059" loading="lazy"></figure> Y si intentas conectarte de inmediato con **Azure Bastion**, así se verá la pantalla; ten en cuenta que ahora aparece un mensaje **Unable to query Bastion data** <figure class="wp-block-image size-large"><img decoding="async" src="/media/wp/2020/08/azure-bastion-connect-using-azure-bastion-after-receive-network-interface-read-permission-blog-vinicius-deschamps.png" alt="azure bastion connect using azure bastion after receive network interface read permission blog vinicius deschamps" class="wp-image-7066" loading="lazy"></figure> #### Azure Bastion resource Ve a **Azure Bastions** en Azure Portal, haz clic en él (1), **Access control (IAM)** (2), **Add** (3), luego **Add role assignment** (4) <figure class="wp-block-image size-large is-resized"><img decoding="async" src="/media/wp/2020/08/azure-bastions-access-control-iam-add-add-role-assignment-blog-vinicius-deschamps-1024x188.png" alt="azure bastions access control iam add add role assignment blog vinicius deschamps" class="wp-image-7063" width="645" height="118" loading="lazy"></figure> Notas el blade siguiente abierto en tu ventana, **Add role assignment**, completa según corresponda **Role** (1) elige **Reader**, escribe el nombre del usuario al que quieres conceder acceso en el campo **Select** (2) y selecciónalo (3) <figure class="aligncenter size-large"><img decoding="async" src="/media/wp/2020/08/azure-access-control-iam-add-role-assigment-blog-vinicius-deschamps.png" alt="azure access control iam add role assigment blog vinicius deschamps" class="wp-image-7058" loading="lazy"></figure> Una vez que lo selecciones, verifica que **Selected members** tenga los usuarios esperados y haz clic en **Save** <figure class="aligncenter size-large"><img decoding="async" src="/media/wp/2020/08/azure-access-control-iam-add-role-assigment-selected-members-save-blog-vinicius-deschamps.png" alt="azure access control iam add role assigment selected members save blog vinicius deschamps" class="wp-image-7059" loading="lazy"></figure> Y, ¡voilá! Ahora ves **Username**, **Password** y **Connect** <figure class="wp-block-image size-large"><img decoding="async" src="/media/wp/2020/08/azure-bastion-connect-using-azure-bastion-after-receive-bastion-read-permission-blog-vinicius-deschamps.png" alt="azure bastion connect using azure bastion after receive bastion read permission blog vinicius deschamps" class="wp-image-7067" loading="lazy"></figure> Y eso es todo Espero que te haya gustado, y nos vemos en mi próxima publicación Foto por [Clarissa Watson](https://unsplash.com/@clarephotolover?utm_source=unsplash&utm_medium=referral&utm_content=creditCopyText) en [Unsplash](https://unsplash.com/s/photos/safe?utm_source=unsplash&utm_medium=referral&utm_content=creditCopyText)

↗
Mejorar la seguridad con Azure Bastion — Vinicius Deschamps