Vinicius Deschamps

Azure · Bastion · Máquinas Virtuais · Virtual Network

Mejorar la Seguridad con Azure Bastion

5 min de lecturaPor Vinicius Deschamps

¿Está buscando una nueva forma de mejorar la seguridad al conectarse a sus máquinas virtuales en Azure? Debería revisar Azure Bastion.

En el pasado, para garantizar la conectividad RDP y SSH a sus Máquinas Virtuales de Azure, probablemente había que utilizar una caja de salto donde las personas se conectaban para acceder a las demás VMs.

Es claro que una caja de salto mejora la seguridad de su acceso, pero introduce algunas lagunas que Azure Bastion aborda.

Azure Bastion visión general

En primer lugar, Azure Bastion es un servicio de plataforma como servicio que proporciona conectividad RDP y SSH seguras para proteger sus máquinas virtuales de Azure.

La implementación de Azure Bastion permite el acceso a todas las VMs dentro de una red virtual a través de un único punto de acceso reforzado, el AzureBastionSubnet.

azure bastion overview diagram blog vinicius deschamps
azure bastion overview diagram blog vinicius deschamps

Y como puedes imaginar, la conexión con tu VM ahora ocurrirá a través del Portal de Azure, que se conecta al servicio Azure Bastion usando su IP público y carga tu VM directamente en tu navegador.

Costo

Para aprovechar los beneficios de Azure Bastion, tendrás un costo adicional a tu suscripción

US$0.19/hora (~ US$138.70/mes por Azure Bastion)

Y también tienes un costo de transferencia de datos de salida, pero los precios pueden variar según el uso. Sin embargo, los primeros 5 GB/mes son gratuitos.

Requisitos

Para crear Azure Bastion en tu Suscripción

  • Tu red virtual debe tener una Subnet llamada AzureBastionSubnet
  • La AzureBastionSubnet debe ser /27 o mayor
  • Azure Bastion utiliza IP público y debe ser del tipo Standard Public IP SKU

Para utilizar Azure Bastion

  • Cualquier navegador que soporte HTML5
  • Usuarios o Grupos de seguridad que utilicen el recurso de Azure Bastion deberán tener
    • Rol de Lectura (Reader) en la(s) Máquina(s) Virtual(es)
    • Rol de Lectura en la placa de red donde está la IP privada de la Máquina Virtual
    • Rol de Lectura para el recurso de Azure Bastion

Crear Azure Bastion en un entorno nuevo

Crear Azure Bastion

Primero, vamos a crear el recurso Azure Bastion escribiendo Azure Search Bastion y haciendo clic en Bastions

azure search bastion blog vinicius deschamps

En Bastions, vamos a hacer clic en Add

azure bastion add blog vinicius deschamps

Para crear Bastion, seleccione el Resource group (1), un Name (2) para su instancia Bastion, la Region (3), luego haga clic en Create new (4) para configurar la nueva Virtual Network

azure bastion create a bastion create virtual network blog vinicius deschamps

Al crear una red virtual, tenga en mente que su Azure Bastion debe tener una subnet llamada AzureBastionSubnet y el rango de direcciones debe ser de al menos /27 y el espacio de direcciones debe poder alojarlo.

azure bastion create a bastion create virtual network azurebastionsubnet blog vinicius deschamps

Después de crear la nueva Virtual Network, todo lo demás está dentro de Configure Virtual Networks y correctamente preenchido, pero siéntase libre de cambiar si tiene una necesidad específica de crear el recurso Bastion. Entonces, haga clic en Review + Create

azure bastion create a bastion configure virtual networks blog vinicius deschamps

Ahora, verifique nuevamente que todo está OK y haga clic en Create

azure bastion create a bastion review create create blog vinicius deschamps

Crear una máquina virtual con acceso vía Bastion

Escriba Virtual Machines, y haga clic en Virtual machines en la búsqueda del Azure Portal

azure search virtual machine blog vinicius deschamps

En Virtual Machines, vaya a Add (1) y Virtual Machine (2)

azure virtual machines add virutal machine blog vinicius deschamps

Tendrá que proporcionar todas las informaciones de 1 a 8, luego ir a la pestaña de Networking

azure create a virtual machine blog vinicius deschamps

En Networking debe tener cuidado al elegir las opciones y asegúrese de seleccionar la misma Virtual Network (1) usada para crear la AzureBastionSubnet, y elegir cualquier Subnet (2) disponible.

Observe que elegí None para el Public IP (3) y Public inbound ports (4) porque Azure Bastion no exige que la máquina virtual tenga una IP pública, ya que nos conectaremos directamente desde Azure

Entonces haga clic en Review + Create

azure create a virtual machine networking blog vinicius deschamps

Verifique que todo está correcto con la información y presione Create

azure create a virtual machine review create create blog vinicius deschamps

Conectar a su máquina virtual utilizando Bastion

Vaya hasta la máquina virtual que creó y busque por Bastion

azure virtual machine operations bastion blog vinicius deschamps

Complete su Username (1) y Password (2), luego pulse Connect (3)

azure virtual machine bastion connect blog vinicius deschamps

Voilá, ahora está accediendo a su Máquina Virtual a través del navegador, utilizando Bastion

azure virtual machine bastion remote desktop browser blog vinicius deschamps

Y para quienes quieran un poco más, hay una demostración que hicimos en Azure Floripa

AzureAzure BastionSegurança

Sigue leyendo

Sobre el mismo tema.

Archivo completo →

Azure18 de agosto de 20205 min

Conceder acceso a una Máquina Virtual usando Azure Bastion

En la publicación de hoy, voy a mostrarte cómo conceder acceso a una Máquina Virtual usando [Azure Bastion](/improve-security-with-azure-bastion/). ## Puntos destacados de Azure Bastion Como probablemente viste en mi publicación [Improve Security with Azure Bastion](/improve-security-with-azure-bastion/) , [Azure Bastion](/improve-security-with-azure-bastion#azure-bastion-overview) es un servicio PaaS que ofrece una conectividad RDP y SSH segura para proteger tus Azure Virtual Machines. Dicho esto, tus máquinas virtuales ya no quedan expuestas a través de Internet cuando Azure Bastion está en funcionamiento, por lo que el acceso a ellas se realiza directamente a través del Azure Portal. ## Control de Acceso (IAM) Al mismo tiempo que quieres mejorar la seguridad, al usar Azure Bastion, no quieres dejar abierto el acceso al Azure Portal para los usuarios que necesitan acceso a la VM, ¿cierto? Para lograrlo, debes usar Access Control (IAM), que se utiliza para proporcionar acceso granular a los Azure Resources, y es posible cubrir también los requisitos específicos de Azure Bastion. ## Permisos de Azure Bastion Los permisos que Azure Bastion requiere al menos son los siguientes **Reader roles** * En la Virtual Machine * En la NIC con la IP privada de la Virtual Machine * El recurso de Azure Bastion ### Cómo conceder acceso a VM usando Azure Bastion Máquina Virtual Una vez que estás en las Virtual Machines, elige la que configuraste para Azure Bastion y haz clic en ella (1), elige **Access control (IAM)** (2), haz clic en **Add** (3) y **Add role assignment** (4) <figure class="aligncenter size-large is-resized"><img fetchpriority="high" decoding="async" src="/media/wp/2020/08/azure-virtual-machines-access-control-iam-add-add-role-assignment-blog-vinicius-deschamps-1024x191.png" alt="azure virtual machines access control iam add add role assignment blog vinicius deschamps" class="wp-image-7057" width="645" height="120" loading="lazy"></figure> Notas que se abre el siguiente blade en tu ventana, **Add role assignment**, completa según corresponda **Role** (1) elige **Reader**, escribe el nombre del usuario al que quieres conceder acceso en el campo **Select** (2) y selecciónalo (3) <figure class="aligncenter size-large is-resized"><img decoding="async" src="/media/wp/2020/08/azure-access-control-iam-add-role-assigment-blog-vinicius-deschamps.png" alt="azure access control iam add role assigment blog vinicius deschamps" class="wp-image-7058" width="416" height="314" loading="lazy"></figure> Una vez que lo selecciones, verifica que **Selected members** tenga los usuarios esperados y haz clic en **Save** <figure class="aligncenter size-large"><img decoding="async" src="/media/wp/2020/08/azure-access-control-iam-add-role-assigment-selected-members-save-blog-vinicius-deschamps.png" alt="azure access control iam add role assigment selected members save blog vinicius deschamps" class="wp-image-7059" loading="lazy"></figure> Y como nota al margen, si intentas conectar al usuario y hacer que use **Azure Bastion** de inmediato para proporcionar **Reader Role** en la Virtual Machine, así es como verá la pantalla: sin errores, nada mal, pero al mismo tiempo sin poder conectar ni proporcionar credenciales <figure class="wp-block-image size-large"><img decoding="async" src="/media/wp/2020/08/azure-bastion-connect-using-azure-bastion-after-receive-virtual-machine-read-permission-blog-vinicius-deschamps-1024x341.png" alt="azure bastion connect using azure bastion after receive virtual machine read permission blog vinicius deschamps" class="wp-image-7065" loading="lazy"></figure> #### NIC con IP privada de la Virtual Machine Mientras sigues en la Virtual Machine (1), haz clic en **Networking** (2), luego en su **Network interface** (3) <figure class="wp-block-image size-large"><img decoding="async" src="/media/wp/2020/08/azure-virtual-machines-networking-network-interface-blog-vinicius-deschamps-1024x274.png" alt="azure virtual machines networking network interface blog vinicius deschamps" class="wp-image-7060" loading="lazy"></figure> En el blade de **Network interface**, haz clic en **Access control (IAM)** (1), **Add** (2) y finalmente **Add role assignment** (3) <figure class="wp-block-image size-large"><img decoding="async" src="/media/wp/2020/08/azure-networking-network-interface-access-control-iam-add-add-role-assignment-blog-vinicius-deschamps.png" alt="azure networking network interface access control iam add add role assignment blog vinicius deschamps" class="wp-image-7062" loading="lazy"></figure> Notas el blade siguiente abierto en tu ventana, **Add role assignment**, completa según corresponda **Role** (1) elige **Reader**, escribe el nombre del usuario al que quieres conceder acceso en el campo **Select** (2) y selecciónalo (3) <figure class="aligncenter size-large"><img decoding="async" src="/media/wp/2020/08/azure-access-control-iam-add-role-assigment-blog-vinicius-deschamps.png" alt="azure access control iam add role assigment blog vinicius deschamps" class="wp-image-7058" loading="lazy"></figure> Una vez que lo selecciones, verifica que **Selected members** tenga los usuarios esperados y haz clic en **Save** <figure class="aligncenter size-large"><img decoding="async" src="/media/wp/2020/08/azure-access-control-iam-add-role-assigment-selected-members-save-blog-vinicius-deschamps.png" alt="azure access control iam add role assigment selected members save blog vinicius deschamps" class="wp-image-7059" loading="lazy"></figure> Y si intentas conectarte de inmediato con **Azure Bastion**, así se verá la pantalla; ten en cuenta que ahora aparece un mensaje **Unable to query Bastion data** <figure class="wp-block-image size-large"><img decoding="async" src="/media/wp/2020/08/azure-bastion-connect-using-azure-bastion-after-receive-network-interface-read-permission-blog-vinicius-deschamps.png" alt="azure bastion connect using azure bastion after receive network interface read permission blog vinicius deschamps" class="wp-image-7066" loading="lazy"></figure> #### Azure Bastion resource Ve a **Azure Bastions** en Azure Portal, haz clic en él (1), **Access control (IAM)** (2), **Add** (3), luego **Add role assignment** (4) <figure class="wp-block-image size-large is-resized"><img decoding="async" src="/media/wp/2020/08/azure-bastions-access-control-iam-add-add-role-assignment-blog-vinicius-deschamps-1024x188.png" alt="azure bastions access control iam add add role assignment blog vinicius deschamps" class="wp-image-7063" width="645" height="118" loading="lazy"></figure> Notas el blade siguiente abierto en tu ventana, **Add role assignment**, completa según corresponda **Role** (1) elige **Reader**, escribe el nombre del usuario al que quieres conceder acceso en el campo **Select** (2) y selecciónalo (3) <figure class="aligncenter size-large"><img decoding="async" src="/media/wp/2020/08/azure-access-control-iam-add-role-assigment-blog-vinicius-deschamps.png" alt="azure access control iam add role assigment blog vinicius deschamps" class="wp-image-7058" loading="lazy"></figure> Una vez que lo selecciones, verifica que **Selected members** tenga los usuarios esperados y haz clic en **Save** <figure class="aligncenter size-large"><img decoding="async" src="/media/wp/2020/08/azure-access-control-iam-add-role-assigment-selected-members-save-blog-vinicius-deschamps.png" alt="azure access control iam add role assigment selected members save blog vinicius deschamps" class="wp-image-7059" loading="lazy"></figure> Y, ¡voilá! Ahora ves **Username**, **Password** y **Connect** <figure class="wp-block-image size-large"><img decoding="async" src="/media/wp/2020/08/azure-bastion-connect-using-azure-bastion-after-receive-bastion-read-permission-blog-vinicius-deschamps.png" alt="azure bastion connect using azure bastion after receive bastion read permission blog vinicius deschamps" class="wp-image-7067" loading="lazy"></figure> Y eso es todo Espero que te haya gustado, y nos vemos en mi próxima publicación Foto por [Clarissa Watson](https://unsplash.com/@clarephotolover?utm_source=unsplash&utm_medium=referral&utm_content=creditCopyText) en [Unsplash](https://unsplash.com/s/photos/safe?utm_source=unsplash&utm_medium=referral&utm_content=creditCopyText)

↗
Mejorar la Seguridad con Azure Bastion — Vinicius Deschamps