Informationen zu Azure Bastion-Konfigurationseinstellungen

In den Abschnitten in diesem Artikel werden die Ressourcen und Einstellungen für Azure Bastion erläutert.

Azure Bastion-Subnetz

Wenn Sie Azure Bastion mit einer beliebigen SKU mit Ausnahme des Bastion Developer-Angebots bereitstellen, erfordert Bastion ein dediziertes Subnetz namens AzureBastionSubnet. Sie müssen dieses Subnetz in demselben virtuellen Netzwerk erstellen, in dem Sie Azure Bastion bereitstellen möchten. Das Subnetz muss über die folgende Konfiguration verfügen:

• Subnetzname muss AzureBastionSubnet sein.
• Die Subnetzgröße muss /26 oder größer sein (/25, /24 usw.).
• Für die Hostskalierung wird ein wird ein Subnetz ab /26 empfohlen. Die Verwendung eines kleineren Subnetzbereichs schränkt die Anzahl der Skalierungseinheiten ein. Weitere Informationen finden Sie im Abschnitt Hostskalierung in diesem Artikel.
• Das Subnetz muss sich im selben virtuellen Netzwerk und in derselben Ressourcengruppe wie der Bastionhost befinden.
• Das Subnetz darf keine anderen Ressourcen enthalten.

Sie können diese Einstellung konfigurieren, indem Sie die folgende Methoden anwenden:

Öffentliche IP-Adresse

Azure Bastion-Bereitstellungen, mit Ausnahme von Bastion Developer und Private-only, erfordern eine öffentliche IP-Adresse. Die öffentliche IP-Adresse muss über die folgende Konfiguration verfügen:

• Die SKU für öffentliche IP-Adressen muss Standard sein.
• Die Zuweisungs-/Zuordnungsmethode für öffentliche IP-Adressen muss Statisch sein.
• Der Name der öffentlichen IP-Adresse ist der Ressourcenname, mit dem Sie auf diese öffentliche IP-Adresse verweisen möchten.
• Sie können eine öffentliche IP-Adresse verwenden, die Sie bereits erstellt haben, sofern sie die für Azure Bastion erforderlichen Kriterien erfüllt und noch nicht verwendet wird.

Sie können diese Einstellung konfigurieren, indem Sie die folgende Methoden anwenden:

Konfigurieren von öffentlichen IP-Adressen mit konfigurierten Verfügbarkeitszonen

In der folgenden Tabelle finden Sie Informationen zum Erstellen/Verwenden öffentlicher IP-Adressen für zonale Bastion-Bereitstellungen:

Instanzen und Hostskalierung

Eine Instanz ist eine optimierte Azure-VM, die erstellt wird, wenn Sie Azure Bastion konfigurieren. Sie wird vollständig von Azure verwaltet und führt alle Prozesse aus, die für Azure Bastion erforderlich sind. Eine Instanz wird auch als Skalierungseinheit bezeichnet. Sie stellen über eine Azure Bastion-Instanz eine Verbindung mit Client-VMs her. Wenn Sie Azure Bastion mithilfe der Basic-SKU konfigurieren, werden zwei Instanzen erstellt. Wenn Sie die Standard-SKU oder höher verwenden, können Sie eine Anzahl von Instanzen (mindestens zwei Instanzen) angeben. Dies wird als Hostskalierung bezeichnet.

Jede Instanz kann 20 gleichzeitige RDP-Verbindungen und 40 gleichzeitige SSH-Verbindungen für mittlere Workloads unterstützen. (Weitere Informationen finden Sie unter Grenzwerte und Kontingente für Azure-Abonnements.) Die Anzahl der Verbindungen pro Instanz hängt davon ab, welche Aktionen Sie ausführen, wenn Sie eine Verbindung mit der Client-VM herstellen. Wenn Sie beispielsweise eine datenintensive Aufgabe ausführen, wird die Last für die Instanz, die diese verarbeiten muss, vergrößert. Sobald die gleichzeitigen Sitzungen überschritten werden, ist eine weitere Skalierungseinheit (Instanz) erforderlich.

Instanzen werden im AzureBastionSubnet erstellt. Zur Unterstützung der Hostskalierung sollte azureBastionSubnet /26 oder größer sein. Die Verwendung eines kleineren Subnetzes schränkt die Anzahl der Instanzen ein, die Sie erstellen können. Weitere Informationen zu AzureBastionSubnet finden Sie im Abschnitt Subnetz in diesem Artikel.

Sie können diese Einstellung konfigurieren, indem Sie die folgende Methoden anwenden:

Benutzerdefinierte Ports

Sie können den Port angeben, den Sie zum Herstellen einer Verbindung mit Ihren VMs verwenden möchten. Standardmäßig sind die für die Verbindung verwendeten eingehenden Ports 3389 für RDP und 22 für SSH. Wenn Sie einen Wert für den benutzerdefinierten Port konfigurieren, geben Sie diesen Wert an, wenn Sie eine Verbindung mit der VM herstellen.

Benutzerdefinierte Ports werden nur für die Standard-SKU oder höher unterstützt.

Teilbarer Link

Mit dem Bastion-Feature Freigabefähiger Link können Benutzer mithilfe von Azure Bastion eine Verbindung mit einer Zielressource herstellen, ohne auf das Azure-Portal zuzugreifen.

Wenn ein Benutzer ohne Azure-Anmeldeinformationen auf einen teilbaren Link klickt, wird eine Webseite geöffnet, auf der der Benutzer aufgefordert wird, sich über RDP oder SSH bei der Zielressource anzumelden. Benutzer authentifizieren sich mit Benutzername und Kennwort oder privatem Schlüssel, je nachdem, was Sie im Azure-Portal für die Zielressource konfiguriert haben. Benutzer können sich mit denselben Ressourcen verbinden, mit denen Sie sich derzeit mit Azure Bastion verbinden können: VMs oder Skalierungsgruppen virtueller Maschinen.

Rein private Bereitstellung

Rein private Bastion-Bereitstellungen implementieren eine End-to-End-Sperre von Workloads, indem eine nicht über das Internet routingfähige Bereitstellung von Bastion erstellt wird, die nur Zugriff auf private IP-Adressen zulässt. Rein private Bastion-Bereitstellungen erlauben keine Verbindungen mit dem Bastionhost über die öffentliche IP-Adresse. Im Gegensatz dazu ermöglicht eine reguläre Azure Bastion-Bereitstellung Benutzern die Verbindung mit dem Bastionhost mithilfe einer öffentlichen IP-Adresse. Weitere Informationen finden Sie unter Bereitstellen von Bastion als nur privat.

Sitzungsaufzeichnungen

Wenn das Azure Bastion Sitzungsaufzeichnung-Feature aktiviert ist, können Sie die grafischen Sitzungen für Verbindungen mit virtuellen Computern (RDP und SSH) über den Bastion-Host aufzeichnen. Nachdem die Sitzung geschlossen oder getrennt wurde, werden aufgezeichnete Sitzungen in einem Blob-Container in Ihrem Speicherkonto (über SAS-URL) gespeichert. Wenn eine Sitzung getrennt ist, können Sie im Azure-Portal auf der Seite „Sitzungsaufzeichnung“ auf Ihre aufgezeichneten Sitzungen zugreifen und diese anzeigen. Für die Sitzungsaufzeichnung ist die Bastion Premium-SKU erforderlich. Weitere Informationen finden Sie unter Bastion-Sitzungsaufzeichnung.

Verfügbarkeitszonen

Einige Regionen unterstützen die Möglichkeit, Azure Bastion in einer Verfügbarkeitszone (oder mehrere, für Zonenredundanz) bereitzustellen. Stellen Sie Bastion mithilfe manuell angegebener Einstellungen bereit (nicht mithilfe der automatischen Standardeinstellungen), um zonenweise bereitzustellen. Geben Sie die gewünschten Verfügbarkeitszonen zum Zeitpunkt der Bereitstellung an. Sie können die Verfügbarkeit von Zonen nach der Bereitstellung von Bastion nicht ändern.

Die Unterstützung für Verfügbarkeitszonen befindet sich derzeit in der Vorschauphase. Während der Vorschau sind die folgenden Regionen verfügbar:

• Ost-USA
• Australien (Osten)
• Ost-USA 2
• USA (Mitte)
• Katar, Mitte
• Südafrika, Norden
• Europa, Westen
• USA, Westen 2
• Nordeuropa
• Schweden, Mitte
• UK, Süden
• Kanada, Mitte

Nächste Schritte

Häufig gestellte Fragen finden Sie unter Häufig gestellte Fragen zu Azure Bastion. Wählen Sie die richtige Azure Bastion-SKU für Ihre Anforderungen aus, indem Sie die richtigen Azure Bastion-SKUs auswählen, um Ihre Anforderungen zu erfüllen. Überprüfen Sie die Kostenoptimierungsempfehlungen für Azure Bastion in Optimieren der Azure Bastion-Kosten.