Partilhar via

Sobre as definições de configuração do Azure Bastion

As seções neste artigo discutem os recursos e as configurações do Azure Bastion.

Sub-rede do Azure Bastion

Important

Para recursos do Azure Bastion implantados em ou após 2 de novembro de 2021, o tamanho mínimo do AzureBastionSubnet é /26 ou maior (/25, /24, etc.). Todos os recursos do Azure Bastion implantados em sub-redes de tamanho /27 antes dessa data não são afetados por essa alteração e continuarão a funcionar, mas é altamente recomendável aumentar o tamanho de qualquer AzureBastionSubnet existente para /26 caso você opte por aproveitar o dimensionamento de host no futuro.

Quando você implanta o Azure Bastion usando qualquer SKU, exceto a oferta Bastion Developer, Bastion requer uma sub-rede dedicada chamada AzureBastionSubnet. Você deve criar essa sub-rede na mesma rede virtual na qual deseja implantar o Azure Bastion. A sub-rede deve ter a seguinte configuração:

  • O nome da sub-rede deve ser AzureBastionSubnet.
  • O tamanho da sub-rede deve ser /26 ou maior (/25, /24 etc.).
  • Para o dimensionamento do host, recomenda-se uma sub-rede /26 ou maior. O uso de um espaço de sub-rede menor limita o número de unidades de escala. Para obter mais informações, consulte a seção de Dimensionamento do Host deste artigo.
  • A sub-rede deve estar na mesma rede virtual e grupo de recursos que o host bastião.
  • A sub-rede não pode conter outros recursos.

Você pode definir essa configuração usando os seguintes métodos:

Método Value Ligações
portal do Azure Subnet Início rápido
Tutorial
Azure PowerShell -subnetName cmdlet
Azure CLI --subnet-name comando

Endereço IP público

As implementações Azure Bastion, exceto Bastion Developer e Private-only, requerem um endereço IP Público. O IP público deve ter a seguinte configuração:

  • O endereço IP público SKU deve ser padrão.
  • O método de atribuição/alocação de endereços IP públicos deve ser estático.
  • O nome do endereço IP público é o nome do recurso pelo qual você deseja se referir a esse endereço IP público.
  • Você pode optar por usar um endereço IP público que já criou, desde que ele atenda aos critérios exigidos pelo Azure Bastion e ainda não esteja em uso.

Você pode definir essa configuração usando os seguintes métodos:

Método Value Ligações
portal do Azure Endereço IP público Portal do Azure
Azure PowerShell -Endereço IP Público cmdlet
Azure CLI --public-ip criar comando

Configurar endereços IP públicos com zonas de disponibilidade configuradas

Consulte a tabela abaixo para criar/usar endereços IP públicos para implantações de bastião zonal:

Scenario Zonas de disponibilidade de bastiões Zonas de disponibilidade de IP público
Criando um novo IP público 1, 2, 3 1, 2, 3
1 1, 2, 3
Usando um IP público existente 1, 2, 3 1, 2, 3
1 1, 2, 3
0 todos os IPs públicos, zonais ou não

Instâncias e dimensionamento de host

Uma instância é uma VM otimizada do Azure que é criada quando você configura o Azure Bastion. Ele é totalmente gerenciado pelo Azure e executa todos os processos necessários para o Azure Bastion. Uma instância também é chamada de unidade de escala. Você se conecta a VMs de clientes por meio de uma instância do Azure Bastion. Quando você configura o Azure Bastion usando a SKU Básica, duas instâncias são criadas. Se você usar a SKU padrão ou superior, poderá especificar o número de instâncias (com um mínimo de duas instâncias). Isso é chamado de escala de host.

Cada instância pode dar suporte a 20 conexões RDP simultâneas e 40 conexões SSH simultâneas para cargas de trabalho médias (consulte Limites de assinatura e cotas do Azure para obter mais informações). O número de conexões por instâncias depende das ações que você está executando quando conectado à VM cliente. Por exemplo, se você estiver fazendo algo com uso intensivo de dados, isso criará uma carga maior para a instância processar. Uma vez que as sessões simultâneas são excedidas, outra unidade de escala (instância) é necessária.

As instâncias são criadas na AzureBastionSubnet. Para permitir o dimensionamento do host, a AzureBastionSubnet deve ser /26 ou maior. O uso de uma sub-rede menor limita o número de instâncias que você pode criar. Para obter mais informações sobre o AzureBastionSubnet, consulte a seção de sub-redes neste artigo.

Você pode definir essa configuração usando os seguintes métodos:

Método Value Ligações Requer SKU padrão ou superior
portal do Azure Contagem de instâncias Como fazer Yes
Azure PowerShell ScaleUnit Como fazer Yes

Portas personalizadas

Você pode especificar a porta que deseja usar para se conectar às suas VMs. Por padrão, as portas de entrada usadas para se conectar são 3389 para RDP e 22 para SSH. Se você configurar um valor de porta personalizado, especifique esse valor quando se conectar à VM.

Os valores de porta personalizados são suportados apenas para o SKU padrão ou superior.

O recurso Bastion Shareable Link permite que os usuários se conectem a um recurso de destino usando o Azure Bastion sem acessar o portal do Azure.

Quando um usuário sem credenciais do Azure clica em um link compartilhável, uma página da Web é aberta solicitando que o usuário entre no recurso de destino via RDP ou SSH. Os usuários se autenticam usando nome de usuário e senha ou chave privada, dependendo do que você configurou no portal do Azure para esse recurso de destino. Os usuários podem se conectar aos mesmos recursos aos quais você pode se conectar atualmente com o Azure Bastion: VMs ou conjunto de dimensionamento de máquina virtual.

Método Value Ligações Requer SKU padrão ou superior
portal do Azure Ligação Partilhável Configurar Yes

Implantação apenas privada

As implantações de Bastion exclusivamente privadas bloqueiam totalmente as cargas de trabalho ao criar uma implantação do Bastion que não pode ser roteada pela Internet, permitindo apenas acesso a endereços IP privados. As implantações Bastion exclusivamente privadas não permitem conexões com o host bastion através de um endereço IP público. Por outro lado, uma implantação regular do Azure Bastion permite que os usuários se conectem ao host bastion usando um endereço IP público. Para obter mais informações, consulte Implantar Bastion como somente privado.

Gravação da sessão

Quando o recurso de gravação de sessões do Bastion do Azure está ativado, é possível gravar as sessões gráficas para conexões feitas com máquinas virtuais (RDP e SSH) por meio do host bastion. Depois que a sessão é fechada ou desconectada, as sessões gravadas são armazenadas em um contêiner de blob dentro da sua conta de armazenamento (via URL SAS). Quando uma sessão é desconectada, você pode acessar e exibir suas sessões gravadas no portal do Azure na página Gravação da Sessão. A gravação da sessão requer o Bastion Premium SKU. Para obter mais informações, consulte a gravação de sessão do Bastion.

Zonas de disponibilidade

Algumas regiões oferecem suporte à capacidade de implantar o Azure Bastion em uma zona de disponibilidade (ou várias, para redundância de zona). Para implantar zonalmente, implante o Bastion usando configurações especificadas manualmente (não implante usando as configurações padrão automáticas). Especifique as zonas de disponibilidade desejadas no momento da implantação. Não é possível alterar a disponibilidade zonal após a implantação do Bastion.

O suporte para zonas de disponibilidade está atualmente em versão de teste. Durante a visualização, as seguintes regiões estão disponíveis:

  • E.U.A. Leste
  • Leste da Austrália
  • E.U.A. Leste 2
  • E.U.A. Central
  • Catar Central
  • Norte da África do Sul
  • Europa Ocidental
  • E.U.A. Oeste 2
  • Europa do Norte
  • Suécia Central
  • Sul do Reino Unido
  • Canadá Central

Próximos passos

Para obter respostas a perguntas frequentes, consulte a FAQ de Azure Bastion. Escolha o SKU Azure Bastion certo para as suas necessidades lendo Escolha os SKUs Azure Bastion certos para satisfazer as suas necessidades. Consulte as recomendações de otimização de custos para Azure Bastion em Optimize Azure Bastion.

  • Last updated on