Virtuele machine (VM) voor beheerders implementeren vanuit de servicecatalogus in een workload

Met de beheer-VM-sjabloon maakt u een VIRTUELE machine in het beheersubnet, zodat u veilig toegang hebt tot de enclave-resources. Dit type VIRTUELE machine wordt ook wel een jumpbox genoemd, omdat u hiermee naar het geïsoleerde netwerk kunt springen.

In dit artikel leert u het volgende:

  • Implementeer een servicecatalogussjabloon voor een beheer-VM in een bestaande workload vanuit de portal.

Note

Deze voorbeeldimplementatie is alleen bedoeld voor demonstratiedoeleinden en vertegenwoordigt niet alle aanbevolen procedures voor netwerk-, systemen- of toepassingsbeheer.

Implementatieopties

De vm-beheersjabloon kan in meerdere configuraties worden geïmplementeerd:

  1. Virtuele machine (~10 min)
  2. Aan een domein gekoppelde virtuele machine (~12 min. )

Voordat u begint

Prerequisites

Er zijn beveiligingsvereisten voor de enclaves om ervoor te zorgen dat enclaveresources gebruikmaken van cmk-versleuteling (Customer-Managed Keys). Hiervoor zijn een sleutel en een identiteit vereist om vanuit de enclave toegang te krijgen tot de sleutel. De CMK (optionele Key Vault) en beheerde identiteit maken in de catalogussjabloon Common Dependencies Service

  1. Subnet voor privé-eindpunten: u hebt de mogelijkheid gehad om subnetten te maken tijdens het maken van enclaves of u kunt nieuwe subnetten maken na het maken van enclaves. Het subnet van het privé-eindpunt mag geen subnetdelegering hebben om de privé-eindpunten goed te laten werken.
  2. Maak snel deze Privé-DNS Zones op basis van wat u hierna maakt:
    • Key Vaultvereist bij het maken van een Key Vault op basis van deze sjabloon of de meer aanpasbare Key Vault sjabloon.
    • Storage File, Storage Queue, Storage Bloben Storage Table zijn vereist bij het maken van een opslagaccount op basis van deze sjabloon of de meer aanpasbare opslagaccountsjabloon.
  3. Voor deze sjabloon zijn een Key Vault, door de klant beheerde sleutel (CMK) en een beheerde identiteit vereist. Maak een Key Vault, CMK en beheerde identiteit in de quickstart voor de servicecatalogus Common Dependencies of maak deze zelf.
    • Deze resources moeten worden gemaakt in een resourcegroep voor workloads.
    • Nadat u de door de gebruiker beheerde identiteit hebt gemaakt, moet u ervoor zorgen dat deze toegang heeft tot de CMK-sleutel
      • Wijs de Key Vault Crypto Service Encryption User RBAC-rol toe aan de beheerde identiteit, met als bereik de key vault, volgens deze instructies. Met deze rol kunt u vervolgens de beheerde identiteit toewijzen aan een andere resource, zoals een virtuele machine, en die virtuele machine kan de besturingssysteemschijf versleutelen met de CMK in de sleutelkluis met minimale bevoegdheden.
  4. (optioneel) Een bestaand domein dat moet worden toegevoegd als de beheer-VM lid wordt van een domein.

De sjabloon implementeren

  1. Navigeer naar de werklast voor de beoogde implementatie.
  2. Selecteer de knop +Add an Azure Service.
  3. Selecteer de Admin VM-servicesjabloon in de vervolgkeuzelijst lijst met servicecatalogi. Bevestig de versie die u nodig hebt (standaard: latest) en selecteer Next.

Schermopname van de beheer-VM van de servicecatalogus die is geselecteerd in de lijst.

  1. Voer alle vereiste parameters op elk van de tabbladen in.
  2. Voer voor OS Disk Encryption Name en OS Disk Encryption Resource Group Name de namen in die in de sectie Vereisten worden gebruikt.
  3. Pas indien nodig de vooraf ingevulde parameters aan.
  4. Selecteer Review + Create, als alle validaties zijn geslaagd , selecteert u Create

De implementatie valideren

Ga naar de opgegeven resourcegroep om te bevestigen dat de beoogde resources zijn gemaakt. Inclusief: VM, besturingssysteemschijf, NIC.

Verbinding maken met de virtuele machine

Via de beheer-VM: De beheer-VM wordt gebruikt voor beheerderstoegang tot de resources binnen de enclavegrens van buiten de grens. De beheer-VM kan ook een 'jumpbox' worden genoemd.

  1. Meld u aan bij een bureaubladsessie op de vm met beheerdersrechten.
  2. Typ RDPin het menu Start en open het RDP-venster
  3. Voer het IP-adres van de virtuele machine in als het doel-IP-adres voor de RDP-verbinding.
  4. Voer de aanmeldingsgegevens van de virtuele machine in en selecteer Accept/Yes bij waarschuwingen over een nieuwe verbinding.
  5. Valideer vanaf het bureaublad van de virtuele machine alle VM-instellingen die zijn ingesteld tijdens de implementatie of voltooi een aangepaste configuratie.
  6. Wijs een toewijzing van een beveiligingsgroep toe om gebruikers toegang te geven tot uw virtuele machine. Anders kunt u de virtuele machine gaan gebruiken.

De implementatie verwijderen

Als u niet van plan bent om deze resources te bewaren, moet u onnodige resources opschonen om Azure kosten te voorkomen. Als er geen andere implementaties in de resourcegroep aanwezig zijn, kan de hele resourcegroep worden verwijderd.

Aanbevelingen

  • Last updated on