Distribuire una macchina virtuale (VM) di amministrazione dal catalogo dei servizi in un carico di lavoro

Il modello di macchina virtuale amministratore crea una macchina virtuale nella subnet di gestione in modo da poter accedere in modo sicuro alle risorse dell'enclave. Questo tipo di macchina virtuale è detto anche jumpbox perché consente di passare alla rete isolata.

In questo articolo, tu:

• Distribuisci un modello del catalogo servizi per una VM di amministrazione in un carico di lavoro esistente dal Portale.

Opzioni di distribuzione

Il modello di macchina virtuale amministratore può essere distribuito in più configurazioni:

1. Macchina virtuale (~10 min)
2. Macchina virtuale aggiunta al dominio (~12 min)

Prima di iniziare

• Questa guida introduttiva rapida presuppone una conoscenza di base dei concetti di rete e di Azure Enclave. Per altre informazioni, vedere Concetti e procedure consigliate di Azure Enclave.

• È necessario un account Azure con una sottoscrizione attiva. Se non ne hai uno, crea gratuitamente un account.

• Sono necessarie una community, un enclave, un carico di lavoro e almeno un gruppo di risorse del carico di lavoro e autorizzazioni per creare risorse all'interno del gruppo di risorse del carico di lavoro.

• Abilitare la Advancedmodalità di manutenzione per l'enclave in modo da poter aggiungere le risorse collegamento privato al gruppo di risorse gestite dall'enclave.

Prerequisiti

Esistono requisiti di salvaguardia per le enclave per garantire che le risorse delle enclave siano crittografate utilizzando chiavi gestite dal cliente (CMK). Ciò richiede una chiave e un'identità per accedere alla chiave accessibile nell'enclave. Creare la CMK (Key Vault facoltativo) e l'identità gestita nel modello del catalogo di servizi Dipendenze comuni

1. Subnet per endpoint privati: è possibile creare subnet durante la creazione dell'enclave oppure creare nuove subnet dopo la creazione dell'enclave. La subnet per l'endpoint privato non deve avere alcuna delega della subnet affinché gli endpoint privati funzionino correttamente.
2. Creare rapidamente queste zone DNS privato in base a quanto creato di seguito:
   • Key Vaultobbligatorio quando si crea un Key Vault da questo modello o il modello di Key Vault più personalizzabile.
   • Storage File, Storage Queue, Storage Blobe Storage Table sono necessari quando si crea un account di archiviazione da questo modello o il modello di account di archiviazione più personalizzabile.
3. Per questo modello sono necessari un Key Vault, una chiave gestita dal cliente e un'identità gestita. Creare un Key Vault, un CMK e un'identità gestita nell'avvio rapido del catalogo dei servizi Dipendenze comuni oppure crearne di totalmente nuovi.
   • Queste risorse devono essere create all'interno di un gruppo di risorse del carico di lavoro.
   • Dopo aver creato l'identità gestita dall'utente, verificare che abbia accesso alla chiave CMK
     • Assegnare il ruolo RBAC Key Vault Crypto Service Encryption User all'identità gestita con ambito nell'insieme di credenziali delle chiavi seguendo queste istruzioni. Questo ruolo consente di assegnare l'identità gestita a un'altra risorsa, ad esempio una macchina virtuale, e tale macchina virtuale può crittografare il disco del sistema operativo con la CMK (chiave gestita dal cliente) nell'insieme di credenziali delle chiavi, secondo il principio del privilegio minimo.
4. (facoltativo) Un dominio esistente a cui aggiungersi se la VM amministrativa sarà aggiunta al dominio.

Implementare il modello

1. Passare al carico di lavoro per la distribuzione prevista.
2. Selezionare il pulsante +Add an Azure Service.
3. Selezionare il modello Admin VM di servizio dal menu a discesa elenco del catalogo dei servizi. Confermare la versione necessaria (predefinita: latest) e quindi selezionare Next.

1. Immettere tutti i parametri obbligatori in ognuna delle schede.
2. Per OS Disk Encryption Name e OS Disk Encryption Resource Group Nameimmettere i nomi usati nella sezione prerequisiti.
3. Regolare i parametri prepopolati in base alle esigenze.
4. Selezionare Review + Create, se tutte le convalide sono passate, selezionare Create

Convalidare la distribuzione

Passare al gruppo di risorse specificato per verificare che siano state create le risorse desiderate. Tra cui: VM, disco del sistema operativo, scheda di interfaccia di rete.

Connettersi alla macchina virtuale

Tramite l'Admin VM: l'Admin VM viene utilizzata per consentire agli amministratori di accedere alle risorse all'interno del perimetro dell'enclave dall'esterno del perimetro. La VM di amministrazione può anche essere chiamata "jumpbox".

1. Accedere a una sessione desktop nella macchina virtuale di amministrazione.
2. Dal menu Start digitare RDPe aprire la finestra RDP
3. Immettere l'indirizzo IP della macchina virtuale come indirizzo IP di destinazione per la connessione RDP.
4. Immetti le credenziali della macchina virtuale e seleziona Accept/Yes per gli avvisi relativi a una nuova connessione.
5. Dal desktop macchina virtuale convalidare tutte le impostazioni della macchina virtuale impostate durante la distribuzione o completare qualsiasi configurazione personalizzata.
6. Assegnare un'assegnazione di gruppo di sicurezza per concedere agli utenti l'accesso alla macchina virtuale. In caso contrario, iniziare a usare la macchina virtuale.

Eliminare la distribuzione

Se non prevedi di mantenere queste risorse, elimina quelle non necessarie per evitare addebiti di Azure. Se non esistono altre distribuzioni nel gruppo di risorse, è possibile eliminare l'intero gruppo di risorse.

Recommendations

• Dimensionamento dell'host di sessione o della VM
• Aggiungere tag alle distribuzioni del catalogo dei servizi per tenere traccia di informazioni importanti per tale risorsa, ad esempio:
  • Proprietario: <main POC>
  • Deployer: <yourName>
  • Scopo: <enclave administration>
  • Nome del catalogo servizi: <Admin VM>
  • Versione del catalogo dei servizi: <version you deployed>
• Prendere in considerazione l'aggiunta di un Criteri di Azure per applicare ed ereditare i tag
• Raccogliere log personalizzati dalle applicazioni