サービス カタログからワークロードに管理者仮想マシン (VM) をデプロイする

管理 VM テンプレートは、エンクレーブ リソースに安全にアクセスできるように、管理サブネット上に VM を作成します。 この種類の VM は、分離されたネットワークにジャンプできるため、ジャンプボックスとも呼ばれます。

この記事では、あなたが次のことを行います。

  • ポータルから既存のワークロードに管理 VM のサービス カタログ テンプレートをデプロイします。

Note

このサンプルデプロイはデモンストレーション目的に過ぎず、ネットワーク、システム、またはアプリケーションの管理に関するすべてのベスト プラクティスを表しているわけではありません。

展開オプション

管理 VM テンプレートは、複数の構成でデプロイできます。

  1. 仮想マシン (最大 10 分)
  2. 仮想マシンはドメイン参加済み（約12分）

始める前の準備

前提条件

エンクレーブ リソースが Customer-Managed キー (CMK) 暗号化を使用していることを確認するには、エンクレーブにガードレール要件があります。 これには、エンクレーブ内からキーにアクセスできるようにするためのキーと ID が必要です。 共通依存関係サービス カタログ テンプレートで CMK (省略可能なKey Vault) とマネージド ID を作成する

  1. プライベート エンドポイントのサブネット: エンクレーブの作成時にサブネットを作成するか、エンクレーブの作成後に 新しいサブネットを作成 することができます。 プライベート エンドポイント サブネットには、プライベート エンドポイントが正常に機能するための サブネット委任 は必要ありません。
  2. 次に作成した内容に基づいて、これらの プライベート DNS Zones をすばやく作成します。
  3. このテンプレートには、Key Vault、カスタマー マネージド キー (CMK)、およびマネージド ID が必要です。 Common Dependencies サービス カタログのクイック スタートで、Key Vault、CMK、およびマネージド ID を作成するか、独自の ID を作成します。
    • これらのリソースは、 ワークロード リソース グループ内に作成する必要があります。
    • ユーザー マネージド ID を作成した後、CMK キーにアクセスできることを確認します
      • こちらの手順に従って、キー コンテナーをスコープとするマネージド ID に Key Vault Crypto Service Encryption User RBAC ロールを割り当てます。 このロールを使用すると、マネージド ID を仮想マシンなどの別のリソースに割り当てることができ、その仮想マシンは、キー コンテナー内の CMK を使用してオペレーティング システム ディスクを最小限の特権で暗号化できます。
  4. （省略可能）Admin VM をドメイン参加させる場合に、その参加先となる既存のドメイン。

テンプレートをデプロイする

  1. 対象のデプロイのワークロードに移動します。
  2. [ +Add an Azure Service ] ボタンを選択します。
  3. Admin VMドロップダウンから サービス テンプレートを選択します。 必要なバージョン (既定値: latest) を確認し、 Nextを選択します。

一覧から選択されたサービス カタログ管理 VM を示すスクリーンショット。

  1. 各タブに必要なすべてのパラメーターを入力します。
  2. OS Disk Encryption NameとOS Disk Encryption Resource Group Nameには、前提条件セクションで使用する名前を入力します。
  3. 必要に応じて、事前設定されたパラメーターを調整します。
  4. Review + Createを選択し、すべての検証に合格した場合は、Create

デプロイメントを検証する

指定したリソース グループに移動して、目的のリソースが作成されたことを確認します。 VM、OS ディスク、NIC を含む。

仮想マシンに接続する

管理 VM 経由: 管理者 VM は、境界外からエンクレーブ境界内のリソースに管理者がアクセスするために使用されます。 管理者 VM は、"ジャンプボックス" とも呼ばれます。

  1. 管理 VM 上のデスクトップ セッションにサインインします。
  2. スタート メニューから「 RDP」と入力し、RDP ウィンドウを開きます。
  3. RDP 接続の宛先 IP アドレスとして仮想マシンの IP アドレスを入力します。
  4. 仮想マシンの資格情報を入力し、 Accept/Yes を選択して新しい接続に関する警告を表示します。
  5. 仮想マシン デスクトップから、デプロイ中に設定されたすべての VM 設定を検証するか、カスタム構成を完了します。
  6. セキュリティ グループの割り当てを割り当てて、ユーザーに仮想マシンへのアクセス権を付与します。 それ以外の場合は、仮想マシンの使用を開始します。

デプロイメントを削除する

これらのリソースを保持する予定がない場合は、不要なリソースをクリーンアップして、Azure料金を回避します。 リソース グループに他のデプロイが存在しない場合は、リソース グループ全体を削除できます。

Recommendations

  • セッション ホストまたは VM のサイズ変更
  • サービス カタログデプロイにタグを追加して、次のようなそのリソースの重要な情報を追跡します。
    • 所有者: <main POC>
    • デプロイヤー： <yourName>
    • 目的: <enclave administration>
    • サービス カタログ名: <Admin VM>
    • サービス カタログのバージョン: <version you deployed>
  • タグを適用して継承するAzure Policyを追加することを検討してください
  • アプリケーションからカスタム ログを収集する
  • Last updated on