Azure Bastion löst ein häufiges Problem beim Betrieb von Servern in Microsoft Azure: Für die Administration müssen RDP oder SSH erreichbar sein, offene Ports im Internet sind aber ein Angriffsziel. Bastion wird im virtuellen Netzwerk bereitgestellt und verbindet Administratoren über TLS auf Port 443 mit den virtuellen Maschinen. Diese brauchen dafür weder eine öffentliche IP-Adresse noch einen Agenten oder eigene Client-Software.
Wie funktioniert Azure Bastion?
Bastion ist ein Platform-as-a-Service-Dienst, den Microsoft vollständig verwaltet. Für die Varianten Basic, Standard und Premium braucht es im virtuellen Netzwerk ein eigenes Subnetz mit dem Namen AzureBastionSubnet in der Größe /26 oder größer sowie eine statische öffentliche IP-Adresse der SKU Standard. Die Verbindung zu den Servern läuft dann über deren private IP-Adressen. Über Peering kann ein Bastion-Host auch Server in verbundenen Netzwerken erreichen.
Verbindungen sind auf drei Wegen möglich:
- Im Browser: über das Azure-Portal mit einem HTML5-Client, in allen SKUs.
- Mit dem lokalen Client: mit dem RDP- oder SSH-Programm am eigenen Rechner, ab Standard. Dabei ist auch die Anmeldung mit Microsoft Entra ID möglich.
- Über einen teilbaren Link: Personen ohne Zugang zum Azure-Portal verbinden sich über einen Link, ab Standard.
Die SKUs im Überblick
- Developer: kostenlos, auf gemeinsam genutzter Infrastruktur, für Entwicklung und Tests. Verbindet jeweils eine VM und ist nur in ausgewählten Regionen verfügbar.
- Basic: eigene Bereitstellung mit fester Kapazität für den Produktivbetrieb.
- Standard: zusätzlich lokaler Client, teilbare Links, Verbindung per IP-Adresse, eigene Ports, Dateiübertragung und skalierbare Kapazität.
- Premium: zusätzlich Aufzeichnung von Sitzungen und eine Bereitstellung nur mit privater IP-Adresse.
Die Kosten setzen sich aus einem Stundenpreis je SKU und dem ausgehenden Datenvolumen zusammen. Abgerechnet wird ab der Bereitstellung, unabhängig von der Nutzung.
Bastion, VPN und ExpressRoute
Bastion ersetzt keine Standortanbindung. Wer Anwendungen in Azure aus dem Firmennetz nutzt, braucht weiterhin ein Azure VPN Gateway oder Azure ExpressRoute. Bastion deckt nur den administrativen Zugriff auf einzelne Server ab. Das passt gut zu einem Ansatz nach Zero Trust: Statt eines ganzen Netzes wird nur die Sitzung zum Zielserver geöffnet.
Worauf Unternehmen achten sollten
- Zugriff auf Bastion über Azure-Rollen auf die Personen beschränken, die Server tatsächlich verwalten.
- Anmeldungen mit Conditional Access und Multi-Faktor-Authentifizierung absichern. Welche Richtlinien möglich sind, hängt von den Lizenzen ab, siehe Entra ID P1 und P2.
- Für Dienstleister und besonders kritische Server Sitzungsaufzeichnung prüfen, im Sinne von Privileged Access Management.
- RDP- und SSH-Freigaben an Firewalls und öffentliche IP-Adressen der VMs nach der Umstellung entfernen.
Azure Bastion mit TOMORIS
TOMORIS plant den Zugriff auf Azure-Server im Rahmen der Cloud-Kompetenz, zusammen mit Netzwerk, Identitäten und Betrieb.