Latest / M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch / Azure Bastion einfach erklärt: Sicherer RDP- und SSH-Zugriff ohne öffentliche IP, Entra ID und SKUs im Vergleich (KI-Synchronfassung)

Transcript

Azure Bastion einfach erklärt: Sicherer RDP- und SSH-Zugriff ohne öffentliche IP, Entra ID und SKUs im Vergleich (KI-Synchronfassung) · M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch

• 0:00
  Bereit für 10 Tage voller Microsoft 365, Co-Pilot, KI, Azure und den Menschen, die die Zukunft der Arbeit gestalten?
• 0:07
  Diesen Januar ist die M3 565-Con zurück und wir legen noch eine Schippe drauf.
• 0:13
  Seien Sie dabei bei Live-Sessions, Praxis-Demos und Expertenwissen von MVPs und Fachleuten aus aller Welt.
• 0:18
  Keine generischen Folien, kein endloses Buzzword-Bingo.
• 0:22
  Wir gehen echte Herausforderungen an.
• 0:23
  Co-Pilot Studio, KI-Agenten, Fabric, Sicherheit, Governance und Automatisierung.
• 0:28
  Ob IT-Profi, Entwickler oder Führungskraft, es gibt Sessions, die genau auf Sie zugeschnitten sind.
• 0:35
  An 10 vollen Tagen können Sie Technologien erkunden und sich mit einer globalen Community vernetzen.
• 0:40
  Schauen Sie live zu und nehmen Sie praktische Erkenntnisse für Ihr Unternehmen mit.
• 0:45
  Januar 2027, 10 Tage, eine Microsoft-Community.
• 0:49
  Die Registrierung ist jetzt eröffnet.
• 0:51
  Gehen Sie auf m31565.net und sichern Sie sich noch heute Ihren Platz.
• 0:55
  Das ist m31565.net.
• 1:00
  Melden Sie sich jetzt unter m31565.net an.
• 1:03
  Wir sehen uns live im Januar.
• 1:05
  Willkommen zu einer weiteren Ausgabe der Microsoft Knowledge Nuggets hier auf m31565.net.
• 1:08
  Ich bin der Gastgeber Milko Peters.
• 1:10
  Das heutige Thema ist etwas, dem fast jeder begegnet, der mit Azure arbeitet.
• 1:13
  Sie erstellen eine neue virtuelle Maschine.
• 1:15
  Und standardmäßig erhält sie eine öffentliche IP-Adresse mit offenem RDP-Port 30980 zum Internet.
• 1:20
  Wenn Sie das schon eine Weile machen, haben Sie sich wahrscheinlich dieselbe Frage gestellt wie ich.
• 1:23
  Ist das wirklich der einzige Weg, auf meinen Server zuzugreifen?
• 1:26
  Die Sache ist die, jeder offene Port ist ein Ziel.
• 1:29
  Und Ransomware-Banden suchen ständig nach offenem RDP.
• 1:32
  Es ist keine Frage, ob Sie ihn finden, sondern wann.
• 1:34
  Am Ende dieser Folge werden Sie verstehen, was Azure Bastion wirklich ist und wie es einen besseren Weg bietet, sicher auf Ihre VMs zuzugreifen.
• 1:40
  Wir betrachten den alten Weg, warum er fehlerhaft ist, den besseren Weg und die neue N3-ID-Integration, die alles noch einfacher macht.
• 1:46
  Macht.
• 1:47
  Der alte Weg, Jumpboxen und öffentliches RDP.
• 1:49
  Fangen wir also mit dem alten Weg an.
• 1:52
  Das traditionelle Setup sieht so aus.
• 1:54
  Sie stellen eine VM bereit, geben ihr eine öffentliche IP und öffnen den RDP-Port 30980.
• 1:58
  Dann fügen Sie eine Netzwerksicherheitsgruppenregel hinzu, um den Zugriff einzuschränken.
• 2:01
  Vielleicht begrenzen Sie dies auf Ihren Büro-IP-Bereich oder einen VPN-Endpunkt.
• 2:05
  Das ist das Grundmuster.
• 2:06
  Aber es gibt noch ein anderes Modell, das es schon seit Jahren gibt, die Jumpbox.
• 2:09
  Stellen Sie es sich wie einen Sicherheitskontrollpunkt vor.
• 2:11
  Sie müssen ihm passieren, bevor Sie den Rest Ihres Netzwerks erreichen können.
• 2:14
  Eine Jumpbox, eine einzelne VM, die als Gateway in Ihr privates Netzwerk fungiert.
• 2:18
  Sie verbinden sich erst per RDP mit dieser Box und springen von dort aus zu anderen Servern in Ihrem Netzwerk, Netzwerk.
• 2:23
  Es ist eine einfache Idee, die jahrelang funktionierte und auch heute in kleinen Umgebungen noch funktioniert.
• 2:28
  Der Haken dabei ist, es funktioniert nur, wenn man es absichert, patcht, überwacht und niemals einen Fehler macht.
• 2:32
  Das Problem ist nicht, dass es nicht funktionieren kann, sondern dass es ständiger Arbeit bedarf, um es sicher zu halten.
• 2:36
  Hier liegt also das eigentliche Problem.
• 2:38
  Jumpboxen sind ganz normale virtuelle Maschinen.
• 2:39
  Sie benötigen Betriebssystem-Updates, Antivirus, Sicherheitsbaselines und jemanden, der all das verwaltet.
• 2:44
  Sie haben öffentliche IPs mit freigegebenen RDP- oder SSH-Ports.
• 2:47
  Selbst wenn man diese Ports durch NSG-Regeln einschränkt, bleiben sie auffindbar.
• 2:51
  Sie werden nach wie vor jeden einzelnen Tag gescannt.
• 2:54
  In großem Maßstab wird die Verwaltung von Jumpboxen schnell unübersichtlich.
• 2:58
  Man hat mehrere VMs über Regionen hinweg, inkonsistente Konfigurationen und Patchabweichungen.
• 3:02
  Ein Team sichert seine aber ein anderes nicht.
• 3:03
  Und die versteckten Kosten, über die niemand spricht, sind die Stunden der Adminzeit für das Patchen, Absichern und Warten dieser Boxen und Wachsen.
• 3:09
  Ich habe Schätzungen von etwa drei Stunden pro Monat allein für die Wartung gesehen.
• 3:12
  Das ist echtes Geld.
• 3:13
  Was wäre also, wenn es einen Dienst gäbe, der all das für Sie erledigt?
• 3:16
  Einen, der den öffentlichen Endpunkt komplett entfernt und Ihnen einen sauberen, sicheren Zugang bietet.
• 3:21
  Was ist Azure Bastion?
• 3:22
  Hier ist die einfachste Definition, die ich Ihnen geben kann.
• 3:24
  Azure Bastion ist ein vollständig verwalteter PAS-Dienst, der Ihnen sicheren RDP- und SSH-Zugriff auf Azure VMs bietet, ohne öffentliche IPs auf diesen VMs freizugeben, O geben.
• 3:32
  Das ist alles.
• 3:33
  Keine öffentlichen IPs, keine offenen Ports, keine freigegebenen Verwaltungsendpunkte.
• 3:36
  Stellen Sie es sich wie einen sicheren Tunnel vor.
• 3:38
  Sie verbinden sich über HTTPS mit Bastion und Bastion verbindet sich privat innerhalb des virtuellen Netzwerks mit Ihrer VM.
• 3:43
  Ihr Browser kommuniziert mit Bastion über Port 443, denselben Port, den Sie für sichere Webseiten verwenden.
• 3:48
  Bastion kommuniziert dann per RDP oder SSH mit Ihrer VM, aber diese Verbindung bleibt innerhalb Ihres virtuellen Netzwerks.
• 3:53
  Die Außenwelt bekommt davon nichts mit.
• 3:55
  Hier ist nun der entscheidende Unterschied zu einer Jumpbox.
• 3:57
  Bastion ist keine VM.
• 3:58
  Es ist nichts, dass Sie patchen oder warten müssen.
• 4:00
  Microsoft kümmert sich um all das.
• 4:02
  Betriebssystemupdates, die Sicherheitsabsicherung, die Skalierung, all das wird für Sie übernommen.
• 4:06
  Die Stellen ist einfach bereit und nutzen.
• 4:07
  Für die grundlegende Nutzung verbinden Sie sich direkt über Ihren Browser aus dem Azure-Portal.
• 4:10
  Keine zusätzliche Client-Software nötig, kein VPN-Client zu installieren, kein RDP-Client zu konfigurieren.
• 4:15
  Nur Ihr Browser und Ihre Azure-Anmeldung.
• 4:17
  Ihre VMs bleiben privat, keine öffentliche IP erforderlich, kein RDP-Port für das Internet freigegeben.
• 4:21
  Und das ist das Wesentliche beim modernen Sicherheitsmodell.
• 4:23
  Bastion ein Zero-Trust-Framework.
• 4:25
  Der Zugriff wird durch Identität und Richtlinien gesteuert, nicht durch den Netzwerkstandort.
• 4:29
  Sie erhalten keinen Zugriff, nur weil Sie sich im richtigen IP-Bereich befinden.
• 4:31
  Sie erhalten Zugriff, weil Sie die richtige Person mit den richtigen Berechtigungen sind.
• 4:34
  Lassen Sie uns darüber sprechen, wie es unter der Haube funktioniert, denn die Architektur ist einfacher, als Sie vielleicht denken.
• 4:39
  So funktioniert Azure Bastion.
• 4:40
  Bastion wird in einem dedizierten Subnetz ihres virtuellen Netzwerks bereitgestellt,
• 4:44
  das den Namen Azure Bastion Subnet tragen muss und ein Adressraum von mindestens Slack-20, also etwa 64 IP-Adressen, benötigt,
• 4:51
  damit der Dienst arbeiten und skalieren kann.
• 4:53
  Dieses Subnetz ist ausschließlich für Bastion reserviert.
• 4:55
  Es darf also nichts anderes dort abgelegt werden.
• 4:57
  Keine virtuellen Maschinen, keine anderen Dienste, nichts.
• 4:58
  Dies hält das System sauber und sicher und Sie wissen genau, was sich in diesem Subnetz befindet und was es tut.
• 5:03
  Wenn Sie eine Verbindung über das Portal herstellen, öffnet Ihr Browser eine TLS-Sitzung zur öffentlichen IP von Bastion über Port 433 verschlüsselt,
• 5:08
  damit niemand Ihre Aktivitäten sehen kann.
• 5:10
  Dann initiiert Bastion RDP oder SSH zu ihrer Ziel-VM über das private Netzwerk,
• 5:14
  sodass die VM die Verbindung als aus dem virtuellen Netzwerk kommend erkennt, nicht aus dem Internet.
• 5:18
  Nicht aus dem Internet.
• 5:19
  Und sie weiß nicht einmal, dass die Außenwelt existiert.
• 5:21
  Bastion kann VMs im selben Vornet und den verbundenen Vornetz bedienen
• 5:24
  und mit der richtigen SKU sogar lokale Maschinen, die über ExpressRoute oder VPN angebunden sind.
• 5:27
  Das bedeutet, sie können eine Bastion-Bereitstellung nutzen, um VMs über mehrere Netzwerke hinweg zu erreichen,
• 5:32
  sofern diese verbunden sind und im selben Tenant liegen.
• 5:35
  Ein intelligenter Weg, um die Sicherheit weiter zu erhöhen, ist der Einsatz von Netzwerksicherheitsgruppen,
• 5:38
  um RDP- und SSH-Zugriffe nur vom Bastion-Subnetz auszulassen.
• 5:41
  Erst wenn jemand irgendwie in Ihr virtuelles Netzwerk gelangen würde, könnte er diese Verwaltungsports nicht erreichen.
• 5:46
  Er müsste über Bastion gehen, was bedeutet, dass er zuerst die richtige Identität und die entsprechenden Berechtigung würdetigen würde.
• 5:50
  Dies allein ist bereits eine große Verbesserung gegenüber Jumpboxen.
• 5:53
  Aber es gibt ein neues Feature, das noch einen Schritt weiter geht und bei dem sich alles um die Identität dreht.
• 5:57
  Die Entra-ID-Integration.
• 6:00
  Das ändert alles.
• 6:02
  Jahrelang gab es einen Haken bei Bastion, der viele gestört hat.
• 6:05
  Sie benötigten immer noch lokale VM-Konten, Benutzernamen, Passwörter oder SSH-Schlüssel, die sie auf jeder Maschine verwalten mussten.
• 6:12
  Während Bastion also das Netzwerksicherheitsproblem löste, steckten sie immer noch beim alten Identitätsproblem fest.
• 6:16
  Unterschiedliche Passwörter auf verschiedenen VMs konnten, die nie gelöscht wurden, wenn jemand das Team verließ.
• 6:20
  Das ganze Chaos sah nücken.
• 6:22
  Dann im Jahr 2025 änderte Microsoft das.
• 6:24
  Sie fügten die native Entra-ID-Authentifizierung für Bastion hinzu und das hat alles verändert.
• 6:28
  Können Sie sich über Bastion mit Ihrer Arbeitsidentität und einer Windows-VM anmelden, ohne lokales Konto und ohne sich ein Passwort merken zu müssen?
• 6:35
  Nur mit Ihren Entra-ID-Anmelde da.
• 6:36
  Dieselbe Benutzerkennung und dasselbe Passwort, das Sie für E-Mails, Ihr Teams und Ihr SharePoint verwenden.
• 6:40
  Das ist alles.
• 6:41
  Entra-ID bringt MFA und Richtlinien für bedingten Zugriff bei der Anmeldung an Ihren VMs.
• 6:44
  So schützen dieselben Richtlinien, die Ihre E-Mails und Apps sichern, jetzt auch Ihre Server.
• 6:48
  Wenn Ihr Unternehmen MFA für den Zugriff auf sensible Daten verlangt, erscheint dieselbe MFA-Aufforderung auch bei der RDP-Verbindung zu einer VM-VM.
• 6:56
  Und wenn Ihre Richtlinie für bedingten Zugriff Anmeldungen von nicht vertrauenswürdigen Standorten blockiert, gilt dies ebenfalls.
• 7:01
  Ihre Server übernehmen dieselbe Sicherheitskonfiguration wie der Rest Ihrer Umgebung.
• 7:04
  Es gibt ein paar Anforderungen, die Sie kennen sollten.
• 7:05
  Die VM muss Windows 10, 20H2 oder neuer bzw. Windows Server 2022 ausführen und Sie benötigen die AD-Anmeldeerweiterung auf der VM.
• 7:13
  Sie müssen Ihren Benutzern zudem die richtigen RBRC-Rollen zuweisen.
• 7:17
  Es gibt hier zwei Rollen, Virtual Machine User Login für den Standardzugriff und Virtual Machine Administrator Login, falls jemand Administratorrechte benötigt.
• 7:23
  Es ist eine saubere Trennung, mit der Sie Benutzern genau die Zugriffsebene geben können, die Sie benötigen nicht mehr.
• 7:28
  Wenn alles korrekt eingerichtet ist, erscheint Entra-ID als Standard-Authentifizierungstyp im Bastion-Verbindungsblatt und der Zugriff erfolgt mit nur einem Klick.
• 7:35
  Keine Eingabe von Benutzernamen, kein Suchen nach Passwörtern, kein Kopieren von SSH-Schlüsseln, einfach klicken und verbinden.
• 7:40
  Hier stößt das alte Jumpbox-Modell an seine Grenzen, denn mit Bastion und Entra-ID zusammen erhalten Sie etwas, das eine Jumpbox niemals bieten kann.
• 7:48
  Identitätsbasierter Zugriff, abgesichert durch Ihren gesamten Sicherheitsdeck, nicht nur ein lokales Konto auf einer VM.
• 7:53
  SGU-Preise und die Realität in der Praxis.
• 7:55
  Lassen Sie uns über Geld sprechen.
• 7:56
  Jeder möchte wissen, was Bastion tatsächlich kostet.
• 7:59
  Es gibt vier Tarife, Developer, Basic, Standard und Premium.
• 8:02
  Developer ist kostenlos.
• 8:03
  Es ist für Tests gedacht, nicht für die produktive Arbeit.
• 8:05
  Sie können immer nur eine VM gleichzeitig verbinden und es läuft auf der gemeinsamen Infrastruktur.
• 8:08
  Großartig zum Lernen, aber speichern Sie dort nichts Wichtiges.
• 8:11
  Basic beginnt bei etwa 0,19 Dollar pro Stunde, circa 140 Dollar im Monat.
• 8:15
  Es funktioniert für kleine Setups, aber Sie müssen auf einige Dinge verzichten.
• 8:18
  Keine Unterstützung für Native Clients, kein Hoch- oder Herunterladen von Dateien, keine Freigebarnung.
• 8:21
  Ausreicht für grundlegende Portalzugriffe, aber nichts Besonderes.
• 8:24
  Standard kostet 0,29 Dollar pro Stunde.
• 8:26
  Circa 210 Dollar im Monat.
• 8:28
  Dies beinhaltet standardmäßig zwei Instanzen.
• 8:30
  Und hier erhalten Sie die wirklich nützlichen Funktionen.
• 8:32
  Unterstützung für Native Clients, sodass Sie Ihren gewohnten RDP- oder SSH-Client anstelle des Browsers verwenden können.
• 8:36
  Freigebare Links für temporären Suche.
• 8:38
  Hochunterladen von Dateien.
• 8:39
  IP-basierte Verbindungen, um lokale Computer über Express-Route oder VPN zu erreichen.
• 8:43
  Premium kostet 0,27 Dollar pro Stunde, also etwa zwei Instanzen.
• 8:49
  Ja, es ist pro Stunde etwas günstiger Standard.
• 8:52
  Premium bietet zusätzlich Sitzungsaufzeichnungen und eine rein private Bereitstellung.
• 8:55
  Das bedeutet, dass Bastian selbst keine öffentliche IP-Adresse benötigt.
• 8:57
  Für Umgebungen mit hohen Compliance-Anforderungen ist das sehr wichtig.
• 8:59
  Kommen wir nun zu dem Vergleich, der wirklich zählt.
• 9:01
  Eine Jumpbox-VM kostet Sie vielleicht nur 35 bis 50 Dollar pro Monat an Rechenleistung und Speicher.
• 9:05
  Aber das sind nicht die tatsächlichen Kosten.
• 9:07
  Die versteckten Kosten für Patchen, Härtung, Überwachung und Verwaltung der VM
• 9:10
  lassen die Gesamtkosten oft auf über 200 Dollar pro Monat steigen.
• 9:14
  Drei Stunden Verwaltungsaufwand bei 60 Dollar pro Stunde ergeben bereits andere 80 Dollar.
• 9:18
  Addiert man die VM-Kosten dazu, liegt man bei 20 Dollar oder mehr.
• 9:21
  Daher wirkt Bastian Standard für 210 Dollar im Monat ziemlich vernünftig,
• 9:25
  wenn man alles einberechnet, wofür man nicht mehr bezahlen muss.
• 9:27
  Für die meisten Produktionsumgebungen ist Standard oder Premium die richtige Wahl.
• 9:31
  Der Kostenunterschied zu einer ordnungsgemäß gewarteten Jumpbox ist gering,
• 9:34
  während die Vorteile bei Sicherheit und Betrieb enorm sind.
• 9:37
  Fassen wir alles zusammen und sehen wir uns an, wie diese Teile ein klares Bild ergeben.
• 9:41
  Das Gesamtbild, wie alles miteinander verbunden ist.
• 9:44
  Lassen Sie uns einen Schritt zurücktreten und sehen, wie das alles zusammenpasst.
• 9:46
  Das alte Modell sah so aus.
• 9:48
  Ein öffentlicher IPer wie AVM, ein offener RDP-Port,
• 9:51
  eine Jumpbox, die ständige Pflege brauchte und lokale Konten, die auf jedem Rechner verstreut waren.
• 9:55
  Ah, jedes Teil war ein separates Problem, das Sie lösen mussten.
• 9:59
  Netzwerkssicherheit, Patchen, Identitätsverwaltung, Anmeldeinformationsrotation,
• 10:02
  das sind viele bewegliche Teile.
• 10:03
  Und wenn auch nur eines davon versagt, hatten Sie eine Sicherheitslücke.
• 10:06
  Betrachten Sie nun das neue Modell mit Bastian.
• 10:08
  Keine öffentlichen IPs auf Ihren VMs, keine exponierten Ports,
• 10:11
  ein verwalteter Dienst, den Microsoft gepatcht und gehärtet hält
• 10:13
  und identitätsbasierter Zugriff mit MFA und bedingtem Zugriff.
• 10:17
  Pürzely sinkt die Komplexität drastisch.
• 10:18
  So verteilen sich die Aufgaben auf die verschiedenen Komponenten.
• 10:20
  Bastian übernimmt die Netzwerksicherheitsebene.
• 10:22
  Es bestimmt, wie sie Zugang erhalten.
• 10:24
  Es stellt sicher, dass Ihre VMs aus dem Internet unsichtbar sind
• 10:26
  und jede Verbindung durch einen sicheren, verwalteten Tunnel läuft.
• 10:30
  Entra-ID übernimmt die Identitätsebene.
• 10:31
  Es bestimmt, wer Sie sind und ob Sie zugriffsberechtigt sind.
• 10:34
  Es stellt sicher, dass nur die richtigen Personen mit den richtigen Berechtigungen
• 10:37
  und dem richtigen Gerätestatus eine Verbindung herstellen können.
• 10:39
  Zusammen bieten Sie etwas, das keine Jumpbox erreichen kann.
• 10:41
  Eine saubere Trennung zwischen Netzwerkzugriff und Identitätskontrolle.
• 10:45
  Sie müssen dem Netzwerk nicht vertrauen.
• 10:46
  Sie müssen der IP-Adresse nicht vertrauen.
• 10:48
  Sie vertrauen der Identität.
• 10:50
  Und diese Identität wird durch Ihren vollständigen Sicherheitsdeck abgesichert.
• 10:53
  Das ist die Richtung, die Microsoft vorgibt.
• 10:54
  Und das ist die Richtung, in die sich Cloud-Sicherheit entwickelt.
• 10:56
  Die wahre Stärke liegt nicht in einem einzelnen Produkt, sondern in Ihrem Zusammenspiel.
• 11:01
  Ihre ersten Schritte beim Einstieg in Bastion.
• 11:03
  Wo fangen Sie also an?
• 11:04
  Lassen Sie mich Ihnen einen einfachen Weg zeigen.
• 11:06
  Zuerst müssen Sie entscheiden, ob Sie neu starten oder von bestehenden Jump-Hosts migrieren.
• 11:10
  Wenn Sie neu starten, haben Sie die besten Voraussetzungen.
• 11:12
  Aber keine Sorge, falls Sie migrieren.
• 11:14
  Bastion kann während der Umstellung mit Ihrer bestehenden Einrichtung koexistieren.
• 11:18
  Wählen Sie als nächstes Ihre S-Comp.
• 11:20
  Die Entwickler-School ist kostenlos und ideal zum Testen.
• 11:22
  Für die Produktion wählen Sie jedoch Standard oder Premium.
• 11:24
  Der Kostenunterschied zu Basic ist gering und Sie erhalten Funktionen, die Sie wirklich nutzen werden.
• 11:28
  Danach stellen Sie Bastion in Ihrem virtuellen Netzwerk bereit.
• 11:31
  Erstellen Sie das Azure Bastion Subnetz mit einem.