Latest / M365.FM – Podcast su Microsoft 365, Copilot e IA in italiano / Azure Bastion spiegato in modo semplice: accesso RDP e SSH sicuro senza IP pubblico, Entra ID e SKU a confronto (Doppiaggio IA)

Transcript

Azure Bastion spiegato in modo semplice: accesso RDP e SSH sicuro senza IP pubblico, Entra ID e SKU a confronto (Doppiaggio IA) · M365.FM – Podcast su Microsoft 365, Copilot e IA in italiano

• 0:00
  Speaker 2: Siete pronti per 10 giorni di Microsoft 365, Copilot, EA,
• 0:04
  Speaker 2: Azure e le persone che plasmano il futuro del lavoro?
• 0:07
  Speaker 2: Questo gennaio torna M3665 con me e saremo ancora più grandi.
• 0:12
  Speaker 2: Unitevi a noi per sessioni live, demo reali e conoscenze
• 0:15
  Speaker 2: pratiche da MVP ed esperti del settore in tutto il mondo.
• 0:18
  Speaker 2: Niente slide generiche, niente infiniti termini alla moda. Affronteremo le
• 0:22
  Speaker 2: vere sfide. Copilot Studio, agenti IA, Fabric, Sicurezza, Governance e Automazione.
• 0:30
  Speaker 2: Che siate professionisti IT, sviluppatori o leader aziendali, ci sono
• 0:33
  Speaker 2: sessioni pensate per voi. Con 10 giorni interi potrete esplorare
• 0:37
  Speaker 2: molteplici tecnologie e connettervi con una community globale. Seguite in
• 0:41
  Speaker 2: diretta e portate approfondimenti pratici nella vostra organizzazione. Gennaio 2027,
• 0:46
  Speaker 2: 10 giorni, un'unica community Microsoft. Le iscrizioni sono aperte. Andate
• 0:52
  Speaker 2: su m3665con. net e assicuratevi il vostro posto oggi stesso. Il
• 0:56
  Speaker 2: sito è m3665con. net. Iscrivetevi ora su m3665con. net e ci vediamo
• 1:03
  Speaker 2: in diretta a gennaio. Benvenuti ad un altro episodio di
• 1:06
  Speaker 2: Microsoft Knowledge Nuggets qui su M365FM. Sono il vostro conduttore
• 1:09
  Speaker 2: Milko P. L'argomento di oggi è qualcosa in cui si
• 1:11
  Speaker 2: è imbattuto quasi chiunque lavori con Azure. Avviate una nuova
• 1:14
  Speaker 2: macchina virtuale e l'impostazione predefinita prevede un indirizzo IP pubblico
• 1:17
  Speaker 2: con la porta RDP 3089 aperta su internet. Se fate
• 1:20
  Speaker 2: questo lavoro da un po' probabilmente vi sarete posti la
• 1:22
  Speaker 2: stessa domanda che mi sono posto io. È davvero questo
• 1:25
  Speaker 2: l'unico modo per accedere al mio server? Il punto è
• 1:27
  Speaker 2: che ogni porta è esposta a un bersaglio e le
• 1:29
  Speaker 2: bande di ransomware scansionano costantemente le porte RDP aperte. Non
• 1:32
  Speaker 2: è una questione di se la troveranno, ma di quando.
• 1:34
  Speaker 2: Alla fine di questo episodio capirete cos'è davvero Azure Bastion
• 1:37
  Speaker 2: e come offre un modo migliore per accedere alle vostre
• 1:39
  Speaker 2: VM in sicurezza. Vedremo il vecchio metodo perché è fallato
• 1:42
  Speaker 2: e il metodo migliore oltre alla nuova integrazione con EntryD
• 1:45
  Speaker 2: che lo rende ancora più semplice del previsto. Il vecchio metodo.
• 1:48
  Speaker 2: Jumpbox RDP pubblico. Quindi iniziamo con il vecchio metodo. La
• 1:52
  Speaker 2: configurazione tradizionale è questa. Distribuite una VM, assegnate un IP
• 1:56
  Speaker 2: pubblico e aprite la porta RDP3389. Poi aggiungete una regola
• 1:59
  Speaker 2: di gruppo di sicurezza di rete per limitare chi può accedere.
• 2:01
  Speaker 2: Magari lo limitate all'intervallo IP del vostro ufficio o a
• 2:04
  Speaker 2: un endpoint VPN. Questo è il modello base, ma esiste
• 2:07
  Speaker 2: un altro modello in circolazione da anni, la Jumpbox. Pensatela
• 2:10
  Speaker 2: come un posto di blocco di sicurezza. Dovete passarci attraverso
• 2:12
  Speaker 2: prima di poter raggiungere il resto della vostra rete. Una
• 2:15
  Speaker 2: Jumpbox è una singola VM che funge da gateway verso
• 2:17
  Speaker 2: la vostra rete privata. Effettuate il primo accesso a RDP
• 2:20
  Speaker 2: a quella box e da lì saltate verso gli altri
• 2:22
  Speaker 2: server all'interno della vostra rete. È un'idea semplice che ha
• 2:24
  Speaker 2: funzionato per anni e che funziona ancora oggi in piccoli ambienti.
• 2:28
  Speaker 2: Il problema è che funziona solo se la rafforzi, la giorni,
• 2:30
  Speaker 2: la monitori e non commetti mai errori. Il problema non
• 2:32
  Speaker 2: è che non possa funzionare, che richiede un lavoro costante
• 2:35
  Speaker 2: per mantenerla sicura. Quindi ecco il vero problema. I Jumpbox
• 2:38
  Speaker 2: sono solo normali macchine virtuali. Hanno bisogno di aggiornamenti del
• 2:41
  Speaker 2: sistema operativo, antivirus, standard di sicurezza, standard di sicurezza e
• 2:43
  Speaker 2: tutto ciò. Hanno indirizzi IP pubblici con porte RDP o
• 2:46
  Speaker 2: SSH esposte. Anche se i limiti con le porte con
• 2:49
  Speaker 2: regole NSG sono comunque individuabili. Vengono comunque scansionate ogni singolo giorno.
• 2:55
  Speaker 2: Su larga scala gestire Jumpbox diventa rapidamente complicato. Hai più
• 2:58
  Speaker 2: macchine virtuali in varie regioni, configurazioni incoerenti, disallineamenti nelle patch.
• 3:02
  Speaker 2: Un team protegge le proprie, un altro no. Il costo
• 3:04
  Speaker 2: nascosto di cui nessuno parla sono le ore di lavoro
• 3:06
  Speaker 2: amministrativo spese per aggiornare, proteggere e risolvere i problemi di
• 3:08
  Speaker 2: queste macchine. Ho visto stime di circa 3 ore al
• 3:10
  Speaker 2: mese solo per la manutenzione. Si tratta di soldi veri.
• 3:14
  Speaker 2: Quindi se ci fosse un servizio che gestisse tutto questo
• 3:16
  Speaker 2: per te, Uno che rimuova completamente l'endpoint pubblico e ti
• 3:18
  Speaker 2: offre un modo più pulito e sicuro per entrare. Che
• 3:21
  Speaker 2: cos'è Azure Bastion? Ecco la definizione più semplice che posso darti.
• 3:24
  Speaker 2: Azure Bastion è un servizio Paes completamente gestito che ti
• 3:27
  Speaker 2: offre un accesso a RDP, SSH sicuro alle VM di
• 3:29
  Speaker 2: Azure senza esporre alcuni IP pubblico su tali VM. Tutto qui.
• 3:33
  Speaker 2: Nessun IP pubblico, nessuna porta aperta, nessun endpoint di gestione esposto.
• 3:36
  Speaker 2: Immaginalo come un tunnel sicuro. Ti connetti a Bastion tramite
• 3:39
  Speaker 2: HTTPS e Bastion si connette alla tua VM privatamente all'interno
• 3:42
  Speaker 2: della rete virtuale. Il tuo browser comunica con Bastion sulla
• 3:44
  Speaker 2: porta 443, la stessa porta che usi per i siti
• 3:47
  Speaker 2: web sicuri. Bastion comunica quindi con la tua VM usando
• 3:50
  Speaker 2: RDP o SSH, ma quella conversazione rimane all'interno della tua
• 3:53
  Speaker 2: rete virtuale. Il mondo esterno non la vede mai. Ora
• 3:55
  Speaker 2: ecco la differenza chiave rispetto a un Jamboard. Bastion non
• 3:58
  Speaker 2: è una macchina virtuale. Non è qualcosa che devi aggiornare
• 3:59
  Speaker 2: o mantenere. Microsoft si occupa di tutto questo. Gli aggiornamenti
• 4:02
  Speaker 2: del sistema operativo, la protezione della sicurezza, la scalabilità, è
• 4:05
  Speaker 2: tutto gestito per te. Devi solo distribuirlo e usarlo. Per
• 4:07
  Speaker 2: l'uso di base ti connetti dal portale di Azure direttamente
• 4:09
  Speaker 2: nel tuo browser. Non serve alcun software client aggiuntivo, nessun
• 4:12
  Speaker 2: client VPN da installare, nessun client RDP da configurare. Solo
• 4:15
  Speaker 2: il tuo browser e il tuo accesso ad Azure. Le
• 4:17
  Speaker 2: tue VM rimangono private e non è richiesto alcun IP pubblico,
• 4:19
  Speaker 2: nessuna porta RDP esposta a internet. Ed ecco il punto
• 4:22
  Speaker 2: sui moderni modelli di sicurezza. Bastian si inserisce in un
• 4:24
  Speaker 2: framework Zero Trust. L'accesso è controllato dall'identità e dalle policy,
• 4:28
  Speaker 2: non dalla posizione di rete. Non entri perché ti trovi
• 4:30
  Speaker 2: in intervallo IP corretto. Entri perché sei la persona giusta
• 4:33
  Speaker 2: con autorizzazioni corrette. Parliamo di come funziona realmente, perché l'architettura
• 4:37
  Speaker 2: è più semplice di quanto potresti pensare. Come funziona Azure Buster?
• 4:41
  Speaker 2: Bastion si distribuisce in una subnet dedicata nella tua rete virtuale,
• 4:44
  Speaker 2: che deve chiamarsi Azure Bastion Subnet con un spazio indirizzibile
• 4:47
  Speaker 2: a 26 o superiore, almeno 64 indirizzi IP, per consentire
• 4:51
  Speaker 2: al servizio di operare e scalare. La subnet è esclusiva
• 4:55
  Speaker 2: per Bastion, quindi nient'altro può risiedervi, niente VM, nessun altro servizio, nulla.
• 4:59
  Speaker 2: Questo mantiene tutto pulito e sicuro, permettendo di sapere esattamente
• 5:01
  Speaker 2: cosa contiene la subnet e cosa sta facendo. Quando ti
• 5:03
  Speaker 2: connetti tramite il portale, il browser apre una sessione TLS
• 5:06
  Speaker 2: verso l'IP pubblico di Bastion sulla porta 443 che ti
• 5:08
  Speaker 2: ho graffato affinché nessuno possa vedere cosa fa. Quindi Bastion
• 5:10
  Speaker 2: AVR di POSSH verso la VM di destinazione sulla rete privata,
• 5:14
  Speaker 2: così la VM vede la connessione provenire dall'interno della rete virtuale,
• 5:17
  Speaker 2: non da internet. E non sa nemmeno dell'esistenza del mondo esterno.
• 5:21
  Speaker 2: Bastion può servire VM nella stessa VNET e in VNET
• 5:23
  Speaker 2: Peered e con lo scavo corretto anche macchine on- premises connesse
• 5:26
  Speaker 2: tramite ExpressRoute o VPN. Ciò significa che puoi usare una
• 5:29
  Speaker 2: sola distribuzione Bastion per raggiungere VM su più reti, purché
• 5:32
  Speaker 2: siano connesse e nello stesso tenant. un modo intelligente per
• 5:36
  Speaker 2: blindare ulteriormente le cose e usare i gruppi di sicurezza
• 5:38
  Speaker 2: di rete per consentire RDP e SSH solo dalla subnet
• 5:41
  Speaker 2: di Bastion. In questo modo, anche se qualcuno riuscisse ad
• 5:43
  Speaker 2: accedere alla tua rete virtuale, non potrebbe comunque raggiungere quelle
• 5:45
  Speaker 2: porte di gestione. Dovrebbe passare da Bastion, il che significa
• 5:48
  Speaker 2: che avrebbe prima bisogno dell'identità e delle autorizzazioni corrette. Già
• 5:50
  Speaker 2: questo è un grande miglioramento rispetto ai Jambox, ma c'è
• 5:52
  Speaker 2: una nuova funzionalità che sposta l'asticella ancora più in alto
• 5:55
  Speaker 2: e riguarda l'identità. L'integrazione con EntraID. Questo cambia tutto. Per
• 6:02
  Speaker 2: anni c'è stato un limite di Bastion che infastidiva molte persone.
• 6:05
  Speaker 2: Erano ancora necessari account locali sulle VM, nome utente, password
• 6:09
  Speaker 2: o chiavi SSH da gestire su ogni singola macchina. Quindi,
• 6:12
  Speaker 2: mentre Bastion risolveva il problema della sicurezza di rete, rimanevi
• 6:15
  Speaker 2: bloccato con il vecchio problema dell'identità. Password diverse su VM diverse,
• 6:18
  Speaker 2: account mai rimossi quando qualcuno lasciava il team, tutto un caos. Poi,
• 6:22
  Speaker 2: nel 2025, Microsoft ha cambiato le cose. Hanno aggiunto l'autenticazione
• 6:26
  Speaker 2: nativa Entry ID per Bastion e ha cambiato tutto. Ora
• 6:29
  Speaker 2: puoi accedere a una VM Windows tramite Bastion usando la
• 6:31
  Speaker 2: tua identità di lavoro, senza account locali e senza password
• 6:33
  Speaker 2: da ricordare. Solo le tue credenziali. Lo stesso nome utente
• 6:37
  Speaker 2: e password che usi per la tua email, Teams e SharePoint.
• 6:40
  Speaker 2: Tutto qui. Entra ID, porta MFA e criteri di accesso
• 6:42
  Speaker 2: condizionale al login della tua VM. Quindi le stesse policy
• 6:45
  Speaker 2: che proteggono email e app e proteggono i tuoi server.
• 6:48
  Speaker 2: Se la tua azienda richiede MFA per i dati sensibili,
• 6:51
  Speaker 2: lo stesso prompt MFA apparirà quando provi ad accedere in
• 6:53
  Speaker 2: RDP a una VM. Se la tua policy di accesso
• 6:57
  Speaker 2: condizionale blocca accessi da posizioni non attendibili, varrà anche per questo.
• 7:01
  Speaker 2: I tuoi server erediteranno lo stesso livello di sicurezza del
• 7:03
  Speaker 2: resto del tuo ambiente? Ci sono alcuni requisiti da conoscere.
• 7:06
  Speaker 2: L'AVM deve seguire Windows 10 20A 2 o versioni successive
• 7:10
  Speaker 2: o Windows Server 2022 serve l'estensione di login ad installata.
• 7:13
  Speaker 2: Devi anche assegnare i ruoli RBA corretti ai tuoi utenti.
• 7:17
  Speaker 2: Ci sono due ruoli, Virtual Machine User Login per l'accesso
• 7:19
  Speaker 2: standard e Virtual Machine Administrator Login per i diritti di amministratore.
• 7:23
  Speaker 2: È una separazione netta che permette di dare agli utenti
• 7:25
  Speaker 2: esattamente il livello di accesso necessario e nulla di più.
• 7:28
  Speaker 2: Con la configurazione corretta, Entry ID appare come tipo di
• 7:31
  Speaker 2: autenticazione predefinito nel pannello di connessione di Bastion. Basta un clic,
• 7:35
  Speaker 2: niente digitazione di username, niente ricerca di password, niente copia
• 7:38
  Speaker 2: di chiavi SSH solo clic e connessione. È qui che
• 7:41
  Speaker 2: il vecchio modello Jumpbox perde valore perché con Bastion ed
• 7:44
  Speaker 2: Entry ID ottieni qualcosa che Jumpbox non può offrire. Accesso
• 7:48
  Speaker 2: basato sull'identità protetto dall'intero stack di sicurezza, non solo un
• 7:51
  Speaker 2: account locale sulla VM. Prezzi delle scavu e realtà operativa.
• 7:55
  Speaker 2: Parliamo di costi. Tutti vogliono sapere quanto costa davvero Bastion.
• 7:59
  Speaker 2: Ci sono quattro livelli. Developer, Basic, Standard e Premium. Developer
• 8:02
  Speaker 2: è gratuito. È pensato per i test, non per il
• 8:04
  Speaker 2: lavoro reale. Puoi connettere solo una VM alla volta e
• 8:07
  Speaker 2: gira su infrastruttura condivisa. Ottimo per imparare, ma non mette
• 8:09
  Speaker 2: 10$ di importante. Basic parte da circa 0,19$ l'ora, circa
• 8:13
  Speaker 2: 140$ al mese. Va bene per piccole configurazioni, ma perdi
• 8:17
  Speaker 2: alcune funzionalità. Niente supporto client nativo, niente upload download file,
• 8:20
  Speaker 2: niente link condivisibile. Va bene per l'accesso base al portale,
• 8:23
  Speaker 2: ma nulla di avanzato. Standard costa 0,29$ l'ora, circa 210$
• 8:25
  Speaker 2: al mese. Include due stanze per impostazione predefinita. Ed è
• 8:30
  Speaker 2: qui che arrivano le funzionalità migliori. Sopporto client nativo, così
• 8:33
  Speaker 2: puoi usare il tuo solito client RDP o SSH invece
• 8:35
  Speaker 2: del browser. Link condivisibili per l'accesso temporaneo. Upload di file.
• 8:40
  Speaker 2: Connessioni basate su IP per raggiungere macchine on- premises tramite ExpressRoot VPN.
• 8:44
  Speaker 2: Premium costa 0,27$ l'ora, circa 200$ al mese, sempre con
• 8:48
  Speaker 2: due stanze. Sì, è leggermente più economica della standard su
• 8:51
  Speaker 2: base oraria. Premium aggiunge la registrazione delle sessioni ed è
• 8:53
  Speaker 2: probabilmente esclusivamente privato. Ciò significa che bastino stesso non necessita
• 8:56
  Speaker 2: di un'ipotesi. È un aspetto fondamentale per gli ambienti sormative. Ora,
• 8:59
  Speaker 2: ecco il confronto che conta davvero. Una VM Jumpbox potrebbe
• 9:02
  Speaker 2: costarti solo dai 35 ai 50 dollari al mese in
• 9:05
  Speaker 2: calcolo storage, ma non è quello il costo reale. I
• 9:07
  Speaker 2: costi nascosti, come patching, hardening, monitoraggio e gestione, portano spesso
• 9:11
  Speaker 2: il totale reale oltre i 200 dollari al mese. Tre
• 9:14
  Speaker 2: ore di tempo dell'amministratore a 60 dollari l'ora fanno già
• 9:16
  Speaker 2: 180 dollari. Aggiungi il costo della VM e arrivi a
• 9:20
  Speaker 2: 220 dollari o più. Quindi basti un standard a 210
• 9:22
  Speaker 2: dollari al mese. Inizia a sembrare molto ragionevole se consideri
• 9:25
  Speaker 2: tutto ciò che non devi più pagare. Per la maggior
• 9:28
  Speaker 2: parte degli ambienti di produzione standard o premium è la
• 9:30
  Speaker 2: scelta giusta. La differenza di costo tra queste soluzioni e
• 9:33
  Speaker 2: una jump box ben mantenuta è minima, mentre i vantaggi
• 9:35
  Speaker 2: di sicurezza e operatività sono enormi. Mettiamo tutto insieme e
• 9:38
  Speaker 2: vediamo come questi pezzi si incastrano in un quadro chiaro.
• 9:41
  Speaker 2: Il quadro generale, come si collega tutto. Allontaniamoci per vedere
• 9:45
  Speaker 2: come si integra il tutto. Il vecchio modello era così,
• 9:48
  Speaker 2: IP pubblico sulla WM, porta RDP aperta, una jump box
• 9:51
  Speaker 2: che richiedeva cure costanti e account locali sparsi su ogni
• 9:54
  Speaker 2: macchina operativa. Ogni pezzo era un problema separato da risolvere.
• 9:57
  Speaker 2: Sicurezza di rete, patching... gestione dell'identità, rotazione delle credenziali sono
• 10:02
  Speaker 2: molti elementi in gioco e se anche solo uno di
• 10:04
  Speaker 2: essi falliva, subì una violazione. Ora guarda il nuovo modello
• 10:07
  Speaker 2: con bastione. Niente IP pubblici sulle VM, niente porte esposte,
• 10:10
  Speaker 2: un servizio gestito che Microsoft mantiene aggiornato e protetto e
• 10:13
  Speaker 2: accesso basato sull'identità con MFA e accesso condizionale. Improvvisamente la
• 10:17
  Speaker 2: complessità crolla drasticamente. Ecco come i vari pezzi si dividono
• 10:20
  Speaker 2: da voi. Bastion gestisce il livello di sicurezza dei re
• 10:22
  Speaker 2: e il modo in cui accedi. Assicura che le tue
• 10:25
  Speaker 2: VM siano invisibili a internet e che ogni connessione passi
• 10:27
  Speaker 2: attraverso un tunnel gestito e sicuro. Entra ID gestisce il
• 10:31
  Speaker 2: livello dell'identità e la verifica di chi sei se hai
• 10:33
  Speaker 2: il permesso. Garantisce che solo le persone giuste, con le
• 10:36
  Speaker 2: autorizzazioni corrette e il giusto stato del dispositivo, possano connettersi.
• 10:39
  Speaker 2: Insieme offrono qualcosa che nessuna jump box può eguagliare, una
• 10:42
  Speaker 2: netta separazione tra accesso alla rete e controllo dell'identità. Non
• 10:45
  Speaker 2: hai bisogno di fidarti della rete. Non hai bisogno di
• 10:47
  Speaker 2: fidarti dell'indirizzo IP. ti fidi dell'identità e quell'identità è sopportata
• 10:51
  Speaker 2: dall'intero stack di sicurezza questa è la direzione in cui
• 10:53
  Speaker 2: Microsoft sta spingendo è la direzione verso cui si sta
• 10:56
  Speaker 2: muovendo la sicurezza in cloud il vero punto di forza
• 10:58
  Speaker 2: non è il singolo prodotto ma come lavorano insieme i
• 11:01
  Speaker 2: tuoi primi passi per iniziare con Bastion da dove iniziare?
• 11:04
  Speaker 2: lascia che ti indichi un percorso semplice per prima cosa
• 11:06
  Speaker 2: devi decidere se partire da zero o migrare dai jump
• 11:09
  Speaker 2: box esistenti se parti da zero sei nella posizione ideale
• 11:12
  Speaker 2: ma se stai migrando non preoccuparti basti un po' coesistere
• 11:16
  Speaker 2: con la tua configurazione attuale mentre sposti tutto Poi scegli
• 11:19
  Speaker 2: il tuo scavo. Lo scavo developer è gratuito e ottimo
• 11:21
  Speaker 2: per i test, ma per la produzione usa standard o premium.
• 11:25
  Speaker 2: La differenza di costo rispetto al basic è minima e
• 11:26
  Speaker 2: ottieni funzioni che userai davvero. Successivamente distribuisci Bastion nella tua
• 11:30
  Speaker 2: rete virtuale. Crea la subnet di Azure Bastion con un...