Cara tersambung menggunakan Secure Shell (SSH) dan masuk ke mesin virtual Azure yang menjalankan Windows

Berlaku untuk: ✔️ VM Windows ✔️ Set skala fleksibel

Proyek Win32 OpenSSH membuat konektivitas jarak jauh dengan Secure Shell di mana-mana dengan memberikan dukungan asli di Windows. Kemampuan ini disediakan di Windows Server versi 2019 dan yang lebih baru, dan dapat ditambahkan ke versi Windows yang lebih lama menggunakan ekstensi mesin virtual (VM).

Contoh di bawah ini menggunakan variabel. Anda dapat mengatur variabel di lingkungan Anda sebagai berikut.

Aktifkan SSH

Pertama, Anda harus mengaktifkan SSH di komputer Windows Anda.

Sebarkan ekstensi SSH untuk Windows. Ekstensi ini menyediakan penginstalan otomatis solusi Win32 OpenSSH, mirip dengan mengaktifkan kemampuan di versi Windows yang lebih baru. Gunakan contoh berikut untuk menyebarkan ekstensi.

az vm extension set --resource-group $myResourceGroup --vm-name $myVM --name WindowsOpenSSH --publisher Microsoft.Azure.OpenSSH --version 3.0

Set-AzVMExtension -ResourceGroupName $myResourceGroup -VMName $myVM -Name 'OpenSSH' -Publisher 'Microsoft.Azure.OpenSSH' -Type 'WindowsOpenSSH' -TypeHandlerVersion '3.0'

{
  "type": "Microsoft.Compute/virtualMachines/extensions",
  "name": "[concat(parameters('VMName'), '/WindowsOpenSSH')]",
  "apiVersion": "2020-12-01",
  "location": "[parameters('location')]",
  "properties": {
    "publisher": "Microsoft.Azure.OpenSSH",
    "type": "WindowsOpenSSH",
    "typeHandlerVersion": "3.0"
  }
}

resource windowsOpenSSHExtension 'Microsoft.Compute/virtualMachines/extensions@2020-12-01' = {
  parent: virtualMachine
  name: 'WindowsOpenSSH'
  location: resourceGroup().location
  properties: {
    publisher: 'Microsoft.Azure.OpenSSH'
    type: 'WindowsOpenSSH'
    typeHandlerVersion: '3.0'
  }
}

Membuka port TCP

Pastikan port yang sesuai (secara default, TCP 22) dibuka untuk memungkinkan konektivitas ke VM.

az network nsg rule create -g $myResourceGroup --nsg-name $myNSG -n allow-SSH --priority 1000 --source-address-prefixes 208.130.28.4/32 --destination-port-ranges 22 --protocol TCP

Get-AzNetworkSecurityGroup -Name $MyNSG -ResourceGroupName $myResourceGroup | Add-AzNetworkSecurityRuleConfig -Name allow-SSH -access Allow -Direction Inbound -Priority 1000 -SourceAddressPrefix 208.130.28.4/32 -SourcePortRange '*' -DestinationAddressPrefix '*' -DestinationPortRange 22 -Protocol TCP | Set-AzNetworkSecurityGroup

{
  "type": "Microsoft.Network/networkSecurityGroups/securityRules",
  "apiVersion": "2021-08-01",
  "name": "allow-SSH",
  "properties": {
    "access": "Allow",
    "destinationAddressPrefix": "*",
    "destinationPortRange": "22",
    "direction": "Inbound",
    "priority": "1000",
    "protocol": "TCP",
    "sourceAddressPrefix": "208.130.28.4/32",
    "sourcePortRange": "*"
  }
}

resource allowSSH 'Microsoft.Network/networkSecurityGroups/securityRules@2021-08-01' = {
  name: 'allowSSH'
  parent: MyNSGSymbolicName
  properties: {
    access: 'Allow'
    destinationAddressPrefix: '*'
    destinationPortRange: 'string'
    destinationPortRanges: [
      '22'
    ]
    direction: 'Inbound'
    priority: 1000
    protocol: 'TCP'
    sourceAddressPrefix: '208.130.28.4/32'
    sourcePortRange: '*'
  }
}

• VM Anda harus memiliki alamat IP publik. Untuk memeriksa apakah VM Anda memiliki alamat IP publik, pilih Ringkasan dari menu sebelah kiri dan lihat bagian Jaringan. Jika Anda melihat alamat IP di samping Alamat IP Publik, berarti VM Anda memiliki IP publik. Untuk mempelajari selengkapnya cara menambahkan alamat IP publik ke VM yang sudah ada, lihat Mengaitkan alamat IP publik ke mesin virtual

• Pastikan VM Anda berjalan. Di tab Ringkasan, pada bagian penting, verifikasi bahwa status VM sedang Berjalan. Untuk memulai VM, pilih Mulai di bagian atas halaman.

Autentikasi

Anda dapat mengautentikasi ke komputer Windows menggunakan nama pengguna dan kata sandi atau kunci SSH. Azure tidak mendukung provisi kunci publik ke komputer Windows secara otomatis, namun Anda dapat menyalin kunci menggunakan ekstensi RunCommand.

Ringkasan SSH dan kunci

SSH adalah protokol koneksi terenkripsi yang menyediakan rincian masuk aman melalui koneksi yang tidak aman. Penggunaan kata sandi dengan koneksi SSH tidak membuat VM aman dari serangan brute-force, meskipun SSH menyediakan koneksi terenkripsi. Sebaiknya sambungkan ke VM melalui SSH menggunakan pasangan kunci privat-umum, juga dikenal sebagai kunci SSH.

• Kunci umum ditempatkan di mesin virtual Anda.

• Kunci pribadi tetap ada di sistem lokal Anda. Lindungi kunci privat ini. Jangan dibagikan.

Saat Anda menggunakan klien SSH untuk tersambung ke mesin virtual Anda (yang memiliki kunci umum), mesin virtual jarak jauh menguji klien untuk memastikan klien memiliki kunci privat yang benar. Jika klien memiliki kunci privat, itu diberikan akses ke VM.

Bergantung pada kebijakan keamanan organisasi, Anda dapat menggunakan kembali satu pasangan kunci publik-privat untuk mengakses beberapa VM Azure dan layanan. Anda tidak memerlukan sepasang kunci terpisah untuk setiap VM atau layanan yang ingin Anda akses.

Kunci umum Anda dapat dibagikan dengan siapa saja, tetapi hanya Anda (atau infrastruktur keamanan lokal Anda) yang memiliki akses ke kunci privat Anda.

Format kunci SSH yang didukung

Azure saat ini mendukung jenis kunci berikut:

• Protokol SSH 2 (SSH-2) RSA (Rivest, Shamir, Adleman) dengan panjang minimum 2048 bit
• ED25519 Keys dengan panjang tetap 256 bit

Format kunci lain seperti Elliptic-curve Diffie–Hellman (ECDH) dan Elliptic Curve Digital Signature Algorithm (ECDSA) saat ini tidak didukung.

Salin kunci umum menggunakan ekstensi RunCommand.

Ekstensi RunCommand menyediakan solusi mudah untuk menyalin kunci umum ke komputer Windows dan memastikan file memiliki izin yang benar.

az vm run-command invoke -g $myResourceGroup -n $myVM --command-id RunPowerShellScript --scripts "MYPUBLICKEY | Add-Content 'C:\ProgramData\ssh\administrators_authorized_keys' -Encoding UTF8;icacls.exe 'C:\ProgramData\ssh\administrators_authorized_keys' /inheritance:r /grant 'Administrators:F' /grant 'SYSTEM:F'"

Invoke-AzVMRunCommand -ResourceGroupName $myResourceGroup -VMName $myVM -CommandId 'RunPowerShellScript' -ScriptString "MYPUBLICKEY | Add-Content 'C:\ProgramData\ssh\administrators_authorized_keys' -Encoding UTF8;icacls.exe 'C:\ProgramData\ssh\administrators_authorized_keys' /inheritance:r /grant 'Administrators:F' /grant 'SYSTEM:F'"

{
  "type": "Microsoft.Compute/virtualMachines/runCommands",
  "apiVersion": "2022-03-01",
  "name": "[concat(parameters('VMName'), '/RunPowerShellScript')]",
  "location": "[parameters('location')]",
  "properties": {
    "timeoutInSeconds":600
    "source": {
      "script": "MYPUBLICKEY | Add-Content 'C:\\ProgramData\\ssh\\administrators_authorized_keys -Encoding UTF8';icacls.exe 'C:\\ProgramData\\ssh\\administrators_authorized_keys' /inheritance:r /grant 'Administrators:F' /grant 'SYSTEM:F'"
    }
  }
}

resource runPowerShellScript 'Microsoft.Compute/virtualMachines/runCommands@2022-03-01' = {
  name: 'RunPowerShellScript'
  location: resourceGroup().location
  parent: virtualMachine
  properties: {
    timeoutInSeconds: 600
    source: {
      script: "MYPUBLICKEY | Add-Content 'C:\ProgramData\ssh\administrators_authorized_keys' -Encoding UTF8;icacls.exe 'C:\ProgramData\ssh\administrators_authorized_keys' /inheritance:r /grant 'Administrators:F' /grant 'SYSTEM:F'"
    }
  }
}

Menyambungkan menggunakan Az CLI

Sambungkan ke komputer Windows menggunakan perintah Az SSH.

az ssh vm  -g $myResourceGroup -n $myVM --local-user $myUsername

Anda juga dapat membuat terowongan jaringan untuk port TCP tertentu melalui koneksi SSH. Kasus penggunaan yang baik untuk ini adalah Desktop Jauh yang defaultnya adalah port 3389.

az ssh vm  -g $myResourceGroup -n $myVM --local-user $myUsername -- -L 3389:localhost:3389

Menyambungkan dari portal Azure

1. Buka portal Microsoft Azure untuk menyambungkan ke VM. Cari dan pilih Mesin virtual.
2. Pilih komputer virtual dari daftar.
3. Pilih Sambungkan dari menu sebelah kiri.
4. Pilih opsi yang sesuai dengan cara menyambungkan pilihan Anda. Portal membantu memancang Anda melalui prasyarat untuk menyambungkan.

Langkah berikutnya

Pelajari cara mentransfer file ke VM yang sudah ada, lihat Menggunakan SCP untuk memindahkan file ke dan dari VM.