摘要：若要将零信任原则应用于 Azure 虚拟机，必须使用专用资源组配置逻辑隔离、利用基于角色的访问控制 (RBAC)、安全虚拟机启动组件、启用客户管理的密钥和双重加密、控制已安装的应用程序、配置虚拟机的安全访问和维护，以及启用高级威胁检测和保护。

本文提供将零信任原则应用于 Azure 中的虚拟机的步骤：

本文是系列文章中的一篇，旨在演示如何在 Azure 环境中应用零信任原则，该环境包括托管基于虚拟机的工作负载的分支虚拟网络 (VNet)。 有关概述，请参阅将零信任原则应用于 Azure 基础结构。

虚拟机的零信任原则应用于整个逻辑体系结构，从租户和目录级别一直到每个虚拟机中的数据和应用层。

下图显示了逻辑体系结构的组件。

在此图中：

本文将介绍了如在此逻辑体系结构中应用零信任原则的步骤。

首先隔离专用资源组中的虚拟机。 你可根据用途、数据分类和治理要求将虚拟机隔离到不同的资源组，例如一些虚拟机需要控制权限和监视。

你可使用专用资源组设置应用于资源组中所有虚拟机的策略和权限。 然后，你可以使用基于角色的访问控制 (RBAC) 创建对资源组中包含的 Azure 资源的最低特权访问权限。

有关详创建和管理资源组的细信息，请参阅使用 Azure 门户管理 Azure 资源组。

首次创建虚拟机时，将虚拟机分配给资源组，如下所示。

零信任需要配置最低权限访问。 为此，你需要根据用户的角色、工作负载和数据分类，使用实时和恰到足的访问权限 (JIT/JEA) 来限制用户访问。

以下内置角色通常用于虚拟机访问：

如要将虚拟机加入 VNet，可使用自定义权限 Microsoft.Network/virtualNetworks/subnets/join/action 创建自定义角色。

当此自定义角色与托管标识和条件访问策略一起使用时，可以使用设备状态、数据分类、异常、位置和标识来强制实施多重身份验证，并根据已验证的信任精细地允许访问。

若要将控制范围扩展到系统之外，并允许具有 Microsoft Intelligent Security Graph 的 Microsoft Entra ID 租户支持安全访问，请转到虚拟机的“管理”刀片并启用“系统分配的托管标识”，如下所示。

注意

此功能仅适用于使用基于证书访问的 Azure 虚拟桌面、Windows Server 2019、Windows 10 和 Linux 发行版。

执行以下步骤：

通过增强的虚拟机部署，你可选择安全类型，并在创建虚拟机时使用安全启动和 vTPM，如下所示。

使用客户管理的密钥和双重加密可确保磁盘被导出后，无法读取或无法正常工作。 通过确保密钥私有，并且磁盘经双重加密，可防止尝试提取磁盘信息的违规行为。

有关如何使用 Azure Key Vault 配置客户管理的加密密钥的信息，请参阅使用 Azure 门户为托管磁盘启用使用客户管理的密钥进行服务器端加密。 使用 Azure Key Vault 会产生额外的费用。

启用 Azure 磁盘存储的服务器端加密：

在主机上启用服务器端加密，以便对虚拟机数据进行端到端加密。

完成这些过程后，可以使用客户管理的加密密钥来加密虚拟机中的磁盘。

你可在磁盘边栏选项卡上为虚拟机配置选择加密类型。 对于加密类型，请选择此处的通过平台管理的密钥和客户管理的密钥进行双重加密。

控制安装在虚拟机上的应用程序非常重要：

你可使用虚拟机应用程序功能来控制安装在虚拟机上的应用程序。 你可使用此功能，选择要安装的虚拟机应用程序。 该功能使用 Azure Compute Gallery 来简化虚拟机应用程序的管理。 与 RBAC 一起使用时，你可确保用户只能使用受信任的应用程序。

你可在虚拟机配置的高级边栏选项卡上选择虚拟机应用程序，如下所示。

配置安全访问，你需要：

在图中：

首先，请确保 Azure 环境中的组件之间的通信是安全的。

在参考体系结构中，Azure Bastion 提供与虚拟机的安全连接。 Azure Bastion 充当 RDP/SSH 代理，不会与物理系统的 RDP 协议进行交互。 这也使你可减少面向公众的 IP 地址的数量。

下图显示了虚拟机的安全通信组件。

在步骤 2 中利用基于角色的访问控制，你配置了 Microsoft Entra 集成和托管标识。 这样，就可以为 Azure 虚拟桌面设置 Azure 多重身份验证，或者为运行 Windows Server 2019 或更高版本的服务器设置。 你还可使用 Microsoft Entra 凭证登录到 Linux VM。 这样做的额外好处是，连接到虚拟机的计算机也必须注册到 Microsoft Entra ID 租户才允许进行连接。

配置带有条件访问的多重身份验证和相关策略时，请使用为零信任设置的建议策略作为指南。 这包括无需管理设备的起点策略。 理想情况下，访问虚拟机的设备是托管的，你可以实施建议零信任的企业策略。 有关详细信息，请参阅常见零信任标识和设备访问策略。

下图显示了建议的零信任策略。

请记住，用户名和密码 100% 会泄露。 使用多重身份验证可将泄露的风险降低 99.9%。 这需要 Microsoft Entra ID P1 许可证。

注意

你也可以使用用于连接到 Azure 中的虚拟机的 VPN。 但是，你要确保使用方法能够显式地进行验证。 只要创建了一个“受信任”的隧道，无论使用哪种隧道都会比具有高度验证的特定连接的风险更大。

如果你不是来自受信任、经过验证且安全的来源，那么网络、传输或应用层的安全性再高也没有意义。

使用特权访问工作站 (PAW) 确保访问虚拟机的设备正常运行。 PAW 专门为特权访问配置，以便管理员使用具有以下功能的设备：

有关部署选项的详细信息，请参阅特权访问部署。

虚拟机的安全维护包括：

反恶意软件有助于保护你的虚拟机免受恶意文件和广告软件等威胁。你可使用来自 Microsoft、Symantec、Trend Micro 和 Kaspersky 等供应商的反恶意软件。

Microsoft 反恶意软件是一种免费资源，可提供实时保护功能，以帮助检测、隔离和根除恶意软件、间谍软件和病毒：

自动更新系统可确保它们免受最新的恶意软件和错误配置攻击。 在受信任的平台验证过程中，会在帮助下自动进行更新。

针对 Azure 虚拟机进行维护和更新，以确保系统针对配置不安全因素进行强化：

更新管理支持的操作系统包括：

请参阅下文中的附加指南：

Azure 基础结构的威胁防护由 Microsoft Defender for Cloud 提供。 预配 Microsoft Defender for Servers 时，此保护将扩展到虚拟机，如下图所示。

在图中：

高级威胁防护基于 Microsoft 威胁情报验证虚拟机上发生的活动。 它用于查找表明可能存在违规的特定配置和活动。 它可实现“显式验证”和“假定数据泄露”零信任原则。

Microsoft Defender for Servers 包含以下内容：

开始>

有关 Azure 的更多培训，请参阅完整的 Microsoft 目录： 浏览全部内容 - 培训 | Microsoft Learn

开始>

有关 Azure 中虚拟机的更多培训，请参阅 Microsoft 目录中的以下资源： Azure 虚拟机 | Microsoft Learn

请参阅以下有关将零信任原则应用于 Azure 的其他文章：

此海报提供 Azure IaaS 组件的单页概览视图作为参考体系结构和逻辑体系结构，以及确保对这些组件应用了零信任模型的“永不信任，始终验证”原则所需的步骤。

相关解决方案指南

此海报提供适用于 Azure IaaS 的零信任单独组件的参考和逻辑体系结构以及详细配置。 将此海报的各页面用于单独的 IT 部门或专业，或者与 Microsoft Visio 版本的文件一起使用，针对基础结构自定义关系图。

相关解决方案指南

有关其他技术插图，请单击此处。