Ein Finanzteam bei Mercury Systems möchte Just-in-Time (JIT) VM-Zugriff für eine Reihe von Windows-VMs nutzen. Sie verlangen, dass RDP (TCP 3389) nur für genehmigte öffentliche IP-Adressen von Ingenieuren für maximal 2 Stunden pro Zugriffsanfrage geöffnet wird und dass nur Port 3389 geöffnet wird. Wie sollte JIT im Azure Security Center (Defender) konfiguriert werden, um diese Einschränkungen zu erfüllen?

Die korrekte Option beschreibt genau die Konfiguration von JIT-VM-Zugriff in Azure Security Center (jetzt Defender for Cloud), um alle Anforderungen zu erfüllen. JIT ermöglicht die zeitlich begrenzte Öffnung spezifischer Ports von genehmigten Quell-IP-Adressen. Die Einstellung der zulässigen Quell-IP-Bereiche auf die öffentlichen IPs der Ingenieure, die Beschränkung auf TCP 3389 und die maximale Anforderungszeit von 2 Stunden entsprechen den Vorgaben. Ein Genehmigungsworkflow stellt sicher, dass der Zugriff nur nach Freigabe erfolgt. Die anderen Optionen sind ungeeignet: Eine manuelle NSG-Regel mit Azure Automation ist keine JIT-Lösung und erfüllt nicht den Bedarf an einem Genehmigungsworkflow. Eine Wildcard-Quelle (0.0.0.0/0) für JIT ist unsicher und widerspricht der Anforderung, den Zugriff auf spezifische Ingenieur-IPs zu beschränken. Azure Bastion ist eine Alternative für sicheren Zugriff, aber die Frage fordert explizit die Nutzung von JIT im Azure Security Center.