您需要為位於沒有公用 IP 或入站防火牆漏洞的私有網路上的 Arc-enabled Linux 伺服器提供管理員 SSH 存取。存取必須使用 Azure AD 驗證和短期憑證。您應該怎麼做？

正確答案是將 Azure Arc SSH 擴充功能部署到 Linux 伺服器，確保 OpenSSH 正在執行，授予使用者 Azure Connected Machine SSH 角色，並讓他們使用 az ssh arc 進行連線。這是因為 Azure Arc SSH 擴充功能專為透過 Azure AD 驗證和短期憑證，安全地從 Azure 管理平面存取 Arc 啟用伺服器而設計，即使伺服器沒有公用 IP。此方法避免了防火牆漏洞，並提供了強大的驗證。 設定站台對站台 VPN 並在每台伺服器上開放連接埠 22 不符合使用 Azure AD 驗證和短期憑證的要求，且開放連接埠 22 增加了潛在的攻擊面。直接在內部部署伺服器上啟用 Microsoft Defender for Cloud 中的 Just-In-Time VM 存取不適用於 Arc 啟用伺服器，且主要用於 Azure VM。安裝 Azure Bastion 服務並將其連接到內部部署網路，而無需 Arc，雖然可以提供安全存取，但它沒有利用 Arc 的整合功能來進行 Azure AD 驗證和短期憑證，並且需要額外的網路設定。