本文介绍如何使用 Azure Bastion 创建到 Windows 虚拟机的安全 RDP 连接。 可以通过 Azure 门户（基于浏览器）、指定 IP 地址或使用本地 Windows 计算机上的本机客户端进行连接。 使用 Azure Bastion 时，虚拟机不需要客户端、代理或其他软件。 Azure Bastion 安全地连接到虚拟网络中的所有虚拟机，而无需向公共 Internet 公开 RDP/SSH 端口。 有关详细信息，请参阅 什么是 Azure Bastion？
有关使用 Azure CLI 的本机客户端连接（包括 SSH 和隧道），请参阅 使用本机客户端连接到 VM。 若要使用 SSH 连接到 Windows 虚拟机，请参阅 创建与 Windows VM 的 SSH 连接。
下图显示了使用 RDP 连接的专用部署体系结构。
先决条件
在开始之前，请验证是否满足以下条件：
Azure Bastion 主机可以部署在虚拟机所在的虚拟网络中，也可以部署在与之对等互连的虚拟网络中。 若要设置 Bastion 主机，请参阅 创建堡垒主机。 所需的 SKU 取决于连接方法：
连接方法 最小 SKU 其他配置 Azure 门户（浏览器） 基本 没有 具有自定义端口的 Azure 门户 标准 没有 基于 IP 的连接 标准 已启用基于 IP 的连接 本机客户端 （RDP） 标准 已启用本机客户端支持 通过 RDP 进行连接的用户必须在目标虚拟机上拥有权限。 如果用户不是本地管理员，请将其添加到 远程桌面用户组 。
默认情况下，Azure Bastion 使用 RDP 端口 3389。 自定义端口需要 标准 SKU 或更高版本。 若要升级，请参阅 升级 SKU。
虚拟网络中的 Windows 虚拟机（或可从虚拟网络访问 基于 IP 的连接）。
所需角色：
- 虚拟机上的读者角色。
- 具有虚拟机 IP 的 NIC 上的读取者角色。
- Azure Bastion 资源的读取者角色。
- 目标虚拟机的虚拟网络上的读取者角色（如果 Bastion 部署位于对等虚拟网络中）。
- 虚拟机管理员登录或虚拟机用户登录角色（仅Microsoft Entra ID 身份验证所必需的）。
有关其他要求，请参阅 Azure Bastion FAQ。
身份验证方法
以下身份验证方法可用于通过 Azure Bastion 建立 RDP 连接。 选择身份验证方法以查看相应的步骤。
| 身份验证方法 | 支持的连接方法 | 最小 SKU |
|---|---|---|
| Microsoft Entra ID （预览版）]（bastion-entra-id-authentication.md） （RDP 预览版） | Azure 门户，本机客户端 | 基本（门户）、标准版（本机客户端） |
| 用户名和密码 | Azure 门户，IP 地址（门户），本机客户端 | 基本（门户）、标准（IP 地址、本机客户端） |
| Kerberos | Azure 门户 | 基本 |
使用 RDP 连接到虚拟机
选择连接方法以查看相应的步骤。 导航到 Bastion 连接页后，选择 身份验证方法。
使用 Azure 门户创建与 Windows 虚拟机的基于浏览器的 RDP 连接。 此方法直接通过浏览器进行连接。 你的电脑不需要原生 RDP 客户端或其他额外软件。 需要基础 SKU 或更高版本，如果您需要自定义端口，则需要标准 SKU。
在 Azure 门户中，选择虚拟机。 在左窗格中选择 “连接”，然后选择 “Bastion”。
在“ 连接设置 ”选项卡中，选择 RDP 作为协议，如果将其从默认值 3389 更改，请输入端口号。
选择您的身份验证方法。 推荐 Microsoft Entra ID （预览版）。 有关其他选项，请参阅 身份验证方法。
- 选择 “连接 ”以在新浏览器选项卡中打开与虚拟机的 RDP 连接。
注意
有关故障排除提示，请参阅RDP 连接的故障排除和排查 Azure 或启用了 Arc 的 Windows 服务器上 Microsoft Entra 登录问题。
局限性
基于 IP 的连接： 基于 IP 的连接不适用于通过 VPN 强制隧道，或者通过 ExpressRoute 线路播发默认路由时。 Azure Bastion 需要访问 Internet，并且强制隧道转发或默认路由发布会导致流量被黑洞化。
基于 IP 的连接： Bastion 子网不支持 UDR，包括基于 IP 的连接。
基于 IP 的连接： 通过基于 IP 的连接的本机客户端连接到虚拟机时，目前不支持自定义端口和协议。
Microsoft Entra ID： Microsoft基于 IP 的 RDP 连接不支持 Entra 身份验证。 通过本机客户端建立基于 IP 的 SSH 连接确实支持 Entra ID 身份验证。 有关 Entra ID 身份验证的详细信息，请参阅 “关于Microsoft Entra ID 身份验证”。
会话录制： 门户中的 RDP + Entra ID 身份验证不能与 图形会话录制同时使用。
后续步骤
- 使用 SSH 连接到 Windows VM
- 什么是 Azure Bastion？
- 为基于标识的访问配置Microsoft Entra ID 身份验证。
- 为已加入域的虚拟机配置 Kerberos 身份验证。
- 使用本机客户端将文件传输到虚拟机。
- 为没有 Azure 门户访问权限的用户配置可共享链接。
- Azure Bastion 常见问题解答