Azure Stack Hub'da ayrıcalıklı uç noktayı kullanma

Azure Stack Hub operatörü olarak, günlük yönetim görevlerinin çoğu için yönetici portalı, PowerShell veya Azure Resource Manager API'lerini kullanmanız gerekir. Ancak, daha az yaygın bazı işlemler için Privileged Endpoint (PEP) kullanmanız gerekir. PEP, gerekli bir görevi gerçekleştirmenize yardımcı olacak yeterli özellik sunan önceden yapılandırılmış bir uzak PowerShell konsoludur. Uçbirim, yalnızca kısıtlı cmdletler kümesini kullanıma açmak için PowerShell JEA (Yeterli Yönetim) kullanır. PEP'ye erişmek ve kısıtlanmış cmdlet kümesini çağırmak için düşük ayrıcalıklı bir hesap kullanılır. Yönetici hesabı gerekmez. Ek güvenlik sağlamak amacıyla betik çalıştırma izni verilmez.

BU görevleri gerçekleştirmek için PEP'yi kullanabilirsiniz:

• tanılama günlüklerini toplama gibi alt düzey görevler.
• Dağıtımdan sonra Etki Alanı Adı Sistemi (DNS) ileticileri ekleme, Microsoft Graph tümleştirmesini ayarlama, Active Directory Federasyon Hizmetleri (AD FS) tümleştirmesi, sertifika döndürme vb. gibi tümleşik sistemler için birçok dağıtım sonrası veri merkezi tümleştirme görevi.
• Tümleşik bir sistemin ayrıntılı sorunlarını giderme amacıyla geçici, üst düzey erişim elde etmek üzere destek personeliyle çalışmak.

PEP, PowerShell oturumunda gerçekleştirdiğiniz her eylemi (ve buna karşılık gelen çıktısını) günlüğe kaydeder. Bu, işlemlerin tam saydamlığını ve tam denetimini sağlar. Bu günlük dosyalarını gelecekteki denetimler için saklayabilirsiniz.

Ayrıcalıklı uç noktaya erişme

PEP'yi barındıran sanal makinede (VM) uzak bir PowerShell oturumu aracılığıyla PEP'ye erişebilirsiniz. ASDK'de bu VM AzS-ERCS01olarak adlandırılır. Tümleşik bir sistem kullanıyorsanız, her biri farklı konaklarda çalışan üç PEP örneği bulunmaktadır, her biri dayanıklılık için bir Sanal Makine içinde çalışmaktadır (Ön Ek-ERCS01, Ön Ek-ERCS02 veya Ön Ek-ERCS03).

Tümleşik bir sistem için bu yordama başlamadan önce, PEP'ye IP adresiyle veya DNS aracılığıyla erişebildiğinizden emin olun. Azure Stack Hub'ın ilk dağıtımından sonra, DNS tümleştirmesi henüz ayarlanmamış olduğundan PEP'ye yalnızca IP adresiyle erişebilirsiniz. OEM donanım satıcınız, PEP IP adreslerini içeren AzureStackStampDeploymentInfo adlı bir JSON dosyası sağlar.

IP adresini Azure Stack Hub yönetici portalında da bulabilirsiniz. Portalı açın; örneğin, https://adminportal.local.azurestack.external. bölge yönetimi>özellikleriniseçin.

Ayrıcalıklı uç noktayı çalıştırdığınızda geçerli kültürünüzü en-US olarak ayarlamanız gerekir, aksi takdirde Test-AzureStack veya Get-AzureStackLog gibi cmdlet'ler beklendiği gibi çalışmaz.

1. Güveni sağlayın.

   • Tümleşik bir sistemde, yükseltilmiş bir Windows PowerShell oturumundan aşağıdaki komutu çalıştırarak Donanım Yaşam Döngüsü Konağında veya Privileged Access İstasyonunda çalışan sağlamlaştırılmış VM'de PEP'yi güvenilir bir konak olarak ekleyin.

     Set-Item WSMan:\localhost\Client\TrustedHosts -Value '<IP Address of Privileged Endpoint>' -Concatenate
     

   • ASDK'yi çalıştırırsanız geliştirme seti ana bilgisayarında oturum açın.

2. Donanım yaşam döngüsü ana bilgisayarında veya Privileged Access İş İstasyonu'nda çalışan sağlamlaştırılmış VM'de bir Windows PowerShell oturumu açın. PEP'yi barındıran VM'de uzak oturum oluşturmak için aşağıdaki komutları çalıştırın:

   • Tümleşik bir sistemde:

     $cred = Get-Credential
     
     $pep = New-PSSession -ComputerName <IP_address_of_ERCS> -ConfigurationName PrivilegedEndpoint -Credential $cred -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
     Enter-PSSession $pep
     

     ComputerName parametresi, PEP'yi barındıran VM'lerden birinin IP adresi veya DNS adı olabilir.

     Not

     Azure Stack Hub, PEP kimlik bilgileri doğrulanırken uzaktan çağrı yapmaz. Bunu yapmak için yerel olarak depolanan bir RSA ortak anahtarına dayanır.

   • ASDK'yi çalıştırırsanız:

     $cred = Get-Credential
     
     $pep = New-PSSession -ComputerName azs-ercs01 -ConfigurationName PrivilegedEndpoint -Credential $cred -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
     Enter-PSSession $pep
     

   İstendiğinde aşağıdaki kimlik bilgilerini kullanın:

   • Kullanıcı adı: CloudAdmin hesabını, <Azure Stack Hub etki alanı>\cloudadminbiçiminde belirtin.
   • Parola: AzureStackAdmin etki alanı yönetici hesabı için yükleme sırasında sağlanan parolayı girin.

   Not

   ERCS uç noktasına bağlanamıyorsanız, bir ve iki adımı başka bir ERCS VM IP adresiyle yeniden deneyin.

   Uyarı

   Varsayılan olarak, Azure Stack Hub damganız yalnızca bir CloudAdmin hesabıyla yapılandırılır. Hesap kimlik bilgileri kaybolur, tehlikeye girer veya kilitlenirse kurtarma seçeneği yoktur. Ayrıcalıklı uç noktaya ve diğer kaynaklara erişimi kaybedersiniz.

   Kendi masraflarınızla damganızın yeniden dağıtımını önlemek için ek CloudAdmin hesapları oluşturmanız şiddetle tavsiye edilir. Bu kimlik bilgilerini şirketinizin yönergelerine göre belgelediğinizden emin olun.

3. Bağlandıktan sonra, istem [IP adresi veya ERCS VM adı]: PS veya ortama bağlı olarak [azs-ercs01]: PSolarak değişir. Buradan, kullanılabilir cmdlet'lerin listesini görüntülemek için Get-Command çalıştırın.

   cmdlet'ler için referans Azure Stack Hub ayrıcalıklı uç nokta referansı

   Bu cmdlet'lerin çoğu yalnızca tümleşik sistem ortamlarına (veri merkezi tümleştirmesi ile ilgili cmdlet'ler gibi) yöneliktir. ASDK'de aşağıdaki cmdlet'ler doğrulanmıştır:

   • Clear-Host
   • Ayrıcalıklı Bitir Noktası Kapalı
   • PSSession'dan Çık
   • Get-AzureStackLog komutunu çalıştırın
   • Get-AzureStackStampInformation
   • Get-Command
   • Biçim Verilerini Al
   • Yardım Al
   • Üçüncü Taraf Bildirimlerini Al
   • Measure-Object
   • New-CloudAdminUser
   • Out-Default
   • BulutYöneticiKullanıcısınıKaldır
   • Nesne Seç
   • Set-CloudAdminUserPassword
   • Test-AzureStack
   • AzureStack'ı Durdur
   • Get-ClusterLog

Ayrıcalıklı uç noktayı kullanma

Yukarıda belirtildiği gibi, PEP PowerShell JEA uç noktasıdır. Güçlü bir güvenlik katmanı sağlarken JEA uç noktası betik oluşturma veya sekme tamamlama gibi temel PowerShell özelliklerinden bazılarını azaltır. Herhangi bir tür betik işlemi denerseniz, işlem ScriptsNotAllowedhatasıyla başarısız olur. Bu hata beklenen bir davranıştır.

Örneğin, belirli bir cmdlet'in parametrelerinin listesini almak için aşağıdaki komutu çalıştırın:

    Get-Command <cmdlet_name> -Syntax

Alternatif olarak, Import-PSSession cmdlet'ini kullanarak tüm PEP cmdlet'lerini yerel makinenizdeki geçerli oturuma aktarabilirsiniz. PEP'in cmdlet'leri ve işlevleri, sekme tamamlama özelliği ve daha genel olarak betik yazma ile birlikte artık yerel makinenizde kullanılabilir. Cmdlet yönergelerini gözden geçirmek için Get-Help modülünü de çalıştırabilirsiniz.

Yerel makinenizde PEP oturumunu içeri aktarmak için aşağıdaki adımları uygulayın:

1. Güveni sağlayın.

   • Tümleşik bir sistemde, yükseltilmiş haklara sahip bir Windows PowerShell oturumundan aşağıdaki komutu çalıştırarak PEP'yi donanım yaşam döngüsü konağı üzerinde veya Privileged Access Workstation'dan çalıştırılan sağlamlaştırılmış bir VM'de güvenilir bir konak olarak ekleyin.

     winrm s winrm/config/client '@{TrustedHosts="<IP Address of Privileged Endpoint>"}'
     

   • ASDK'yi çalıştırıyorsanız geliştirme seti ana bilgisayarında oturum açın.

2. Donanım yaşam döngüsü ana bilgisayarında veya Privileged Access İş İstasyonu'nda çalışan sağlamlaştırılmış VM'de bir Windows PowerShell oturumu açın. PEP'yi barındıran sanal makinede uzak oturum oluşturmak için aşağıdaki komutları çalıştırın:

   • Tümleşik bir sistemde:

     $cred = Get-Credential
     
     $session = New-PSSession -ComputerName <IP_address_of_ERCS> `
        -ConfigurationName PrivilegedEndpoint -Credential $cred `
        -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
     

     ComputerName parametresi, PEP'yi barındıran VM'lerden birinin IP adresi veya DNS adı olabilir.

   • ASDK çalıştırıyorsanız:

     $cred = Get-Credential
     
     $session = New-PSSession -ComputerName azs-ercs01 `
        -ConfigurationName PrivilegedEndpoint -Credential $cred `
        -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
     

   İstendiğinde aşağıdaki kimlik bilgilerini kullanın:

   • Kullanıcı adı: CloudAdmin hesabını, <Azure Stack Hub etki alanı>\cloudadminbiçiminde belirtin. (ASDK için kullanıcı adı azurestack\cloudadmin.)

   • Parola: AzureStackAdmin etki alanı yönetici hesabı için yükleme sırasında sağlanan parolayı girin.

3. PEP oturumunu yerel makinenize aktarın:

   Import-PSSession $session
   

4. Artık Azure Stack Hub'ın güvenlik duruşunu azaltmadan, pep'nin tüm işlevleri ve cmdlet'leriyle yerel PowerShell oturumunuzda her zamanki gibi sekme tamamlama özelliğini kullanabilir ve betik oluşturabilirsiniz. Afiyet olsun!

Ayrıcalıklı uç nokta oturumunu kapat

Daha önce belirtildiği gibi, PEP, PowerShell oturumunda gerçekleştirdiğiniz her eylemi (ve buna karşılık gelen çıktıyı) kaydeder. Close-PrivilegedEndpoint cmdlet'ini kullanarak oturumu kapatmanız gerekir. Bu cmdlet uç noktayı doğru bir şekilde kapatır ve günlük dosyalarını saklama için bir dış dosya paylaşımına aktarır.

Uç nokta oturumunu kapatmak için aşağıdaki adımları izleyin:

1. PEP tarafından erişilebilen bir dış dosya paylaşımı oluşturun. Geliştirme seti ortamında, geliştirme seti ana bilgisayarında bir dosya paylaşımı oluşturabilirsiniz.

2. Aşağıdaki cmdlet'i çalıştırın:

   Close-PrivilegedEndpoint -TranscriptsPathDestination "\\fileshareIP\SharedFolder" -Credential Get-Credential
   

   cmdlet'i aşağıdaki tabloda yer alan parametreleri kullanır:

   Parametre	Açıklama	Tür	Gerekli
   TranscriptsPathDestination	"fileshareIP\sharefoldername" olarak tanımlanan dış dosya paylaşımının yolu	Dizgi	Evet
   Kimlik Bilgileri	Dosya paylaşımına erişmek için kimlik bilgileri	Güvenli Dize	Evet

Transkript günlük dosyaları dosya paylaşımına başarıyla aktarıldıktan sonra PEP'den otomatik olarak silinir.

Destek senaryoları için ayrıcalıklı uç noktanın kilidini açma

Bir destek senaryosu sırasında, Microsoft destek mühendisinin Azure Stack Hub altyapısının iç bileşenlerine erişmek için ayrıcalıklı uç nokta PowerShell oturumunu yükseltmesi gerekebilir. Bu işlem bazen "camı kır" veya "PEP kilidini aç" olarak adlandırılır. PEP oturumu yükseltme işlemi iki adımdır, iki kişi, iki kuruluş kimlik doğrulama işlemidir. Kilit açma yordamı, ortamlarının denetimini her zaman koruyan Azure Stack Hub operatörü tarafından başlatılır. işleci PEP'ye erişir ve şu cmdlet'i yürütür:

     Get-SupportSessionToken

Cmdlet, çok uzun bir alfasayısal dize olan destek oturumu isteği belirtecini döndürür. Operatör daha sonra istek belirtecini tercih ettikleri bir ortam (ör. sohbet, e-posta) aracılığıyla Microsoft destek mühendisine geçirir. Microsoft destek mühendisi istek belirtecini kullanarak geçerliyse bir destek oturumu yetkilendirme belirteci oluşturur ve bunu Azure Stack Hub operatörüne geri gönderir. Aynı PEP PowerShell oturumunda, operatör yetkilendirme belirtecini bu cmdlet'e girdi olarak geçirir.

      unlock-supportsession
      cmdlet Unlock-SupportSession at command pipeline position 1
      Supply values for the following parameters:
      ResponseToken:

Yetkilendirme belirteci geçerliyse, PEP PowerShell oturumu altyapıya tam yönetici özellikleri ve tam erişim sağlayarak yükseltilir.

Destek oturumu sonlandırıldıktan sonra, yukarıdaki bölümde açıklandığı gibi Close-PrivilegedEndpoint cmdlet'ini kullanarak yükseltilmiş PEP oturumunu kapatmak çok önemlidir. PEP oturumu sonlandırıldığında, kilit açma belirteci artık geçerli değildir ve PEP oturumunun kilidini tekrar açmak için kullanılamaz. Yükseltilmiş BIR PEP oturumu 8 saatlik bir geçerliliğe sahiptir, bundan sonra sonlandırılmazsa yükseltilmiş PEP oturumu otomatik olarak normal bir PEP oturumuna geri kilitlenir.

Ayrıcalıklı uç nokta belirteçlerinin içeriği

PEP destek oturumu isteği ve yetkilendirme belirteçleri, erişimi korumak ve YALNıZCA yetkili belirteçlerin PEP oturumunun kilidini açabilmesini sağlamak için şifrelemeden yararlanıyor. Belirteçler, bir yanıt belirtecinin yalnızca istek belirtecini oluşturan PEP oturumu tarafından kabul edilebileceğini şifrelemek için tasarlanmıştır. PEP belirteçleri, Azure Stack Hub ortamını veya müşteriyi benzersiz olarak tanımlayacak herhangi bir bilgi içermez. Tamamen anonimdirler. Her belirtecin içeriğinin ayrıntıları aşağıda verilmiştir.

Destek oturumu isteği jetonu

PEP destek oturumu istek belirteci üç nesneden oluşur:

• Rastgele oluşturulan oturum kimliği.
• Kendi kendine imzalanan, tek seferlik ortak/özel anahtar çifti oluşturulması amacıyla oluşturulan sertifika. Sertifika, ortamla ilgili herhangi bir bilgi içermiyor.
• İstek belirtecinin son kullanma tarihini gösteren zaman damgası.

İstek belirteci daha sonra Azure Stack Hub ortamının kayıtlı olduğu Azure bulutunun ortak anahtarıyla şifrelenir.

Destek oturumu için yetkilendirme yanıt belirteci

PEP destek yetkilendirmesi yanıt belirteci iki nesneden oluşur:

• İstek belirtecinden ayıklanan rastgele oluşturulan oturum kimliği.
• Yanıt belirtecinin süre sonunu gösteren zaman damgası.

Yanıt belirteci daha sonra istek belirtecinde bulunan otomatik olarak imzalanan sertifikayla şifrelenir. Otomatik olarak imzalanan sertifikanın şifresi, Azure Stack Hub ortamının kayıtlı olduğu Azure bulutuyla ilişkilendirilmiş özel anahtarla çözülmüş.

Sonraki adımlar

• Azure Stack Hub tanılama araçları
• Azure Stack Hub ayrıcalıklı uç nokta referansı