Azure Bastionとは

Azure Bastionとは、仮想マシン(VM)への安全な接続確立を実現するサービスとなっています。いわゆる、踏み台サーバーとしての役割を持ち、RDPやSSHで接続可能です。

踏み台サーバーとしての役割を持つことから、Azure Bastionを用いることで、システム上にある多くのサーバーへの接続経路を一元化できるため、クラウド上のサーバーに対する不正な接続を遮断し、漏れなくアクセス監査が可能となります。

これにより、「いつ、誰が、どこからアクセスしたか」を定期的にチェックできるので、不正アクセスのリスクを減らせるメリットなどがあります。

従量課金制で、2種類のSKU（Basic・Standard）が存在する

Azure Bastionには、BasicとStandardという2種類のSKUが存在し、Bastionのインスタンス数がBasicは1つ、Standardは2～50個と異なります。
なお、インスタンス数は、同時接続数の考慮や性能監視の観点で、増やすケースがあります。
また、SKU別に機能面では以下表のような違いがあります。

	Basic SKU	Standard SKU
ピアリングされた仮想ネットワーク内のターゲット VM に接続する	利用可能	利用可能
Azure Key Vault (AKV) で Linux VM のプライベートキーにアクセスする	利用可能	利用可能
ホストのスケーリング	該当なし	利用可能
カスタム受信ポートの指定	該当なし	利用可能
RDPを使用したLinux VMへの接続	該当なし	利用可能
SSHを使用したWindows VMへの接続	該当なし	利用可能

参照：https://github.com/MicrosoftDocs/azure-docs.ja-jp/blob/master/includes/bastion-sku.md

さらに、Azure Bastionは従量課金制で、本記事執筆時点では以下の価格となっています。

参照：Azure Bastionの価格

Standardの方が値段が高いのは機能的にももちろんそうなのですが、Standardのインスタンス数は2台からなので、数を増やしたい場合はStanadardで増やした方が安上がりになりますね。
ちなみに、Azure Bastionは設定する際に、NSGの設定方法など厄介な箇所がありますが、以下の記事などがとてもよくまとまっていて参考になります。

Bastion のサブネットに適用する NSG の設定例
https://jpaztech.github.io/blog/network/bastion-nsg/

Azure Bastion経由でターゲットVMにファイルをアップロードする

では、今回の本題です。
2021年11月より、Azure Bastionのネイティブクライアントに関するアップデートが頻繁に報告されており、2022年の3月よりAzure BastionのStandard SKUにてWindowsのRDP、SSHクライアントによる接続がGAになりました。

簡単に図で表すと、Azure Files等他サービスを使用する必要なく、以下経路にてファイル共有が可能になっています。

ということで、さっそく試してみます。手順は以下となります。

ファイルアップ対象VM構築
Azure Bastionを作成
ターゲットVMへの接続・ファイルアップ・ダウンロード

では、1つずつ解説します。

1. ファイルアップ対象VM構築

VM構築については、特に指定もないので、こちらの記事あたりを参考に構築してください。

2. Azure Bastionを作成

こちらは公式ドキュメントに則って、設定を進めます。
まずは、Azure Bastionページの作成より必要情報を入力してBastionの作成を進めます。
設定時の注意点としては、以下2点です。

① インスタンスレベルは「Standard」を選択

基本タグより、インスタンスのレベルはStandardを選んでください。

② Bastionの機能として、「コピー/貼り付け」「ネイティブクライアントサポート」を選択

詳細設定タグより、Bastionの機能としてコピー/貼り付けとネイティブクライアントサポートを選択してください。

他には、パラメータやネットワークの設定等が必要になりますが、こちらの記事等を参考にして作成してください。およそ5分ぐらい待つと、デプロイも完了して、Bastionが起動します。

3. ターゲットVMへの接続・ファイルアップ・ダウンロード

次に、ネイティブクライアントからVMへの接続を試していきます。
:::note warn
事前にAzure CLIは使えるように準備が必要です）
:::
以下コマンドより、正しく設定が出来ていれば、パスワードを入力すればターゲットVMへ接続ができるはずです！

# RDP
az network bastion rdp --name "<BastionName>" --resource-group "<ResourceGroupName>" --target-resource-id "<VMResourceId>"
# SSH
az network bastion ssh --name "<BastionName>" --resource-group "<ResourceGroupName>" --target-resource-id "<VMResourceId>"

これで、接続はできるはずです！

続いて、ファイルアップを試してみます。RDPの場合は、上記のaz network bastion rdpコマンドを使用してVMに接続した後、右クリックからコピー＆ペーストでアップロードおよびダウンロードが可能です。
一方で、SSHの場合は、az network bastion tunnelコマンドを使用して、VMへのトンネルを開く必要があります。

az network bastion tunnel --name "<BastionName>" --resource-group "<ResourceGroupName>" --target-resource-id "<VMResourceId>" --resource-port "<TargetVMPort>" --port "<LocalMachinePort>"

次に、上記で使用したコマンドとは別コマンドより、トンネル経由でファイルのアップロードを実施します。下記コマンドを実行することで、ローカルPCに保存されているファイルを簡単にターゲットVMにアップロードできます。

scp -P <LocalMachinePort> <local machine file path> <username>@127.0.0.1:<target VM file path>

これで、ファイルのアップロードが実施できます。

しかし、残念ながら、公式ドキュメントに以下の記載がありました。。

現状、RDPではコピペでファイルのアップロードもダウンロードも可能なようですが、SSHではまだダウンロードはサポートされていないようです。
今後のアップデートに期待ですね。

まとめ

今回、Azure Bastionからネイティブクライアントでファイル転送できるか試してみました。
RDPとSSHで機能にズレ（SSHではダウンロードがサポートされていない）があるのは少々気になりますが、Bastion作成時の設定さえ気を付ければ、比較的簡単にファイルアップ可能な環境を作れるようになったのは魅力的ですね。

一方で、Bastion経由では簡単にローカルPCからアップロード・ダウンロードが可能になったため、ファイル管理が厳重なプロジェクトなどでは、インスタンスレベルやBastionでの設定変更可能な権限の確認等の注意が必要ですね。