※本記事は、個人の意見および個人的活動を記したものであり、会社を代表するものではありません

1. Bastionへのアクセス制限の１つとして、接続元を制限する

Bastionへのアクセスを制限する方法はいくつかあるが、わかりやすいのはアクセス元のIPを制限する方法。今回はそれを設定する。

やり方は、AzureBastionSubnetに対してNSGを追加登録し、NSGでサブネットへのインバウンドアクセスが可能なIPを特定IPに制限する。

1-1. Bicepでの対応方針

BicepではNSGリソースの追加登録とAzureBastionSubnetへの紐付けだけを実施する。具体的なIPの制限は、構築時に実施するのではなく、システムがリリースされ、実際にアクセスする必要のあるIPが具体的になってから運用フローの中で登録すれば良いと思う。

今回はリソース作成後にインバウンドアクセスが可能なIPレンジを登録するスクリプトを作成することで対応してみる。

AzureBastionSubnetへ紐づけるNSGは以下のパラメータで作成する。

作成されたリソースは、予想通りNSGだけ。

ここまでの手順では、NSGには既定のルールしか定義されていない状態。この状態でAzureBastionSubnetにNSGを追加しようとすると、以下のエラーが発生する。

このエラーの回避方法は以下のブログで紹介されている。

上記のブログに記載のルールについて、過剰に設定されているように思えたので１つ１つ設定したり外したりしながら確認したが、説明されているルール全て必須で、１つでも不足するとAzureBastionSubnetに紐づけることができなかった。

設定内容は以下の通り、ブログの内容とほぼ同じ。（優先度の数字やClientのIPアドレスが異なるぐらい）

これでようやく紐付けができる。

ここまでの構築結果により、許可したIPからのみ、Bastion経由でVMにログインできるようになっている。また、VMログイン時のローカルアカウントのパスワードはKeyVaultから取得できるようになっている。

以下のようにAuthentication Typeで「Password from Azure key Vault」を選択すると、Key Vaultに保存したシークレットが選択できるようになる。

では、許可されていないIPからアクセスした場合はどのような挙動になるのか。

試してみると、Bastionにログインするところまではできる（Bastion自体にはアクセスできる）が、実際にログインを実行すると、真っ白な画面から先に進まないので、おそらくブロックされていると思われる。

真っ白な画面のイメージは参考にならないので掲載なし

次回は、NSGの作成、ルールの設定、そしてNSGとAzureBastionSubnetの紐付けをBicepで実施してみる。