Verbinden met virtuele machines (Bastion)¶

Als op je platform de hub Azure Bastion is ingeschakeld (create_bastion_host in de connectivity layer), bereik je de VM's in je spoke via de centrale Bastion host. Je geeft je VM's geen publieke IP-adressen.

Check met je platformteam

Of Bastion bestaat, en de naam, resource group en subscription ervan, worden per platform ingesteld. De voorbeelden gebruiken placeholders. Vraag je platformteam om de waarden.

Wat je nodig hebt¶

Nodig	Details
Rechten op de Bastion host	Je platformteam geeft je team het recht om de hub Bastion te gebruiken. Een platform kan dit doen via een dedicated groep die de teamgroepen van alle spokes bevat (Dedicated group manager). Zoek in de Azure portal naar Bastion. Zie je hem niet, vraag het dan aan je platformteam.
Rechten op de VM	Geldige inloggegevens, ingesteld door de VM-eigenaar (je team): een gebruikersnaam en wachtwoord, of een SSH-sleutel.
Het private IP-adres of de resource-ID van de VM	In de portal op de pagina van de VM.

Omdat Bastion centraal staat, werkt de knop Connect op de VM-pagina niet. Verbind vanuit de Bastion-resource of met de Azure CLI.

Heeft je platform een Bastion host per regio, gebruik dan die in dezelfde regio als je VM. Dat geeft de laagste latency en het kortste netwerkpad. Vraag je platformteam om de naam en de link van elke host.

Inloggen met Entra ID

Inloggen op een VM met Entra ID-identiteiten vereist de Bastion native client en een platform dat dit ondersteunt. Veel platforms starten alleen met gebruikersnaam en wachtwoord of SSH-sleutels. Vraag je platformteam wat voor jou geldt. Met de optionele Managed VM-module is inloggen met Entra ID beschikbaar: voeg --auth-type "AAD" toe aan az network bastion ssh en az network bastion rdp. Zie Managed virtual machines.

Verbinden met de portal¶

Open de Bastion host in de portal en kies Connect.
Voer het private IP-adres van de VM in, kies het protocol (SSH voor Linux, RDP voor Windows) en de inloggegevens.
Kies Connect. Er opent een nieuw browsertabblad met je sessie. Je browser kan de pop-up blokkeren.

Verbinden met de Azure CLI (native client)¶

Vervang de placeholders. Deze commando's werken vanaf Windows, macOS en Linux met de Azure CLI geïnstalleerd.

az login
az account set --subscription "<bastion subscription id>"

Linux VM via SSH, met een SSH-sleutel, op basis van private IP:

az network bastion ssh --name "<bastion name>" --resource-group "<bastion resource group>" \
  --target-ip-address "<vm private ip>" --auth-type "ssh-key" --username "<user>" --ssh-key "<key file>"

Linux VM via SSH, met een wachtwoord, op basis van resource-ID:

az network bastion ssh --name "<bastion name>" --resource-group "<bastion resource group>" \
  --target-resource-id "<vm resource id>" --auth-type "password" --username "<user>"

Windows VM via RDP op Windows:

az network bastion rdp --name "<bastion name>" --resource-group "<bastion resource group>" \
  --target-resource-id "<vm resource id>"

Windows VM via RDP vanaf macOS of Linux (tunnel):

az network bastion tunnel --name "<bastion name>" --resource-group "<bastion resource group>" \
  --target-resource-id "<vm resource id>" --resource-port 3389 --port 3389
# then connect your RDP client to localhost:3389

Gebruik voor --target-ip-address het private IP van de VM in plaats van --target-resource-id.

De portal kan niet inloggen met Entra ID-identiteiten, en az network bastion rdp is bedoeld voor Windows-clients (zie hierboven). Op macOS open je een tunnel met de Azure CLI en verbind je met de Windows App (de Remote Desktop-client van Microsoft). De onderstaande stappen zijn een voorbeeld voor een Windows VM die is gejoind aan Entra ID. Controleer ze met je platformteam.

Open de tunnel. Gebruik een lokale poort boven 1024 als de standaard RDP-poort bezet is:

az network bastion tunnel --name "<bastion name>" --resource-group "<bastion resource group>" \
  --target-resource-id "<vm resource id>" --resource-port 3389 --port 22222

Laat deze terminal open zolang je de sessie nodig hebt.

Maak in de Windows App een verbinding aan (of importeer een .rdp-bestand) met je eigen account als gebruikersnaam en <vm name>:22222 als adres.
Voeg een regel toe aan /etc/hosts zodat de VM-naam naar je eigen machine wijst (sudo is nodig):
```
127.0.0.1 <vm name>
```
Zet in de RDP-verbinding de instellingen voor Entra ID-login aan. In een .rdp-bestand zijn dat enablerdsaadauth:i:1 en targetisaadjoined:i:1.
Verbind. De Windows App vraagt om je Entra ID-inloggegevens.

Verwijder de hosts-regel als je die niet meer nodig hebt.

Andere private resources bereiken¶

Bastion is voor VM's. Voor private endpoints van PaaS-services (storage, databases, Key Vault) vanaf je eigen laptop is de gebruikelijke route het bedrijfsnetwerk of VPN, en niet Bastion. Of je hiervoor een firewallregel nodig hebt, hangt af van hoe je organisatie laptops met Azure verbindt, dus vraag het je platformteam voordat je er een aanvraagt.

Als het niet werkt¶

Symptoom	Waarschijnlijke oorzaak
Je ziet de Bastion host niet	Je hebt er geen rechten op. Vraag het aan je platformteam.
De verbinding loopt op een time-out	Een netwerkregel of NSG op de VM blokkeert SSH/RDP vanaf het Bastion-subnet. Controleer de NSG van het spoke-subnet (wijzigingsaanvraag). Mogelijk moet de hub firewall ook SSH (22) of RDP (3389) toestaan van de Bastion naar je subnet. Vraag het je platformteam.
Inloggen mislukt	Verkeerde inloggegevens, of het platform ondersteunt geen Entra ID-login voor VM's.

Zie ook: Beperkingen, Je spoke gebruiken.