Hola a tod@s,
En este post vamos a ver la integración con la autenticación de Azure Active Directory en máquinas virtuales Windows.
- Para ello, cuando estamos creando la máquina virtual, sobre Administración > Azure AD marcamos el check, para así habilitar esta opción, cuando hacemos esto, el check de Identidad > Identidad administrada asignada por el sistema se marca automáticamente, como podemos observar, nos indica, que una vez este la máquina desplegada, debemos de configurar las asignaciones de roles de Azure, para los usuarios que están autorizados para iniciar sesión en la máquina virtual:
- Aquí tenemos ya la máquina virtual creada:
- Ahora si accedemos a Extensiones + aplicaciones podemos observar cómo nos ha añadido la extensión AADLoginForWindows:
- Ahora que hemos creado la máquina virtual, debemos de configurar la directiva de Azure RBAC para determinar quién puede iniciar sesión en ella. Para autorizar el inicio de sesión de una VM se usan dos roles de Azure:
- Inicio de sesión de administrador de Virtual Machine, los usuarios que tienen asignado este rol pueden iniciar sesión en una máquina virtual de Azure con privilegios de administrador.
- Inicio de sesión de usuario de Virtual Machine, los usuarios que tienen asignado este rol pueden iniciar sesión en una máquina virtual de Azure con privilegios de usuario habitual.
- En nuestro caso, nos vamos a crear dos grupos, a los cuales les vamos a asignar el rol de Inicio de sesión de administrador de Virtual Machine a uno de ellos y al otro el de Inicio de sesión de usuario de Virtual Machine:
- Una vez creados los grupos, vamos a añadir los miembros a cada uno de ellos:
- Creados los grupos con sus miembros, ahora vamos a configurar el control de acceso y los roles, para ello, nos vamos a la Máquina virtual > Control de acceso (IAM) > Asignación de roles > Agregar y cómo podemos ver, a uno de los grupos le hemos asignado el rol de Inicio de sesión de administrador de Virtual Machine y al otro el rol de Inicio de sesión de usuario de Virtual Machine:
- Ahora desde otra máquina unida a AADLoginForWindows podemos iniciar sesión por RDP en esta máquina con los usuarios que hemos añadido a los grupos, por ejemplo, aquí tenemos esta máquina virtual unida a AADLoginForWindows, pues desde esta máquina vamos a acceder a la otra con los dos usuarios que hemos añadido a cada grupo, uno con permisos de administrador y el otro con permisos de usuario:
- Vamos a acceder primero con el usuario con permisos de administrador:
- Ahora vamos a acceder con el usuario con permisos de usuario normal:
Saludos y espero que os sea de ayuda 😉