如何限制 Azure PaaS 云服务中的 RDP 访问

Question

我正在尝试在我的 .cscfg 文件中实施 ACL 规则，以限制对我的云服务的 RDP 端点的访问（只允许来自我的 VNet 子网的流量）。

我关注了 Kevin Williamson How to restrict RDP Access in an azure pass cloud service 的这篇文章，但根据 Visual Studio 2013 的配置存在问题（它在“角色”文件夹中显示黄色三角形）。

我使用的是 Azure SDK 2.6。

我在 Visual Studio 2013 本身中启用了 RDP 扩展，然后继续在 ServiceConfiguration.Cloud.cscfg 中添加必要的标记，但是当我添加 AccessControl 和 EndpointAcls Visual Studio 时提醒我一个问题。

我有：

<!-- I added this in the NetworkConfiguration opening tag, but before the VirtualNetworkSite and AddressAssignments -->
<AccessControls>
    <AccessControl name="RdpRestrictions">
        <Rule order="100" action="permit" remoteSubnet="10.1.0.0/24"     description="PermitRdp" />
        <Rule order="200" action="deny" remoteSubnet="0.0.0.0/0" description="DenyRdp" />
    </AccessControl>
</AccessControls>
<EndpointAcls>
    <EndpointAcl role="MyEndpoint" endpoint="Microsoft.WindowsAzure.Plugins.RemoteForwarder.RdpInput" accessControl="RdpRestrictions"/>
</EndpointAcls>

我检查了一下，根据 NetworkConfiguration Schema Defintiion，我的 cscfg 文件似乎是有效的。

我检查了 EndpointAcl 中描述的角色确实引用了已导入远程转发器插件的 WebRole。

可能有什么问题？我在互联网上找不到任何关于如何解决此问题的信息。

Answer 1

微软的Network Configuration Schema 似乎在两个方面已经过时了。

1. EndpointAcl 的端点属性应该是“endPoint”。
2. AccessControls 结束 EndpointAcls 标记必须放置在 NetworkConfiguration 部分的末尾（在所有其他元素之后）。