Tema 2 de 8
Azure Bastion y Azure Key Vault
Dos servicios que cierran huecos clásicos: Bastion evita exponer los puertos de administración de las VMs a internet, y Key Vault evita que secretos, claves y certificados acaben en el código. Ambos aplican el mínimo privilegio y reducen la superficie de ataque.
Contenido
El problema de RDP y SSH expuestos
Imagina varias redes virtuales protegidas con NSG y Azure Firewall. Estás protegido del exterior, pero tus desarrolladores y científicos de datos, que trabajan en remoto, necesitan entrar directamente a las VMs.
En el modelo tradicional habría que exponer a internet los puertos de RDP (Remote Desktop Protocol) o SSH (Secure Shell). Los atacantes buscan activamente máquinas con puertos de administración abiertos, y una VM comprometida se convierte en el punto de entrada para atacar el resto del entorno.
¿Qué es Azure Bastion?
Un servicio PaaS totalmente administrado que se aprovisiona dentro de la red virtual y da conectividad RDP y SSH segura a las VMs directamente desde el portal de Azure, usando TLS. Las VMs no necesitan IP pública, agente ni software cliente especial.
El usuario abre la VM en el portal de Azure
Elige conectarse con Bastion.
Se abre un cliente web HTML5
Se transmite a su dispositivo sobre TLS por el puerto 443, que atraviesa los firewalls corporativos.
Bastion abre la sesión RDP/SSH
Hacia la IP privada de la VM, dentro de la red virtual.
Bastion se despliega por red virtual, no por suscripción, cuenta o VM. Una vez aprovisionado, la experiencia RDP/SSH está disponible para todas las VMs de esa red virtual y de las redes emparejadas.
Beneficios de Bastion
RDP y SSH en el portal
Sesión directa desde el portal de Azure con un solo clic.
TLS y paso por firewalls
La sesión viaja cifrada con TLS y atraviesa los firewalls corporativos.
Sin IP pública en la VM
La conexión usa la IP privada de la VM.
Sin gestionar NSG
Es un PaaS endurecido internamente; no hace falta aplicar NSG en su subred.
Protección contra escaneo de puertos
Las VMs no se exponen a internet, así que nadie fuera de la red puede escanearlas.
Endurecimiento en un solo lugar
Bastion está en el perímetro de la red y Azure lo mantiene actualizado contra vulnerabilidades de día cero, en vez de endurecer cada VM.
Otra forma de reducir la exposición de los puertos de administración es el acceso just-in-time a VMs de los planes de Defender for Cloud, que abre los puertos solo cuando hace falta.
Niveles y formas de conexión
| Nivel | Características | Para |
|---|---|---|
| Developer | Infraestructura compartida, sin costo, una conexión a la vez, en regiones seleccionadas | Desarrollo y pruebas, no producción |
| Basic | Despliegue dedicado de capacidad fija con las capacidades básicas | Producción con necesidades moderadas |
| Standard | Todo lo de Basic más escalado de hosts, vínculos compartibles, conexión por IP, puertos personalizados, cliente nativo y transferencia de archivos | Organizaciones que necesitan flexibilidad |
| Premium | Todo lo de Standard más grabación de sesiones y despliegue solo privado, sin IP pública | Requisitos regulatorios o de cumplimiento estrictos |
Navegador
Cliente web HTML5 desde el portal, sin software adicional. Todos los niveles.
Cliente nativo
El cliente SSH o RDP instalado en el equipo local. Standard y Premium.
Vínculos compartibles
Permiten a usuarios autorizados conectarse sin entrar al portal. Standard y Premium.
En todos los casos el tráfico va por TLS en el puerto 443, así que no hay que abrir puertos adicionales en los firewalls corporativos.
¿Qué es Azure Key Vault?
Un servicio en la nube para guardar y acceder de forma segura a secretos: cualquier cosa cuyo acceso quieras controlar estrictamente, como claves de API, contraseñas, certificados o claves criptográficas.
Gestión de secretos
Guardar y controlar estrictamente el acceso a tokens, contraseñas, certificados y claves de API.
Gestión de claves
Crear y controlar las claves de cifrado que protegen tus datos.
Gestión de certificados
Aprovisionar, administrar y desplegar certificados TLS/SSL públicos y privados para Azure y recursos conectados.
Por qué usar Key Vault
Centralizar los secretos de las apps
Controlas su distribución y reduces mucho el riesgo de filtrarlos por accidente. Los desarrolladores ya no guardan información de seguridad en el código: la app la recupera en tiempo de ejecución con un identificador único (URI), sin código extra para protegerla.
Guardar secretos y claves de forma segura
Todo llamador, usuario o aplicación, necesita autenticarse y estar autorizado antes de acceder.
Monitorear acceso y uso
Registros de cuándo y cómo se accede a secretos y claves, que se envían a tu solución de monitoreo para detectar accesos no autorizados, apoyar auditorías e investigar incidentes.
Administración simplificada
Replica el contenido dentro de la región y a una región secundaria (alta disponibilidad sin acción del admin), se gestiona desde el portal y automatiza tareas de certificados de CAs públicas, como la inscripción y la renovación.
Segregar secretos
Cada aplicación accede solo al vault que tiene permitido y solo a ciertas operaciones. Se puede crear un vault por aplicación y equipo.
Autenticación y autorización
Autenticación
Con Microsoft Entra ID, que establece la identidad de cada llamador.
Autorización
Con Azure RBAC o con directivas de acceso de Key Vault, que deciden qué operaciones puede hacer.
Key Vault y Zero Trust
Apoya directamente el principio de mínimo privilegio: cada app y usuario accede solo a los secretos concretos que necesita, lo que limita el alcance si una credencial se compromete. Además, Key Vault está diseñado para que Microsoft no vea ni extraiga tus datos.
Integraciones y niveles
Azure Disk Encryption
Guarda las claves que cifran los discos de las VMs.
Azure SQL Database y SQL Server
Guarda y gestiona las claves que protegen los datos de las bases.
Azure App Service
Las apps leen cadenas de conexión y claves de API en tiempo de ejecución sin guardarlas en el código ni en archivos de configuración.
Certificados
Aprovisiona y renueva automáticamente certificados de CAs públicas, reduciendo cortes por certificados vencidos.
| Nivel | Protección de claves | Para |
|---|---|---|
| Standard | Por software | La mayoría de escenarios de negocio |
| Premium | Claves protegidas por HSM: hardware dedicado y resistente a manipulación del que las claves nunca salen | Requisitos de cumplimiento estrictos, como servicios financieros o gobierno |
Ambos niveles ofrecen las mismas capacidades de secretos, claves y certificados; solo cambia la protección por hardware de las claves criptográficas.
Escenarios de examen
| Situación | Respuesta | Por qué |
|---|---|---|
| Desarrolladores remotos deben entrar por RDP a VMs sin IP pública | Azure Bastion | RDP/SSH desde el portal sobre TLS en el puerto 443. |
| Un entorno de pruebas necesita Bastion sin costo | Bastion Developer | Infraestructura compartida y gratuita; no para producción. |
| Hay que grabar las sesiones de administración por cumplimiento | Bastion Premium | Incluye grabación de sesiones. |
| Los administradores quieren usar su cliente SSH local | Bastion Standard o Premium | Conexión con cliente nativo. |
| Una app guarda la cadena de conexión en el código | Azure Key Vault | La app la lee en tiempo de ejecución sin exponerla. |
| Las claves de cifrado deben estar en hardware resistente a manipulación | Key Vault Premium | Claves protegidas por HSM. |
| Renovar automáticamente certificados TLS de una CA pública | Key Vault (certificados) | Automatiza inscripción y renovación. |
| Una VM debe leer secretos de Key Vault sin credenciales en el código | Identidad administrada + Key Vault | Entra ID autentica a la VM; Key Vault autoriza. |
Trampas frecuentes del examen
❓ ¿Azure Bastion se despliega en cada VM?
No. Se despliega por red virtual y da acceso a todas sus VMs y a las de las redes emparejadas.
❓ ¿Las VMs necesitan IP pública para usar Bastion?
No. Bastion se conecta a la IP privada de la VM.
❓ ¿Por qué puerto viaja la sesión de Bastion?
Por TLS en el puerto 443, que suelen permitir los firewalls corporativos.
❓ ¿Qué nivel de Bastion graba las sesiones?
Premium, que también permite el despliegue solo privado.
❓ ¿El nivel Developer sirve para producción?
No. Es gratuito, compartido y pensado para desarrollo y pruebas.
❓ ¿Con qué se autoriza el acceso a Key Vault?
Con Azure RBAC o con directivas de acceso de Key Vault. La autenticación la hace Entra ID.
❓ ¿Key Vault Standard ofrece claves protegidas por HSM?
No. Las claves protegidas por HSM son del nivel Premium; Standard usa protección por software.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Los administradores necesitan conectarse por RDP a VMs que no tienen IP pública, sin abrir el puerto 3389 a internet. ¿Qué servicio usan?
¿Listo para poner a prueba "Azure Bastion y Azure Key Vault"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro