限制从 Azure 虚拟桌面访问 Azure DevOps答案

【问题标题】：Restrict Azure DevOps access from Azure virtual desktop限制从 Azure 虚拟桌面访问 Azure DevOps
【发布时间】：2021-11-20 06:46:50
【问题描述】：

我们需要将 Azure DevOps 服务限制在我们的 Azure 虚拟桌面环境中。

我们已部署 Azure AD Premium P2，其条件访问限制为内部 IP 范围，但问题是在使用 Azure 虚拟桌面时，传出的公共 IP 是动态的。我们不想使用 NAT 网关。

是否有任何替代方法使用条件访问策略来限制 DevOps？请帮忙。

谢谢

【问题讨论】：

AFAIK 条件访问是限制对 DevOps 访问的唯一选择。最好的解决方案是使用 Azure 防火墙或 NAT 网关为您的 AVD 主机提供静态出站 IP 地址。唯一的选择是给每个 AVD 主机一个公共 IP 并使用 NSG 来限制入站访问，但这不是一个很好的设计。

标签： azure devops vdi

【解决方案1】：

也许不是最佳解决方案，但您可以使用此动态更新的 IP 列表按区域缩小 IP 列表：https://www.microsoft.com/en-us/download/details.aspx?id=56519。

例如对于 WEU，它是：

{
  "name": "WindowsVirtualDesktop.WestEurope",
  "id": "WindowsVirtualDesktop.WestEurope",
  "properties": {
    "changeNumber": 2,
    "region": "westeurope",
    "regionId": 18,
    "platform": "Azure",
    "systemService": "WindowsVirtualDesktop",
    "addressPrefixes": [
      "13.69.82.138/32",
      "40.68.18.120/32",
      "40.114.241.90/32",
      "51.136.28.200/32",
      "51.137.89.79/32",
      "52.137.2.50/32",
      "65.52.158.177/32",
      "104.40.156.194/32",
      "104.214.237.23/32",
      "137.117.171.26/32",
      "168.63.31.54/32"
    ],
    "networkFeatures": null
  }
}

不过同意@jamiecon，NAT Gw，你很高兴。

【讨论】：