用途：为 Azure IaaS VM 与 VMSS 设计或加固管理访问，通过 Azure Bastion（托管跳板服务）与 Defender for Cloud 即时（JIT）VM 访问（对管理端口临时放行的 NSG 规则）组合，消除公网暴露的 RDP/SSH 与长期开放的管理端口。不适用于混合 VPN/SD-WAN 设计、以 ZTNA 替代 VPN 或仅 AKS 访问场景。
主要能力与选择：Bastion SKU 按需选择——Developer 免费、仅浏览器、单 VM 单 VNet；Basic 支持门户 RDP/SSH 与仅私网 IP 的 VM；Standard 增加本机客户端、可共享链接、基于 IP 连接、Kerberos、Linux 文件复制、自定义端口，最多 50 实例；Premium 增加会话录制与仅私网部署。多数企业选 Standard，受监管行业需录制或仅私网时选 Premium。
使用方式：每个中心 VNet 部署一个 Bastion，子网 AzureBastionSubnet 至少 /26，NSG 须按文档允许规则配置。用 Azure Policy 禁止 VM 关联公网 IP，新 VM 仅私网。为允许 RDP/SSH 的 VM 配置 JIT：默认端口 RDP 3389、SSH 22、WinRM 5985/5986，最长请求窗口 3 小时，来源为请求者 IP 或 Bastion 子网，审批可基于 RBAC 或对关键 VM 加人工审批。Bastion 连接需 Reader 角色及 VM 登录角色，JIT 请求需 Microsoft.Security/locations/jitNetworkAccessPolicies/initiate/action 权限。可结合 Entra 登录扩展，使 VM 登录遵循条件访问。
监控与限制：将 Bastion 诊断日志与 JIT 活动日志接入 Sentinel，检测异常时段、异常 IP 与快速连续访问。注意：不要在 AzureBastionSubnet 写拒绝所有规则；JIT 只改 NSG，不改防火墙/NVA 规则；Bastion 本身不等于条件访问；共享链接可能绕过 MFA；Premium 录制存储成本高；避免每个分支 VNet 都部署 Bastion；共享 NAT IP 的 JIT 会为 NAT 后所有人开放端口。
官方文档：https://learn.microsoft.com/azure/bastion/bastion-overview、https://learn.microsoft.com/azure/defender-for-cloud/just-in-time-access-overview 等。