Rychlý start: Použití řízení stavu SSH na testovacím počítači

V následujících krocích použijete Azure Policy k nasazení nastavení řízení stavu SSH na testovací virtuální počítač s Linuxem.

Základní a koncepční referenční informace najdete v tématu Co je řízení stavu SSH?.

Pokročilejší návod najdete v tématu Správa nastavení sshd pomocí řízení stavu SSH.

Pokud nemáte účet Azure, můžete vytvořit bezplatnou zkušební verzi.

Opatrnost

• Tento rychlý start ukazuje použití omezující konfigurace sshd určené pro nový testovací počítač na jedno použití. Pokud byste tuto konfiguraci použili na jiné počítače, můžete se uzamknout. Při vyzkoušení kontrolních mechanismů zabezpečení, jako je řízení stavu SSH, použijte izolované prostředí sandboxu, které by dokonce i omylem v přiřazení zásad znovu nenakonfigurovalo nezamýšlené počítače.

Požadavky

Než se pokusíte provést kroky v tomto článku, ujistěte se, že už máte:

1. Účet Azure, ve kterém máte práva vytvořit skupinu prostředků, přiřazení zásad a virtuální počítač.
2. Vaše upřednostňované prostředí pro interakci s Azure, například:
   1. azure Cloud Shell (doporučeno)
      1. Poznámka: Příklady používají režim Bash. Čtenáři můžou přizpůsobit příklady jiným prostředím prostředí, včetně PowerShellu.
   2. nebo vlastní prostředí s nainstalovaným a přihlášeným Rozhraním příkazového řádku Azure
   3. nebo webu Azure Portal ve webovém prohlížeči

Zkontrolujte, že jste přihlášení k testovacímu prostředí.

1. K zobrazení aktuálního kontextu použijte informace o účtu na portálu.

   snímek obrazovky

Azure CLI

1. K zobrazení aktuálního kontextu můžete použít az account show. Pokud se chcete přihlásit nebo změnit kontexty, použijte az account login.

Vytvoření skupiny prostředků

Volba eastus umístění v tomto příkladu není významná. Můžete použít libovolné dostupné umístění Azure.

Azure CLI

az group create --name sshdemo01 --location eastus

Přiřazení zásad ke skupině prostředků

V tomto rychlém startu se používá chování auditu a konfigurace pomocí předdefinované definice zásad Configure SSH Posture Control on Linux machines.

Ukázkové přiřazení bude do značné míry záviset na výchozích nastaveních řízení stavu SSH (např. port 22, povolený kořenový přístup), s omezeným přizpůsobením (text banneru).

1. Přejděte na zásady a pak na Definice.
2. Filtrováním seznamu vyhledejte a vyberte Configure SSH Posture Control on Linux machines
3. Na stránce definice zásady klikněte na Přiřadit.
4. V pracovním postupu přiřazení zásad
   1. Jako obor zvolte novou prázdnou skupinu prostředků (vytvořenou dříve).
   2. Volitelné: Zvolte název pro toto přiřazení zásady. Ve výchozím nastavení se používá název definice zásady.
   3. Volitelné: Na kartě parametry přepište výchozí hodnotu, například hodnotu banneru.
   4. Poznámka: Pravidlo "port" by mělo být nakonfigurováno s jednou hodnotou, aby se zajistila správná funkčnost a dodržování předpisů pro auditování a konfiguraci scénářů.
   5. Dokončete vytvoření přiřazení zásady.

Azure CLI

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group sshdemo01 --query id --output tsv)
az policy assignment create --policy "e22a2f03-0534-4d10-8ea0-aa25a6113233" --name "Configure SSH Posture test machine" --scope "$RG_ID" --params '{"banner":{"value":"CONTOSO SYSTEMS. Unauthorized use will be prosecuted."}}' --mi-system-assigned --role "Guest Configuration Resource Contributor" --identity-scope "$RG_ID" --location eastus

Opatrnost

Bez ohledu na to, jestli jste použili portál nebo rozhraní příkazového řádku, zkontrolujte rozsah přiřazení zásad, které jste právě vytvořili, než budete pokračovat. Pokud byl obor omylem nastaven na cokoli jiného než nová prázdná skupina prostředků vytvořená dříve, měla by být opravena okamžitě, aby se zabránilo konfiguraci nezamýšlených počítačů.

Vytvoření testovacího virtuálního počítače a jeho příprava na konfiguraci počítače

1. Vytvoření virtuálního počítače s Linuxem
2. Přidání identity přiřazené systémem, pokud ještě není k dispozici
3. Přidání rozšíření Konfigurace počítače (označeného na portálu jako Konfigurace počítače Azure pro Linux)

Azure CLI

1. Vytvoření virtuálního počítače s Linuxem s přiřazenou identitou systému

   az vm create --name sshdemo01 --resource-group sshdemo01 --image Ubuntu2204 --assign-identity [system]
   

2. Instalace agenta konfigurace počítače jako rozšíření virtuálního počítače Azure

   az vm extension set --resource-group sshdemo01 --vm-name sshdemo01 --name ConfigurationForLinux --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

Spropitné

V tomto rychlém startu se požadavky na konfiguraci počítače (virtuální počítač má spravovanou identitu a rozšíření agenta) vyřešily přímo během vytváření virtuálního počítače. Ve velkém měřítku můžou být tyto požadavky splněné pomocí integrované iniciativy zásad Deploy prerequisites to enable Guest Configuration policies on virtual machines.

Než budete pokračovat, udělejte si přestávku.

K několika krokům teď dojde automaticky. Každý z těchto kroků může trvat několik minut. Proto prosím počkejte nejméně 15 minut, než budete pokračovat.

Sledování výsledků

Pomocí následujících kroků můžete vidět:

1. Kolik počítačů dodržuje předpisy (nebo ne)
   1. Zvláště užitečné v produkčních měřítkuch, kde můžete mít tisíce počítačů
2. Které počítače jsou kompatibilní (nebo ne)
3. Pro daný počítač, která jednotlivá pravidla vyhovují (nebo ne)

Azure CLI

Následující příklady Azure CLI pocházejí z prostředí bash. Pokud chcete použít jiné prostředí prostředí, možná budete muset upravit příklady pro chování konce řádku, pravidla uvozovek, znakové uvozovky atd.

1. Kolik počítačů dodržuje předpisy (nebo ne):

   QUERY="guestconfigurationresources
      | where name contains 'LinuxSshServerSecurityBaseline'
      | extend complianceStatus = tostring(properties.complianceStatus)
      | summarize machineCount = count() by complianceStatus
   "
   az graph query -q "$QUERY" --query data --output table
   
   # Sample output from an environment with two machines:
   # 
   # complianceStatus machineCount
   # ---------------- ------------
   # Pending                     1
   # Compliant                   1
   

2. Které počítače jsou kompatibilní (nebo ne):

   QUERY="guestconfigurationresources
   | where name contains 'LinuxSshServerSecurityBaseline'
   | project 
       machine = split(properties.targetResourceId,'/')[-1],
       complianceStatus = properties.complianceStatus,
       lastComplianceStatusChecked = properties.lastComplianceStatusChecked
   "
   
   az graph query -q "$QUERY" --query data --output table
   
   # Sample output from an environment with two machines:
   #
   # machine     complianceStatus lastComplianceStatusChecked
   # -------     ---------------- ---------------------------
   # sshdemovm01 Compliant        2/15/2024 11:07:21 PM
   # sshdemovm02 Pending          1/1/0001 12:00:00 AM
   

3. Pro daný počítač, která jednotlivá pravidla splňují (nebo ne):

   QUERY="GuestConfigurationResources
   | where name contains 'LinuxSshServerSecurityBaseline'
   | project report = properties.latestAssignmentReport,
     machine = split(properties.targetResourceId,'/')[-1],
     lastComplianceStatusChecked=properties.lastComplianceStatusChecked
   | mv-expand report.resources
   | project machine,
     rule = report_resources.resourceId,
     ruleComplianceStatus = report_resources.complianceStatus,
     ruleComplianceReason = report_resources.reasons[0].phrase,
     lastComplianceStatusChecked
   "
   az graph query -q "$QUERY" --query data --output table
   # Sample output from an environment where audit-and-configure behavior was selected, such that all settings became compliant:
   # 
   # machine     rule                                                            ruleComplianceStatus     ruleComplianceReason
   # -------     ---------------                                                  ------               ------
   # sshdemovm01 Ensure permissions on /etc/ssh/sshd_config are configured        true            Access to '/etc/ssh/sshd_config' matches required ...
   # sshdemovm01 Ensure SSH is configured to meet best practices (protocol 2)     true            'Protocol 2' is found uncommented in /etc/ssh/sshd_config
   # sshdemovm01 Ensure SSH is configured to ignore rhosts                        true            The sshd service reports that 'ignorerhosts' is set to 'yes'
   # sshdemovm01 Ensure SSH LogLevel is set to INFO                               true            The sshd service reports that 'loglevel' is set to 'INFO'
   # sshdemovm01 Ensure SSH MaxAuthTries is configured                            true            The sshd service reports that 'maxauthtries' is set to '6'
   # sshdemovm01 Ensure allowed users for SSH access are configured               true            The sshd service reports that 'allowusers' is set to '*@*'
   # sshdemovm01 Ensure denied users for SSH are configured                       true            The sshd service reports that 'denyusers' is set to 'root'
   # sshdemovm01 Ensure allowed groups for SSH are configured                     true            The sshd service reports that 'allowgroups' is set to '*'
   # sshdemovm01 Ensure denied groups for SSH are configured                      true            The sshd service reports that 'denygroups' is set to 'root'
   # sshdemovm01 Ensure SSH host-based authenticationis disabled                  true            The sshd service reports that 'hostbasedauthentication' is ...
   # ...
   

Volitelné: Přidání dalších testovacích počítačů pro škálování

V tomto článku se zásada přiřadila ke skupině prostředků, která byla původně prázdná a pak získala jeden virtuální počítač. I když to demonstruje kompletní fungování systému, neposkytuje smysl pro operace ve velkém měřítku. Například v případě dodržování předpisů zásad můžete vidět výsečový graf jednoho počítače, který může být umělý.

Zvažte přidání dalších testovacích počítačů do skupiny prostředků, ať už ručně, nebo prostřednictvím automatizace. Můžou to být virtuální počítače Azure nebo počítače s podporou Arc. Jak vidíte, že tyto počítače přicházejí do souladu (nebo dokonce selžou), můžete získat přehled o zprovoznění řízení stavu SSH ve velkém měřítku.

Volitelné: Ruční kontrola testovacího počítače a potvrzení výsledků

Při zahájení práce s novou funkcí, jako je řízení stavu SSH, může být užitečné ručně zkontrolovat výsledky mimo pásmo. To pomáhá stavět důvěru a srozumitelnost. Kroky v tomto článku by například měly mít za následek upravenou konfiguraci přihlašovacího banneru na testovacím virtuálním počítači. Můžete to ověřit tak, že se pokusíte o připojení SSH k počítači, aby se zobrazil banner, nebo kontrolou souboru sshd_config.

Vyčištění prostředků

Pokud se chcete vyhnout průběžným poplatkům, zvažte odstranění skupiny prostředků použité v tomto článku. Příkaz Azure CLI by například az group delete --name "sshdemo01"

---

Související obsah

• Co je řízení stavu SSH?
• Bezpečné nasazení nastavení serveru SSH pomocí služby Azure Policy
• Pokud chcete poskytnout zpětnou vazbu, proberte žádosti o funkce atd. kontakt: linux_sec_config_mgmt@service.microsoft.com