Rychlý start: Použití řízení stavu SSH na testovacím počítači Windows Serveru

V následujících krocích použijete Azure Policy k nasazení nastavení řízení stavu SSH do testovacího virtuálního počítače se systémem Windows Server 2019, 2022 nebo 2025.

Základní a koncepční referenční informace najdete v tématu Co je řízení stavu SSH?.

Pokročilejší návod najdete v tématu Správa nastavení sshd pomocí řízení stavu SSH.

Pokud nemáte účet Azure, můžete vytvořit bezplatnou zkušební verzi.

Upozornění

• Tento rychlý start ukazuje použití omezující konfigurace sshd určené pro nový testovací počítač na jedno použití. Pokud byste tuto konfiguraci použili na jiné počítače, můžete se uzamknout. Při vyzkoušení kontrolních mechanismů zabezpečení, jako je řízení stavu SSH, použijte izolované prostředí sandboxu, které by dokonce i omylem v přiřazení zásad znovu nenakonfigurovalo nezamýšlené počítače.

Požadavky

Než se pokusíte provést kroky v tomto článku, ujistěte se, že už máte:

1. Účet Azure, ve kterém máte práva vytvořit skupinu prostředků, přiřazení zásad a virtuální počítač.
2. Vaše upřednostňované prostředí pro interakci s Azure, například:
   1. azure Cloud Shell (doporučeno)
      1. Poznámka: Příklady používají režim Bash. Čtenáři můžou přizpůsobit příklady jiným prostředím prostředí, včetně PowerShellu.
   2. nebo vlastní prostředí s nainstalovaným a přihlášeným Rozhraním příkazového řádku Azure
   3. nebo webu Azure Portal ve webovém prohlížeči

Zkontrolujte, že jste přihlášení k testovacímu prostředí.

Azure Portal

1. K zobrazení aktuálního kontextu použijte informace o účtu na portálu.

   snímek obrazovky

Azure CLI

1. K zobrazení aktuálního kontextu můžete použít az account show. Pokud se chcete přihlásit nebo změnit kontexty, použijte az account login.

Vytvoření skupiny zdrojů

Volba eastus umístění v tomto příkladu není významná. Můžete použít libovolné dostupné umístění Azure.

Azure Portal

Azure CLI

az group create --name sshdemo01 --location eastus

Přiřazení zásad ke skupině prostředků

V tomto rychlém startu se používá chování auditu a konfigurace pomocí předdefinované definice zásad [Preview]: Configure SSH security posture for Windows.

Ukázkové přiřazení bude do značné míry záviset na výchozích nastaveních řízení stavu SSH (např. port 22, povolený kořenový přístup), s omezeným přizpůsobením (text banneru).

Azure Portal

1. Přejděte na zásady a pak na Definice.
2. Filtrováním seznamu vyhledejte a vyberte [Preview]: Configure SSH security posture for Windows
3. Na stránce definice zásady klikněte na Přiřadit.
4. V pracovním postupu přiřazení zásad
   1. Jako obor zvolte novou prázdnou skupinu prostředků (vytvořenou dříve).
   2. Volitelné: Zvolte název pro toto přiřazení zásady. Ve výchozím nastavení se používá název definice zásady.
   3. Volitelné: Na kartě parametry přepište výchozí hodnotu, například hodnotu banneru.
   4. Poznámka: Pravidlo "port" by mělo být nakonfigurováno s jednou hodnotou, aby se zajistila správná funkčnost a dodržování předpisů pro auditování a konfiguraci scénářů.
   5. Dokončete vytvoření přiřazení zásady.

Azure CLI

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group sshdemo01 --query id --output tsv)
az policy assignment create --policy "42830b63-79aa-4ea5-85dc-6baa719d7d7c" --name "Configure SSH Posture test machine" --scope "$RG_ID" --params '{"banner":{"value":"CONTOSO SYSTEMS. Unauthorized use will be prosecuted."}}' --mi-system-assigned --role "Guest Configuration Resource Contributor" --identity-scope "$RG_ID" --location eastus

Upozornění

Bez ohledu na to, jestli jste použili portál nebo rozhraní příkazového řádku, zkontrolujte rozsah přiřazení zásad, které jste právě vytvořili, než budete pokračovat. Pokud byl obor omylem nastaven na cokoli jiného než nová prázdná skupina prostředků vytvořená dříve, měla by být opravena okamžitě, aby se zabránilo konfiguraci nezamýšlených počítačů.

Vytvoření testovacího virtuálního počítače a jeho příprava na konfiguraci počítače

Azure Portal

1. Vytvoření virtuálního počítače se systémem Windows Server 2019, 2022 nebo 2025
2. Přidání identity přiřazené systémem, pokud ještě není k dispozici
3. Přidejte rozšíření Konfigurace počítače (označené na portálu jako Konfigurace počítače Azure pro Windows)

Azure CLI

1. Vytvoření virtuálního počítače se systémem Windows Server 2019, 2022 nebo 2025 s identitou přiřazenou systémem

   az vm create --name sshdemo01 --resource-group sshdemo01 --image "MicrosoftWindowsServer:WindowsServer:2025-datacenter:latest" --assign-identity [system]
   

2. Instalace agenta konfigurace počítače jako rozšíření virtuálního počítače Azure

   az vm extension set --resource-group sshdemo01 --vm-name sshdemo01 --name ConfigurationForWindows --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

Tip

V tomto rychlém startu se požadavky na konfiguraci počítače (virtuální počítač má spravovanou identitu a rozšíření agenta) vyřešily přímo během vytváření virtuálního počítače. Ve velkém měřítku můžou být tyto požadavky splněné pomocí integrované iniciativy zásad Deploy prerequisites to enable Guest Configuration policies on virtual machines.

Než budete pokračovat, udělejte si přestávku.

K několika krokům teď dojde automaticky. Každý z těchto kroků může trvat několik minut. Proto prosím počkejte nejméně 15 minut, než budete pokračovat.

Sledování výsledků

Pomocí následujících kroků můžete vidět:

1. Kolik počítačů dodržuje předpisy (nebo ne)
   1. Zvláště užitečné v produkčních měřítkuch, kde můžete mít tisíce počítačů
2. Které počítače jsou kompatibilní (nebo ne)
3. Pro daný počítač, která jednotlivá pravidla vyhovují (nebo ne)

Azure Portal

Azure CLI

Následující příklady Azure CLI pocházejí z prostředí bash. Pokud chcete použít jiné prostředí prostředí, možná budete muset upravit příklady pro chování konce řádku, pravidla uvozovek, znakové uvozovky atd.

1. Kolik počítačů dodržuje předpisy (nebo ne):

   QUERY="guestconfigurationresources
      | where name contains 'SecureShell'
      | extend complianceStatus = tostring(properties.complianceStatus)
      | summarize machineCount = count() by complianceStatus
   "
   az graph query -q "$QUERY" --query data --output table
   
   # Sample output from an environment with two machines:
   # 
   # complianceStatus machineCount
   # ---------------- ------------
   # Pending                     1
   # Compliant                   1
   

2. Které počítače jsou kompatibilní (nebo ne):

   QUERY="guestconfigurationresources
   | where name contains 'SecureShell'
   | project 
       machine = split(properties.targetResourceId,'/')[-1],
       complianceStatus = properties.complianceStatus,
       lastComplianceStatusChecked = properties.lastComplianceStatusChecked
   "
   
   az graph query -q "$QUERY" --query data --output table
   
   # Sample output from an environment with two machines:
   #
   # machine     complianceStatus lastComplianceStatusChecked
   # -------     ---------------- ---------------------------
   # sshdemovm01 Compliant        2/15/2024 11:07:21 PM
   # sshdemovm02 Pending          1/1/0001 12:00:00 AM
   

3. Pro daný počítač, která jednotlivá pravidla splňují (nebo ne):

   QUERY="GuestConfigurationResources
   | where name contains 'SecureShell'
   | project report = properties.latestAssignmentReport,
     machine = split(properties.targetResourceId,'/')[-1],
     lastComplianceStatusChecked=properties.lastComplianceStatusChecked
   | mv-expand report.resources
   | project machine,
     rule = report_resources.resourceId,
     ruleComplianceStatus = report_resources.complianceStatus,
     ruleComplianceReason = report_resources.reasons[0].phrase,
     lastComplianceStatusChecked
   "
   az graph query -q "$QUERY" --query data --output table
   # Sample output from an environment where audit-and-configure behavior was selected, such that all settings became compliant:
   # 
   # machine     rule                                                            ruleComplianceStatus     ruleComplianceReason
   # -------     ---------------                                                  ------               ------
   # sshdemovm01 Ensure permissions on /etc/ssh/sshd_config are configured        true            Access to '/etc/ssh/sshd_config' matches required ...
   # sshdemovm01 Ensure SSH is configured to meet best practices (protocol 2)     true            'Protocol 2' is found uncommented in /etc/ssh/sshd_config
   # sshdemovm01 Ensure SSH is configured to ignore rhosts                        true            The sshd service reports that 'ignorerhosts' is set to 'yes'
   # sshdemovm01 Ensure SSH LogLevel is set to INFO                               true            The sshd service reports that 'loglevel' is set to 'INFO'
   # sshdemovm01 Ensure SSH MaxAuthTries is configured                            true            The sshd service reports that 'maxauthtries' is set to '6'
   # sshdemovm01 Ensure allowed users for SSH access are configured               true            The sshd service reports that 'allowusers' is set to '*@*'
   # sshdemovm01 Ensure denied users for SSH are configured                       true            The sshd service reports that 'denyusers' is set to 'root'
   # sshdemovm01 Ensure allowed groups for SSH are configured                     true            The sshd service reports that 'allowgroups' is set to '*'
   # sshdemovm01 Ensure denied groups for SSH are configured                      true            The sshd service reports that 'denygroups' is set to 'root'
   # sshdemovm01 Ensure SSH host-based authenticationis disabled                  true            The sshd service reports that 'hostbasedauthentication' is ...
   # ...
   

Volitelné: Přidání dalších testovacích počítačů pro škálování

V tomto článku se zásada přiřadila ke skupině prostředků, která byla původně prázdná a pak získala jeden virtuální počítač. I když to demonstruje kompletní fungování systému, neposkytuje smysl pro operace ve velkém měřítku. Například v případě dodržování předpisů zásad můžete vidět výsečový graf jednoho počítače, který může být umělý.

Zvažte přidání dalších testovacích počítačů do skupiny prostředků, ať už ručně, nebo prostřednictvím automatizace. Můžou to být virtuální počítače Azure nebo počítače s podporou Arc. Jak vidíte, že tyto počítače přicházejí do souladu (nebo dokonce selžou), můžete získat přehled o zprovoznění řízení stavu SSH ve velkém měřítku.

Volitelné: Ruční kontrola testovacího počítače a potvrzení výsledků

Při zahájení práce s novou funkcí, jako je řízení stavu SSH, může být užitečné ručně zkontrolovat výsledky mimo pásmo. To pomáhá stavět důvěru a srozumitelnost. Kroky v tomto článku by například měly mít za následek upravenou konfiguraci přihlašovacího banneru na testovacím virtuálním počítači. Můžete to ověřit tak, že se pokusíte o připojení SSH k počítači, aby se zobrazil banner, nebo kontrolou souboru sshd_config.

Vyčistěte zdroje

Pokud se chcete vyhnout průběžným poplatkům, zvažte odstranění skupiny prostředků použité v tomto článku. Příkaz Azure CLI by například az group delete --name "sshdemo01"

---

Začínáme s místním prostředím (PowerShell)

Požadavky

• Na svém zařízení musíte mít spuštěný build Windows Server 2019, 2022, 2025 podepsaný v produkčním prostředí.
• Na serverové zařízení musí být nainstalovaný modul PowerShellu OSConfig. Podrobnosti najdete v tématu Instalace modulu PowerShellu OSConfig .
• Musíte mít nainstalovanou službu sshd a spuštěnou následující příručku: https://aka.ms/windows-openssh-install.

Pokud chcete použít směrný plán, ověřte použití směrného plánu, odeberte směrný plán nebo zobrazte podrobné informace o dodržování předpisů pro OSConfig v PowerShellu, použijte příkazy na následujících kartách.

Konfigurujte

Pokud chcete použít scénář SSH, spusťte následující příkaz:

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

Ověřte

Pokud chcete ověřit, jestli je scénář SSH správně použitý, spusťte následující příkaz:

Get-OSConfigDesiredConfiguration -Scenario SSH

Kontrola dodržování předpisů

K získání požadovaných podrobností konfigurace pro zadaný scénář použijte následující příkazy. Výstup se zobrazí ve formátu tabulky, který obsahuje název položky konfigurace, stav dodržování předpisů a důvod nedodržení předpisů.

Pokud chcete zkontrolovat podrobnosti o dodržování předpisů pro SSH scenairo, spusťte následující příkaz:

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Vlastní konfigurace

Pokud chcete vlastní nastavení ve scénáři SSH, můžete nakonfigurovat nastavení s parametrem -Name a -Value:

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

---

Další kroky

Obraťte se na tým microsoftu a požádejte ho o zpětnou vazbu, žádosti o funkce atd.

Kontaktujte nás