Co je řízení stavu Windows SSH (privátní verze Preview) se službou Azure Policy a PowerShellem?

Řízení stavu SSH umožňuje používat známé pracovní postupy služby Azure Policy a konfigurace počítače k:

• Zajištění souladu se standardy ve vašem odvětví nebo organizaci
• Omezení prostoru pro útoky na funkce vzdálené správy
• Zajištění konzistentního nastavení ve vašem vozovém parku pro zajištění zabezpečení a produktivity

Řízení stavu SSH také poskytuje podrobné důvody popisující, jak bylo zjištěno dodržování předpisů nebo nedodržování předpisů. Tyto důvody usnadňují provádění akcí nebo úplné zdokumentování dodržování předpisů.

Řízení stavu SSH analyzuje a vynucuje přibližně 20 parametrů serveru SSH (sshd). Můžete také přizpůsobit určité parametry tak, aby vyhovovaly vašemu prostředí. Můžete například přizpůsobit, kteří uživatelé a skupiny mají povolený přístup přes SSH, a také číslo portu a další.

Řízení stavu SSH můžete nasadit buď v režimu auditu, nebo v režimu auditování a konfigurace, který audituje flotilu zařízení, sleduje výsledky a pak automaticky opraví flotilu na správné standardy sshd.

Omezení privátní verze Preview

Důležité

Řízení stavu SSH je v privátní verzi Preview – určené k aktivaci dialogového okna mezi vámi a Microsoftem.

• Verze Preview je určená pro použití s izolovanými vývojovými/testovacími počítači, kde by žádný problém (včetně neúmyslného uzamčení přístupu SSH) nemělo důležité důsledky.
• Verze Preview zahrnuje import definice zásad, nikoli výběr z integrovaného seznamu Azure Policy.
• K tomu budeme poskytovat jak audit, tak pracovní postup auditování a konfigurace.
• Podporované skladové položky Windows jsou aktuálně pouze Windows Server 2025.

Začínáme se službou Azure Policy

Tento příklad se zaměřuje na rychlé zahájení práce ve službě Azure Policy. Zjednodušuje předpoklady a nevyzkouší všechno, co je možné. Například používá výchozí nastavení SSH z PolicyDefinition místo přizpůsobení parametrů, jako jsou povolené uživatele a skupiny. Podrobnější informace o řízení stavu SSH, včetně nastavení a chování, se očekává v blízké budoucnosti. Všimněte si, že část PowerShellu je v části na konci článku.

Návod

V tomto článku se používá následující mentální model a terminologie.

• PolicyDefinition : Definice a metadata řízení stavu SSH, jak je znázorněno ve službě Azure Policy.
• PolicyAssignment : Propojí zásadu řízení stavu SSH s oborem, ve kterém se mají tyto zásady použít, například skupinu prostředků.
• Počítač : Koncový bod, který může spravovat služba Azure Policy a konfigurace počítače (neboli Konfigurace hosta). Jinými slovy, počítač s podporou Arc nebo virtuální počítač Azure.

A. Požadavky

1. Účet Azure s oprávněním k vytvoření skupiny prostředků, virtuálního počítače (nebo počítače Arc), definice zásady a přiřazení zásad.
2. Pokud potřebujete další předpoklady, zvolte preferované prostředí:

Portál

1. Pomocí webového prohlížeče se přihlaste k webu Azure Portal nebo k místnímu ekvivalentu.

PowerShell

1. Prostředí PowerShellu s nainstalovanými následujícími moduly:
   1. Az.ResourceGraph
   2. Az.Účty
   3. Az.Resources
2. K zajištění cíleného požadovaného prostředí Azure použijte Get-AzContext a/nebo Set-AzContext rutiny.

Návod

Azure Cloud Shell v režimu PowerShellu je prostředí připravené k použití a představuje snadný způsob, jak začít.

Azure CLI

V tuto chvíli není k dispozici. Čeká na https:// github.com/Azure/azure-cli/issues/28377. Použijte prosím pokyny k portálu nebo PowerShellu.

B. Vytvoření skupiny zdrojů

Portál

1. Vytvořte skupinu prostředků. V nadcházejících krocích se použije k určení rozsahu zásad a k zahrnutí nového testovacího počítače.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group" 
$myAzureLocation = "eastus" ## Modify as needed

$myResourceGroup = New-AzResourceGroup -Name $myResourceGroupName -Location $myAzureLocation

Azure CLI

V tuto chvíli není k dispozici. Čeká na vyřízení https://github.com/Azure/azure-cli/issues/28377. Použijte prosím pokyny k portálu nebo PowerShellu.

C. Vytvoření definice PolicyDefinition

Poznámka:

Tento dodatečný krok (místo pouhého výběru ZásadyDefinition) se vyžaduje během privátní verze Preview.

Portál

1. Přejděte na stránku Přehled služby Azure Policy . Můžete například použít identifikátor URI: https://portal.azure.com/#view/Microsoft_Azure_Policy/PolicyMenuBlade/~/Overview.
2. Přejděte do zobrazení Definice .
3. Kliknutím na tlačítko + Definice zásady vytvořte novou definici PolicyDefinition a zadejte následující vstupy.
   1. Umístění definice: Zvolte své předplatné Azure, ve kterém bude služba PolicyDefinition žít.
   2. Název: [Preview] Audit zásad řízení stavu SSH nebo [Preview] Konfigurace zásad řízení stavu SSH
   3. Kategorie: Použijte existující a pak zvolte Konfigurace hosta.
   4. Pravidlo zásad: Odstraňte existující JSON a vložte JSON PolicyDefinition z verze Preview auditovat definici zásad řízení stavu SSHnebodefinici zásad auditu a konfigurace zásad řízení stavu SSH ve verzi Preview.
4. Klikněte na Uložit.

PowerShell

zásady jen pro audit:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SecureShell_Preview_AuditIfNotExists.json"
$localFilePath = "AuditSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

zásady auditu a konfigurace:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SetSecureShell_Preview_DeployIfNotExists.json"
$localFilePath = "ConfigureSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

Azure CLI

V tuto chvíli není k dispozici. Čeká na vyřízení https://github.com/Azure/azure-cli/issues/28377. Použijte prosím pokyny k portálu nebo PowerShellu.

D. Použití atributu PolicyAssignment k použití definice PolicyDefinition pro vaši skupinu prostředků

Upozornění

Tato zásada upraví konfiguraci sshd na počítačích v oboru. Tyto pokyny vám přiřazují počáteční prázdnou skupinu prostředků, kde později vytvoříte testovací počítač. Buďte velmi obezřetní, pokud se rozhodnete přiřadit k jakémukoli širšímu rozsahu.

Portál

1. Přejděte na zásadu | Stránka Definice , která obsahuje seznam všech dostupných definic zásad.
2. Vyberte zásadu řízení stavu SSH [Preview] , kterou jste vytvořili dříve.
3. Klikněte na možnost Přiřadit.
4. V části Obor zvolte skupinu prostředků, ve které později vytvoříte nový testovací počítač.
5. Přejděte na kartu Parametry .
   1. Pokud nechcete vyloučit počítače připojené ke službě Arc, zvolte true pro počítače připojené k Arc.
   2. POZNÁMKA: Pokud chcete přizpůsobit nastavení SSH, například povolené skupiny, zrušte zaškrtnutí políčka Zobrazit pouze parametry... zobrazíte všechny dostupné parametry. Pokud se rozhodnete zadat povolené nebo odepřené uživatele nebo skupiny, mějte na paměti, že byste zadali řetězec s oddělovači mezer, například userA userB.
6. Přejděte na kartu Náprava .
   1. POZNÁMKA: I když se tato ukázka zaměřuje na nový počítač, v jiných scénářích, ve kterých chcete, aby přiřazení ZásadAssignment platilo pro existující počítače, můžete zaškrtnout políčko Vytvořit úlohu nápravy.
   2. Zvolte Vytvořit spravovanou identitu s přiřazeným systémem a umístěním identity podle vašeho výběru.
7. Přejděte na Zkontrolovat a vytvořit
   1. Zvolte Vytvořit a dokončete přiřazení zásad.

PowerShell

zásady jen pro audit:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Audit SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

zásady auditu a konfigurace:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Configure SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

Azure CLI

V tuto chvíli není k dispozici. Čeká na vyřízení https://github.com/Azure/azure-cli/issues/28377. Použijte prosím pokyny k portálu nebo PowerShellu.

E. Vytvoření nového počítače

I když se nové přiřazení zásad můžou vztahovat na existující počítače, může to trvat až 24 hodin. V tomto rychlém startu se zaměříme na vyhodnocení nového počítače. V tomto příkladu vytvoříme virtuální počítač Azure, ale pokud chcete, můžete vytvořit počítač s podporou Arc.

Portál

1. Přejděte do prostředí Azure Virtual Machines .
2. Vytvořte nový virtuální počítač a zajistěte následující vlastnosti:
   1. Předplatné a skupina prostředků by se měly shodovat s oborem PolicyAssignment.
   2. Image by měla být Windows Server 2025.
   3. Architektura virtuálního počítače by měla být x64.
   4. Jiné vlastnosti, jako je název virtuálního počítače, velikost atd., můžou být cokoli, co dáváte přednost.
3. Počkejte, až se vytvoření virtuálního počítače dokončí, a potom kliknutím na Přejít k prostředku přejděte na stránku přehledu počítače.
4. V levém navigačním panelu vyberte Identitu a ujistěte se, že má počítač systémovou spravovanou identitu.
5. V levém navigačním panelu vyberte Rozšíření + aplikace a pak + Přidat
6. Zvolte rozšíření Konfigurace počítače Azure pro rozšíření Windows a vyberte Další.
7. Vyberte Zkontrolovat a vytvořit a pak vytvořit.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myNameForNewVM = "sshdemovm01"

## Creates a new VM which is prepped to work with MachineConfiguration
## by having a system assigned identity and the GuestConfiguration extension
New-AzVM -Name $myNameForNewVM -ResourceGroupName $myResourceGroupName -SystemAssignedIdentity -Image "MicrosoftWindowsServer:WindowsServer:2025-datacenter:latest"
Set-AzVMExtension -ResourceGroupName $myResourceGroupName -VMName $myNameForNewVM -ExtensionType "ConfigurationforWindows" -Publisher "Microsoft.GuestConfiguration" -Name "AzurePolicyforWindows" -TypeHandlerVersion 1.0

Azure CLI

V tuto chvíli není k dispozici. Čeká na vyřízení https://github.com/Azure/azure-cli/issues/28377. Použijte prosím pokyny k portálu nebo PowerShellu.

F. Než budete pokračovat, udělejte si přestávku.

Když jsou součástí nové definice zásad, zásady Assignments a počítače, může trvat několik minut, než se všechno dostane do stabilního stavu. Než budete pokračovat k dalšímu kroku, zvažte čekání aspoň 30 minut .

G. Sledování výsledků dodržování předpisů

Následující kroky umožňují zobrazit souhrn dodržování předpisů v různých výškách:

• Dodržování předpisů podle zásadAssignment
  • Počet počítačů vyhovujících předpisům a nedodržování předpisů
  • Nejvyšší výška, zvláště užitečná pro velké flotily
• Dodržování předpisů podle počítače
  • Seznam počítačů s ano/ne na počítač
• Dodržování předpisů nastavením pro konkrétní počítač
  • Nejspodrobnější úroveň podrobností, jako je snímek obrazovky v horní části tohoto článku.

Návod

Váš nový počítač bude pravděpodobně vyhodnocen jako nevyhovující, když narazí na zásadu poprvé. Výchozí nastavení SSH v zásadách jsou přísnější než to, kolik imagí operačního systému je ve výchozím nastavení nakonfigurovaných. Po dalších 20 minutách byste měli zjistit, že váš počítač bude kompatibilní díky integrované logice nápravy řízení stavu SSH.

Portál

1. Přejděte na zásadu | Stránka dodržování předpisů
2. Vyberte [Preview] Zásady řízení stavu SSH.
3. Všimněte si, že je hlášen počet vyhovujících nebo nevyhovujících počítačů.
4. V části Dodržování předpisů prostředků můžete zobrazit stav jednotlivých počítačů.
5. Pokud chcete přejít k podrobnostem o nastavení podle nastavení pro konkrétní počítač:
   1. Klikněte na ... vedle počítače a zvolte Zobrazit prostředek a přejděte na stránku Přehled počítače.
   2. V levém navigačním panelu v části Operace klikněte na Správa konfigurace (ne Konfigurace v části Nastavení).
   3. Klikněte na SecureShell.
   4. Výsledná stránka zobrazuje každé nastavení v konfiguraci s podrobnostmi o dodržování předpisů a také o tom, jak bylo zjištěno dodržování předpisů.

PowerShell

Pokud chcete sledovat stav v nejvyšší výšce (pouze počty strojů), můžete použít následující:

$machineCountsQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend complianceStatus = tostring(properties.complianceStatus)
| summarize machineCount = count() by complianceStatus
'@

Search-AzGraph -Query $machineCountsQuery

<#
Sample output from an environment with two machines:

complianceStatus machineCount
---------------- ------------
Pending                     1
Compliant                   1
#>

Pokud chcete zobrazit dodržování předpisů podle počítače, můžete použít následující:

$machinePerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| project 
    machine = split(properties.targetResourceId,'/')[-1],
    complianceStatus = properties.complianceStatus,
    lastComplianceStatusChecked = properties.lastComplianceStatusChecked
'@

Search-AzGraph -Query $machinePerRowQuery

<#
Sample output:

machine     complianceStatus lastComplianceStatusChecked
-------     ---------------- ---------------------------
sshdemovm01 Compliant        2/15/2024 11:07:21 PM
sshdemovm02 Pending          1/1/0001 12:00:00 AM
#>

Pokud chcete zobrazit podrobnosti o nastavení podle nastavení, můžete použít následující:

$settingPerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend machine = split(properties.targetResourceId,'/')[-1]
| mvexpand properties.latestAssignmentReport.resources
| mvexpand properties_latestAssignmentReport_resources.reasons
| project machine,
    complianceCheck = tostring(properties_latestAssignmentReport_resources.resourceId),
    complianceStatus = tostring(properties.complianceStatus),
    complianceReason = tostring(properties_latestAssignmentReport_resources_reasons.phrase)
'@

Search-AzGraph $settingPerRowQuery

<#
   Sample output:
   
   machine     complianceCheck                                                  complianceStatus     complianceReason
   -------     ---------------                                                  ------               ------
   sshdemovm01 Ensure that the allowed groups for SSH are configured            Compliant            ["administrators","openssh users"] contains the expected values: ["administrators","openssh users"]
   sshdemovm01 Ensure that appropriate ciphers are used for SSH                 Compliant            ["aes128-ctr","aes192-ctr","aes256-ctr"] contains the expected values: ["aes128-ctr","aes192-ctr","aes256-ctr"]
   sshdemovm01 Ensure that the authorized key file for SSH is configured        Compliant            "%programdata%/ssh/administrators_authorized_keys" is equal to "%programdata%/ssh/administrators_authorized_keys"
   sshdemovm01 Ensure that the SSH ClientAliveInterval is configured            Compliant            3600 is equal to 3600
   sshdemovm01 Ensure that the SSH PermitEmptyPasswords is configured           Compliant            false is equal to false
   sshdemovm01 Ensure that the SSH port is configured                           Compliant            22 is equal to 22
   sshdemovm01 Ensure that the SSH MaxAuthTries is configured                   Compliant            6 is equal to 6
   sshdemovm01 Ensure that only approved MAC algorithms are used                Compliant            ["hmac-sha2-256"] contains the expected values: ["hmac-sha2-256"]
   sshdemovm01 Ensure that the SSH HostKey is configured                        Compliant            "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key" is equal to "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key"
   sshdemovm01 Ensure that the SSH LoginGraceTime is configured                 Compliant            60 is equal to 60
   #>

Azure CLI

V tuto chvíli není k dispozici. Čeká na vyřízení https://github.com/Azure/azure-cli/issues/28377. Použijte prosím pokyny k portálu nebo PowerShellu.

Začínáme s místním prostředím (PowerShell)

Požadavky

• Na zařízení musíte mít build Windows Server 2025 podepsaný v produkčním prostředí.
• Na serverové zařízení musí být nainstalovaný modul PowerShellu OSConfig. Podrobnosti najdete v tématu Instalace modulu PowerShellu OSConfig .
• Musíte mít nainstalovanou službu sshd a spuštěnou následující příručku: https://aka.ms/windows-openssh-install.

Pokud chcete použít směrný plán, ověřte použití směrného plánu, odeberte směrný plán nebo zobrazte podrobné informace o dodržování předpisů pro OSConfig v PowerShellu, použijte příkazy na následujících kartách.

Konfigurujte

Pokud chcete použít scénář SSH, spusťte následující příkaz:

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

Ověřte

Pokud chcete ověřit, jestli je scénář SSH správně použitý, spusťte následující příkaz:

Get-OSConfigDesiredConfiguration -Scenario SSH

Kontrola dodržování předpisů

K získání požadovaných podrobností konfigurace pro zadaný scénář použijte následující příkazy. Výstup se zobrazí ve formátu tabulky, který obsahuje název položky konfigurace, stav dodržování předpisů a důvod nedodržení předpisů.

Pokud chcete zkontrolovat podrobnosti o dodržování předpisů pro SSH scenairo, spusťte následující příkaz:

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Vlastní konfigurace

Pokud chcete vlastní nastavení ve scénáři SSH, můžete nakonfigurovat nastavení s parametrem -Name a -Value:

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

---

Další krok

Obraťte se na tým microsoftu a požádejte ho o zpětnou vazbu, žádosti o funkce atd.

Kontaktujte nás