Was ist Windows SSH-Haltungssteuerung (private Vorschau) mit Azure-Richtlinie und PowerShell?

Mit der SSH-Haltungskontrolle können Sie die vertrauten Workflows der Azure-Richtlinien- und Computerkonfiguration verwenden, um:

• Sicherstellen der Einhaltung von Standards in Ihrer Branche oder Organisation
• Reduzieren der Angriffsfläche von Remoteverwaltungsfeatures
• Sicherstellen einer konsistenten Einrichtung in Ihrer Flotte für Sicherheit und Produktivität

Die SSH-Haltungskontrolle enthält auch detaillierte Gründe , die beschreiben, wie Compliance oder Nichtcompliance ermittelt wurde. Diese Gründe erleichtern es, Maßnahmen zu ergreifen oder die Compliance vollständig zu dokumentieren.

SSH-Haltungssteuerung analysiert und erzwingt ca. 20 SSH-Serverparameter (sshd). Sie können auch bestimmte Parameter an Ihre Umgebung anpassen. Sie können beispielsweise anpassen, welche Benutzer und Gruppen SSH-Zugriff sowie die Portnummer und vieles mehr haben.

Sie können DIE SSH-Haltungskontrolle entweder im Überwachungsmodus oder im Überwachungs- und Konfigurationsmodus bereitstellen, um Ihre Geräteflotte zu überwachen, Ergebnisse nachzuverfolgen und die Flotte dann automatisch zu ordnungsgemäßen SSH-Standards zu korrigieren.

Einschränkungen für private Vorschau

Wichtig

Das SSH-Haltungssteuerelement befindet sich in der privaten Vorschau, die für das Auslösen des Dialogfelds zwischen Ihnen und Microsoft vorgesehen ist.

• Die Vorschau ist für die Verwendung mit isolierten Entwicklungs-/Testcomputern vorgesehen, bei denen ein Problem (einschließlich versehentlicher Sperrung von ssh-Zugriff) keine wichtigen Konsequenzen hätte.
• Die Vorschau umfasst das Importieren der Richtliniendefinition, anstatt sie aus der integrierten Azure-Richtlinienliste auszuwählen.
• Dazu stellen wir sowohl den Überwachungs-, als auch den Überwachungs- und Den-Konfigurieren-Workflow bereit.
• Unterstützte Windows-SKUs sind derzeit nur Windows Server 2025

Erste Schritte mit Azure-Richtlinie

Dieses Beispiel konzentriert sich auf die ersten Schritte innerhalb der Azure-Richtlinie. Es vereinfacht Annahmen und untersucht nicht alles, was möglich ist. Beispielsweise werden standardmäßige SSH-Einstellungen aus der PolicyDefinition verwendet, anstatt Parameter wie zulässige Benutzer und Gruppen anzupassen. Ausführlichere Informationen zur SSH-Haltungskontrolle, einschließlich Einstellungen und Verhaltensweisen, werden in Naher Zukunft erwartet. Beachten Sie, dass sich der PowerShell-Abschnitt im Abschnitt am Ende des Artikels befindet.

Tipp

Das folgende mentale Modell und die Terminologie werden in diesem Artikel verwendet.

• PolicyDefinition : Definition und Metadaten der SSH-Haltungskontrolle, wie im Azure-Richtliniendienst dargestellt.
• PolicyAssignment : Verknüpft Ihre SSH-HaltungssteuerungsrichtlinieDefinition mit einem Bereich, in dem diese Richtlinie angewendet werden soll, z. B. eine Ressourcengruppe.
• Computer : Ein Endpunkt, der von Azure-Richtlinien und -Computerkonfiguration verwaltet werden kann (auch als Gastkonfiguration bezeichnet). Anders ausgedrückt: Ein Arc-aktivierter Computer oder eine Azure-VM.

Ein. Voraussetzungen

1. Ein Azure-Konto mit der Berechtigung zum Erstellen einer Ressourcengruppe, eines virtuellen Computers (oder eines Arc-Computers), einer Richtliniendefinition und einer Richtlinienzuweisung.
2. Für zusätzliche Voraussetzungen wählen Sie Ihre bevorzugte Erfahrung aus:

Portal

1. Melden Sie sich mit einem Webbrowser bei Azure Portal oder Ihrer lokalen Entsprechung an.

PowerShell

1. Eine PowerShell-Umgebung mit den folgenden installierten Modulen:
   1. Az.ResourceGraph
   2. Az.Konten
   3. Az.Resources
2. Verwenden Sie Get-AzContext und/oder Set-AzContext Cmdlets, um sicherzustellen, dass die gewünschte Azure-Umgebung gezielt ist.

Tipp

Azure Cloud Shell im PowerShell-Modus ist eine einsatzbereite Umgebung und eine einfache Möglichkeit für die ersten Schritte.

Azure-Befehlszeilenschnittstelle

Zurzeit nicht verfügbar. Ausstehende https:// github.com/Azure/azure-cli/issues/28377. Verwenden Sie bitte Portal- oder PowerShell-Anweisungen.

B. Erstellen einer Ressourcengruppe

Portal

1. Erstellen Sie eine Ressourcengruppe. In anstehenden Schritten wird dies verwendet, um die Richtlinie zu beschränken und einen neuen Testcomputer zu enthalten.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group" 
$myAzureLocation = "eastus" ## Modify as needed

$myResourceGroup = New-AzResourceGroup -Name $myResourceGroupName -Location $myAzureLocation

Azure-Befehlszeilenschnittstelle

Zurzeit nicht verfügbar. Ausstehend https://github.com/Azure/azure-cli/issues/28377. Verwenden Sie bitte Portal- oder PowerShell-Anweisungen.

C. Erstellen der PolicyDefinition

Hinweis

Dieser zusätzliche Schritt (erstellen statt nur die RichtlinieDefinition auszuwählen) ist während der privaten Vorschau erforderlich.

Portal

1. Navigieren Sie zur Azure-Richtlinienübersichtsseite . Sie können z. B. den URI verwenden: https://portal.azure.com/#view/Microsoft_Azure_Policy/PolicyMenuBlade/~/Overview.
2. Navigieren Sie zur Definitionsansicht .
3. Klicken Sie auf die Schaltfläche +Richtliniendefinition , um eine neue PolicyDefinition zu erstellen, und geben Sie Folgendes als Eingaben ein.
   1. Definitionsspeicherort: Wählen Sie Ihr Azure-Abonnement aus, in dem sich die PolicyDefinition befindet.
   2. Name: [Vorschau] Richtlinie zur Überwachung der SSH-Haltungskontrolle oder [Vorschau] Konfigurieren der SSH-Haltungssteuerungsrichtlinie
   3. Kategorie: Vorhandene Option verwenden und dann "Gastkonfiguration" auswählen
   4. Richtlinienregel: Löschen Sie den bereits vorhandenen JSON-Code, und fügen Sie den Json-Code der Vorschauüberwachungsrichtlinie für ssh-Haltungssteuerungsrichtlinien oderdie Definition der Ssh-Haltungssteuerungsrichtlinie in der Vorschau ein.
4. Klicken Sie unten auf der Seite auf Speichern.

PowerShell

Nur-Überwachungsrichtlinie:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SecureShell_Preview_AuditIfNotExists.json"
$localFilePath = "AuditSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

Richtlinie überwachen und konfigurieren:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SetSecureShell_Preview_DeployIfNotExists.json"
$localFilePath = "ConfigureSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

Azure-Befehlszeilenschnittstelle

Zurzeit nicht verfügbar. Ausstehend https://github.com/Azure/azure-cli/issues/28377. Verwenden Sie bitte Portal- oder PowerShell-Anweisungen.

D. Verwenden einer PolicyAssignment zum Anwenden der PolicyDefinition auf Ihre Ressourcengruppe

Vorsicht

Diese Richtlinie ändert die sshd-Konfiguration auf Computern im Bereich. Diese Anweisungen weisen sie einer anfänglich leeren Ressourcengruppe zu, in der Sie später einen Testcomputer erstellen. Achten Sie darauf, wenn Sie einen breiteren Bereich zuweisen möchten.

Portal

1. Navigieren Sie zur Richtlinie | Definitionsseite , auf der alle verfügbaren Richtliniendefinitionen aufgelistet sind.
2. Wählen Sie die Richtlinie "PolicyDefinition", die Sie zuvor erstellt haben, die Richtlinie für die SSH-Haltungskontrolle [Vorschau] aus.
3. Klicken Sie auf Zuweisen.
4. Wählen Sie für "Bereich" die Ressourcengruppe aus, in der Sie später einen neuen Testcomputer erstellen.
5. Fahren Sie mit der Registerkarte "Parameter " fort.
   1. Wählen Sie "true" für verbundene Arc-Computer ein, es sei denn, Sie möchten verbundene Arc-Computer ausschließen.
   2. HINWEIS: Wenn Sie SSH-Einstellungen anpassen möchten, z. B. zulässige Gruppen, deaktivieren Sie das Kontrollkästchen "Parameter anzeigen" ... Kontrollkästchen, um alle verfügbaren Parameter anzuzeigen. Wenn Sie die zulässigen oder verweigerten Benutzer oder Gruppen angeben möchten, beachten Sie bitte, dass Sie eine durch Leerzeichen getrennte Zeichenfolge eingeben würden, z userA userB. B. .
6. Fahren Sie mit der Registerkarte "Korrektur" fort .
   1. HINWEIS: Obwohl sich diese Demo auf einen neuen Computer konzentriert, können Sie in anderen Szenarien, in denen die PolicyAssignment auf vorhandene Computer angewendet werden soll, das Kontrollkästchen für die Erstellung einer Wartungsaufgabe aktivieren.
   2. Wählen Sie "Verwaltete Identität erstellen " mit zugewiesenem System und einem Identitätsort Ihrer Wahl aus.
7. Fahren Sie mit Überprüfung fort und erstellen Sie
   1. Wählen Sie "Erstellen" aus, um das PolicyAssignment abzuschließen.

PowerShell

Nur-Überwachungsrichtlinie:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Audit SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

Richtlinie überwachen und konfigurieren:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Configure SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

Azure-Befehlszeilenschnittstelle

Zurzeit nicht verfügbar. Ausstehend https://github.com/Azure/azure-cli/issues/28377. Verwenden Sie bitte Portal- oder PowerShell-Anweisungen.

E. Erstellen eines neuen Computers

Obwohl neue PolicyAssignments auf vorhandene Computer angewendet werden können, kann der Vorgang bis zu 24 Stunden dauern. Für diesen Schnellstart konzentrieren wir uns auf die Auswertung eines neuen Computers. In diesem Beispiel erstellen wir eine Azure-VM, aber Sie können bei Bedarf einen Arc-aktivierten Computer erstellen.

Portal

1. Navigieren Sie zur Azure Virtual Machines-Umgebung .
2. Erstellen Sie einen neuen virtuellen Computer, und stellen Sie die folgenden Eigenschaften sicher:
   1. Abonnement- und Ressourcengruppe sollte mit dem Bereich "PolicyAssignment" übereinstimmen.
   2. Das Image sollte "Windows Server 2025" sein.
   3. Vm-Architektur sollte x64 sein.
   4. Andere Eigenschaften wie VM-Name, Größe usw. können unabhängig davon sein, was Sie bevorzugen.
3. Warten Sie, bis die VM-Erstellung abgeschlossen ist, und klicken Sie dann auf "Zur Ressource wechseln ", um die Seite "Computerübersicht" zu erreichen.
4. Wählen Sie in der linken Navigationsleiste "Identität" aus, und stellen Sie sicher, dass der Computer über eine vom System verwaltete Identität verfügt.
5. Wählen Sie in der linken Navigationsleiste Erweiterungen + Anwendungen und dann + Hinzufügen aus.
6. Wählen Sie die Azure Machine Configuration-Erweiterung für die Windows-Erweiterung und dann "Weiter" aus.
7. Wählen Sie "Überprüfen" und "Erstellen" und dann "Erstellen" aus.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myNameForNewVM = "sshdemovm01"

## Creates a new VM which is prepped to work with MachineConfiguration
## by having a system assigned identity and the GuestConfiguration extension
New-AzVM -Name $myNameForNewVM -ResourceGroupName $myResourceGroupName -SystemAssignedIdentity -Image "MicrosoftWindowsServer:WindowsServer:2025-datacenter:latest"
Set-AzVMExtension -ResourceGroupName $myResourceGroupName -VMName $myNameForNewVM -ExtensionType "ConfigurationforWindows" -Publisher "Microsoft.GuestConfiguration" -Name "AzurePolicyforWindows" -TypeHandlerVersion 1.0

Azure-Befehlszeilenschnittstelle

Zurzeit nicht verfügbar. Ausstehend https://github.com/Azure/azure-cli/issues/28377. Verwenden Sie bitte Portal- oder PowerShell-Anweisungen.

F. Machen Sie eine Pause, bevor Sie fortfahren

Wenn neue PolicyDefinitions-, PolicyAssignments- und Computer beteiligt sind, kann es mehrere Minuten dauern, bis alles einen stabilen Zustand erreicht. Erwägen Sie , mindestens 30 Minuten zu warten, bevor Sie mit dem nächsten Schritt fortfahren.

G. Beobachten von Complianceergebnissen

Mit den folgenden Schritten können Sie ein Compliancerollup in unterschiedlichen Höhen anzeigen:

• Compliance nach PolicyAssignment
  • Anzahl der computerkonformen und nicht konformen Computer
  • Höchste Höhe, besonders nützlich für große Flotten
• Compliance nach Computer
  • Liste der Computer mit "Ja/Nein" pro Computer
• Compliance nach Einstellung für einen bestimmten Computer
  • Tiefste Detailebene, z. B. der Screenshot oben in diesem Artikel.

Tipp

Ihr neuer Computer wird wahrscheinlich als nicht konform beurteilt, wenn er zum ersten Mal auf die Richtlinie trifft. Die Standard-SSH-Einstellungen in der Richtlinie sind strenger als die, die viele Betriebssystemimages standardmäßig konfiguriert haben. Nach weiteren 20 Minuten sollten Sie feststellen, dass Ihr Computer dank der in SSH-Haltungssteuerung integrierten Wartungslogik kompatibel wird.

Portal

1. Navigieren Sie zur Richtlinie | Seite "Compliance" .
2. Wählen Sie [Vorschau] SSH-Statussteuerungsrichtlinie aus.
3. Beachten Sie, dass die Anzahl der konformen/nicht kompatiblen Computer gemeldet wird.
4. Unter "Ressourcencompliance " können Sie den Status für einzelne Computer anzeigen.
5. So führen Sie einen Drilldown zu den Einstellungsdetails für einen bestimmten Computer durch:
   1. Klicken Sie auf die ... neben einem Computer, und wählen Sie "Ressource anzeigen " aus, um die Seite "Übersicht" des Computers zu erreichen.
   2. Klicken Sie in der linken Navigation unter "Vorgänge" auf " Konfigurationsverwaltung " (nicht unter "Einstellungen")
   3. Klicken Sie auf SecureShell
   4. Auf der resultierenden Seite werden die einzelnen Einstellungen in der Konfiguration mit Details zur Compliance sowie die Bestimmung der Compliance angezeigt.

PowerShell

Um den Status auf der höchsten Höhe zu beobachten (nur Maschinenanzahl), können Sie Folgendes verwenden:

$machineCountsQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend complianceStatus = tostring(properties.complianceStatus)
| summarize machineCount = count() by complianceStatus
'@

Search-AzGraph -Query $machineCountsQuery

<#
Sample output from an environment with two machines:

complianceStatus machineCount
---------------- ------------
Pending                     1
Compliant                   1
#>

Um eine Compliance nach Computer anzuzeigen, können Sie Folgendes verwenden:

$machinePerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| project 
    machine = split(properties.targetResourceId,'/')[-1],
    complianceStatus = properties.complianceStatus,
    lastComplianceStatusChecked = properties.lastComplianceStatusChecked
'@

Search-AzGraph -Query $machinePerRowQuery

<#
Sample output:

machine     complianceStatus lastComplianceStatusChecked
-------     ---------------- ---------------------------
sshdemovm01 Compliant        2/15/2024 11:07:21 PM
sshdemovm02 Pending          1/1/0001 12:00:00 AM
#>

Um die Details zur Einstellung anzuzeigen, können Sie Folgendes verwenden:

$settingPerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend machine = split(properties.targetResourceId,'/')[-1]
| mvexpand properties.latestAssignmentReport.resources
| mvexpand properties_latestAssignmentReport_resources.reasons
| project machine,
    complianceCheck = tostring(properties_latestAssignmentReport_resources.resourceId),
    complianceStatus = tostring(properties.complianceStatus),
    complianceReason = tostring(properties_latestAssignmentReport_resources_reasons.phrase)
'@

Search-AzGraph $settingPerRowQuery

<#
   Sample output:
   
   machine     complianceCheck                                                  complianceStatus     complianceReason
   -------     ---------------                                                  ------               ------
   sshdemovm01 Ensure that the allowed groups for SSH are configured            Compliant            ["administrators","openssh users"] contains the expected values: ["administrators","openssh users"]
   sshdemovm01 Ensure that appropriate ciphers are used for SSH                 Compliant            ["aes128-ctr","aes192-ctr","aes256-ctr"] contains the expected values: ["aes128-ctr","aes192-ctr","aes256-ctr"]
   sshdemovm01 Ensure that the authorized key file for SSH is configured        Compliant            "%programdata%/ssh/administrators_authorized_keys" is equal to "%programdata%/ssh/administrators_authorized_keys"
   sshdemovm01 Ensure that the SSH ClientAliveInterval is configured            Compliant            3600 is equal to 3600
   sshdemovm01 Ensure that the SSH PermitEmptyPasswords is configured           Compliant            false is equal to false
   sshdemovm01 Ensure that the SSH port is configured                           Compliant            22 is equal to 22
   sshdemovm01 Ensure that the SSH MaxAuthTries is configured                   Compliant            6 is equal to 6
   sshdemovm01 Ensure that only approved MAC algorithms are used                Compliant            ["hmac-sha2-256"] contains the expected values: ["hmac-sha2-256"]
   sshdemovm01 Ensure that the SSH HostKey is configured                        Compliant            "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key" is equal to "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key"
   sshdemovm01 Ensure that the SSH LoginGraceTime is configured                 Compliant            60 is equal to 60
   #>

Azure-Befehlszeilenschnittstelle

Zurzeit nicht verfügbar. Ausstehend https://github.com/Azure/azure-cli/issues/28377. Verwenden Sie bitte Portal- oder PowerShell-Anweisungen.

Erste Schritte mit der lokalen Oberfläche (PowerShell)

Voraussetzungen

• Sie müssen einen produktionssignierten Windows Server 2025-Build auf Ihrem Gerät ausführen.
• Das OSConfig PowerShell-Modul muss auf Ihrem Servergerät installiert sein. Details finden Sie unter Installieren des OSConfig PowerShell-Moduls .
• Sie müssen den sshd-Dienst installiert haben und folgendes Handbuch ausführen: https://aka.ms/windows-openssh-install.

Um einen Basisplan anzuwenden, überprüfen Sie, ob der Basisplan angewendet wird, entfernen Sie einen Basisplan, oder zeigen Sie detaillierte Complianceinformationen für OSConfig in PowerShell an, verwenden Sie die Befehle auf den folgenden Registerkarten.

Konfigurieren

Führen Sie den folgenden Befehl aus, um das SSH-Szenario anzuwenden:

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

Überprüfen

Führen Sie den folgenden Befehl aus, um zu überprüfen, ob das SSH-Szenario ordnungsgemäß angewendet wurde:

Get-OSConfigDesiredConfiguration -Scenario SSH

Überprüfen der Konformität

Verwenden Sie die folgenden Befehle, um die gewünschten Konfigurationsdetails für das angegebene Szenario abzurufen. Die Ausgabe wird in einem Tabellenformat angezeigt, das den Namen des Konfigurationselements, den Compliancestatus und den Grund für die Nichtkompatibilität enthält.

Führen Sie den folgenden Befehl aus, um die Compliancedetails für SSH scenairo zu überprüfen:

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Benutzerdefinierte Konfiguration

Um die Einstellung im SSH-Szenario zu benutzerdefinierten, können Sie eine Einstellung mit dem Parameter "-Name" und "-Value" konfigurieren:

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

---

Nächster Schritt

Wenden Sie sich an das Team bei Microsoft, um Feedback, Featureanfragen usw. bereitzustellen.

Kontakt