¿Qué es ssh Posture Control (versión preliminar privada): con Azure Policy y Machine Configuration?

! [IMPORTANTE] En este artículo se describe una versión preliminar temprana del control de posición ssh. Para obtener documentación actualizada, consulte ¿Qué es el control de posición ssh? en su lugar.

El control de posición ssh le permite usar los flujos de trabajo conocidos de Azure Policy y la configuración de la máquina para:

• Garantizar el cumplimiento de los estándares de su sector u organización
• Reducir la superficie expuesta a ataques de las características de administración remota
• Garantizar una configuración coherente en toda la flota para la seguridad y la productividad

El control de posición ssh también proporciona motivos detallados que describen cómo se determinó el cumplimiento o el incumplimiento. Estas razones facilitan la adopción de medidas o la documentación completa del cumplimiento.

Ssh Posture Control analiza y aplica aproximadamente 20 parámetros de servidor SSH (sshd). De forma predeterminada, audita y aplica procedimientos recomendados coherentes con la línea base de seguridad de Proceso de Azure para Linux. También puede personalizar determinados parámetros para adaptarlos a su entorno. Por ejemplo, puede personalizar los usuarios y grupos a los que se permite el acceso SSH.

Limitaciones de la versión preliminar privada

Importante

El control de posición ssh está en versión preliminar privada: está diseñado para desencadenar el cuadro de diálogo entre usted y Microsoft.

• La versión preliminar está pensada para su uso con máquinas de desarrollo y pruebas aisladas en las que cualquier problema (incluido el bloqueo accidental del acceso SSH) no tendría consecuencias importantes.
• La versión preliminar implica importar la definición de directiva, en lugar de elegirla en la lista integrada de Azure Policy.
• Las distribuciones de Linux admitidas se limitan inicialmente a Ubuntu Server (20.04, 22.04) y Debian (11, 12). Por favor, háganoslo saber (información de contacto al final de la página) qué distribuciones le gustaría ver entrar en la versión preliminar siguiente.

Ejemplo de introducción

Este ejemplo se centra en empezar a trabajar rápidamente. Simplifica las suposiciones y no explora todo lo posible. Por ejemplo, usa la configuración de SSH predeterminada de PolicyDefinition, en lugar de personalizar parámetros como usuarios y grupos permitidos. Se espera información más completa sobre el control de posición ssh, incluida la configuración y los comportamientos, en un futuro próximo.

Sugerencia

En este artículo se usan el siguiente modelo mental y terminología.

• PolicyDefinition : definición y metadatos del control de posición SSH, como se representa en el servicio Azure Policy.
• PolicyAssignment : vincula la directiva de control de posición sshDefinition a un ámbito en el que se debe aplicar esa directiva, como un grupo de recursos.
• Máquina : un punto de conexión capaz de ser administrado por Azure Policy y Machine Configuration (también conocido como Configuración de invitado). Es decir, una máquina habilitada para Arc o una máquina virtual de Azure.

A. Requisitos previos

1. Una cuenta de Azure con permiso para crear un grupo de recursos, una máquina virtual (o una máquina arc), una definición de directiva y una asignación de directiva.
2. Para conocer los requisitos previos adicionales, elija su experiencia preferida:

Portal

1. Con un explorador web, inicie sesión en Azure Portal o en su equivalente local.

PowerShell

1. Un entorno de PowerShell con los siguientes módulos instalados:
   1. Az.ResourceGraph
   2. Az.Accounts
   3. Az.Resources
2. Use Get-AzContext o Set-AzContext cmdlets para asegurarse de que el entorno de Azure deseado es el destino.

Sugerencia

Azure Cloud Shell en modo PowerShell es un entorno listo para usar y es una manera fácil de empezar.

CLI de Azure

No está disponible en este momento. Pendiente https://github.com/Azure/azure-cli/issues/28377. Use el portal o las instrucciones de PowerShell.

B. Crear un grupo de recursos

Portal

1. Cree un grupo de recursos. En los próximos pasos, se usará para definir el ámbito de la directiva y para contener una nueva máquina de prueba.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group" 
$myAzureLocation = "eastus" ## Modify as needed

$myResourceGroup = New-AzResourceGroup -Name $myResourceGroupName -Location $myAzureLocation

CLI de Azure

No está disponible en este momento. Pendiente https://github.com/Azure/azure-cli/issues/28377. Use el portal o las instrucciones de PowerShell.

C. Creación de PolicyDefinition

Nota

Este paso adicional (crear en lugar de simplemente elegir PolicyDefinition) es necesario durante la versión preliminar privada.

Portal

1. Vaya a la página Información general de Azure Policy . Por ejemplo, podría usar el URI: https://portal.azure.com/#view/Microsoft_Azure_Policy/PolicyMenuBlade/~/Overview.
2. Vaya a la vista Definiciones .
3. Haga clic en el botón + Definición de directiva para crear una directivaDefinition y escriba lo siguiente como entradas.
   1. Ubicación de definición: elija la suscripción de Azure donde residirá PolicyDefinition.
   2. Nombre: [Versión preliminar] Directiva de control de posición SSH
   3. Categoría: Usar existente y, después, elegir Configuración de invitado
   4. Regla de directiva: elimine el JSON existente y pegue el json PolicyDefinition de la definición de directiva de control de posición SSH de versión preliminar.
4. Haga clic en Guardar

PowerShell

$sshPolicyDefinitionJsonUri = "https://raw.githubusercontent.com/Azure/azure-osconfig/main/src/adapters/mc/sshpreview/OsConfigPolicy_DeployIfNotExists.json"
$sshPolicyDefinitionName = "[Preview] SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJsonUri

CLI de Azure

No está disponible en este momento. Pendiente https://github.com/Azure/azure-cli/issues/28377. Use el portal o las instrucciones de PowerShell.

D. Uso de policyAssignment para aplicar PolicyDefinition al grupo de recursos

Precaución

Esta directiva modifica la configuración sshd en máquinas dentro del ámbito. Estas instrucciones le permiten asignarla a un grupo de recursos inicialmente vacío, donde más adelante creará una máquina de prueba. Tenga mucho cuidado si decide asignar a cualquier ámbito más amplio.

Portal

1. Vaya a la directiva | Página Definiciones que muestra todas las definiciones de directiva disponibles.
2. Seleccione la directiva de control de posición SSH [Versión preliminar] Definición que creó anteriormente.
3. Haga clic en Asignar.
4. En Ámbito , elija el grupo de recursos donde creará más adelante una nueva máquina de prueba.
5. Continúe con la pestaña Parámetros .
   1. Elija "true" para Incluir máquinas conectadas a Arc, a menos que quiera excluir específicamente las máquinas conectadas a Arc.
   2. NOTA: Si desea personalizar la configuración de SSH, como los grupos permitidos, desactive el cuadro Mostrar solo parámetros... para mostrar todos los parámetros disponibles. Si decide especificar usuarios o grupos permitidos o denegados, tenga en cuenta que escribiría una cadena delimitada por espacio, por ejemplo userA userB.
6. Continúe con la pestaña Corrección .
   1. NOTA: Aunque esta demostración se centra en una nueva máquina, en otros escenarios en los que desea que policyAssignment se aplique a las máquinas existentes, puede activar la casilla Crear una tarea de corrección.
   2. Elija Crear una identidad administrada con asignada por el sistema y una ubicación de identidad de su elección.
7. Continúe con Revisar y crear.
   1. Elija Crear para completar la directivaAsignar.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -AssignIdentity -Location $myAzureLocation
## Complete RBAC assignment
New-AzRoleAssignment -ObjectId $sshPolicyAssignment.Identity.PrincipalId -RoleDefinitionId $sshPolicyDefinition.Properties.PolicyRule.then.details.roleDefinitionIds[0].split("/")[4] -Scope "/subscriptions/$((Get-AzContext).Subscription.Id)"

CLI de Azure

No está disponible en este momento. Pendiente https://github.com/Azure/azure-cli/issues/28377. Use el portal o las instrucciones de PowerShell.

E. Creación de una máquina

Aunque los nuevos PolicyAssignments se pueden aplicar a las máquinas existentes, el proceso puede tardar hasta 24 horas. Para este inicio rápido nos centraremos en evaluar una nueva máquina. En este ejemplo, crearemos una máquina virtual de Azure, pero podría crear una máquina habilitada para Arc si lo prefiere.

Portal

1. Vaya a la experiencia de Azure Virtual Machines .
2. Cree una máquina virtual y asegúrese de las siguientes propiedades:
   1. La suscripción y el grupo de recursos deben coincidir con el ámbito policyAssignment.
   2. La imagen debe ser "Unbuntu Server 22.04...".
   3. La arquitectura de máquina virtual debe ser x64.
   4. Otras propiedades, como el nombre de la máquina virtual, el tamaño, etc. pueden ser lo que prefiera.
3. Espere a que se complete la creación de la máquina virtual y, a continuación, haga clic en Ir al recurso para llegar a la página de información general de la máquina.
4. En el panel de navegación izquierdo, seleccione Identidad y asegúrese de que la máquina tiene una identidad administrada del sistema.
5. En el panel de navegación izquierdo, seleccione Extensiones y aplicaciones y, a continuación, + Agregar.
6. Elija la extensión Azure Automanage Machine Configuration y seleccione Siguiente.
7. Seleccione Revisar y crear y, a continuación, crear.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myNameForNewVM = "sshdemovm01"

## Creates a new VM which is prepped to work with MachineConfiguration
## by having a system assigned identity and the GuestConfiguration extension
New-AzVM -Name $myNameForNewVM -ResourceGroupName $myResourceGroupName -SystemAssignedIdentity -Image Ubuntu2204
Set-AzVMExtension -ResourceGroupName $myResourceGroupName -VMName $myNameForNewVM -ExtensionType "ConfigurationforLinux" -Publisher "Microsoft.GuestConfiguration" -Name "AzurePolicyForLinux" -TypeHandlerVersion 1.0

CLI de Azure

No está disponible en este momento. Pendiente https://github.com/Azure/azure-cli/issues/28377. Use el portal o las instrucciones de PowerShell.

F. Tómese un descanso antes de continuar

Cuando intervienen nuevas directivasDefinitions, PolicyAssignments y máquinas, todo puede tardar varios minutos en alcanzar el estado estable. Considere la posibilidad de esperar al menos 30 minutos antes de continuar con el paso siguiente.

G. Observar los resultados de cumplimiento

Los pasos siguientes le permiten ver un paquete acumulativo de cumplimiento a diferentes altitudes:

• Cumplimiento por PolicyAssignment
  • Número de máquinas compatibles y no compatibles
  • Altitud más alta, especialmente útil para grandes flotas
• Cumplimiento por máquina
  • Lista de máquinas con sí/no por máquina
• Cumplimiento mediante la configuración, para una máquina específica
  • Nivel más profundo de detalle, como la captura de pantalla de la parte superior de este artículo.

Sugerencia

Es probable que la nueva máquina se juzgue como no conforme cuando encuentre la directiva por primera vez. La configuración de SSH predeterminada de la directiva es más estricta que la que muchas imágenes del sistema operativo han configurado de forma predeterminada. Después de 20 minutos adicionales, debe encontrar que la máquina es compatible gracias a la lógica de corrección integrada en el control de posición SSH.

Portal

1. Vaya a la directiva | Página cumplimiento .
2. Seleccione [Versión preliminar] Directiva de control de posición ssh.
3. Observe que se notifica el número de máquinas compatibles o no compatibles.
4. En Cumplimiento de recursos , puede ver el estado de las máquinas individuales.
5. Para explorar en profundidad los detalles de configuración por configuración de una máquina específica:
   1. Haga clic en ... junto a una máquina y elija Ver recurso para llegar a la página Información general de la máquina.
   2. En el panel de navegación izquierdo, en Operaciones, haga clic en Administración de configuración (no en Configuración).
   3. Haga clic en LinuxSSHServerSecurityBaseline.
   4. En la página resultante se muestra cada configuración de la configuración con detalles sobre el cumplimiento, así como cómo se determinó el cumplimiento.

PowerShell

Para observar el estado en la altitud más alta (solo recuentos de máquinas), puede usar lo siguiente:

$machineCountsQuery = @'
guestconfigurationresources
| where name startswith("LinuxSshServerSecurityBaseline")
| extend complianceStatus = tostring(properties.complianceStatus)
| summarize machineCount = count() by complianceStatus
'@

Search-AzGraph -Query $machineCountsQuery

<#
Sample output from an environment with two machines:

complianceStatus machineCount
---------------- ------------
Pending                     1
Compliant                   1
#>

Para ver un cumplimiento por máquina, puede usar lo siguiente:

$machinePerRowQuery = @'
guestconfigurationresources
| where name startswith("LinuxSshServerSecurityBaseline")
| project 
    machine = split(properties.targetResourceId,'/')[-1],
    complianceStatus = properties.complianceStatus,
    lastComplianceStatusChecked = properties.lastComplianceStatusChecked
'@

Search-AzGraph -Query $machinePerRowQuery

<#
Sample output:

machine     complianceStatus lastComplianceStatusChecked
-------     ---------------- ---------------------------
sshdemovm01 Compliant        2/15/2024 11:07:21 PM
sshdemovm02 Pending          1/1/0001 12:00:00 AM
#>

Para ver los detalles de configuración por configuración, puede usar lo siguiente:

$settingPerRowQuery = @'
guestconfigurationresources
| where name startswith ('LinuxSshServerSecurityBaseline')
| extend machine = split(properties.targetResourceId,'/')[-1]
| mvexpand properties.latestAssignmentReport.resources
| mvexpand properties_latestAssignmentReport_resources.reasons
| project machine,
    complianceCheck = tostring(properties_latestAssignmentReport_resources.resourceId),
    complianceStatus = tostring(properties.complianceStatus),
    complianceReason = tostring(properties_latestAssignmentReport_resources_reasons.phrase)
'@

Search-AzGraph $settingPerRowQuery

<#
Sample output:

machine     complianceCheck                                                  complianceStatus     complianceReason
-------     ---------------                                                  ------               ------
sshdemovm01 Ensure permissions on /etc/ssh/sshd_config are configured        Compliant            Access to '/etc/ssh/sshd_config' matches required ...
sshdemovm01 Ensure SSH is configured to meet best practices (protocol 2)     Compliant            'Protocol 2' is found uncommented in /etc/ssh/sshd_config
sshdemovm01 Ensure SSH is configured to ignore rhosts                        Compliant            The sshd service reports that 'ignorerhosts' is set to 'yes'
sshdemovm01 Ensure SSH LogLevel is set to INFO                               Compliant            The sshd service reports that 'loglevel' is set to 'INFO'
sshdemovm01 Ensure SSH MaxAuthTries is configured                            Compliant            The sshd service reports that 'maxauthtries' is set to '6'
sshdemovm01 Ensure allowed users for SSH access are configured               Compliant            The sshd service reports that 'allowusers' is set to '*@*'
sshdemovm01 Ensure denied users for SSH are configured                       Compliant            The sshd service reports that 'denyusers' is set to 'root'
sshdemovm01 Ensure allowed groups for SSH are configured                     Compliant            The sshd service reports that 'allowgroups' is set to '*'
sshdemovm01 Ensure denied groups for SSH are configured                      Compliant            The sshd service reports that 'denygroups' is set to 'root'
sshdemovm01 Ensure SSH host-based authenticationis disabled                  Compliant            The sshd service reports that 'hostbasedauthentication' is ...
#>

CLI de Azure

No está disponible en este momento. Pendiente https://github.com/Azure/azure-cli/issues/28377. Use el portal o las instrucciones de PowerShell.

Paso siguiente

Póngase en contacto con el equipo de Microsoft para proporcionar comentarios, solicitudes de características, etc.

ssh_posture_control_through_azure@service.microsoft.com