Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Azure Linux est conçu avec une base de référence sécurisée par défaut et des protections en couches entre les flux de travail de démarrage, d’exécution et de mise à jour. Cet article traite du modèle de sécurité, des fonctionnalités clés et des recommandations pour la validation des paramètres de sécurité sur Azure Linux.
Note
Azure Linux 4.0 est désormais disponible dans preview et est strictement limité aux fins d’évaluation et de test. Il n’est pas approprié pour une utilisation en production.
Modèle de sécurité
Le tableau suivant récapitule les principes de sécurité fondamentaux qui guident la conception de Azure Linux et la façon dont ils sont implémentés sur l’ensemble de la plateforme :
| Principe de sécurité | Implémentation dans Azure Linux |
|---|---|
| Sécurisé par défaut | Jeu minimal de paquets, authentification SSH par clé uniquement, firewalld activé |
| Défense en profondeur | Contrôle d’accès obligatoire SELinux, renforcement du réseau |
| Privilège minimum | Stratégies SELinux, restrictions de capacité du noyau |
Fonctionnalités de sécurité principales
Sécuriser par référence par défaut
- Noyau renforcé : avec ASLR, contrôles de validité de pile et restrictions de pointeur.
- Ensemble de packages minimal : seuls les packages essentiels pour les fonctionnalités de système d’exploitation de base . Aucun protocole hérité, outils de développement ou démons non essentiels dans l’image de base.
- Aucune connexion réseau externe par défaut : pare-feu refuse tout le trafic entrant sauf SSH.
- Authentification SSH par clé uniquement : l’authentification par mot de passe est désactivée.
- Intégrité du package : tous les packages et métadonnées de référentiel sont signés par GPG.
Protections du runtime
- SELinux : en mode appliqué. Stratégie ciblée avec des packages pré-étiquetés.
- Durcissement eBPF : BPF non privilégié désactivé, interpréteur désactivé au profit du JIT.
Sécurité du réseau
- firewalld : activé par défaut avec nftables comme backend.
- Renforcement sysctl réseau : Filtrage strict du chemin inverse, redirection ICMP désactivée, cookies SYN activés.
- IPv6 : activé avec les paramètres de renforcement appliqués.
Identité et accès
- SSSD/realmd : disponible à partir des référentiels Linux Azure pour les scénarios d’identité hybride avec Active Directory et LDAP.
Cryptography
- FIPS 140-3 : modules de chiffrement validés avec un mécanisme d’activation simple.
- Chiffrement post-quantique : ML-KEM prise en charge de l’échange de clés hybrides.
- Bibliothèques de chiffrement système : les applications peuvent utiliser le chiffrement au niveau du système d’exploitation.
Journalisation, audit et supervision
- auditd : activé par défaut ; les profils de règles sont fournis dans /usr/share/audit-rules/ et peuvent être activés en copiant le profil souhaité dans /etc/audit/rules.d/.
- journal : stockage persistant avec sortie JSON structurée.
Intégrations d’analyse des vulnérabilités
Azure Linux prend en charge l’intégration à des outils courants d’analyse des vulnérabilités et de sécurité. Pour obtenir la liste des outils pris en charge, consultez Azure solutions partenaires Linux.