Qu’est-ce que windows SSH Posture Control (préversion privée) avec Azure Policy et PowerShell ?

Le contrôle de posture SSH vous permet d’utiliser les flux de travail familiers d’Azure Policy et de la configuration de machine pour :

• Garantir la conformité aux normes de votre secteur ou de votre organisation
• Réduire la surface d’attaque des fonctionnalités de gestion à distance
• Garantir une configuration cohérente dans votre flotte pour la sécurité et la productivité

Ssh Posture Control fournit également des raisons détaillées décrivant la façon dont la conformité ou la non-conformité a été déterminée. Ces raisons facilitent l’action ou la conformité complète des documents.

Ssh Posture Control analyse et applique environ 20 paramètres de serveur SSH (sshd). Vous pouvez également personnaliser certains paramètres en fonction de votre environnement. Par exemple, vous pouvez personnaliser les utilisateurs et les groupes autorisés à accéder à SSH, ainsi que le numéro de port et bien plus encore.

Vous pouvez déployer SSH Posture Control en mode audit ou audit-and-configure pour auditer votre flotte d’appareils, suivre les résultats, puis corriger automatiquement la flotte en fonction des normes sshd appropriées.

Limitations de la préversion privée

Important

Le contrôle de posture SSH est en préversion privée, destiné à déclencher une boîte de dialogue entre vous et Microsoft.

• La préversion est destinée à être utilisée avec des ordinateurs de développement/test isolés où tout problème (y compris le verrouillage par inadvertance de vous-même à partir de l’accès SSH) n’aurait pas de conséquences importantes.
• La préversion implique l’importation de la définition de stratégie plutôt que de la choisir dans la liste intégrée d’Azure Policy.
• Pour cela, nous fournirons à la fois l’audit et le workflow d’audit et de configuration.
• Les références SKU Windows prises en charge sont actuellement uniquement Windows Server 2025

Prise en main d’Azure Policy

Cet exemple est axé sur la prise en main rapide dans Azure Policy. Il simplifie les hypothèses et n’explore pas tout ce qui est possible. Par exemple, il utilise les paramètres SSH par défaut à partir de PolicyDefinition, plutôt que de personnaliser des paramètres tels que les utilisateurs et les groupes autorisés. Des informations plus complètes sur le contrôle de posture SSH, notamment les paramètres et les comportements, sont attendues dans un avenir proche. Notez que la section PowerShell se trouve dans la section vers la fin de l’article.

Conseil / Astuce

Le modèle mental et la terminologie suivants sont utilisés dans cet article.

• PolicyDefinition : Définition et métadonnées du contrôle de posture SSH, comme représenté dans le service Azure Policy.
• PolicyAssignment : lie votre stratégie de contrôle de posture SSH à une étendue dans laquelle cette stratégie doit être appliquée, telle qu’un groupe de ressources.
• Machine : point de terminaison capable d’être géré par Azure Policy et La configuration de l’ordinateur (alias Guest Configuration). En d’autres termes, une machine avec Arc ou une machine virtuelle Azure.

Un. Conditions préalables

1. Un compte Azure autorisé à créer un groupe de ressources, une machine virtuelle (ou une machine Arc), une définition de stratégie et une affectation de stratégie.
2. Pour obtenir des conditions préalables supplémentaires, choisissez votre expérience préférée :

Portail

1. À l’aide d’un navigateur web, connectez-vous au portail Azure ou à votre équivalent local.

PowerShell

1. Un environnement PowerShell avec les modules suivants installés :
   1. Az.ResourceGraph
   2. Az.Accounts
   3. Az.Ressources
2. Utilisez Get-AzContext et/ou Set-AzContext applets de commande pour vous assurer que l’environnement Azure souhaité est ciblé.

Conseil / Astuce

Azure Cloud Shell en mode PowerShell est un environnement prêt à l’emploi et constitue un moyen simple de commencer.

Azure CLI

Non disponible pour l’instant. Https:// github.com/Azure/azure-cli/issues/28377 en attente. Utilisez les instructions portail ou PowerShell.

B. Créer un groupe de ressources

Portail

1. Créez un groupe de ressources. Dans les prochaines étapes, cela sera utilisé pour étendre la stratégie et pour contenir un nouvel ordinateur de test.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group" 
$myAzureLocation = "eastus" ## Modify as needed

$myResourceGroup = New-AzResourceGroup -Name $myResourceGroupName -Location $myAzureLocation

Azure CLI

Non disponible pour l’instant. En attente https://github.com/Azure/azure-cli/issues/28377. Utilisez les instructions portail ou PowerShell.

Chapitre C. Créer policyDefinition

Remarque

Cette étape supplémentaire (création au lieu de choisir simplement PolicyDefinition) est requise pendant la préversion privée.

Portail

1. Accédez à la page Vue d’ensemble d’Azure Policy . Par exemple, vous pouvez utiliser l’URI : https://portal.azure.com/#view/Microsoft_Azure_Policy/PolicyMenuBlade/~/Overview.
2. Accédez à la vue Définitions .
3. Cliquez sur le bouton + Définition de stratégie pour créer une stratégieDefinition, en entrant les entrées suivantes.
   1. Emplacement de définition : choisissez votre abonnement Azure dans lequel la StratégieDefinition sera active.
   2. Nom : [Préversion] Auditer la stratégie de contrôle de posture SSH ou [préversion] Configurer la stratégie de contrôle de posture SSH
   3. Catégorie : Utiliser l’existant, puis choisir Configuration invité
   4. Règle de stratégie : supprimez le JSON préexistant et collez le JSON PolicyDefinition à partir de la définition de stratégie de contrôle de posture SSH d’audit de préversionou de la définition de stratégie de contrôle de posture SSH et configurez-la.
4. Cliquez sur Enregistrer.

PowerShell

stratégie audit uniquement :

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SecureShell_Preview_AuditIfNotExists.json"
$localFilePath = "AuditSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

Stratégie audit-and-configure :

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SetSecureShell_Preview_DeployIfNotExists.json"
$localFilePath = "ConfigureSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

Azure CLI

Non disponible pour l’instant. En attente https://github.com/Azure/azure-cli/issues/28377. Utilisez les instructions portail ou PowerShell.

D. Utiliser un PolicyAssignment pour appliquer PolicyDefinition à votre groupe de ressources

Avertissement

Cette stratégie modifie la configuration sshd sur les machines dans l’étendue. Ces instructions vous permettent de l’affecter à un groupe de ressources initialement vide, où vous allez créer ultérieurement une machine de test. Prenez soin si vous choisissez d’affecter à une étendue plus large.

Portail

1. Accédez à la stratégie | Page Définitions qui répertorie toutes les définitions de stratégie disponibles.
2. Sélectionnez la stratégie de contrôle de posture SSH [préversion] PolicyDefinition que vous avez créée précédemment
3. Cliquez sur Attribuer.
4. Pour Étendue , choisissez le groupe de ressources dans lequel vous créerez ultérieurement une machine de test.
5. Passez à l’onglet Paramètres .
   1. Choisissez « true » pour inclure les machines connectées à Arc, sauf si vous souhaitez exclure spécifiquement les machines connectées à Arc.
   2. REMARQUE : Si vous souhaitez personnaliser les paramètres SSH, tels que les groupes autorisés, décochez la case Afficher uniquement les paramètres... pour afficher tous les paramètres disponibles. Si vous choisissez de spécifier des utilisateurs ou des groupes autorisés ou refusés, sachez que vous devez entrer une chaîne délimitée par un espace, par exemple userA userB.
6. Passez à l’onglet Correction .
   1. REMARQUE : Bien que cette démonstration se concentre sur une nouvelle machine, dans d’autres scénarios où vous souhaitez que policyAssignment s’applique aux machines existantes, vous pouvez cocher la case à cocher Pour créer une tâche de correction.
   2. Choisissez Créer une identité managée avec le système affecté et un emplacement d’identité de votre choix.
7. Passez à Vérifier + créer
   1. Choisissez Créer pour terminer policyAssignment.

PowerShell

stratégie audit uniquement :

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Audit SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

Stratégie audit-and-configure :

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Configure SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

Azure CLI

Non disponible pour l’instant. En attente https://github.com/Azure/azure-cli/issues/28377. Utilisez les instructions portail ou PowerShell.

E. Créer un ordinateur

Bien que les nouvelles stratégiesAssignments puissent s’appliquer aux machines existantes, le processus peut prendre jusqu’à 24 heures. Pour ce démarrage rapide, nous allons nous concentrer sur l’évaluation d’une nouvelle machine. Dans cet exemple, nous allons créer une machine virtuelle Azure, mais vous pouvez créer une machine avec Arc si vous préférez.

Portail

1. Accédez à l’expérience des machines virtuelles Azure .
2. Créez une machine virtuelle, en garantissant les propriétés suivantes :
   1. L’abonnement et le groupe de ressources doivent correspondre à l’emplacement d’étendue de PolicyAssignment.
   2. L’image doit être « Windows Server 2025 ».
   3. L’architecture de machine virtuelle doit être x64.
   4. D’autres propriétés telles que le nom de machine virtuelle, la taille, etc. peuvent être tout ce que vous préférez.
3. Attendez la fin de la création de la machine virtuelle, puis cliquez sur Accéder à la ressource pour accéder à la page vue d’ensemble de l’ordinateur
4. Dans le volet de navigation de gauche, sélectionnez Identité et vérifiez que l’ordinateur dispose d’une identité managée par le système
5. Dans le volet de navigation de gauche, sélectionnez Extensions + applications, puis + Ajouter
6. Choisissez l’extension Azure Machine Configuration pour l’extension Windows , puis sélectionnez Suivant
7. Sélectionnez Vérifier + créer, puis créer

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myNameForNewVM = "sshdemovm01"

## Creates a new VM which is prepped to work with MachineConfiguration
## by having a system assigned identity and the GuestConfiguration extension
New-AzVM -Name $myNameForNewVM -ResourceGroupName $myResourceGroupName -SystemAssignedIdentity -Image "MicrosoftWindowsServer:WindowsServer:2025-datacenter:latest"
Set-AzVMExtension -ResourceGroupName $myResourceGroupName -VMName $myNameForNewVM -ExtensionType "ConfigurationforWindows" -Publisher "Microsoft.GuestConfiguration" -Name "AzurePolicyforWindows" -TypeHandlerVersion 1.0

Azure CLI

Non disponible pour l’instant. En attente https://github.com/Azure/azure-cli/issues/28377. Utilisez les instructions portail ou PowerShell.

F. Prendre une pause avant de continuer

Lorsque de nouvelles StratégiesDefinitions, PolicyAssignments et machines sont impliquées, il peut prendre plusieurs minutes pour que tout atteigne un état stable. Envisagez d’attendre au moins 30 minutes avant de passer à l’étape suivante.

G. Observer les résultats de conformité

Les étapes suivantes vous permettent de voir un cumul de conformité à différentes altitudes :

• Conformité par PolicyAssignment
  • Nombre de machines conformes et non conformes
  • Altitude la plus élevée, particulièrement utile pour les grandes flottes
• Conformité par ordinateur
  • Liste des machines avec oui/non par ordinateur
• Conformité en définissant, pour un ordinateur spécifique
  • Niveau de détail le plus profond, comme la capture d’écran en haut de cet article.

Conseil / Astuce

Votre nouvelle machine sera probablement jugée non conforme lorsqu’elle rencontre la stratégie pour la première fois. Les paramètres SSH par défaut de la stratégie sont plus stricts que les nombreuses images de système d’exploitation configurées par défaut. Après plus de 20 minutes, vous devez constater que votre machine devient conforme grâce à la logique de correction intégrée au contrôle de posture SSH.

Portail

1. Accédez à la stratégie | Page Conformité .
2. Sélectionnez [Préversion] Stratégie de contrôle de posture SSH.
3. Notez que le nombre de machines conformes/non conformes est signalé
4. Sous Conformité des ressources , vous pouvez voir l’état des machines individuelles
5. Pour accéder aux détails de paramètre par paramètre d’un ordinateur spécifique :
   1. Cliquez sur ... en regard d’une machine, puis choisissez Afficher la ressource pour atteindre la page Vue d’ensemble de l’ordinateur.
   2. Dans la navigation de gauche sous Opérations, cliquez sur Gestion de la configuration (et non sur Configuration sous Paramètres)
   3. Cliquez sur SecureShell
   4. La page résultante affiche chaque paramètre de la configuration avec des détails sur la conformité, ainsi que la façon dont la conformité a été déterminée.

PowerShell

Pour observer l’état à l’altitude la plus élevée (juste le nombre de machines), vous pouvez utiliser les éléments suivants :

$machineCountsQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend complianceStatus = tostring(properties.complianceStatus)
| summarize machineCount = count() by complianceStatus
'@

Search-AzGraph -Query $machineCountsQuery

<#
Sample output from an environment with two machines:

complianceStatus machineCount
---------------- ------------
Pending                     1
Compliant                   1
#>

Pour afficher une conformité par machine, vous pouvez utiliser les éléments suivants :

$machinePerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| project 
    machine = split(properties.targetResourceId,'/')[-1],
    complianceStatus = properties.complianceStatus,
    lastComplianceStatusChecked = properties.lastComplianceStatusChecked
'@

Search-AzGraph -Query $machinePerRowQuery

<#
Sample output:

machine     complianceStatus lastComplianceStatusChecked
-------     ---------------- ---------------------------
sshdemovm01 Compliant        2/15/2024 11:07:21 PM
sshdemovm02 Pending          1/1/0001 12:00:00 AM
#>

Pour afficher les détails des paramètres par paramètre, vous pouvez utiliser les éléments suivants :

$settingPerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend machine = split(properties.targetResourceId,'/')[-1]
| mvexpand properties.latestAssignmentReport.resources
| mvexpand properties_latestAssignmentReport_resources.reasons
| project machine,
    complianceCheck = tostring(properties_latestAssignmentReport_resources.resourceId),
    complianceStatus = tostring(properties.complianceStatus),
    complianceReason = tostring(properties_latestAssignmentReport_resources_reasons.phrase)
'@

Search-AzGraph $settingPerRowQuery

<#
   Sample output:
   
   machine     complianceCheck                                                  complianceStatus     complianceReason
   -------     ---------------                                                  ------               ------
   sshdemovm01 Ensure that the allowed groups for SSH are configured            Compliant            ["administrators","openssh users"] contains the expected values: ["administrators","openssh users"]
   sshdemovm01 Ensure that appropriate ciphers are used for SSH                 Compliant            ["aes128-ctr","aes192-ctr","aes256-ctr"] contains the expected values: ["aes128-ctr","aes192-ctr","aes256-ctr"]
   sshdemovm01 Ensure that the authorized key file for SSH is configured        Compliant            "%programdata%/ssh/administrators_authorized_keys" is equal to "%programdata%/ssh/administrators_authorized_keys"
   sshdemovm01 Ensure that the SSH ClientAliveInterval is configured            Compliant            3600 is equal to 3600
   sshdemovm01 Ensure that the SSH PermitEmptyPasswords is configured           Compliant            false is equal to false
   sshdemovm01 Ensure that the SSH port is configured                           Compliant            22 is equal to 22
   sshdemovm01 Ensure that the SSH MaxAuthTries is configured                   Compliant            6 is equal to 6
   sshdemovm01 Ensure that only approved MAC algorithms are used                Compliant            ["hmac-sha2-256"] contains the expected values: ["hmac-sha2-256"]
   sshdemovm01 Ensure that the SSH HostKey is configured                        Compliant            "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key" is equal to "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key"
   sshdemovm01 Ensure that the SSH LoginGraceTime is configured                 Compliant            60 is equal to 60
   #>

Azure CLI

Non disponible pour l’instant. En attente https://github.com/Azure/azure-cli/issues/28377. Utilisez les instructions portail ou PowerShell.

Prise en main de l’expérience locale (PowerShell)

Conditions préalables

• Vous devez exécuter une build Windows Server 2025 signée en production sur votre appareil.
• Le module PowerShell OSConfig doit être installé sur votre appareil serveur. Pour plus d’informations, consultez Installer le module PowerShell OSConfig .
• Vous devez avoir installé le service sshd et exécuter ce guide suivant : https://aka.ms/windows-openssh-install.

Pour appliquer une base de référence, vérifiez que la base de référence est appliquée, supprimez une base de référence ou affichez des informations de conformité détaillées pour OSConfig dans PowerShell, utilisez les commandes sous les onglets suivants.

Configurer

Pour appliquer le scénario SSH, exécutez la commande suivante :

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

Vérifier

Pour vérifier que le scénario SSH est correctement appliqué, exécutez la commande suivante :

Get-OSConfigDesiredConfiguration -Scenario SSH

Vérifier la conformité

Pour obtenir les détails de configuration souhaités pour le scénario spécifié, utilisez les commandes suivantes. La sortie apparaît dans un format de tableau qui inclut le nom de l’élément de configuration, son état de conformité et la raison d’une non-conformité.

Pour vérifier les détails de conformité pour SSH scenairo, exécutez la commande suivante :

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Configuration personnalisée

Pour personnaliser le paramètre dans le scénario SSH, vous pouvez configurer un paramètre avec le paramètre « -Name » et « -Value » :

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

---

Étape suivante

Contactez l’équipe de Microsoft pour fournir des commentaires, des demandes de fonctionnalités, etc.

Nous contacter