Mi a Windows SSH Testure Control (privát előzetes verzió) az Azure Policy és a PowerShell használatával?

Az SSH Testure Control lehetővé teszi, hogy az Azure Policy és a Gépkonfiguráció ismerős munkafolyamatait a következő célra használja:

• A szabványoknak való megfelelés biztosítása az iparágban vagy a szervezetben
• A távfelügyeleti funkciók támadási felületének csökkentése
• Konzisztens beállítás biztosítása a teljes flottában a biztonság és a termelékenység érdekében

Az SSH-beli testtartás-vezérlés részletes indokokat is tartalmaz a megfelelőség vagy a meg nem felelés megállapításának módjáról. Ezek az okok megkönnyítik a műveletek elvégzését vagy a megfelelőség teljes dokumentálásához.

Az SSH Posture Control körülbelül 20 SSH-kiszolgálói (sshd-) paramétert elemez és kényszerít ki. Bizonyos paramétereket a környezetének megfelelően testre is szabhat. Testre szabhatja például, hogy mely felhasználók és csoportok számára engedélyezett SSH-hozzáférés, valamint a portszám és egyebek.

Az SSH Posture Controlt naplózási vagy naplózási és konfigurálási módban is üzembe helyezheti az eszközpark naplózásához, az eredmények nyomon követéséhez, majd automatikusan a megfelelő sshd-szabványoknak megfelelően szervizelheti a flottát.

Privát előzetes verzió korlátozásai

Fontos

Az SSH Posture Control privát előzetes verzióban érhető el, amely a Microsoft és Ön közötti párbeszéd indítására szolgál.

• Az előzetes verzió olyan izolált fejlesztői/tesztgépekkel való használatra készült, ahol bármilyen probléma (beleértve az SSH-hozzáférésből való véletlen zárolást is) nem járna jelentős következményekkel.
• Az előzetes verzió a szabályzatdefiníció importálását foglalja magában, ahelyett, hogy az Azure Policy beépített listájából választaná ki.
• Ehhez mind a naplózási, mind a naplózási és konfigurálási munkafolyamatot biztosítjuk.
• A támogatott Windows SKU-k jelenleg csak a Windows Server 2025-öt támogatják

Az Azure Policy használatának első lépései

Ez a példa az Azure Policy gyors megkezdésére összpontosít. Leegyszerűsíti a feltételezéseket, és nem vizsgál meg mindent, ami lehetséges. Például a PolicyDefinition alapértelmezett SSH-beállításait használja ahelyett, hogy testre szabja az olyan paramétereket, mint az engedélyezett felhasználók és csoportok. Az SSH-testtartás-vezérléssel kapcsolatos átfogóbb információk, beleértve a beállításokat és a viselkedéseket, a közeljövőben várhatók. Vegye figyelembe, hogy a PowerShell-szakasz a cikk vége felé található.

Jótanács

A cikk a következő mentális modellt és terminológiát használja.

• PolicyDefinition : SSH Posture Control definíció és metaadatok az Azure Policy szolgáltatásban képviselt módon.
• PolicyAssignment : Az SSH-bejegyzésvezérlő PolicyDefinition-definícióját egy olyan hatókörhöz csatolja, ahol a szabályzatot alkalmazni kell, például egy erőforráscsoportot.
• Gép : Az Azure Policy és a Machine Configuration (más néven vendégkonfiguráció) által felügyelt végpont. Más szóval egy Arc-kompatibilis gép vagy egy Azure-beli virtuális gép.

Egy. Előfeltételek

1. Azure-fiók erőforráscsoport, virtuális gép (vagy Arc-gép), szabályzatdefiníció és szabályzat-hozzárendelés létrehozásához.
2. További előfeltételekért válassza ki az előnyben részesített élményt:

portál

1. Webböngésző használatával jelentkezzen be az Azure Portalra vagy annak helyi megfelelőjéhez.

PowerShell

1. Egy PowerShell-környezet, amelyen a következő modulok vannak telepítve:
   1. Az.ResourceGraph
   2. Az. Számlák
   3. Az.Erőforrások
2. Használjon Get-AzContext és/vagy Set-AzContext parancsmagokat annak biztosítására, hogy a kívánt Azure-környezet legyen megcélzva.

Jótanács

Az Azure Cloud Shell PowerShell-módban egy használatra kész környezet, és egyszerű módja az első lépéseknek.

Azure CLI

Jelenleg nem érhető el. Függőben https:// github.com/Azure/azure-cli/issues/28377. Használja a Portál vagy a PowerShell utasításait.

B. Erőforráscsoport létrehozása

portál

1. Hozzon létre egy erőforráscsoportot. A következő lépésekben ez a szabályzat hatókörének és egy új tesztgépnek a hatókörére lesz használva.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group" 
$myAzureLocation = "eastus" ## Modify as needed

$myResourceGroup = New-AzResourceGroup -Name $myResourceGroupName -Location $myAzureLocation

Azure CLI

Jelenleg nem érhető el. Függőben.https://github.com/Azure/azure-cli/issues/28377 Használja a Portál vagy a PowerShell utasításait.

C. A PolicyDefinition létrehozása

Megjegyzés:

Ez a további lépés (a PolicyDefinition kiválasztása helyett) szükséges a privát előzetes verzióban.

portál

1. Lépjen az Azure Policy áttekintési lapjára. Használhatja például az URI-t: https://portal.azure.com/#view/Microsoft_Azure_Policy/PolicyMenuBlade/~/Overview.
2. Lépjen a Definíciók nézetre.
3. Kattintson a + Szabályzatdefiníció gombra egy új PolicyDefinition létrehozásához, és adja meg a következőket bemenetként.
   1. Definíció helye: Válassza ki az Azure-előfizetést, ahol a PolicyDefinition élni fog.
   2. Név: [Előzetes verzió] SSH-helytartás-vezérlési szabályzat vagy [Előzetes verzió] SSH-testtartás-vezérlési szabályzat konfigurálása
   3. Kategória: Meglévő használata, majd a Vendégkonfiguráció kiválasztása
   4. Szabályzatszabály: Törölje a már meglévő JSON-t, és illessze be a PolicyDefinition JSON-t az előzetes verziójú naplózási SSH-bejegyzésvezérlő szabályzatdefiníciójábólvagyaz előzetes naplózási és konfigurálási SSH-bejegyzésvezérlési szabályzatdefinícióból
4. Kattintson a Mentés-re

PowerShell

csak naplózási szabályzat:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SecureShell_Preview_AuditIfNotExists.json"
$localFilePath = "AuditSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

naplózási és konfigurálási szabályzat:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SetSecureShell_Preview_DeployIfNotExists.json"
$localFilePath = "ConfigureSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

Azure CLI

Jelenleg nem érhető el. Függőben.https://github.com/Azure/azure-cli/issues/28377 Használja a Portál vagy a PowerShell utasításait.

D. PolicyAssignment használata a PolicyDefinition erőforráscsoportra való alkalmazásához

Figyelmeztetés

Ez a szabályzat módosítja az sshd konfigurációját a hatókörön belüli gépeken. Ezek az utasítások egy kezdetben üres erőforráscsoporthoz rendelik, ahol később létre fog hozni egy tesztgépet. Ügyeljen arra, hogy bármilyen szélesebb hatókörhöz rendeljen hozzá.

portál

1. Lépjen a szabályzatra | Definíciók lap, amely felsorolja az összes elérhető szabályzatdefiníciót.
2. Válassza ki a korábban létrehozott [Előzetes verzió] SSH-bejegyzésvezérlési szabályzatdefiníciót
3. Kattintson a Hozzárendelés gombra .
4. A Hatókör esetében válassza ki azt az erőforráscsoportot, ahol később új tesztgépet fog létrehozni.
5. Lépjen a Paraméterek lapra.
   1. Válassza az "igaz" lehetőséget az Archoz csatlakoztatott gépek belefoglalásához, kivéve, ha kifejezetten ki szeretné zárni az Archoz csatlakoztatott gépeket.
   2. MEGJEGYZÉS: Ha testre szeretné szabni az SSH-beállításokat, például az engedélyezett csoportokat, törölje a jelet a Csak a paraméterek megjelenítése... jelölőnégyzetből az összes elérhető paraméter megjelenítéséhez. Ha engedélyezi vagy elutasítja a felhasználókat vagy csoportokat, vegye figyelembe, hogy például userA userBszóközzel tagolt sztringet adna meg.
6. Lépjen a Szervizelés lapra.
   1. MEGJEGYZÉS: Bár ez a bemutató egy új gépre összpontosít, más esetekben, amikor azt szeretné, hogy a PolicyAssignment meglévő gépekre vonatkozzanak, jelölje be a Szervizelési feladat létrehozása jelölőnégyzetet.
   2. Válassza a Felügyelt identitás létrehozásaa hozzárendelt rendszerrel és a választott identitáshely kiválasztásával lehetőséget.
7. Folytassa a Áttekintés + létrehozás
   1. A PolicyAssignment befejezéséhez válassza a Létrehozás lehetőséget .

PowerShell

csak naplózási szabályzat:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Audit SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

naplózási és konfigurálási szabályzat:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Configure SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

Azure CLI

Jelenleg nem érhető el. Függőben.https://github.com/Azure/azure-cli/issues/28377 Használja a Portál vagy a PowerShell utasításait.

E. Új gép létrehozása

Bár az új PolicyAssignments meglévő gépekre is alkalmazható, a folyamat akár 24 órát is igénybe vehet. Ebben a rövid útmutatóban egy új gép kiértékelésére összpontosítunk. Ebben a példában létrehozunk egy Azure-beli virtuális gépet, de igény szerint létrehozhat egy Arc-kompatibilis gépet.

portál

1. Lépjen az Azure-beli virtuális gépek felületére .
2. Hozzon létre egy új virtuális gépet, amely a következő tulajdonságokat biztosítja:
   1. Az előfizetésnek és az erőforráscsoportnak meg kell egyeznie a PolicyAssignment hatókörével.
   2. A rendszerképnek "Windows Server 2025"-nek kell lennie.
   3. A virtuálisgép-architektúrának x64-nek kell lennie.
   4. Más tulajdonságok, például a virtuális gép neve, mérete stb. bármilyen lehet.
3. Várja meg, amíg a virtuális gép létrehozása befejeződik, majd kattintson az Erőforrás megnyitása gombra a gép áttekintési oldalának eléréséhez
4. A bal oldali navigációs sávon válassza az Identitás lehetőséget, és győződjön meg arról, hogy a gép rendelkezik rendszer által felügyelt identitással
5. A bal oldali navigációs sávon válassza a Bővítmények + alkalmazások, majd a + Hozzáadás lehetőséget
6. Válassza ki a Windows-bővítményHez tartozó Azure Machine Configuration bővítményt , és válassza a Tovább gombot
7. Válassza a Véleményezés + létrehozás, majd a Létrehozás lehetőséget

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myNameForNewVM = "sshdemovm01"

## Creates a new VM which is prepped to work with MachineConfiguration
## by having a system assigned identity and the GuestConfiguration extension
New-AzVM -Name $myNameForNewVM -ResourceGroupName $myResourceGroupName -SystemAssignedIdentity -Image "MicrosoftWindowsServer:WindowsServer:2025-datacenter:latest"
Set-AzVMExtension -ResourceGroupName $myResourceGroupName -VMName $myNameForNewVM -ExtensionType "ConfigurationforWindows" -Publisher "Microsoft.GuestConfiguration" -Name "AzurePolicyforWindows" -TypeHandlerVersion 1.0

Azure CLI

Jelenleg nem érhető el. Függőben.https://github.com/Azure/azure-cli/issues/28377 Használja a Portál vagy a PowerShell utasításait.

F. Szünetet tartson a folytatás előtt

Amikor új PolicyDefinitions, PolicyAssignments és gépek vannak bevonva, több percig is eltarthat, amíg minden eléri az állandó állapotot. Érdemes lehet legalább 30 percet várni, mielőtt továbblép a következő lépésre.

G. Megfelelőségi eredmények megfigyelése

Az alábbi lépések lehetővé teszik a megfelelőségi összegző frissítés különböző magasságokban való megtekintését:

• Megfelelőség a PolicyAssignment alapján
  • A megfelelő és nem megfelelő gépek száma
  • Legnagyobb magasság, különösen nagy flották esetén hasznos
• Megfelelőség gép szerint
  • Gépenként igen/nem típusú gépek listája
• Megfelelőség beállítás szerint egy adott gép esetében
  • A legmélyebb részletesség, például a cikk tetején látható képernyőkép.

Jótanács

Az új gép valószínűleg nem megfelelőnek minősül, amikor első alkalommal találkozik a szabályzattal. A házirend alapértelmezett SSH-beállításai szigorúbbak, mint amennyit alapértelmezés szerint számos operációsrendszer-lemezkép konfigurált. További 20 perc elteltével meg kell találnia, hogy a gép megfelelővé válik az SSH Posture Control beépített szervizelési logikájának köszönhetően.

portál

1. Lépjen a szabályzatra | Megfelelőségi oldal.
2. Válassza az [Előzetes verzió] SSH testtartás-vezérlési szabályzatát.
3. Figyelje meg, hogy a megfelelő/ nem megfelelő gépek száma jelentve van
4. Az Erőforrás-megfelelőség területen láthatja az egyes gépek állapotát
5. Egy adott gép beállításonkénti részleteinek részletezése:
   1. Kattintson a gép melletti ... elemre, és válassza az Erőforrás megtekintése lehetőséget a gép Áttekintés lapjának eléréséhez
   2. A bal oldali navigációs sáv Műveletek csoportjában kattintson a Konfigurációkezelés elemre (a Beállítások területen nem a Konfiguráció elemre)
   3. Kattintson a SecureShell gombra
   4. Az eredményként kapott oldalon a konfiguráció egyes beállításai láthatók a megfelelőség részleteivel, valamint a megfelelőség meghatározásának módjával.

PowerShell

Ha a legmagasabb magasságban (csak a gépek száma) szeretné megfigyelni az állapotot, az alábbiakat használhatja:

$machineCountsQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend complianceStatus = tostring(properties.complianceStatus)
| summarize machineCount = count() by complianceStatus
'@

Search-AzGraph -Query $machineCountsQuery

<#
Sample output from an environment with two machines:

complianceStatus machineCount
---------------- ------------
Pending                     1
Compliant                   1
#>

A megfelelőség gép szerint történő megtekintéséhez az alábbiakat használhatja:

$machinePerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| project 
    machine = split(properties.targetResourceId,'/')[-1],
    complianceStatus = properties.complianceStatus,
    lastComplianceStatusChecked = properties.lastComplianceStatusChecked
'@

Search-AzGraph -Query $machinePerRowQuery

<#
Sample output:

machine     complianceStatus lastComplianceStatusChecked
-------     ---------------- ---------------------------
sshdemovm01 Compliant        2/15/2024 11:07:21 PM
sshdemovm02 Pending          1/1/0001 12:00:00 AM
#>

A beállítási adatok megtekintéséhez használja a következőket:

$settingPerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend machine = split(properties.targetResourceId,'/')[-1]
| mvexpand properties.latestAssignmentReport.resources
| mvexpand properties_latestAssignmentReport_resources.reasons
| project machine,
    complianceCheck = tostring(properties_latestAssignmentReport_resources.resourceId),
    complianceStatus = tostring(properties.complianceStatus),
    complianceReason = tostring(properties_latestAssignmentReport_resources_reasons.phrase)
'@

Search-AzGraph $settingPerRowQuery

<#
   Sample output:
   
   machine     complianceCheck                                                  complianceStatus     complianceReason
   -------     ---------------                                                  ------               ------
   sshdemovm01 Ensure that the allowed groups for SSH are configured            Compliant            ["administrators","openssh users"] contains the expected values: ["administrators","openssh users"]
   sshdemovm01 Ensure that appropriate ciphers are used for SSH                 Compliant            ["aes128-ctr","aes192-ctr","aes256-ctr"] contains the expected values: ["aes128-ctr","aes192-ctr","aes256-ctr"]
   sshdemovm01 Ensure that the authorized key file for SSH is configured        Compliant            "%programdata%/ssh/administrators_authorized_keys" is equal to "%programdata%/ssh/administrators_authorized_keys"
   sshdemovm01 Ensure that the SSH ClientAliveInterval is configured            Compliant            3600 is equal to 3600
   sshdemovm01 Ensure that the SSH PermitEmptyPasswords is configured           Compliant            false is equal to false
   sshdemovm01 Ensure that the SSH port is configured                           Compliant            22 is equal to 22
   sshdemovm01 Ensure that the SSH MaxAuthTries is configured                   Compliant            6 is equal to 6
   sshdemovm01 Ensure that only approved MAC algorithms are used                Compliant            ["hmac-sha2-256"] contains the expected values: ["hmac-sha2-256"]
   sshdemovm01 Ensure that the SSH HostKey is configured                        Compliant            "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key" is equal to "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key"
   sshdemovm01 Ensure that the SSH LoginGraceTime is configured                 Compliant            60 is equal to 60
   #>

Azure CLI

Jelenleg nem érhető el. Függőben.https://github.com/Azure/azure-cli/issues/28377 Használja a Portál vagy a PowerShell utasításait.

Ismerkedés a Helyi felülettel (PowerShell)

Előfeltételek

• Az eszközön éles környezetben aláírt Windows Server 2025 buildet kell futtatnia.
• Az OSConfig PowerShell-modult telepíteni kell a kiszolgálóeszközre. Részletekért tekintse meg az OSConfig PowerShell-modul telepítését ismertető cikket.
• Az sshd szolgáltatásnak telepítve kell lennie, és az alábbi útmutatót kell futtatnia: https://aka.ms/windows-openssh-install.

Alapterv alkalmazásához ellenőrizze az alapterv alkalmazását, távolítsa el az alapkonfigurációt, vagy tekintse meg az OSConfig részletes megfelelőségi adatait a PowerShellben, használja az alábbi lapok parancsait.

Konfigurálás

Az SSH-forgatókönyv alkalmazásához futtassa a következő parancsot:

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

Igazol

Az SSH-forgatókönyv megfelelő alkalmazásának ellenőrzéséhez futtassa a következő parancsot:

Get-OSConfigDesiredConfiguration -Scenario SSH

Megfelelőség ellenőrzése

A megadott forgatókönyv kívánt konfigurációs adatainak beszerzéséhez használja az alábbi parancsokat. A kimenet táblaformátumban jelenik meg, amely tartalmazza a konfigurációelem nevét, megfelelőségi állapotát és a meg nem felelés okát.

Az SSH scenairo megfelelőségi adatainak ellenőrzéséhez futtassa a következő parancsot:

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Egyéni konfiguráció

A beállítás SSH-forgatókönyvben történő testreszabásához konfigurálhat egy beállítást a "-Name" és az "-Value" paraméterrel:

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

---

Következő lépés

Lépjen kapcsolatba a Microsoft csapatával, és küldjön visszajelzést, szolgáltatásokra vonatkozó kéréseket stb.

Kapcsolat