Tutorial: Membuat penetapan kebijakan dan mengidentifikasi sumber daya yang tidak sesuai

Anda dapat menggunakan Azure Policy untuk mengaudit status server berkemampuan Azure Arc Anda untuk memastikan server tersebut mematuhi kebijakan konfigurasi komputer.

Tutorial ini memandu Anda melalui proses pembuatan dan penetapan kebijakan yang mengidentifikasi server Azure Arc mana yang belum diaktifkan Microsoft Defender untuk Server.

Tutorial ini mengajarkan Anda cara:

• Membuat penetapan kebijakan dan menetapkan definisi ke dalamnya
• Mengidentifikasi sumber daya yang tidak sesuai dengan kebijakan baru
• Menghapus kebijakan dari sumber daya yang tidak sesuai

Prerequisites

• Jika Anda tidak memiliki langganan Azure, buat akun gratis sebelum Anda memulai.

• Modul Azure PowerShell harus diinstal di perangkat Anda jika Anda memilih untuk menggunakan metode baris perintah ini. Untuk mempelajari selengkapnya, lihat Cara menginstal Azure PowerShell.

Buat tugas kebijakan

Portal

Gunakan prosedur berikut untuk membuat penetapan kebijakan dan menetapkan definisi kebijakan Azure Defender untuk server harus diaktifkan.

1. Di bagian atas portal Microsoft Azure, cari dan pilih Kebijakan.

2. Di menu layanan, perluas Penulisan, lalu pilih Penugasan. Penugasan adalah kebijakan yang ditetapkan untuk dilakukan dalam cakupan tertentu.

3. Pilih Tetapkan kebijakan dari bagian atas panel Penugasan .

   

4. Pada halaman Tetapkan Kebijakan , di bawah Cakupan, pilih elipsis (...) dan pilih grup manajemen atau langganan. Secara opsional, pilih grup sumber daya. Cakupan menentukan sumber daya atau pengelompokan sumber daya mana yang akan diberlakukan oleh penetapan kebijakan. Lalu, pilih Pilih di bagian bawah panel Cakupan .

5. Sumber daya dapat dikecualikan berdasarkan Cakupan. Pengecualian dimulai pada satu tingkat yang lebih rendah dari tingkat Cakupan. Pengecualian bersifat opsional, jadi biarkan kosong untuk saat ini.

6. Di bawah Dasar,pilih elipsis definisi kebijakan (...) untuk membuka daftar definisi yang tersedia. Azure Policy dilengkapi dengan banyak definisi kebijakan bawaan yang dapat Anda gunakan, seperti:

   • Memberlakukan tag dan nilainya
   • Menerapkan tag dan nilainya
   • Mewarisi tag dari grup sumber daya jika tag tersebut tidak tersedia.

   Untuk sebagian daftar kebijakan bawaan yang tersedia, lihat Sampel Azure Policy.

7. Telusuri daftar definisi kebijakan untuk menemukan definisi Azure Defender untuk server harus diaktifkan. Pilih kebijakan tersebut dan pilih Tambahkan.

8. Nama tugas secara otomatis diisi dengan nama kebijakan yang Anda pilih, tetapi Anda dapat mengubahnya. Untuk contoh ini, biarkan nama kebijakan apa adanya, dan jangan ubah salah satu opsi yang tersisa di halaman.

9. Untuk contoh ini, kita tidak perlu mengubah pengaturan apa pun di tab lain. Pilih Tinjau + buat untuk meninjau penetapan kebijakan baru Anda, lalu pilih Buat.

Azure PowerShell

Siapkan variabel Anda untuk kebijakan yang ingin Anda tetapkan. Perintah berikut mengambil ID definisi kebijakan dan menetapkan kebijakan yang Anda inginkan. Ganti informasi dengan nilai aktual Anda.

# Variables
$assignmentName = "myPolicyAssignment"
$policyDefinitionName = "Azure Defender for servers should be enabled"
$scope = "/subscriptions/<your-subscription-id>/resourceGroups/<resource-group-name>"

# Get the policy definition ID
$policy = Get-AzPolicyDefinition | Where-Object { $_.Properties.DisplayName -eq $policyDefinitionName }

# Assign the policy
New-AzPolicyAssignment -Name $assignmentName -PolicyDefinitionId $policy.PolicyDefinitionId -Scope $scope

Anda juga dapat menjalankan perintah berikut untuk menampilkan daftar kebijakan yang tersedia dengan nama kebijakan.

Get-AzPolicyDefinition | Sort-Object DisplayName

Azure CLI

Siapkan variabel Anda untuk kebijakan yang ingin Anda tetapkan. Perintah berikut mengambil ID definisi kebijakan dan menetapkan kebijakan yang Anda inginkan. Ganti informasi dengan nilai aktual Anda.

# Variables
assignmentName="myPolicyAssignment" \
policyDefinitionName="Azure Defender for servers should be enabled" \
scope="/subscriptions/<subscriptionId>/resourceGroups/<resourceGroupName>"

# Get the policy definition ID (filter by displayName)
policyDefinitionId=$(az policy definition list \
    --query "[?displayName=='$policyDefinitionName'].id | [0]" -o tsv)

# Assign the policy
az policy assignment create \
    --name $assignmentName \
    --policy $policyDefinitionId \
    --scope $scope

Anda juga dapat menjalankan perintah berikut untuk menampilkan daftar kebijakan yang tersedia dengan nama kebijakan.

az policy definition list --query "sort_by([], &displayName)[].{DisplayName:displayName, Name:name}" -o table

Anda sekarang siap untuk mengidentifikasi sumber daya yang tidak patuh untuk memahami status kepatuhan lingkungan Anda.

Mengidentifikasi sumber daya yang tidak patuh

1. Di menu layanan untuk Azure Policy, pilih Kepatuhan.

2. Temukan penetapan kebijakan Azure Defender harus diaktifkan untuk server yang Anda buat.

   

   Sumber daya yang ada yang tidak sesuai dengan tampilan penugasan baru sebagai Tidak patuh di bawah Status kepatuhan.

Ketika kondisi dievaluasi terhadap sumber daya yang ada dan ditemukan benar, sumber daya tersebut ditandai sebagai tidak mematuhi kebijakan. Tabel berikut menunjukkan bagaimana efek kebijakan yang berbeda bekerja dengan evaluasi kondisi untuk status kepatuhan yang dihasilkan. Meskipun Anda tidak melihat logika evaluasi di portal Microsoft Azure, hasil status kepatuhan akan ditunjukkan. Hasil status kepatuhan sesuai atau Tidak patuh.

Status sumber daya	Effect	Evaluasi kebijakan	Status kepatuhan
Exists	Tolak, Audit, Tambahkan*, DeployIfNotExist*, AuditIfNotExist*	True	Non-compliant
Exists	Tolak, Audit, Tambahkan*, DeployIfNotExist*, AuditIfNotExist*	False	Compliant
New	Audit, AuditIfNotExist*	True	Non-compliant
New	Audit, AuditIfNotExist*	False	Compliant

* Efek Tambahkan, DeployIfNotExist, dan AuditIfNotExist mengharuskan pernyataan menjadi IFTRUE. Efeknya juga mengharuskan kondisi keberadaan menjadi FALSE tidak sesuai. Ketika TRUE, kondisi IF memicu evaluasi keberadaan untuk sumber daya terkait.

Untuk mempelajari selengkapnya, lihat Status kepatuhan Azure Policy.

Membersihkan sumber daya

Untuk menghapus tugas yang Anda buat, ikuti langkah-langkah ini.

Portal

1. Di menu layanan, perluas Penulisan, lalu pilih Penugasan

   Atau, di menu layanan, pilih Kepatuhan.

2. Temukan penetapan kebijakan Azure Defender harus diaktifkan untuk server yang Anda buat.

3. Klik kanan penetapan kebijakan, pilih Hapus penugasan, lalu pilih Ya.

Azure PowerShell

1. Jika Anda mengetahui nama dan cakupan penugasan, jalankan perintah berikut:

   Remove-AzPolicyAssignment `
     -Name "myPolicyAssignment" `
     -Scope "/subscriptions/<subscriptionId>/resourceGroups/<resourceGroupName>"
   

2. Jika Anda tidak mengetahui nama penetapan, jalankan perintah berikut untuk menemukannya terlebih dahulu:

   Get-AzPolicyAssignment | Where-Object { $_.Properties.DisplayName -eq "Azure Defender for servers should be enabled" }
   

   Setelah Anda menemukan nama penugasan, hapus dengan perintah berikut:

   Remove-AzPolicyAssignment -Name "<myPolicyAssignment>"
   

Azure CLI

1. Jika Anda mengetahui nama dan cakupan penugasan, jalankan perintah berikut:

   az policy assignment delete \
       --name "myPolicyAssignment" \
       --scope "/subscriptions/<subscriptionId>/resourceGroups/<resourceGroupName>"
   

2. Jika Anda tidak mengetahui nama penetapan, jalankan perintah berikut untuk menemukannya terlebih dahulu:

   az policy assignment list \
       --query "[?displayName=='Azure Defender for servers should be enabled']"
   

   Setelah Anda menemukan nama penugasan, hapus dengan perintah berikut:

   az policy assignment delete --name "<myPolicyAssignment>"
   

Langkah selanjutnya

Dalam tutorial ini, Anda menetapkan definisi kebijakan ke lingkup dan mengevaluasi laporan kepatuhannya. Definisi kebijakan memvalidasi bahwa semua sumber daya dalam cakupan sesuai dan mengidentifikasi mana yang tidak. Sekarang Anda siap untuk memantau mesin server yang didukung Azure Arc dengan mengaktifkan wawasan mesin virtual (VM).

Untuk mempelajari cara memantau dan melihat performa, menjalankan proses, dan dependensi dari komputer Anda, lanjutkan ke tutorial:

Aktifkan wawasan VM