Mulai Cepat: Menerapkan Kontrol Postur SSH ke mesin uji Windows Server

Dalam langkah-langkah berikut, Anda akan menggunakan Azure Policy untuk menyebarkan pengaturan Kontrol Postur SSH ke VM Windows Server 2019, 2022, atau 2025 pengujian.

Untuk referensi latar belakang dan konseptual, lihat Apa itu Kontrol Postur SSH?.

Untuk panduan yang lebih canggih, lihat Mengelola pengaturan sshd Anda menggunakan Kontrol Postur SSH.

Jika Anda tidak memiliki akun Azure, Anda dapat membuat uji coba gratis.

Perhatian

• Mulai Cepat ini menunjukkan penerapan konfigurasi sshd ketat yang ditujukan untuk mesin uji sekali pakai baru. Jika Anda menerapkan konfigurasi ini ke komputer lain, Anda dapat mengunci diri sendiri. Saat mencoba kontrol keamanan seperti Kontrol Postur SSH, gunakan lingkungan kotak pasir yang terisolasi sehingga bahkan kesalahan dalam penetapan kebijakan tidak akan mengonfigurasi ulang komputer yang tidak diinginkan.

Prasyarat

Sebelum mencoba langkah-langkah dalam artikel ini, pastikan Anda sudah memiliki:

1. Akun Azure tempat Anda memiliki hak untuk membuat grup sumber daya, penetapan kebijakan, dan komputer virtual.
2. Lingkungan pilihan Anda untuk berinteraksi dengan Azure, seperti:
   1. Azure Cloud Shell (disarankan)
      1. Catatan: Contoh akan menggunakan mode bash. Pembaca dapat mengadaptasi contoh ke lingkungan shell lain termasuk PowerShell.
   2. atau lingkungan shell Anda sendiri dengan Azure CLI terinstal dan masuk
   3. atau Portal Microsoft Azure di browser web

Periksa apakah Anda masuk ke lingkungan pengujian Anda

Portal Microsoft Azure

1. Gunakan informasi akun di portal untuk melihat konteks Anda saat ini.

   

Azure CLI

1. Anda dapat menggunakan az account show untuk melihat konteks Anda saat ini. Untuk masuk atau mengubah konteks, gunakan az account login.

Membuat grup sumber daya

Pilihan lokasi eastus dalam contoh ini tidak signifikan. Anda dapat menggunakan lokasi Azure yang tersedia.

Portal Microsoft Azure

Azure CLI

az group create --name sshdemo01 --location eastus

Menetapkan kebijakan ke grup sumber daya

Mulai Cepat ini menerapkan perilaku audit dan konfigurasi, menggunakan definisi kebijakan bawaan [Preview]: Configure SSH security posture for Windows.

Contoh penetapan akan sangat bergantung pada default Kontrol Postur SSH (misalnya, port 22, akses akar tidak diizinkan), dengan kustomisasi terbatas (teks banner).

Portal Microsoft Azure

1. Navigasi ke Kebijakan, lalu Definisi
2. Filter daftar untuk menemukan dan memilih [Preview]: Configure SSH security posture for Windows
3. Dari halaman definisi kebijakan, klik Tetapkan
4. Dalam alur kerja penetapan kebijakan
   1. Pilih grup sumber daya kosong baru (dibuat sebelumnya) sebagai cakupan.
   2. Opsional: Pilih nama untuk penetapan kebijakan ini. Secara default, nama definisi kebijakan digunakan.
   3. Opsional: Pada tab parameter, ambil alih nilai default seperti nilai "banner".
   4. Catatan: Aturan 'port' harus dikonfigurasi dengan satu nilai untuk memastikan fungsionalitas dan kepatuhan yang tepat untuk mengaudit dan mengonfigurasi skenario.
   5. Selesaikan pembuatan penetapan kebijakan.

Azure CLI

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group sshdemo01 --query id --output tsv)
az policy assignment create --policy "42830b63-79aa-4ea5-85dc-6baa719d7d7c" --name "Configure SSH Posture test machine" --scope "$RG_ID" --params '{"banner":{"value":"CONTOSO SYSTEMS. Unauthorized use will be prosecuted."}}' --mi-system-assigned --role "Guest Configuration Resource Contributor" --identity-scope "$RG_ID" --location eastus

Perhatian

Baik Anda menggunakan Portal atau CLI, periksa cakupan penetapan kebijakan yang baru saja Anda buat sebelum melanjutkan. Jika cakupan secara keliru diatur ke apa pun selain grup sumber daya kosong baru yang dibuat sebelumnya, cakupan tersebut harus segera diperbaiki untuk menghindari konfigurasi komputer yang tidak diinginkan.

Membuat VM pengujian dan menyiapkannya untuk Konfigurasi Mesin

Portal Microsoft Azure

1. Membuat komputer virtual Windows Server 2019, 2022, atau 2025
2. Tambahkan identitas yang ditetapkan sistem, jika belum ada
3. Tambahkan ekstensi Konfigurasi Mesin (diberi label di portal sebagai Konfigurasi Mesin Azure untuk Windows)

Azure CLI

1. Membuat VM Windows Server 2019, 2022, atau 2025 dengan identitas yang ditetapkan sistem

   az vm create --name sshdemo01 --resource-group sshdemo01 --image "MicrosoftWindowsServer:WindowsServer:2025-datacenter:latest" --assign-identity [system]
   

2. Instal agen Konfigurasi Mesin, sebagai ekstensi Azure VM

   az vm extension set --resource-group sshdemo01 --vm-name sshdemo01 --name ConfigurationForWindows --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

Petunjuk / Saran

Dalam Mulai Cepat ini prasyarat untuk Konfigurasi Mesin (VM memiliki identitas terkelola dan ekstensi agen) ditangani langsung selama pembuatan VM. Dalam skala besar, prasyarat ini dapat dipenuhi menggunakan Inisiatif Kebijakan bawaan Deploy prerequisites to enable Guest Configuration policies on virtual machines.

Istirahatlah sebelum melanjutkan

Beberapa langkah sekarang akan terjadi secara otomatis. Masing-masing langkah ini dapat memakan waktu beberapa menit. Dengan demikian, harap tunggu setidaknya 15 menit sebelum melanjutkan.

Amati hasil

Dengan menggunakan langkah-langkah berikut, Anda dapat melihat:

1. Berapa banyak mesin yang sesuai (atau tidak)
   1. Sangat berguna dalam skala produksi, di mana Anda mungkin memiliki ribuan mesin
2. Mesin mana yang sesuai (atau tidak)
3. Untuk komputer tertentu, aturan individual mana yang sesuai (atau tidak)

Portal Microsoft Azure

Azure CLI

Contoh Azure CLI berikut berasal dari lingkungan bash . Untuk menggunakan lingkungan shell lain, Anda mungkin perlu menyesuaikan contoh untuk perilaku akhir baris, aturan kutipan, pelepasan karakter, dan sebagainya.

1. Berapa banyak mesin yang sesuai (atau tidak):

   QUERY="guestconfigurationresources
      | where name contains 'SecureShell'
      | extend complianceStatus = tostring(properties.complianceStatus)
      | summarize machineCount = count() by complianceStatus
   "
   az graph query -q "$QUERY" --query data --output table
   
   # Sample output from an environment with two machines:
   # 
   # complianceStatus machineCount
   # ---------------- ------------
   # Pending                     1
   # Compliant                   1
   

2. Mesin mana yang sesuai (atau tidak):

   QUERY="guestconfigurationresources
   | where name contains 'SecureShell'
   | project 
       machine = split(properties.targetResourceId,'/')[-1],
       complianceStatus = properties.complianceStatus,
       lastComplianceStatusChecked = properties.lastComplianceStatusChecked
   "
   
   az graph query -q "$QUERY" --query data --output table
   
   # Sample output from an environment with two machines:
   #
   # machine     complianceStatus lastComplianceStatusChecked
   # -------     ---------------- ---------------------------
   # sshdemovm01 Compliant        2/15/2024 11:07:21 PM
   # sshdemovm02 Pending          1/1/0001 12:00:00 AM
   

3. Untuk komputer tertentu, aturan individual mana yang sesuai (atau tidak):

   QUERY="GuestConfigurationResources
   | where name contains 'SecureShell'
   | project report = properties.latestAssignmentReport,
     machine = split(properties.targetResourceId,'/')[-1],
     lastComplianceStatusChecked=properties.lastComplianceStatusChecked
   | mv-expand report.resources
   | project machine,
     rule = report_resources.resourceId,
     ruleComplianceStatus = report_resources.complianceStatus,
     ruleComplianceReason = report_resources.reasons[0].phrase,
     lastComplianceStatusChecked
   "
   az graph query -q "$QUERY" --query data --output table
   # Sample output from an environment where audit-and-configure behavior was selected, such that all settings became compliant:
   # 
   # machine     rule                                                            ruleComplianceStatus     ruleComplianceReason
   # -------     ---------------                                                  ------               ------
   # sshdemovm01 Ensure permissions on /etc/ssh/sshd_config are configured        true            Access to '/etc/ssh/sshd_config' matches required ...
   # sshdemovm01 Ensure SSH is configured to meet best practices (protocol 2)     true            'Protocol 2' is found uncommented in /etc/ssh/sshd_config
   # sshdemovm01 Ensure SSH is configured to ignore rhosts                        true            The sshd service reports that 'ignorerhosts' is set to 'yes'
   # sshdemovm01 Ensure SSH LogLevel is set to INFO                               true            The sshd service reports that 'loglevel' is set to 'INFO'
   # sshdemovm01 Ensure SSH MaxAuthTries is configured                            true            The sshd service reports that 'maxauthtries' is set to '6'
   # sshdemovm01 Ensure allowed users for SSH access are configured               true            The sshd service reports that 'allowusers' is set to '*@*'
   # sshdemovm01 Ensure denied users for SSH are configured                       true            The sshd service reports that 'denyusers' is set to 'root'
   # sshdemovm01 Ensure allowed groups for SSH are configured                     true            The sshd service reports that 'allowgroups' is set to '*'
   # sshdemovm01 Ensure denied groups for SSH are configured                      true            The sshd service reports that 'denygroups' is set to 'root'
   # sshdemovm01 Ensure SSH host-based authenticationis disabled                  true            The sshd service reports that 'hostbasedauthentication' is ...
   # ...
   

Opsional: Menambahkan lebih banyak mesin uji untuk mengalami skala

Dalam artikel ini, kebijakan ditetapkan ke grup sumber daya yang awalnya kosong dan kemudian mendapatkan satu VM. Meskipun ini menunjukkan sistem bekerja secara end-to-end, sistem tidak memberikan rasa operasi dalam skala besar. Misalnya, dalam tampilan kepatuhan penetapan kebijakan bagan pai dari satu komputer dapat terasa buatan.

Pertimbangkan untuk menambahkan lebih banyak mesin uji ke grup sumber daya, baik secara manual atau melalui otomatisasi. Ini bisa berupa VM Azure atau komputer yang diaktifkan Arc. Saat Anda melihat mesin-mesin tersebut mematuhi (atau bahkan gagal) Anda dapat memperoleh rasa yang lebih tajam dalam mengoperasionalkan Kontrol Postur SSH dalam skala besar.

Opsional: Periksa mesin uji secara manual untuk mengonfirmasi hasil

Saat memulai fitur baru seperti Kontrol Postur SSH, akan sangat berharga untuk memeriksa hasilnya secara manual di luar band. Ini membantu membangun kepercayaan diri dan kejelasan. Langkah-langkah dalam artikel ini, misalnya, seharusnya menghasilkan konfigurasi banner masuk yang dimodifikasi pada VM pengujian Anda. Anda dapat mengonfirmasi hal ini dengan mencoba koneksi SSH ke komputer untuk melihat banner, atau dengan memeriksa file sshd_config.

Membersihkan sumber daya

Untuk menghindari biaya yang sedang berlangsung, pertimbangkan untuk menghapus grup sumber daya yang digunakan dalam artikel ini. Misalnya, perintah Azure CLI akan az group delete --name "sshdemo01"

---

Mulai menggunakan Pengalaman Lokal (PowerShell)

Prasyarat

• Anda harus menjalankan build Windows Server 2019, 2022, 2025 yang ditandatangani produksi di perangkat Anda.
• Modul OSConfig PowerShell harus diinstal di perangkat server Anda. Lihat Menginstal modul OSConfig PowerShell untuk detailnya.
• Anda harus menginstal layanan sshd dan menjalankan panduan ini: https://aka.ms/windows-openssh-install.

Untuk menerapkan garis besar, verifikasi bahwa garis besar diterapkan, hapus garis besar, atau lihat informasi kepatuhan terperinci untuk OSConfig di PowerShell, gunakan perintah pada tab berikut.

Konfigurasi

Untuk menerapkan skenario SSH, jalankan perintah berikut:

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

Periksa

Untuk memverifikasi bahwa skenario SSH diterapkan dengan benar, jalankan perintah berikut:

Get-OSConfigDesiredConfiguration -Scenario SSH

Memeriksa kepatuhan

Untuk mendapatkan detail konfigurasi yang diinginkan untuk skenario yang ditentukan, gunakan perintah berikut. Output muncul dalam format tabel yang menyertakan nama item konfigurasi, status kepatuhannya, dan alasan ketidakpatuhnya.

Untuk memeriksa detail kepatuhan untuk skenario SSH, jalankan perintah berikut:

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Konfigurasi Kustom

Untuk menyesuaikan pengaturan dalam skenario SSH, Anda dapat mengonfigurasi pengaturan dengan parameter '-Name' dan '-Value':

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

---

Langkah selanjutnya

Hubungi tim di Microsoft untuk memberikan umpan balik, permintaan fitur, dll.

Hubungi