Apa itu Windows SSH Posture Control (pratinjau privat) dengan Azure Policy dan PowerShell?

Kontrol Postur SSH memungkinkan Anda menggunakan alur kerja Azure Policy dan Konfigurasi Mesin yang sudah dikenal untuk:

• Memastikan kepatuhan terhadap standar di industri atau organisasi Anda
• Mengurangi permukaan serangan fitur manajemen jarak jauh
• Pastikan penyiapan yang konsisten di seluruh armada Anda untuk keamanan dan produktivitas

Kontrol Postur SSH juga memberikan Alasan terperinci yang menjelaskan bagaimana kepatuhan atau ketidakpatuhan ditentukan. Alasan ini memudahkan untuk mengambil tindakan atau untuk sepenuhnya mendokumen kepatuhan.

Kontrol Postur SSH menganalisis dan memberlakukan sekitar 20 parameter server SSH (sshd). Anda juga dapat menyesuaikan parameter tertentu agar sesuai dengan lingkungan Anda. Misalnya, Anda dapat menyesuaikan pengguna dan grup mana yang diizinkan akses SSH serta nomor port dan banyak lagi.

Anda dapat menyebarkan Kontrol Postur SSH baik dalam mode audit, atau audit dan konfigurasi untuk mengaudit armada perangkat Anda, melacak hasil, lalu secara otomatis memulihkan armada ke standar sshd yang tepat.

Batasan pratinjau privat

Penting

Kontrol Postur SSH berada dalam pratinjau privat-- dimaksudkan untuk memicu dialog antara Anda dan Microsoft.

• Pratinjau ini ditujukan untuk digunakan dengan mesin dev/test terisolasi di mana masalah apa pun (termasuk mengunci diri Anda secara tidak sengaja dari akses SSH) tidak akan memiliki konsekuensi penting.
• Pratinjau melibatkan impor definisi kebijakan, daripada memilihnya dari daftar bawaan Azure Policy.
• Untuk ini, kami akan menyediakan alur kerja audit, dan audit dan konfigurasi.
• SKU Windows yang didukung saat ini hanya Windows Server 2025

Mulai menggunakan Azure Policy

Contoh ini difokuskan untuk memulai dengan cepat dalam Azure Policy. Ini membuat penyederhanaan asumsi dan tidak mengeksplorasi semua yang mungkin. Misalnya, ini menggunakan pengaturan SSH default dari PolicyDefinition, daripada menyesuaikan parameter seperti pengguna dan grup yang diizinkan. Informasi yang lebih komprehensif tentang Kontrol Postur SSH termasuk pengaturan dan perilaku diharapkan dalam waktu dekat. Perhatikan bahwa bagian PowerShell ada di bagian menjelang akhir artikel.

Petunjuk / Saran

Model mental dan terminologi berikut digunakan di seluruh artikel ini.

• PolicyDefinition : Definisi dan metadata Kontrol Postur SSH, seperti yang diwakili dalam layanan Azure Policy.
• PolicyAssignment : Menautkan Kebijakan Kontrol Postur SSH AndaDefinisi ke cakupan di mana kebijakan tersebut harus diterapkan, seperti grup sumber daya.
• Komputer : Titik akhir yang mampu dikelola oleh Azure Policy dan Konfigurasi Mesin (alias Konfigurasi Tamu). Dengan kata lain, komputer yang diaktifkan Arc atau Azure VM.

Sebuah. Prasyarat

1. Akun Azure dengan izin untuk membuat grup sumber daya, komputer virtual (atau komputer Arc), definisi kebijakan, dan penetapan kebijakan.
2. Untuk prasyarat tambahan, pilih pengalaman pilihan Anda:

Portal

1. Menggunakan browser web, masuk ke Portal Microsoft Azure atau setara lokal Anda.

PowerShell

1. Lingkungan PowerShell dengan modul berikut terinstal:
   1. Az.ResourceGraph
   2. Az.Akun
   3. Sumber Daya Az
2. Gunakan Get-AzContext dan/atau Set-AzContext cmdlet untuk memastikan lingkungan Azure yang diinginkan ditargetkan.

Petunjuk / Saran

Azure Cloud Shell dalam mode PowerShell adalah lingkungan yang siap digunakan, dan merupakan cara mudah untuk memulai.

Azure CLI

Tidak tersedia saat ini. Https:// github.com/Azure/azure-cli/issues/28377 tertunda. Silakan gunakan instruksi Portal atau PowerShell.

B. Membuat grup sumber daya

Portal

1. Buat grup sumber daya. Dalam langkah-langkah mendatang, ini akan digunakan untuk mencakup kebijakan, dan untuk berisi mesin uji baru.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group" 
$myAzureLocation = "eastus" ## Modify as needed

$myResourceGroup = New-AzResourceGroup -Name $myResourceGroupName -Location $myAzureLocation

Azure CLI

Tidak tersedia saat ini. Tertunda https://github.com/Azure/azure-cli/issues/28377. Silakan gunakan instruksi Portal atau PowerShell.

C. Membuat PolicyDefinition

Nota

Langkah tambahan ini (membuat daripada hanya memilih PolicyDefinition) diperlukan selama pratinjau privat.

Portal

1. Navigasi ke halaman Gambaran Umum Azure Policy . Misalnya, Anda dapat menggunakan URI: https://portal.azure.com/#view/Microsoft_Azure_Policy/PolicyMenuBlade/~/Overview.
2. Navigasi ke tampilan Definisi .
3. Klik tombol + Definisi Kebijakan untuk membuat PolicyDefinition baru, memasukkan yang berikut ini sebagai input.
   1. Lokasi definisi: Pilih langganan Azure Anda tempat PolicyDefinition akan berada.
   2. Nama: [Pratinjau] Mengaudit kebijakan Kontrol Postur SSH atau [Pratinjau] Mengonfigurasi kebijakan Kontrol Postur SSH
   3. Kategori: Gunakan Yang Sudah Ada, lalu pilih Konfigurasi Tamu
   4. Aturan kebijakan: Hapus JSON yang sudah ada sebelumnya, dan tempelkan PolicyDefinition JSON dari Pratinjau audit definisi kebijakan Kontrol Postur SSHatauPratinjau definisi kebijakan Audit dan Konfigurasikan Kontrol Postur SSH
4. Klik Simpan

PowerShell

Kebijakan Audit-Saja:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SecureShell_Preview_AuditIfNotExists.json"
$localFilePath = "AuditSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

Kebijakan audit dan konfigurasi:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SetSecureShell_Preview_DeployIfNotExists.json"
$localFilePath = "ConfigureSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

Azure CLI

Tidak tersedia saat ini. Tertunda https://github.com/Azure/azure-cli/issues/28377. Silakan gunakan instruksi Portal atau PowerShell.

D. Menggunakan PolicyAssignment untuk menerapkan PolicyDefinition ke grup sumber daya Anda

Perhatian

Kebijakan ini memodifikasi konfigurasi sshd pada komputer dalam cakupan. Instruksi ini membuat Anda menetapkannya ke grup sumber daya yang awalnya kosong, di mana Anda nantinya akan membuat mesin uji. Berhati-hatilah jika Anda memilih untuk menetapkan ke cakupan yang lebih luas.

Portal

1. Menavigasi ke Kebijakan | Halaman definisi yang mencantumkan semua definisi kebijakan yang tersedia.
2. Pilih Kebijakan [Pratinjau] Kebijakan Kontrol Postur SSHDefinisi yang Anda buat sebelumnya
3. Klik Tetapkan.
4. Untuk Cakupan pilih grup sumber daya tempat Anda nantinya akan membuat mesin uji baru.
5. Lanjutkan ke tab Parameter .
   1. Pilih "true" untuk Sertakan komputer yang terhubung dengan Arc, kecuali Anda secara khusus ingin mengecualikan komputer yang terhubung dengan Arc.
   2. CATATAN: Jika Anda ingin menyesuaikan pengaturan SSH, seperti grup yang diizinkan, hapus centang kotak Hanya tampilkan parameter... untuk mengungkapkan semua parameter yang tersedia. Jika Anda memilih untuk menentukan pengguna atau grup yang diizinkan atau ditolak, perlu diketahui bahwa Anda akan memasukkan string yang dibatasi spasi, misalnya userA userB.
6. Lanjutkan ke tab Remediasi .
   1. CATATAN: Meskipun demo ini berfokus pada komputer baru, dalam skenario lain di mana Anda ingin PolicyAssignment diterapkan ke mesin yang ada, Anda dapat mencentang kotak untuk Membuat tugas remediasi.
   2. Pilih Buat Identitas Terkelola dengan Sistem yang ditetapkan dan lokasi identitas pilihan Anda.
7. Lanjutkan ke Review + create
   1. Pilih Buat untuk menyelesaikan PolicyAssignment.

PowerShell

Kebijakan Audit-Saja:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Audit SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

Kebijakan audit dan konfigurasi:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Configure SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

Azure CLI

Tidak tersedia saat ini. Tertunda https://github.com/Azure/azure-cli/issues/28377. Silakan gunakan instruksi Portal atau PowerShell.

E. Membuat komputer baru

Meskipun PolicyAssignments baru dapat berlaku untuk komputer yang ada, prosesnya dapat memakan waktu hingga 24 jam. Untuk mulai cepat ini, kami akan fokus pada evaluasi komputer baru. Dalam contoh ini kita akan membuat Azure VM, tetapi Anda dapat membuat komputer yang diaktifkan Arc jika mau.

Portal

1. Navigasikan ke pengalaman Azure Virtual Machines .
2. Buat VM baru, memastikan properti berikut:
   1. Langganan dan Grup Sumber Daya harus cocok dengan tempat PolicyAssignment dilingkupkan.
   2. Gambar harus "Windows Server 2025".
   3. Arsitektur VM harus x64.
   4. Properti lain seperti nama VM, ukuran, dll. dapat menjadi apa pun yang Anda inginkan.
3. Tunggu hingga pembuatan VM selesai, lalu klik Buka Sumber Daya untuk mencapai halaman gambaran umum mesin
4. Di navigasi sebelah kiri, pilih Identitas dan pastikan bahwa komputer memiliki identitas terkelola sistem
5. Di navigasi sebelah kiri, pilih Ekstensi + aplikasi, lalu + Tambahkan
6. Pilih ekstensi Azure Machine Configuration untuk ekstensi Windows dan pilih Berikutnya
7. Pilih Tinjau + buat, lalu buat

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myNameForNewVM = "sshdemovm01"

## Creates a new VM which is prepped to work with MachineConfiguration
## by having a system assigned identity and the GuestConfiguration extension
New-AzVM -Name $myNameForNewVM -ResourceGroupName $myResourceGroupName -SystemAssignedIdentity -Image "MicrosoftWindowsServer:WindowsServer:2025-datacenter:latest"
Set-AzVMExtension -ResourceGroupName $myResourceGroupName -VMName $myNameForNewVM -ExtensionType "ConfigurationforWindows" -Publisher "Microsoft.GuestConfiguration" -Name "AzurePolicyforWindows" -TypeHandlerVersion 1.0

Azure CLI

Tidak tersedia saat ini. Tertunda https://github.com/Azure/azure-cli/issues/28377. Silakan gunakan instruksi Portal atau PowerShell.

F. Istirahatlah sebelum melanjutkan

Ketika PolicyDefinitions, PolicyAssignments, dan mesin baru terlibat, dibutuhkan beberapa menit agar semuanya mencapai status stabil. Pertimbangkan untuk menunggu setidaknya 30 menit sebelum melanjutkan ke langkah berikutnya.

G. Mengamati hasil kepatuhan

Langkah-langkah berikut memungkinkan Anda melihat rollup kepatuhan di ketinggian yang berbeda:

• Kepatuhan berdasarkan PolicyAssignment
  • Jumlah komputer yang sesuai dan tidak patuh
  • Ketinggian tertinggi, sangat berguna untuk armada besar
• Kepatuhan berdasarkan komputer
  • Daftar mesin dengan ya/tidak per komputer
• Kepatuhan dengan mengatur, untuk komputer tertentu
  • Tingkat detail terdalam, seperti cuplikan layar di bagian atas artikel ini.

Petunjuk / Saran

Komputer baru Anda kemungkinan akan dinilai tidak patuh ketika menemukan kebijakan untuk pertama kalinya. Pengaturan SSH default dalam kebijakan lebih ketat daripada banyak gambar OS yang telah dikonfigurasi secara default. Setelah tambahan 20 menit atau lebih, Anda harus menemukan bahwa komputer Anda menjadi sesuai berkat logika remediasi bawaan SSH Posture Control.

Portal

1. Menavigasi ke Kebijakan | Halaman kepatuhan .
2. Pilih [Pratinjau] Kebijakan Kontrol Postur SSH.
3. Amati bahwa jumlah mesin yang sesuai / tidak patuh dilaporkan
4. Di bawah Kepatuhan Sumber Daya , Anda dapat melihat status untuk masing-masing komputer
5. Untuk menelusuri detail pengaturan demi pengaturan untuk komputer tertentu:
   1. Klik ... di samping komputer, dan pilih Tampilkan sumber daya untuk mencapai halaman Gambaran Umum komputer
   2. Di navigasi sebelah kiri di bawah Operasi, klik Manajemen konfigurasi (bukan Konfigurasi di bawah Pengaturan)
   3. Klik SecureShell
   4. Halaman yang dihasilkan menunjukkan setiap pengaturan dalam konfigurasi dengan detail tentang kepatuhan serta bagaimana kepatuhan ditentukan.

PowerShell

Untuk mengamati status pada ketinggian tertinggi (hanya jumlah komputer), Anda dapat menggunakan yang berikut:

$machineCountsQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend complianceStatus = tostring(properties.complianceStatus)
| summarize machineCount = count() by complianceStatus
'@

Search-AzGraph -Query $machineCountsQuery

<#
Sample output from an environment with two machines:

complianceStatus machineCount
---------------- ------------
Pending                     1
Compliant                   1
#>

Untuk melihat kepatuhan berdasarkan komputer, Anda dapat menggunakan hal berikut:

$machinePerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| project 
    machine = split(properties.targetResourceId,'/')[-1],
    complianceStatus = properties.complianceStatus,
    lastComplianceStatusChecked = properties.lastComplianceStatusChecked
'@

Search-AzGraph -Query $machinePerRowQuery

<#
Sample output:

machine     complianceStatus lastComplianceStatusChecked
-------     ---------------- ---------------------------
sshdemovm01 Compliant        2/15/2024 11:07:21 PM
sshdemovm02 Pending          1/1/0001 12:00:00 AM
#>

Untuk melihat detail pengaturan demi pengaturan, Anda bisa menggunakan yang berikut ini:

$settingPerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend machine = split(properties.targetResourceId,'/')[-1]
| mvexpand properties.latestAssignmentReport.resources
| mvexpand properties_latestAssignmentReport_resources.reasons
| project machine,
    complianceCheck = tostring(properties_latestAssignmentReport_resources.resourceId),
    complianceStatus = tostring(properties.complianceStatus),
    complianceReason = tostring(properties_latestAssignmentReport_resources_reasons.phrase)
'@

Search-AzGraph $settingPerRowQuery

<#
   Sample output:
   
   machine     complianceCheck                                                  complianceStatus     complianceReason
   -------     ---------------                                                  ------               ------
   sshdemovm01 Ensure that the allowed groups for SSH are configured            Compliant            ["administrators","openssh users"] contains the expected values: ["administrators","openssh users"]
   sshdemovm01 Ensure that appropriate ciphers are used for SSH                 Compliant            ["aes128-ctr","aes192-ctr","aes256-ctr"] contains the expected values: ["aes128-ctr","aes192-ctr","aes256-ctr"]
   sshdemovm01 Ensure that the authorized key file for SSH is configured        Compliant            "%programdata%/ssh/administrators_authorized_keys" is equal to "%programdata%/ssh/administrators_authorized_keys"
   sshdemovm01 Ensure that the SSH ClientAliveInterval is configured            Compliant            3600 is equal to 3600
   sshdemovm01 Ensure that the SSH PermitEmptyPasswords is configured           Compliant            false is equal to false
   sshdemovm01 Ensure that the SSH port is configured                           Compliant            22 is equal to 22
   sshdemovm01 Ensure that the SSH MaxAuthTries is configured                   Compliant            6 is equal to 6
   sshdemovm01 Ensure that only approved MAC algorithms are used                Compliant            ["hmac-sha2-256"] contains the expected values: ["hmac-sha2-256"]
   sshdemovm01 Ensure that the SSH HostKey is configured                        Compliant            "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key" is equal to "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key"
   sshdemovm01 Ensure that the SSH LoginGraceTime is configured                 Compliant            60 is equal to 60
   #>

Azure CLI

Tidak tersedia saat ini. Tertunda https://github.com/Azure/azure-cli/issues/28377. Silakan gunakan instruksi Portal atau PowerShell.

Mulai menggunakan Pengalaman Lokal (PowerShell)

Prasyarat

• Anda harus menjalankan build Windows Server 2025 yang ditandatangani produksi di perangkat Anda.
• Modul OSConfig PowerShell harus diinstal di perangkat server Anda. Lihat Menginstal modul OSConfig PowerShell untuk detailnya.
• Anda harus menginstal layanan sshd dan menjalankan panduan ini: https://aka.ms/windows-openssh-install.

Untuk menerapkan garis besar, verifikasi bahwa garis besar diterapkan, hapus garis besar, atau lihat informasi kepatuhan terperinci untuk OSConfig di PowerShell, gunakan perintah pada tab berikut.

Konfigurasi

Untuk menerapkan skenario SSH, jalankan perintah berikut:

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

Periksa

Untuk memverifikasi bahwa skenario SSH diterapkan dengan benar, jalankan perintah berikut:

Get-OSConfigDesiredConfiguration -Scenario SSH

Memeriksa kepatuhan

Untuk mendapatkan detail konfigurasi yang diinginkan untuk skenario yang ditentukan, gunakan perintah berikut. Output muncul dalam format tabel yang menyertakan nama item konfigurasi, status kepatuhannya, dan alasan ketidakpatuhnya.

Untuk memeriksa detail kepatuhan untuk skenario SSH, jalankan perintah berikut:

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Konfigurasi Kustom

Untuk menyesuaikan pengaturan dalam skenario SSH, Anda dapat mengonfigurasi pengaturan dengan parameter '-Name' dan '-Value':

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

---

Langkah berikutnya

Hubungi tim di Microsoft untuk memberikan umpan balik, permintaan fitur, dll.

Hubungi