Che cos'è SSH Posture Control (anteprima privata)- con Criteri di Azure e configurazione del computer?

! [IMPORTANTE] Questo articolo descrive una versione di anteprima anticipata di SSH Posture Control. Per la documentazione aggiornata, vedere Che cos'è il controllo del comportamento SSH?

Il controllo del comportamento SSH consente di usare i flussi di lavoro noti di Criteri di Azure e configurazione del computer per:

• Garantire la conformità agli standard del settore o dell'organizzazione
• Ridurre la superficie di attacco delle funzionalità di gestione remota
• Garantire una configurazione coerente nella flotta per la sicurezza e la produttività

Il controllo del comportamento SSH fornisce anche motivi dettagliati che descrivono come è stata determinata la conformità o la mancata conformità. Questi motivi rendono più semplice intervenire o documentare completamente la conformità.

Ssh Posture Control analizza e applica circa 20 parametri del server SSH (sshd). Per impostazione predefinita, controlla e applica le procedure consigliate coerenti con la baseline di sicurezza di calcolo di Azure per Linux. È anche possibile personalizzare determinati parametri in base all'ambiente in uso. Ad esempio, è possibile personalizzare gli utenti e i gruppi a cui è consentito l'accesso SSH.

Limitazioni dell'anteprima privata

Importante

Il controllo del comportamento SSH è in anteprima privata, destinato a attivare la finestra di dialogo tra l'utente e Microsoft.

• L'anteprima è destinata all'uso con computer di sviluppo/test isolati in cui qualsiasi problema (incluso il blocco accidentale dall'accesso SSH) non avrebbe conseguenze importanti.
• L'anteprima prevede l'importazione della definizione dei criteri, invece di sceglierla dall'elenco predefinito di Criteri di Azure.
• Le distribuzioni Linux supportate sono inizialmente limitate a Ubuntu Server (20.04, 22.04) e Debian (11, 12). Comunicaci (info di contatto alla fine della pagina) quali distribuzioni vuoi vedere immettere l'anteprima successiva.

Esempio introduttivo

Questo esempio è incentrato sull'avvio rapido. Semplifica i presupposti e non esplora tutto ciò che è possibile. Ad esempio, usa le impostazioni SSH predefinite di PolicyDefinition, invece di personalizzare parametri come utenti e gruppi consentiti. Altre informazioni complete sul controllo del comportamento SSH, incluse le impostazioni e i comportamenti, sono previste nel prossimo futuro.

Suggerimento

In questo articolo vengono usati il modello mentale e la terminologia seguenti.

• PolicyDefinition : definizione e metadati del controllo del comportamento SSH, come rappresentato nel servizio Criteri di Azure.
• PolicyAssignment : collega la policydefinition del controllo del comportamento SSH a un ambito in cui devono essere applicati i criteri, ad esempio un gruppo di risorse.
• Computer : un endpoint in grado di essere gestito da Criteri di Azure e configurazione computer (noto anche come Configurazione guest). In altre parole, un computer abilitato per Arc o una macchina virtuale di Azure.

A. Prerequisiti

1. Un account Azure con autorizzazione per creare un gruppo di risorse, una macchina virtuale (o un computer Arc), una definizione di criteri e un'assegnazione di criteri.
2. Per altri prerequisiti, scegliere l'esperienza preferita:

Portale

1. Usando un Web browser, accedere al portale di Azure o all'equivalente locale.

PowerShell

1. Un ambiente PowerShell con i moduli seguenti installati:
   1. Az.ResourceGraph
   2. Az.Accounts
   3. Az.Resources
2. Usare Get-AzContext e/o Set-AzContext cmdlet per assicurarsi che l'ambiente di Azure desiderato sia destinato.

Suggerimento

Azure Cloud Shell in modalità PowerShell è un ambiente pronto per l'uso ed è un modo semplice per iniziare.

Interfaccia della riga di comando di Azure

Non disponibile in questo momento. In sospeso https://github.com/Azure/azure-cli/issues/28377. Usare il portale o le istruzioni di PowerShell.

B. Creare un gruppo di risorse

Portale

1. Crea un gruppo di risorse. Nei passaggi successivi verrà usato per definire l'ambito dei criteri e per contenere un nuovo computer di test.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group" 
$myAzureLocation = "eastus" ## Modify as needed

$myResourceGroup = New-AzResourceGroup -Name $myResourceGroupName -Location $myAzureLocation

Interfaccia della riga di comando di Azure

Non disponibile in questo momento. In sospeso https://github.com/Azure/azure-cli/issues/28377. Usare il portale o le istruzioni di PowerShell.

C. Creare PolicyDefinition

Nota

Questo passaggio aggiuntivo (creazione anziché semplicemente scelta di PolicyDefinition) è necessario durante l'anteprima privata.

Portale

1. Passare alla pagina Panoramica di Criteri di Azure . Ad esempio, è possibile usare l'URI : https://portal.azure.com/#view/Microsoft_Azure_Policy/PolicyMenuBlade/~/Overview.
2. Passare alla visualizzazione Definizioni .
3. Fare clic sul pulsante + Definizione criteri per creare una nuova PolicyDefinition, immettendo quanto segue come input.
   1. Percorso della definizione: scegliere la sottoscrizione di Azure in cui verrà vissuto PolicyDefinition.
   2. Nome: [Anteprima] Criteri di controllo del comportamento SSH
   3. Categoria: Usare esistente, quindi scegliere Configurazione guest
   4. Regola dei criteri: eliminare il codice JSON preesistente e incollare il codice JSON PolicyDefinition dalla definizione dei criteri di controllo del comportamento SSH in anteprima
4. Fare clic su Save (Salva).

PowerShell

$sshPolicyDefinitionJsonUri = "https://raw.githubusercontent.com/Azure/azure-osconfig/main/src/adapters/mc/sshpreview/OsConfigPolicy_DeployIfNotExists.json"
$sshPolicyDefinitionName = "[Preview] SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJsonUri

Interfaccia della riga di comando di Azure

Non disponibile in questo momento. In sospeso https://github.com/Azure/azure-cli/issues/28377. Usare il portale o le istruzioni di PowerShell.

D. Usare un oggetto PolicyAssignment per applicare PolicyDefinition al gruppo di risorse

Attenzione

Questo criterio modifica la configurazione sshd nei computer con ambito. Queste istruzioni includono l'assegnazione a un gruppo di risorse inizialmente vuoto, in cui successivamente si creerà un computer di test. Prestare molta attenzione se si sceglie di assegnare a qualsiasi ambito più ampio.

Portale

1. Passare al criterio | Pagina Definizioni che elenca tutte le definizioni dei criteri disponibili.
2. Selezionare i criteri di controllo del comportamento SSH [Anteprima] PolicyDefinition creati in precedenza
3. Fare clic su Assegna.
4. Per Ambito scegliere il gruppo di risorse in cui verrà creato in seguito un nuovo computer di test.
5. Passare alla scheda Parametri .
   1. Scegliere "true" per Includi computer connessi ad Arc, a meno che non si voglia escludere in modo specifico i computer connessi ad Arc.
   2. NOTA: se si desidera personalizzare le impostazioni SSH, ad esempio i gruppi consentiti, deselezionare la casella Mostra solo parametri... per visualizzare tutti i parametri disponibili. Se si sceglie di specificare utenti o gruppi consentiti o negati, tenere presente che si immette una stringa delimitata da spazio, ad esempio userA userB.
6. Passare alla scheda Correzione .
   1. NOTA: anche se questa demo si concentra su un nuovo computer, in altri scenari in cui si vuole che l'applicazione PolicyAssignment si applichi ai computer esistenti, è possibile selezionare la casella per Creare un'attività di correzione.
   2. Scegliere Crea un'identità gestita con sistema assegnato e una posizione di identità desiderata.
7. Passare a Rivedi e crea
   1. Scegliere Crea per completare il criterioAssignment.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -AssignIdentity -Location $myAzureLocation
## Complete RBAC assignment
New-AzRoleAssignment -ObjectId $sshPolicyAssignment.Identity.PrincipalId -RoleDefinitionId $sshPolicyDefinition.Properties.PolicyRule.then.details.roleDefinitionIds[0].split("/")[4] -Scope "/subscriptions/$((Get-AzContext).Subscription.Id)"

Interfaccia della riga di comando di Azure

Non disponibile in questo momento. In sospeso https://github.com/Azure/azure-cli/issues/28377. Usare le istruzioni del portale o di PowerShell.

E. Creare un nuovo computer

Anche se i nuovi criteriAssignments possono essere applicati ai computer esistenti, il processo può richiedere fino a 24 ore. Per questo avvio rapido ci concentreremo sulla valutazione di una nuova macchina. In questo esempio verrà creata una macchina virtuale di Azure, ma è possibile creare un computer abilitato per Arc se si preferisce.

Portale

1. Passare all'esperienza Macchine virtuali di Azure .
2. Creare una nuova macchina virtuale, assicurando le proprietà seguenti:
   1. La sottoscrizione e il gruppo di risorse devono corrispondere alla posizione in cui è stato assegnato l'ambito PolicyAssignment.
   2. L'immagine deve essere "Unbuntu Server 22.04...".
   3. L'architettura della macchina virtuale deve essere x64.
   4. Altre proprietà, ad esempio il nome della macchina virtuale, le dimensioni e così via, possono essere qualsiasi cosa preferita.
3. Attendere il completamento della creazione della macchina virtuale e quindi fare clic su Vai a Risorsa per raggiungere la pagina panoramica del computer
4. Nella navigazione a sinistra selezionare Identità e assicurarsi che il computer disponga di un'identità gestita dal sistema
5. Nella navigazione a sinistra selezionare Estensioni + applicazioni, quindi + Aggiungi
6. Scegliere l'estensione Configurazione computer di Gestione automatica di Azure e selezionare Avanti
7. Selezionare Rivedi e crea, quindi crea

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myNameForNewVM = "sshdemovm01"

## Creates a new VM which is prepped to work with MachineConfiguration
## by having a system assigned identity and the GuestConfiguration extension
New-AzVM -Name $myNameForNewVM -ResourceGroupName $myResourceGroupName -SystemAssignedIdentity -Image Ubuntu2204
Set-AzVMExtension -ResourceGroupName $myResourceGroupName -VMName $myNameForNewVM -ExtensionType "ConfigurationforLinux" -Publisher "Microsoft.GuestConfiguration" -Name "AzurePolicyForLinux" -TypeHandlerVersion 1.0

Interfaccia della riga di comando di Azure

Non disponibile in questo momento. In sospeso https://github.com/Azure/azure-cli/issues/28377. Usare le istruzioni del portale o di PowerShell.

F. Eseguire un'interruzione prima di procedere

Quando sono coinvolti nuovi CriteriDefinitions, PolicyAssignments e computer, è possibile richiedere diversi minuti per raggiungere lo stato costante. Prendere in considerazione l'attesa di almeno 30 minuti prima di procedere al passaggio successivo.

G. Osservare i risultati di conformità

I passaggi seguenti consentono di visualizzare un rollup di conformità in altitudini diverse:

• Conformità per PolicyAssignment
  • Numero di computer conformi e non conformi
  • Altitudine più alta, particolarmente utile per grandi flotta
• Conformità in base al computer
  • Elenco di computer con sì/no per computer
• Conformità impostando, per un computer specifico
  • Livello più approfondito di dettagli, ad esempio lo screenshot nella parte superiore di questo articolo.

Suggerimento

È probabile che il nuovo computer venga valutato come non conforme quando rileva i criteri per la prima volta. Le impostazioni SSH predefinite nei criteri sono più rigorose rispetto a quelle configurate per impostazione predefinita da molte immagini del sistema operativo. Dopo 20 minuti aggiuntivi, è necessario trovare che il computer diventa conforme grazie alla logica di correzione predefinita per il controllo del comportamento SSH.

Portale

1. Passare ai criteri | Pagina conformità .
2. Selezionare [Anteprima] Criteri di controllo del comportamento SSH.
3. Osservare che il numero di computer conformi/non conformi viene segnalato
4. In Conformità delle risorse è possibile visualizzare lo stato per i singoli computer
5. Per eseguire il drill-down sui dettagli dell'impostazione per un computer specifico:
   1. Fare clic su ... accanto a un computer e scegliere Visualizza risorsa per raggiungere la pagina Panoramica del computer
   2. Nella navigazione a sinistra in Operazioni fare clic su Gestione configurazione (non configurazione in Impostazioni)
   3. Fare clic su LinuxSSHServerSecurityBaseline
   4. La pagina risultante mostra ogni impostazione nella configurazione con dettagli sulla conformità e sulla modalità di determinazione della conformità.

PowerShell

Per osservare lo stato all'altitudine più alta (solo i conteggi dei computer), è possibile usare quanto segue:

$machineCountsQuery = @'
guestconfigurationresources
| where name startswith("LinuxSshServerSecurityBaseline")
| extend complianceStatus = tostring(properties.complianceStatus)
| summarize machineCount = count() by complianceStatus
'@

Search-AzGraph -Query $machineCountsQuery

<#
Sample output from an environment with two machines:

complianceStatus machineCount
---------------- ------------
Pending                     1
Compliant                   1
#>

Per visualizzare una conformità per computer, è possibile usare quanto segue:

$machinePerRowQuery = @'
guestconfigurationresources
| where name startswith("LinuxSshServerSecurityBaseline")
| project 
    machine = split(properties.targetResourceId,'/')[-1],
    complianceStatus = properties.complianceStatus,
    lastComplianceStatusChecked = properties.lastComplianceStatusChecked
'@

Search-AzGraph -Query $machinePerRowQuery

<#
Sample output:

machine     complianceStatus lastComplianceStatusChecked
-------     ---------------- ---------------------------
sshdemovm01 Compliant        2/15/2024 11:07:21 PM
sshdemovm02 Pending          1/1/0001 12:00:00 AM
#>

Per visualizzare i dettagli dell'impostazione in base all'impostazione, è possibile usare quanto segue:

$settingPerRowQuery = @'
guestconfigurationresources
| where name startswith ('LinuxSshServerSecurityBaseline')
| extend machine = split(properties.targetResourceId,'/')[-1]
| mvexpand properties.latestAssignmentReport.resources
| mvexpand properties_latestAssignmentReport_resources.reasons
| project machine,
    complianceCheck = tostring(properties_latestAssignmentReport_resources.resourceId),
    complianceStatus = tostring(properties.complianceStatus),
    complianceReason = tostring(properties_latestAssignmentReport_resources_reasons.phrase)
'@

Search-AzGraph $settingPerRowQuery

<#
Sample output:

machine     complianceCheck                                                  complianceStatus     complianceReason
-------     ---------------                                                  ------               ------
sshdemovm01 Ensure permissions on /etc/ssh/sshd_config are configured        Compliant            Access to '/etc/ssh/sshd_config' matches required ...
sshdemovm01 Ensure SSH is configured to meet best practices (protocol 2)     Compliant            'Protocol 2' is found uncommented in /etc/ssh/sshd_config
sshdemovm01 Ensure SSH is configured to ignore rhosts                        Compliant            The sshd service reports that 'ignorerhosts' is set to 'yes'
sshdemovm01 Ensure SSH LogLevel is set to INFO                               Compliant            The sshd service reports that 'loglevel' is set to 'INFO'
sshdemovm01 Ensure SSH MaxAuthTries is configured                            Compliant            The sshd service reports that 'maxauthtries' is set to '6'
sshdemovm01 Ensure allowed users for SSH access are configured               Compliant            The sshd service reports that 'allowusers' is set to '*@*'
sshdemovm01 Ensure denied users for SSH are configured                       Compliant            The sshd service reports that 'denyusers' is set to 'root'
sshdemovm01 Ensure allowed groups for SSH are configured                     Compliant            The sshd service reports that 'allowgroups' is set to '*'
sshdemovm01 Ensure denied groups for SSH are configured                      Compliant            The sshd service reports that 'denygroups' is set to 'root'
sshdemovm01 Ensure SSH host-based authenticationis disabled                  Compliant            The sshd service reports that 'hostbasedauthentication' is ...
#>

Interfaccia della riga di comando di Azure

Non disponibile in questo momento. In sospeso https://github.com/Azure/azure-cli/issues/28377. Usare le istruzioni del portale o di PowerShell.

Passaggio successivo

Contattare il team di Microsoft per fornire commenti e suggerimenti, richieste di funzionalità e così via.

ssh_posture_control_through_azure@service.microsoft.com