Guida introduttiva: Applicare il controllo postura SSH a un computer di test Windows Server

Nei passaggi seguenti si useranno Criteri di Azure per distribuire le impostazioni di controllo postura SSH in una macchina virtuale Windows Server 2019, 2022 o 2025 di test.

Per informazioni di base e di riferimento concettuale, vedere Che cos'è il controllo del comportamento SSH?.

Per una procedura dettagliata più avanzata, vedere Gestire le impostazioni sshd usando SSH Posture Control.

Se non si ha un account Azure, è possibile creare una versione di valutazione gratuita.

Attenzione

• Questa guida introduttiva illustra l'applicazione di una configurazione sshd restrittiva destinata a un nuovo computer di test eliminabile. Se si applica questa configurazione ad altri computer, è possibile bloccarsi. Quando si provano controlli di sicurezza come SSH Posture Control, usare un ambiente sandbox isolato, in modo che anche un errore nell'assegnazione dei criteri non riconfiguri i computer imprevisti.

Prerequisiti

Prima di provare i passaggi descritti in questo articolo, assicurarsi di avere già:

1. Un account Azure in cui si dispone dei diritti per creare un gruppo di risorse, assegnazioni di criteri e una macchina virtuale.
2. L'ambiente preferito per interagire con Azure, ad esempio:
   1. di Azure Cloud Shell (scelta consigliata)
      1. Nota: gli esempi useranno la modalità bash. I lettori possono adattare esempi ad altri ambienti della shell, tra cui PowerShell.
   2. o il proprio ambiente shell con l'interfaccia della riga di comando di Azure installata e con l'accesso
   3. oportale di Azure in un Web browser

Verificare di aver eseguito l'accesso all'ambiente di test

Portale di Azure

1. Usare le informazioni sull'account nel portale per visualizzare il contesto corrente.

   

Interfaccia della riga di comando di Azure

1. È possibile usare az account show per visualizzare il contesto corrente. Per accedere o modificare i contesti, usare az account login.

Creare un gruppo di risorse

La scelta di eastus posizione in questo esempio non è significativa. È possibile usare qualsiasi località di Azure disponibile.

Portale di Azure

Interfaccia della riga di comando di Azure

az group create --name sshdemo01 --location eastus

Assegnare i criteri al gruppo di risorse

Questa guida introduttiva applica il comportamento di controllo e configurazione usando la definizione di criteri predefinita [Preview]: Configure SSH security posture for Windows.

L'assegnazione di esempio si basa in gran parte sulle impostazioni predefinite del controllo del comportamento SSH (ad esempio, porta 22, accesso radice non consentito), con personalizzazione limitata (testo banner).

Portale di Azure

1. Passare a Criteri, quindi Definizioni
2. Filtrare l'elenco per trovare e selezionare [Preview]: Configure SSH security posture for Windows
3. Nella pagina di definizione dei criteri fare clic su Assegna
4. Nel flusso di lavoro di assegnazione dei criteri
   1. Scegliere il nuovo gruppo di risorse vuoto (creato in precedenza) come ambito.
   2. Facoltativo: scegliere un nome per questa assegnazione di criteri. Per impostazione predefinita viene usato il nome della definizione dei criteri.
   3. Facoltativo: nella scheda parametri eseguire l'override di un valore predefinito, ad esempio il valore "banner".
   4. Nota: la regola "porta" deve essere configurata con un singolo valore per garantire funzionalità e conformità appropriate per il controllo e la configurazione degli scenari.
   5. Completare la creazione dell'assegnazione dei criteri.

Interfaccia della riga di comando di Azure

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group sshdemo01 --query id --output tsv)
az policy assignment create --policy "42830b63-79aa-4ea5-85dc-6baa719d7d7c" --name "Configure SSH Posture test machine" --scope "$RG_ID" --params '{"banner":{"value":"CONTOSO SYSTEMS. Unauthorized use will be prosecuted."}}' --mi-system-assigned --role "Guest Configuration Resource Contributor" --identity-scope "$RG_ID" --location eastus

Attenzione

Indipendentemente dal fatto che sia stato usato il portale o l'interfaccia della riga di comando, esaminare l'ambito dell'assegnazione dei criteri appena creata prima di procedere. Se l'ambito è stato erroneamente impostato su un valore diverso dal nuovo gruppo di risorse vuoto creato in precedenza, deve essere corretto immediatamente per evitare la configurazione di computer imprevisti.

Creare una macchina virtuale di test e prepararla per La configurazione del computer

Portale di Azure

1. Creare una macchina virtuale Windows Server 2019, 2022 o 2025
2. Aggiungere un'identità assegnata dal sistema, se non è già presente
3. Aggiungere l'estensione Configurazione computer (etichettata nel portale come Configurazione computer di Azure per Windows)

Interfaccia della riga di comando di Azure

1. Creare una macchina virtuale Windows Server 2019, 2022 o 2025 con un'identità assegnata dal sistema

   az vm create --name sshdemo01 --resource-group sshdemo01 --image "MicrosoftWindowsServer:WindowsServer:2025-datacenter:latest" --assign-identity [system]
   

2. Installare l'agente di configurazione del computer come estensione della macchina virtuale di Azure

   az vm extension set --resource-group sshdemo01 --vm-name sshdemo01 --name ConfigurationForWindows --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

Suggerimento

In questa guida introduttiva sono stati risolti direttamente durante la creazione della macchina virtuale i prerequisiti per La configurazione del computer (la macchina virtuale ha l'identità gestita e l'estensione dell'agente). Su larga scala, questi prerequisiti possono essere soddisfatti usando l'iniziativa di criteri predefinita Deploy prerequisites to enable Guest Configuration policies on virtual machines.

Fare una pausa prima di procedere

Verranno ora eseguiti automaticamente diversi passaggi. Ognuno di questi passaggi può richiedere alcuni minuti. Di conseguenza, attendere almeno 15 minuti prima di procedere.

Osservare i risultati

Usando la procedura seguente, è possibile visualizzare:

1. Numero di computer conformi (o meno)
   1. Particolarmente utile su scala di produzione, in cui possono essere presenti migliaia di macchine
2. Quali computer sono conformi (o meno)
3. Per un determinato computer, che le singole regole sono conformi (o meno)

Portale di Azure

Interfaccia della riga di comando di Azure

Gli esempi seguenti dell'interfaccia della riga di comando di Azure provengono da un ambiente bash . Per usare un altro ambiente della shell, potrebbe essere necessario modificare esempi per il comportamento finale della riga, le regole di citazione, l'escape dei caratteri e così via.

1. Numero di computer conformi (o meno):

   QUERY="guestconfigurationresources
      | where name contains 'SecureShell'
      | extend complianceStatus = tostring(properties.complianceStatus)
      | summarize machineCount = count() by complianceStatus
   "
   az graph query -q "$QUERY" --query data --output table
   
   # Sample output from an environment with two machines:
   # 
   # complianceStatus machineCount
   # ---------------- ------------
   # Pending                     1
   # Compliant                   1
   

2. Quali computer sono conformi (o meno):

   QUERY="guestconfigurationresources
   | where name contains 'SecureShell'
   | project 
       machine = split(properties.targetResourceId,'/')[-1],
       complianceStatus = properties.complianceStatus,
       lastComplianceStatusChecked = properties.lastComplianceStatusChecked
   "
   
   az graph query -q "$QUERY" --query data --output table
   
   # Sample output from an environment with two machines:
   #
   # machine     complianceStatus lastComplianceStatusChecked
   # -------     ---------------- ---------------------------
   # sshdemovm01 Compliant        2/15/2024 11:07:21 PM
   # sshdemovm02 Pending          1/1/0001 12:00:00 AM
   

3. Per un determinato computer, che le singole regole sono conformi (o meno):

   QUERY="GuestConfigurationResources
   | where name contains 'SecureShell'
   | project report = properties.latestAssignmentReport,
     machine = split(properties.targetResourceId,'/')[-1],
     lastComplianceStatusChecked=properties.lastComplianceStatusChecked
   | mv-expand report.resources
   | project machine,
     rule = report_resources.resourceId,
     ruleComplianceStatus = report_resources.complianceStatus,
     ruleComplianceReason = report_resources.reasons[0].phrase,
     lastComplianceStatusChecked
   "
   az graph query -q "$QUERY" --query data --output table
   # Sample output from an environment where audit-and-configure behavior was selected, such that all settings became compliant:
   # 
   # machine     rule                                                            ruleComplianceStatus     ruleComplianceReason
   # -------     ---------------                                                  ------               ------
   # sshdemovm01 Ensure permissions on /etc/ssh/sshd_config are configured        true            Access to '/etc/ssh/sshd_config' matches required ...
   # sshdemovm01 Ensure SSH is configured to meet best practices (protocol 2)     true            'Protocol 2' is found uncommented in /etc/ssh/sshd_config
   # sshdemovm01 Ensure SSH is configured to ignore rhosts                        true            The sshd service reports that 'ignorerhosts' is set to 'yes'
   # sshdemovm01 Ensure SSH LogLevel is set to INFO                               true            The sshd service reports that 'loglevel' is set to 'INFO'
   # sshdemovm01 Ensure SSH MaxAuthTries is configured                            true            The sshd service reports that 'maxauthtries' is set to '6'
   # sshdemovm01 Ensure allowed users for SSH access are configured               true            The sshd service reports that 'allowusers' is set to '*@*'
   # sshdemovm01 Ensure denied users for SSH are configured                       true            The sshd service reports that 'denyusers' is set to 'root'
   # sshdemovm01 Ensure allowed groups for SSH are configured                     true            The sshd service reports that 'allowgroups' is set to '*'
   # sshdemovm01 Ensure denied groups for SSH are configured                      true            The sshd service reports that 'denygroups' is set to 'root'
   # sshdemovm01 Ensure SSH host-based authenticationis disabled                  true            The sshd service reports that 'hostbasedauthentication' is ...
   # ...
   

Facoltativo: aggiungere altri computer di test per l'esperienza di scalabilità

In questo articolo i criteri sono stati assegnati a un gruppo di risorse inizialmente vuoto e quindi ottenuto una macchina virtuale. Anche se questo dimostra il funzionamento del sistema end-to-end, non fornisce un'idea delle operazioni su larga scala. Ad esempio, nella visualizzazione conformità dell'assegnazione dei criteri un grafico a torta di un computer può essere artificiale.

Prendere in considerazione l'aggiunta di più computer di test al gruppo di risorse, sia manualmente che tramite automazione. Possono trattarsi di macchine virtuali di Azure o computer abilitati per Arc. Come si può notare, tali computer sono conformi (o addirittura non riescono) è possibile acquisire un'idea più approfondita dell'operazionalizzazione del controllo del comportamento SSH su larga scala.

Facoltativo: controllare manualmente il computer di test per confermare i risultati

Quando si inizia a usare una nuova funzionalità, ad esempio SSH Posture Control, può essere utile esaminare manualmente i risultati fuori banda. Ciò consente di creare fiducia e chiarezza. I passaggi descritti in questo articolo, ad esempio, dovrebbero avere comportato una configurazione del banner di accesso modificata nella macchina virtuale di test. È possibile confermarlo provando una connessione SSH al computer per visualizzare il banner o controllando il file sshd_config.

Pulire le risorse

Per evitare addebiti in corso, è consigliabile eliminare il gruppo di risorse usato in questo articolo. Ad esempio, il comando dell'interfaccia della riga di comando di Azure sarà az group delete --name "sshdemo01"

---

Introduzione all'esperienza locale (PowerShell)

Prerequisiti

• È necessario eseguire una build di Windows Server 2019, 2022, 2025 firmata in produzione nel dispositivo.
• Il modulo POWERShell OSConfig deve essere installato nel dispositivo server. Per informazioni dettagliate, vedere Installare il modulo PowerShell OSConfig.
• È necessario che il servizio sshd sia installato ed eseguito seguendo questa guida: https://aka.ms/windows-openssh-install.

Per applicare una linea di base, verificare che la linea di base venga applicata, rimuovere una linea di base o visualizzare informazioni dettagliate sulla conformità per OSConfig in PowerShell, usare i comandi nelle schede seguenti.

Configurare

Per applicare lo scenario SSH, eseguire il comando seguente:

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

Verificare

Per verificare che lo scenario SSH sia applicato correttamente, eseguire il comando seguente:

Get-OSConfigDesiredConfiguration -Scenario SSH

Controlla conformità

Per ottenere i dettagli di configurazione desiderati per lo scenario specificato, usare i comandi seguenti. L'output viene visualizzato in un formato di tabella che include il nome dell'elemento di configurazione, il relativo stato di conformità e il motivo della mancata conformità.

Per controllare i dettagli di conformità per SSH scenairo, eseguire il comando seguente:

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Configurazione personalizzata

Per personalizzare l'impostazione nello scenario SSH, è possibile configurare un'impostazione con il parametro '-Name' e '-Value':

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

---

Passaggi successivi

Contattare il team di Microsoft per inviare commenti e suggerimenti, richieste di funzionalità e così via.

Contattaci