Che cos'è Windows SSH Posture Control (anteprima privata) con Criteri di Azure e PowerShell?

Il controllo comportamento SSH consente di usare i flussi di lavoro familiari di Criteri di Azure e configurazione del computer per:

  • Garantire la conformità agli standard nel settore o nell'organizzazione
  • Ridurre la superficie di attacco delle funzionalità di gestione remota
  • Garantire una configurazione coerente nella flotta per la sicurezza e la produttività

Ssh Posture Control fornisce anche motivi dettagliati che descrivono come è stata determinata la conformità o la mancata conformità. Questi motivi rendono più semplice intervenire o documentare completamente la conformità.

Screenshot che mostra l'elenco dei controlli SSH conformi

Il controllo comportamento SSH analizza e applica circa 20 parametri del server SSH (sshd). È anche possibile personalizzare determinati parametri in base all'ambiente in uso. Ad esempio, è possibile personalizzare gli utenti e i gruppi a cui è consentito l'accesso SSH, nonché il numero di porta e altro ancora.

È possibile distribuire SSH Posture Control in modalità audit o audit-and-configure per controllare la flotta di dispositivi, tenere traccia dei risultati, quindi correggere automaticamente la flotta in base agli standard sshd appropriati.

Limitazioni dell'anteprima privata

Importante

Il controllo comportamento SSH è disponibile in anteprima privata, progettato per attivare la finestra di dialogo tra l'utente e Microsoft.

  • L'anteprima è destinata all'uso con computer di sviluppo/test isolati in cui qualsiasi problema (incluso il blocco accidentale dall'accesso SSH) non avrebbe conseguenze importanti.
  • L'anteprima prevede l'importazione della definizione dei criteri anziché la scelta dall'elenco predefinito di Criteri di Azure.
  • Per questo verrà fornito sia il controllo che il flusso di lavoro audit-and-configure.
  • Gli SKU di Windows supportati sono attualmente solo Windows Server 2025

Introduzione a Criteri di Azure

Questo esempio è incentrato su come iniziare rapidamente all'interno di Criteri di Azure. Semplifica i presupposti e non esplora tutto ciò che è possibile. Ad esempio, usa le impostazioni SSH predefinite di PolicyDefinition, anziché personalizzare parametri come utenti e gruppi consentiti. Le informazioni più complete sul controllo della postura SSH, incluse le impostazioni e i comportamenti, sono previste nel prossimo futuro. Si noti che la sezione di PowerShell si trova nella sezione verso la fine dell'articolo.

Suggerimento

In questo articolo vengono usati il modello mentale e la terminologia seguenti.

Diagramma che mostra che la sottoscrizione di Azure conterrà un PolicyDefinition collegato tramite un oggetto PolicyAssignment a un gruppo di risorse contenente i computer

  • PolicyDefinition : definizione e metadati del controllo del comportamento SSH, come rappresentato nel servizio Criteri di Azure.
  • PolicyAssignment : collega il policydefinition del controllo della postura SSH a un ambito in cui devono essere applicati i criteri, ad esempio un gruppo di risorse.
  • Computer : un endpoint in grado di essere gestito da Criteri di Azure e configurazione computer (noto anche come Configurazione guest). In altre parole, un computer abilitato per Arc o una macchina virtuale di Azure.

Un. Prerequisiti

  1. Un account Azure con l'autorizzazione per creare un gruppo di risorse, una macchina virtuale (o un computer Arc), una definizione di criteri e un'assegnazione di criteri.
  2. Per altri prerequisiti, scegliere l'esperienza preferita:
  1. Usando un Web browser, accedere al portale di Azure o all'equivalente locale.

B. Creare un gruppo di risorse

  1. Creare un gruppo di risorse. Nei passaggi successivi verrà usato per definire l'ambito dei criteri e per contenere un nuovo computer di test.

acquisizione dello schermo della creazione di un gruppo di risorse

C. Creare PolicyDefinition

Annotazioni

Questo passaggio aggiuntivo (creazione anziché semplicemente scelta di PolicyDefinition) è necessario durante l'anteprima privata.

  1. Passare alla pagina Panoramica di Criteri di Azure . Ad esempio, è possibile usare l'URI: https://portal.azure.com/#view/Microsoft_Azure_Policy/PolicyMenuBlade/~/Overview.
  2. Passare alla visualizzazione Definizioni .
  3. Fare clic sul pulsante + Definizione criteri per creare una nuova PolicyDefinition, immettendo quanto segue come input.
    1. Località di definizione: scegliere la sottoscrizione di Azure in cui verrà visualizzata l'opzione PolicyDefinition.
    2. Nome: [Anteprima] Controllare i criteri di controllo della postura SSH o [Anteprima] Configurare i criteri di controllo della postura SSH
    3. Categoria: Usare esistente, quindi scegliere Configurazione guest
    4. Regola dei criteri: eliminare il codice JSON preesistente e incollare il codice JSON PolicyDefinition dalla definizione dei criteri controllo comportamento SSH di controllo dell'anteprimao anteprima della definizione dei criteri di controllo della postura SSH e configurare la definizione dei criteri di controllo della postura SSH
  4. Fare clic su Salva

Acquisizione dello schermo che illustra i passaggi precedenti

D. Usare un oggetto PolicyAssignment per applicare PolicyDefinition al gruppo di risorse

Attenzione

Questo criterio modifica la configurazione sshd nei computer con ambito. Queste istruzioni includono l'assegnazione a un gruppo di risorse inizialmente vuoto, in cui successivamente si creerà un computer di test. Prestare molta attenzione se si sceglie di assegnare a qualsiasi ambito più ampio.

  1. Passare a Criteri | Pagina Definizioni in cui sono elencate tutte le definizioni dei criteri disponibili.
  2. Selezionare i criteri di controllo della postura SSH [Anteprima] PolicyDefinition creati in precedenza
  3. Fai clic su Assegna.
  4. In Ambito scegliere il gruppo di risorse in cui verrà creato successivamente un nuovo computer di test.
  5. Passare alla scheda Parametri .
    1. Scegliere "true" per Includi computer connessi ad Arc, a meno che non si vogliano escludere in modo specifico i computer connessi ad Arc.
    2. NOTA: per personalizzare le impostazioni SSH, ad esempio i gruppi consentiti, deselezionare la casella Mostra solo parametri per visualizzare tutti i parametri disponibili. Se si sceglie di specificare utenti o gruppi consentiti o negati, tenere presente che immettere una stringa delimitata da spazi, ad esempio userA userB.
  6. Passare alla scheda Correzione .
    1. NOTA: anche se questa demo è incentrata su un nuovo computer, in altri scenari in cui si vuole applicare PolicyAssignment ai computer esistenti è possibile selezionare la casella Crea un'attività di correzione.
    2. Scegliere Crea un'identità gestita con identità assegnata dal sistema e una posizione di identità preferita.
  7. Passare a Rivedi e crea
    1. Scegliere Crea per completare l'assegnazione policyAssignment.

Acquisizione dello schermo che mostra un esempio dei passaggi precedenti di PolicyAssignment

E. Creare un nuovo computer

Anche se i nuovi criteriAssignments possono essere applicati ai computer esistenti, il processo può richiedere fino a 24 ore. Per questa guida introduttiva ci concentreremo sulla valutazione di un nuovo computer. In questo esempio verrà creata una macchina virtuale di Azure, ma è possibile creare un computer con abilitazione di Arc, se si preferisce.

  1. Passare all'esperienza Macchine virtuali di Azure .
  2. Creare una nuova macchina virtuale, assicurandosi delle proprietà seguenti:
    1. La sottoscrizione e il gruppo di risorse devono corrispondere alla posizione in cui è stato ambito PolicyAssignment.
    2. L'immagine deve essere "Windows Server 2025".
    3. L'architettura della macchina virtuale deve essere x64.
    4. Altre proprietà, ad esempio nome macchina virtuale, dimensioni e così via, possono essere quelle preferite.
  3. Attendere il completamento della creazione della macchina virtuale e quindi fare clic su Vai alla risorsa per raggiungere la pagina di panoramica del computer
  4. Nel riquadro di spostamento a sinistra selezionare Identità e assicurarsi che il computer disponga di un'identità gestita dal sistema
  5. Nel riquadro di spostamento a sinistra selezionare Estensioni e applicazioni, quindi + Aggiungi
  6. Scegliere l'estensione Configurazione di Azure Machine per l'estensione Windows e selezionare Avanti
  7. Selezionare Rivedi e crea e quindi crea

Acquisizione dello schermo che mostra un esempio dei passaggi precedenti

F. Fare una pausa prima di procedere

Quando vengono coinvolti nuovi CriteriDefinitions, PolicyAssignments e computer, possono essere necessari alcuni minuti per raggiungere lo stato stabile. Considerare l'attesa di almeno 30 minuti prima di procedere al passaggio successivo.

G. Osservare i risultati di conformità

I passaggi seguenti consentono di visualizzare un rollup della conformità a altitudini diverse:

  • Conformità in base a PolicyAssignment
    • Numero di computer conformi e non conformi
    • Altitudine più alta, particolarmente utile per grandi flotta
  • Conformità in base al computer
    • Elenco di computer con sì/no per computer
  • Conformità impostando, per un computer specifico
    • Livello di dettaglio più approfondito, ad esempio lo screenshot nella parte superiore di questo articolo.

Suggerimento

È probabile che il nuovo computer venga valutato come non conforme quando rileva i criteri per la prima volta. Le impostazioni SSH predefinite nei criteri sono più rigide rispetto a quelle configurate per impostazione predefinita da molte immagini del sistema operativo. Dopo altri 20 minuti, si noterà che il computer diventa conforme grazie alla logica di correzione incorporata in SSH Posture Control.

  1. Passare a Criteri | Pagina Conformità .
  2. Selezionare [Anteprima] Criteri di controllo del comportamento SSH.
  3. Osservare che viene segnalato il numero di computer conformi/non conformi
  4. In Conformità risorse è possibile visualizzare lo stato per i singoli computer
  5. Per eseguire il drill-down dei dettagli delle impostazioni per un computer specifico:
    1. Fare clic su ... accanto a un computer e scegliere Visualizza risorsa per raggiungere la pagina Panoramica del computer
    2. Nel riquadro di spostamento a sinistra in Operazioni fare clic su Gestione della configurazione (non su Configurazione in Impostazioni)
    3. Fare clic su SecureShell
    4. La pagina risultante mostra ogni impostazione della configurazione con informazioni dettagliate sulla conformità e sulla modalità di determinazione della conformità.

Acquisizione dello schermo che mostra i passaggi precedenti

Introduzione all'esperienza locale (PowerShell)

Prerequisiti

  • È necessario eseguire una build di Windows Server 2025 firmata dall'ambiente di produzione nel dispositivo.
  • Il modulo POWERShell OSConfig deve essere installato nel dispositivo server. Per informazioni dettagliate, vedere Installare il modulo PowerShell OSConfig .
  • È necessario che il servizio sshd sia installato ed eseguito seguendo questa guida: https://aka.ms/windows-openssh-install.

Per applicare una linea di base, verificare che la linea di base venga applicata, rimuovere una linea di base o visualizzare informazioni dettagliate sulla conformità per OSConfig in PowerShell, usare i comandi nelle schede seguenti.

Configurare

Per applicare lo scenario SSH, eseguire il comando seguente:

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

Verificare

Per verificare che lo scenario SSH sia applicato correttamente, eseguire il comando seguente:

Get-OSConfigDesiredConfiguration -Scenario SSH

Controlla conformità

Per ottenere i dettagli di configurazione desiderati per lo scenario specificato, usare i comandi seguenti. L'output viene visualizzato in un formato di tabella che include il nome dell'elemento di configurazione, il relativo stato di conformità e il motivo della mancata conformità.

Per controllare i dettagli di conformità per SSH scenairo, eseguire il comando seguente:

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Configurazione personalizzata

Per personalizzare l'impostazione nello scenario SSH, è possibile configurare un'impostazione con il parametro '-Name' e '-Value':

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

Passaggio successivo

Contattare il team di Microsoft per inviare commenti e suggerimenti, richieste di funzionalità e così via.

Contattaci

  • Ultimo aggiornamento: