Wat is Windows SSH-houdingsbeheer (private preview) met Azure Policy en PowerShell?

Met SSH-houdingbeheer kunt u de vertrouwde werkstromen van Azure Policy en Machine Configuration gebruiken om:

• Naleving van standaarden in uw branche of organisatie garanderen
• Kwetsbaarheid voor aanvallen verminderen van functies voor extern beheer
• Zorg voor een consistente installatie in uw vloot voor beveiliging en productiviteit

SSH-houdingbeheer biedt ook gedetailleerde redenen waarin wordt beschreven hoe naleving of niet-naleving is bepaald. Deze redenen maken het gemakkelijker om actie te ondernemen of om volledig documentcompatibiliteit te garanderen.

SSH-houdingbeheer analyseert en dwingt ongeveer 20 SSH-serverparameters (sshd) af. U kunt ook bepaalde parameters aanpassen aan uw omgeving. U kunt bijvoorbeeld aanpassen welke gebruikers en groepen SSH-toegang hebben, evenals het poortnummer en meer.

U kunt SSH-houdingsbeheer implementeren in de controlemodus of in de controlemodus en configureren om uw vloot van apparaten te controleren, resultaten bij te houden en de vloot vervolgens automatisch te herstellen naar de juiste SSHD-standaarden.

Beperkingen voor beperkte preview

Belangrijk

SSH-houdingsbeheer is in een privévoorbeeld, bedoeld om het dialoogvenster tussen u en Microsoft te activeren.

• De preview is bedoeld voor gebruik met geïsoleerde ontwikkel-/testmachines waarbij elk probleem (inclusief onbedoeld vergrendelen van uzelf vanuit SSH-toegang) geen belangrijke gevolgen zou hebben.
• De preview omvat het importeren van de beleidsdefinitie in plaats van deze te kiezen in de ingebouwde Azure Policy-lijst.
• Hiervoor bieden we zowel de audit- als de audit- en configuratiewerkstroom.
• Ondersteunde Windows-SKU's zijn momenteel alleen Windows Server 2025

Aan de slag met Azure Policy

Dit voorbeeld is gericht op het snel aan de slag gaan in Azure Policy. Het vereenvoudigt veronderstellingen en verkent niet alles wat mogelijk is. Er worden bijvoorbeeld standaard-SSH-instellingen van policyDefinition gebruikt in plaats van parameters zoals toegestane gebruikers en groepen aan te passen. Meer uitgebreide informatie over SSH-houdingsbeheer, inclusief instellingen en gedrag, wordt in de nabije toekomst verwacht. Houd er rekening mee dat de PowerShell-sectie zich in de sectie bevindt aan het einde van het artikel.

Hint

In dit artikel worden het volgende mentale model en de volgende terminologie gebruikt.

• PolicyDefinition : definitie en metagegevens van SSH-houdingsbeheer, zoals weergegeven in de Azure Policy-service.
• PolicyAssignment : hiermee koppelt u policyDefinition voor SSH-houdingsbeheer aan een bereik waarop dat beleid moet worden toegepast, zoals een resourcegroep.
• Machine : een eindpunt dat kan worden beheerd door Azure Policy en Machine Configuration (ook wel gastconfiguratie genoemd). Met andere woorden, een machine met Arc of een Azure-VM.

Eén. Voorwaarden

1. Een Azure-account met machtigingen voor het maken van een resourcegroep, een VM (of Arc-machine), een beleidsdefinitie en een beleidstoewijzing.
2. Kies uw voorkeurservaring voor aanvullende vereisten:

Portaal

1. Meld u met behulp van een webbrowser aan bij Azure Portal of uw lokale equivalent.

PowerShell

1. Een PowerShell-omgeving waarop de volgende modules zijn geïnstalleerd:
   1. Az.ResourceGraph
   2. Az.Rekeningen
   3. Az.Resources
2. Gebruik Get-AzContext en/of Set-AzContext cmdlets om ervoor te zorgen dat de gewenste Azure-omgeving is gericht.

Hint

Azure Cloud Shell in de PowerShell-modus is een kant-en-klare omgeving en is een eenvoudige manier om aan de slag te gaan.

Azure CLI

Op dit moment niet beschikbaar. In behandeling https:// github.com/Azure/azure-cli/issues/28377. Gebruik de portal- of PowerShell-instructies.

B. Een brongroep maken

Portaal

1. Maak een resourcegroep. In de komende stappen wordt dit gebruikt om het beleid te bepalen en om een nieuwe testmachine te bevatten.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group" 
$myAzureLocation = "eastus" ## Modify as needed

$myResourceGroup = New-AzResourceGroup -Name $myResourceGroupName -Location $myAzureLocation

Azure CLI

Op dit moment niet beschikbaar. In behandeling https://github.com/Azure/azure-cli/issues/28377. Gebruik de portal- of PowerShell-instructies.

C. De PolicyDefinition maken

Opmerking

Deze extra stap (maken in plaats van alleen de PolicyDefinition te kiezen) is vereist tijdens de persoonlijke preview.

Portaal

1. Navigeer naar de overzichtspagina van Azure Policy . U kunt bijvoorbeeld de URI gebruiken: https://portal.azure.com/#view/Microsoft_Azure_Policy/PolicyMenuBlade/~/Overview.
2. Navigeer naar de weergave Definities .
3. Klik op de knop + Beleidsdefinitie om een nieuwe PolicyDefinition te maken en voer het volgende in als invoer.
   1. Definitielocatie: Kies uw Azure-abonnement waarin PolicyDefinition zich bevindt.
   2. Naam: [Preview] Beleid voor SSH-houdingsbeheer controleren of [preview] SSH-postuurbeheerbeleid configureren
   3. Categorie: Bestaande gebruiken en vervolgens Gastconfiguratie kiezen
   4. Beleidsregel: verwijder de bestaande JSON en plak de PolicyDefinition-JSON uit de preview-definitie van het SSH-houdingsbeheerbeleidofvoorbeeld van een controle- en configuratiebeleidsdefinitie voor SSH-postuurbeheer
4. Klik op Opslaan.

PowerShell

alleen-controlebeleid:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SecureShell_Preview_AuditIfNotExists.json"
$localFilePath = "AuditSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

beleid controleren en configureren:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SetSecureShell_Preview_DeployIfNotExists.json"
$localFilePath = "ConfigureSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

Azure CLI

Op dit moment niet beschikbaar. In behandeling https://github.com/Azure/azure-cli/issues/28377. Gebruik de portal- of PowerShell-instructies.

D. Een PolicyAssignment gebruiken om de PolicyDefinition toe te passen op uw resourcegroep

Waarschuwing

Dit beleid wijzigt de SSHD-configuratie op binnenbereikcomputers. Met deze instructies kunt u deze toewijzen aan een in eerste instantie lege resourcegroep, waar u later een testmachine gaat maken. Wees voorzichtig als u ervoor kiest om toe te wijzen aan een breder bereik.

Portaal

1. Ga naar het beleid | Pagina Definities met alle beschikbare beleidsdefinities.
2. Selecteer het beleid voor SSH-postuurbeheer dat u eerder hebt gemaakt
3. Klik op Toewijzen.
4. Kies voor Bereik de resourcegroep waar u later een nieuwe testmachine gaat maken.
5. Ga door naar het tabblad Parameters .
   1. Kies 'true' voor Met Arc verbonden machines opnemen, tenzij u specifiek Arc-verbonden machines wilt uitsluiten.
   2. OPMERKING: Als u SSH-instellingen wilt aanpassen, zoals toegestane groepen, schakelt u het vakje Alleen parameters weergeven uit om alle beschikbare parameters weer te geven. Als u ervoor kiest om toegestane of geweigerde gebruikers of groepen op te geven, moet u er rekening userA userBmee houden dat u bijvoorbeeld een tekenreeks met spatiescheiding invoert.
6. Ga door naar het tabblad Herstel .
   1. OPMERKING: Hoewel deze demo is gericht op een nieuwe computer, kunt u in andere scenario's waarin u het beleid toewijzen wilt toepassen op bestaande computers, het selectievakje voor een hersteltaak inschakelen.
   2. Kies Create a Managed Identity with System assigned and an identity location of your choice.
7. Ga door naar Beoordelen en maken
   1. Kies Maken om de PolicyAssignment te voltooien.

PowerShell

alleen-controlebeleid:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Audit SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

beleid controleren en configureren:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Configure SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

Azure CLI

Op dit moment niet beschikbaar. In behandeling https://github.com/Azure/azure-cli/issues/28377. Gebruik de portal- of PowerShell-instructies.

E. Een nieuwe machine maken

Hoewel nieuwe PolicyAssignments op bestaande machines kunnen worden toegepast, kan het proces tot 24 uur duren. Voor deze quickstart richten we ons op het evalueren van een nieuwe machine. In dit voorbeeld maken we een Virtuele Azure-machine, maar u kunt desgewenst een machine met Arc maken.

Portaal

1. Navigeer naar de azure Virtual Machines-ervaring .
2. Maak een nieuwe VIRTUELE machine en zorg ervoor dat de volgende eigenschappen worden gebruikt:
   1. Het abonnement en de resourcegroep moeten overeenkomen met het bereik van PolicyAssignment.
   2. De installatiekopieën moeten 'Windows Server 2025' zijn.
   3. VM-architectuur moet x64 zijn.
   4. Andere eigenschappen, zoals vm-naam, grootte, enzovoort, kunnen zijn wat u wilt.
3. Wacht tot het maken van de VIRTUELE machine is voltooid en klik vervolgens op Ga naar de resource om de overzichtspagina van de machine te bereiken
4. Selecteer identiteit in de linkernavigatiebalk en zorg ervoor dat de machine een door het systeem beheerde identiteit heeft
5. Selecteer extensies en toepassingen in de linkernavigatiebalk en vervolgens + Toevoegen
6. Kies de Azure Machine Configuration-extensie voor Windows-extensie en selecteer Volgende
7. Selecteer Beoordelen + maken en vervolgens maken

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myNameForNewVM = "sshdemovm01"

## Creates a new VM which is prepped to work with MachineConfiguration
## by having a system assigned identity and the GuestConfiguration extension
New-AzVM -Name $myNameForNewVM -ResourceGroupName $myResourceGroupName -SystemAssignedIdentity -Image "MicrosoftWindowsServer:WindowsServer:2025-datacenter:latest"
Set-AzVMExtension -ResourceGroupName $myResourceGroupName -VMName $myNameForNewVM -ExtensionType "ConfigurationforWindows" -Publisher "Microsoft.GuestConfiguration" -Name "AzurePolicyforWindows" -TypeHandlerVersion 1.0

Azure CLI

Op dit moment niet beschikbaar. In behandeling https://github.com/Azure/azure-cli/issues/28377. Gebruik de portal- of PowerShell-instructies.

F. Neem een pauze voordat u doorgaat

Wanneer er nieuwe PolicyDefinitions, PolicyAssignments en machines betrokken zijn, kan het enkele minuten duren voordat alles een stabiele status heeft bereikt. Overweeg minstens 30 minuten te wachten voordat u verdergaat met de volgende stap.

G. Nalevingsresultaten bekijken

Met de volgende stappen kunt u een nalevingspakket op verschillende hoogten bekijken:

• Naleving per PolicyAssignment
  • Aantal computers dat compatibel en niet-compatibel is
  • Hoogste hoogte, vooral nuttig voor grote vloten
• Naleving per computer
  • Lijst met machines met ja/nee per machine
• Naleving door instelling, voor een specifieke computer
  • Het diepgaande detailniveau, zoals de schermopname bovenaan dit artikel.

Hint

Uw nieuwe machine wordt waarschijnlijk beoordeeld als niet-compatibel wanneer het beleid voor de eerste keer tegenkomt. De standaard-SSH-instellingen in het beleid zijn strenger dan wat veel installatiekopieën van het besturingssysteem standaard hebben geconfigureerd. Na nog eens 20 minuten moet u merken dat uw computer compatibel wordt dankzij de ingebouwde herstellogica voor SSH-houdingsbeheer.

Portaal

1. Ga naar het beleid | Pagina Naleving .
2. Selecteer [Preview] Beleid voor SSH-houdingsbeheer.
3. Houd er rekening mee dat het aantal compatibele/niet-compatibele machines wordt gerapporteerd
4. Onder Resourcecompatibiliteit ziet u de status voor afzonderlijke machines
5. Inzoomen op de details van de instelling per instelling voor een specifieke computer:
   1. Klik op ... naast een machine en kies Resource weergeven om de overzichtspagina van de machine te bereiken
   2. Klik in de linkernavigatiebalk onder Bewerkingen op Configuratiebeheer (niet op Configuratie onder Instellingen)
   3. Klik op SecureShell
   4. Op de resulterende pagina ziet u elke instelling in de configuratie met details over naleving en hoe naleving is bepaald.

PowerShell

Als u de status op de hoogste hoogte wilt bekijken (alleen aantal machines), kunt u het volgende gebruiken:

$machineCountsQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend complianceStatus = tostring(properties.complianceStatus)
| summarize machineCount = count() by complianceStatus
'@

Search-AzGraph -Query $machineCountsQuery

<#
Sample output from an environment with two machines:

complianceStatus machineCount
---------------- ------------
Pending                     1
Compliant                   1
#>

Als u een naleving per computer wilt zien, kunt u het volgende gebruiken:

$machinePerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| project 
    machine = split(properties.targetResourceId,'/')[-1],
    complianceStatus = properties.complianceStatus,
    lastComplianceStatusChecked = properties.lastComplianceStatusChecked
'@

Search-AzGraph -Query $machinePerRowQuery

<#
Sample output:

machine     complianceStatus lastComplianceStatusChecked
-------     ---------------- ---------------------------
sshdemovm01 Compliant        2/15/2024 11:07:21 PM
sshdemovm02 Pending          1/1/0001 12:00:00 AM
#>

Als u de details van de instelling per instelling wilt bekijken, kunt u het volgende gebruiken:

$settingPerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend machine = split(properties.targetResourceId,'/')[-1]
| mvexpand properties.latestAssignmentReport.resources
| mvexpand properties_latestAssignmentReport_resources.reasons
| project machine,
    complianceCheck = tostring(properties_latestAssignmentReport_resources.resourceId),
    complianceStatus = tostring(properties.complianceStatus),
    complianceReason = tostring(properties_latestAssignmentReport_resources_reasons.phrase)
'@

Search-AzGraph $settingPerRowQuery

<#
   Sample output:
   
   machine     complianceCheck                                                  complianceStatus     complianceReason
   -------     ---------------                                                  ------               ------
   sshdemovm01 Ensure that the allowed groups for SSH are configured            Compliant            ["administrators","openssh users"] contains the expected values: ["administrators","openssh users"]
   sshdemovm01 Ensure that appropriate ciphers are used for SSH                 Compliant            ["aes128-ctr","aes192-ctr","aes256-ctr"] contains the expected values: ["aes128-ctr","aes192-ctr","aes256-ctr"]
   sshdemovm01 Ensure that the authorized key file for SSH is configured        Compliant            "%programdata%/ssh/administrators_authorized_keys" is equal to "%programdata%/ssh/administrators_authorized_keys"
   sshdemovm01 Ensure that the SSH ClientAliveInterval is configured            Compliant            3600 is equal to 3600
   sshdemovm01 Ensure that the SSH PermitEmptyPasswords is configured           Compliant            false is equal to false
   sshdemovm01 Ensure that the SSH port is configured                           Compliant            22 is equal to 22
   sshdemovm01 Ensure that the SSH MaxAuthTries is configured                   Compliant            6 is equal to 6
   sshdemovm01 Ensure that only approved MAC algorithms are used                Compliant            ["hmac-sha2-256"] contains the expected values: ["hmac-sha2-256"]
   sshdemovm01 Ensure that the SSH HostKey is configured                        Compliant            "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key" is equal to "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key"
   sshdemovm01 Ensure that the SSH LoginGraceTime is configured                 Compliant            60 is equal to 60
   #>

Azure CLI

Op dit moment niet beschikbaar. In behandeling https://github.com/Azure/azure-cli/issues/28377. Gebruik de portal- of PowerShell-instructies.

Aan de slag met de lokale ervaring (PowerShell)

Vereiste voorwaarden

• U moet een door de productie ondertekende Windows Server 2025-build uitvoeren op uw apparaat.
• De OsConfig PowerShell-module moet op uw serverapparaat zijn geïnstalleerd. Zie De OSConfig PowerShell-module installeren voor meer informatie.
• U moet de SSHD-service hebben geïnstalleerd en uitgevoerd volgens deze handleiding: https://aka.ms/windows-openssh-install.

Als u een basislijn wilt toepassen, controleert u of de basislijn is toegepast, verwijdert u een basislijn of bekijkt u gedetailleerde nalevingsinformatie voor OSConfig in PowerShell. Gebruik de opdrachten op de volgende tabbladen.

Configureren

Voer de volgende opdracht uit om het SSH-scenario toe te passen:

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

Verifiëren

Voer de volgende opdracht uit om te controleren of het SSH-scenario juist is toegepast:

Get-OSConfigDesiredConfiguration -Scenario SSH

Controleren op naleving

Gebruik de volgende opdrachten om de gewenste configuratiedetails voor het opgegeven scenario te verkrijgen. De uitvoer wordt weergegeven in een tabelindeling met de naam van het configuratie-item, de nalevingsstatus en de reden voor niet-naleving.

Voer de volgende opdracht uit om de nalevingsdetails voor SSH scenairo te controleren:

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Aangepaste configuratie

Als u de instelling in het SSH-scenario wilt aanpassen, kunt u een instelling configureren met de parameter '-Name' en '-Value':

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

---

Volgende stap

Neem contact op met het team van Microsoft om feedback, functieaanvragen, enzovoort te geven.

Neem contact met ons op