Co to jest kontrola stanu SSH (prywatna wersja zapoznawcza) — z usługą Azure Policy i konfiguracją maszyny?

! [WAŻNE] W tym artykule opisano wczesną wersję zapoznawcza kontroli stanu SSH. Aby uzyskać aktualną dokumentację, zobacz Co to jest kontrola stanu SSH? zamiast tego.

Kontrola stanu SSH umożliwia korzystanie ze znanych przepływów pracy usługi Azure Policy i konfiguracji maszyny w celu:

• Zapewnianie zgodności ze standardami w branży lub organizacji
• Zmniejszanie obszaru ataków funkcji zdalnego zarządzania
• Zapewnienie spójnej konfiguracji w całej flocie pod kątem bezpieczeństwa i produktywności

Kontrola stanu SSH zawiera również szczegółowe powody opisujące sposób określania zgodności lub niezgodności. Te powody ułatwiają podejmowanie działań lub pełne udokumentowanie zgodności.

Kontrola stanu SSH analizuje i wymusza około 20 parametrów serwera SSH (sshd). Domyślnie przeprowadza inspekcję i stosuje najlepsze rozwiązania zgodne z punktem odniesienia zabezpieczeń obliczeń platformy Azure dla systemu Linux. Możesz również dostosować niektóre parametry, aby odpowiadały twojemu środowisku. Można na przykład dostosować użytkowników i grupy, do których jest dozwolony dostęp za pomocą protokołu SSH.

Ograniczenia prywatnej wersji zapoznawczej

Ważne

Kontrola stanu SSH jest dostępna w prywatnej wersji zapoznawczej — ma na celu wyzwolenie okna dialogowego między Tobą a firmą Microsoft.

• Wersja zapoznawcza jest przeznaczona do użytku z izolowanymi maszynami deweloperskimi/testowymi , w przypadku których dowolny problem (w tym przypadkowe blokowanie się z dostępu SSH) nie miałoby ważnych konsekwencji.
• Wersja zapoznawcza obejmuje zaimportowanie definicji zasad, a nie wybranie jej z wbudowanej listy usługi Azure Policy.
• Obsługiwane dystrybucje systemu Linux są początkowo ograniczone do systemów Ubuntu Server (20.04, 22.04) i Debian (11, 12). Daj nam znać (informacje kontaktowe na końcu strony), które dystrybucje chcesz zobaczyć, aby wprowadzić podgląd w następnej kolejności.

Przykład z wprowadzeniem

Ten przykład koncentruje się na szybkim rozpoczęciu pracy. Upraszcza założenia i nie bada wszystkiego, co jest możliwe. Na przykład używa domyślnych ustawień protokołu SSH z elementu PolicyDefinition, a nie dostosowywania parametrów, takich jak dozwoloni użytkownicy i grupy. Bardziej kompleksowe informacje na temat kontroli stanu SSH, w tym ustawień i zachowań, są oczekiwane w najbliższej przyszłości.

Porada

W tym artykule użyto następującego modelu psychicznego i terminologii.

• PolicyDefinition : definicja i metadane kontroli stanu SSH, reprezentowane w usłudze Azure Policy.
• PolicyAssignment : łączy zasady kontroli stanu SSHDomyślne z zakresem, w którym należy zastosować te zasady, takie jak grupa zasobów.
• Maszyna : punkt końcowy, który może być zarządzany przez usługę Azure Policy i konfigurację maszyny (czyli konfigurację gościa). Innymi słowy, maszyna z obsługą usługi Arc lub maszyna wirtualna platformy Azure.

A. Wymagania wstępne

1. Konto platformy Azure z uprawnieniem do tworzenia grupy zasobów, maszyny wirtualnej (lub maszyny usługi Arc), definicji zasad i przypisania zasad.
2. Aby uzyskać dodatkowe wymagania wstępne, wybierz preferowane środowisko:

Portal

1. Za pomocą przeglądarki internetowej zaloguj się do witryny Azure Portal lub lokalnego odpowiednika.

Program PowerShell

1. Środowisko programu PowerShell z zainstalowanymi następującymi modułami:
   1. Az.ResourceGraph
   2. Az.Accounts
   3. Az.Resources
2. Użyj Get-AzContext poleceń cmdlet i/lub Set-AzContext , aby upewnić się, że docelowe jest żądane środowisko platformy Azure.

Porada

Usługa Azure Cloud Shell w trybie programu PowerShell to gotowe do użycia środowisko i jest łatwym sposobem rozpoczęcia pracy.

Interfejs wiersza polecenia platformy Azure

Obecnie jest niedostępna. Oczekiwanie na https://github.com/Azure/azure-cli/issues/28377. Skorzystaj z instrukcji dotyczących portalu lub programu PowerShell.

B. Tworzenie grupy zasobów

Portal

1. Utwórz grupę zasobów. W kolejnych krokach będzie to używane do określania zakresu zasad i do przechowywania nowej maszyny testowej.

Program PowerShell

$myResourceGroupName = "ssh_demo_resource_group" 
$myAzureLocation = "eastus" ## Modify as needed

$myResourceGroup = New-AzResourceGroup -Name $myResourceGroupName -Location $myAzureLocation

Interfejs wiersza polecenia platformy Azure

Obecnie jest niedostępna. Oczekiwanie na https://github.com/Azure/azure-cli/issues/28377. Skorzystaj z instrukcji dotyczących portalu lub programu PowerShell.

C. Tworzenie definicji zasad

Uwaga

Ten dodatkowy krok (tworzenie zamiast wybierania definicji zasad) jest wymagany w prywatnej wersji zapoznawczej.

Portal

1. Przejdź do strony Przegląd usługi Azure Policy . Na przykład można użyć identyfikatora URI: https://portal.azure.com/#view/Microsoft_Azure_Policy/PolicyMenuBlade/~/Overview.
2. Przejdź do widoku Definicje .
3. Kliknij przycisk + Definicja zasad , aby utworzyć nową definicję zasad, wprowadzając następujące dane jako dane wejściowe.
   1. Lokalizacja definicji: wybierz subskrypcję platformy Azure, w której będzie aktywna definicja zasad.
   2. Nazwa: [wersja zapoznawcza] Zasady kontroli stanu SSH
   3. Kategoria: Użyj istniejącej, a następnie wybierz pozycję Konfiguracja gościa
   4. Reguła zasad: usuń istniejący kod JSON i wklej kod JSON PolicyDefinition JSON z definicji zasad kontroli stanu SSH w wersji zapoznawczej
4. Kliknij pozycję Zapisz

Program PowerShell

$sshPolicyDefinitionJsonUri = "https://raw.githubusercontent.com/Azure/azure-osconfig/main/src/adapters/mc/sshpreview/OsConfigPolicy_DeployIfNotExists.json"
$sshPolicyDefinitionName = "[Preview] SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJsonUri

Interfejs wiersza polecenia platformy Azure

Obecnie jest niedostępna. Oczekiwanie na https://github.com/Azure/azure-cli/issues/28377. Skorzystaj z instrukcji dotyczących portalu lub programu PowerShell.

D. Użyj przypisania zasad, aby zastosować definicję zasad do grupy zasobów

Przestroga

Ta zasada modyfikuje konfigurację dysku SSHD na maszynach w zakresie. Te instrukcje umożliwiają przypisanie jej do początkowej pustej grupy zasobów, w której później utworzysz maszynę testową. Zadbaj o to, jeśli zdecydujesz się przypisać do dowolnego szerszego zakresu.

Portal

1. Przejdź do zasad | Strona Definicje zawierająca listę wszystkich dostępnych definicji zasad.
2. Wybierz zasady kontroli stanu SSH [wersja zapoznawcza] Zasady kontroli stanu protokołu SSHDefinition utworzone wcześniej
3. Kliknij przycisk Przypisz.
4. W obszarze Zakres wybierz grupę zasobów, w której później utworzysz nową maszynę testową.
5. Przejdź do karty Parametry .
   1. Wybierz wartość "true" dla opcji Uwzględnij maszyny połączone z usługą Arc, chyba że chcesz wykluczyć maszyny połączone z usługą Arc.
   2. UWAGA: Jeśli chcesz dostosować ustawienia SSH, takie jak dozwolone grupy, usuń zaznaczenie pola Pokaż tylko parametry... , aby wyświetlić wszystkie dostępne parametry. Jeśli zdecydujesz się określić dozwolonych lub odrzuconych użytkowników lub grup, pamiętaj, że wprowadzisz ciąg rozdzielany spacją, na przykład userA userB.
6. Przejdź do karty Korygowanie .
   1. UWAGA: Mimo że ten pokaz koncentruje się na nowej maszynie, w innych scenariuszach, w których chcesz, aby przypisanie zasad dotyczyło istniejących maszyn, można zaznaczyć pole wyboru Dla zadania korygowania.
   2. Wybierz pozycję Utwórz tożsamość zarządzaną z przypisanym systemem i wybraną lokalizacją tożsamości.
7. Przejdź do sekcji Przeglądanie i tworzenie
   1. Wybierz pozycję Utwórz , aby ukończyć przypisanie zasad.

Program PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -AssignIdentity -Location $myAzureLocation
## Complete RBAC assignment
New-AzRoleAssignment -ObjectId $sshPolicyAssignment.Identity.PrincipalId -RoleDefinitionId $sshPolicyDefinition.Properties.PolicyRule.then.details.roleDefinitionIds[0].split("/")[4] -Scope "/subscriptions/$((Get-AzContext).Subscription.Id)"

Interfejs wiersza polecenia platformy Azure

Obecnie jest niedostępna. Oczekiwanie https://github.com/Azure/azure-cli/issues/28377na . Użyj instrukcji portalu lub programu PowerShell.

E. Tworzenie nowej maszyny

Mimo że nowe przypisania zasad mogą być stosowane do istniejących maszyn, proces może potrwać do 24 godzin. W tym przewodniku Szybki start skoncentrujemy się na ocenie nowej maszyny. W tym przykładzie utworzymy maszynę wirtualną platformy Azure, ale jeśli wolisz, możesz utworzyć maszynę z obsługą usługi Arc.

Portal

1. Przejdź do środowiska usługi Azure Virtual Machines .
2. Utwórz nową maszynę wirtualną, zapewniając następujące właściwości:
   1. Subskrypcja i grupa zasobów powinny być zgodne z zakresem PolicyAssignment.
   2. Obraz powinien mieć wartość "Unbuntu Server 22.04...".
   3. Architektura maszyny wirtualnej powinna być x64.
   4. Inne właściwości, takie jak nazwa maszyny wirtualnej, rozmiar itp., mogą być dowolne.
3. Poczekaj na zakończenie tworzenia maszyny wirtualnej, a następnie kliknij pozycję Przejdź do zasobu , aby uzyskać dostęp do strony przeglądu maszyny
4. W obszarze nawigacji po lewej stronie wybierz pozycję Tożsamość i upewnij się, że maszyna ma tożsamość zarządzaną przez system
5. W obszarze nawigacji po lewej stronie wybierz pozycję Rozszerzenia i aplikacje, a następnie + Dodaj
6. Wybierz rozszerzenie Azure Automanage Machine Configuration i wybierz pozycję Dalej
7. Wybierz pozycję Przejrzyj i utwórz, a następnie utwórz

Program PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myNameForNewVM = "sshdemovm01"

## Creates a new VM which is prepped to work with MachineConfiguration
## by having a system assigned identity and the GuestConfiguration extension
New-AzVM -Name $myNameForNewVM -ResourceGroupName $myResourceGroupName -SystemAssignedIdentity -Image Ubuntu2204
Set-AzVMExtension -ResourceGroupName $myResourceGroupName -VMName $myNameForNewVM -ExtensionType "ConfigurationforLinux" -Publisher "Microsoft.GuestConfiguration" -Name "AzurePolicyForLinux" -TypeHandlerVersion 1.0

Interfejs wiersza polecenia platformy Azure

Obecnie jest niedostępna. Oczekiwanie https://github.com/Azure/azure-cli/issues/28377na . Użyj instrukcji portalu lub programu PowerShell.

F. Przed kontynuowaniem wykonaj przerwę

Gdy są zaangażowane nowe zasadyDefinitions, PolicyAssignments i maszyny, może upłynąć kilka minut, aż wszystko osiągnie stały stan. Rozważ poczekanie co najmniej 30 minut przed przejściem do następnego kroku.

G. Obserwowanie wyników zgodności

Poniższe kroki umożliwiają wyświetlanie zestawienia zgodności na różnych wysokościach:

• Zgodność według zasadPrzypisanie
  • Liczba maszyn zgodnych i niezgodnych
  • Najwyższa wysokość, szczególnie przydatna dla dużych flot
• Zgodność według maszyny
  • Lista maszyn z wartością tak/nie na maszynę
• Zgodność według ustawienia dla określonej maszyny
  • Najgłębszy poziom szczegółowości, taki jak zrzut ekranu w górnej części tego artykułu.

Porada

Nowa maszyna prawdopodobnie zostanie oceniona jako niezgodna, gdy po raz pierwszy napotka zasady. Domyślne ustawienia protokołu SSH w zasadach są bardziej rygorystyczne niż to, co domyślnie skonfigurowano wiele obrazów systemu operacyjnego. Po dodatkowych 20 minutach należy stwierdzić, że maszyna staje się zgodna dzięki wbudowanej logiki korygowania kontroli stanu SSH.

Portal

1. Przejdź do zasad | Strona zgodności .
2. Wybierz pozycję [Wersja zapoznawcza] Zasady kontroli stanu SSH.
3. Zwróć uwagę, że liczba zgodnych/niezgodnych maszyn jest zgłaszana
4. W obszarze Zgodność zasobów można zobaczyć stan poszczególnych maszyn
5. Aby przejść do szczegółów ustawień dla określonej maszyny:
   1. Kliknij przycisk ... obok maszyny, a następnie wybierz pozycję Wyświetl zasób , aby uzyskać dostęp do strony Przegląd maszyny
   2. W obszarze Operacje po lewej stronie kliknij pozycję Zarządzanie konfiguracją (a nie konfiguracja w obszarze Ustawienia)
   3. Kliknij kolejno pozycje LinuxSSHServerSecurityBaseline
   4. Na wyświetlonej stronie przedstawiono każde ustawienie w konfiguracji ze szczegółowymi informacjami o zgodności, a także o tym, jak została określona zgodność.

Program PowerShell

Aby obserwować stan na najwyższym wysokości (tylko liczba maszyn), można użyć następujących elementów:

$machineCountsQuery = @'
guestconfigurationresources
| where name startswith("LinuxSshServerSecurityBaseline")
| extend complianceStatus = tostring(properties.complianceStatus)
| summarize machineCount = count() by complianceStatus
'@

Search-AzGraph -Query $machineCountsQuery

<#
Sample output from an environment with two machines:

complianceStatus machineCount
---------------- ------------
Pending                     1
Compliant                   1
#>

Aby wyświetlić zgodność według maszyny, możesz użyć następujących elementów:

$machinePerRowQuery = @'
guestconfigurationresources
| where name startswith("LinuxSshServerSecurityBaseline")
| project 
    machine = split(properties.targetResourceId,'/')[-1],
    complianceStatus = properties.complianceStatus,
    lastComplianceStatusChecked = properties.lastComplianceStatusChecked
'@

Search-AzGraph -Query $machinePerRowQuery

<#
Sample output:

machine     complianceStatus lastComplianceStatusChecked
-------     ---------------- ---------------------------
sshdemovm01 Compliant        2/15/2024 11:07:21 PM
sshdemovm02 Pending          1/1/0001 12:00:00 AM
#>

Aby wyświetlić szczegóły ustawienia po ustawieniu, możesz użyć następujących elementów:

$settingPerRowQuery = @'
guestconfigurationresources
| where name startswith ('LinuxSshServerSecurityBaseline')
| extend machine = split(properties.targetResourceId,'/')[-1]
| mvexpand properties.latestAssignmentReport.resources
| mvexpand properties_latestAssignmentReport_resources.reasons
| project machine,
    complianceCheck = tostring(properties_latestAssignmentReport_resources.resourceId),
    complianceStatus = tostring(properties.complianceStatus),
    complianceReason = tostring(properties_latestAssignmentReport_resources_reasons.phrase)
'@

Search-AzGraph $settingPerRowQuery

<#
Sample output:

machine     complianceCheck                                                  complianceStatus     complianceReason
-------     ---------------                                                  ------               ------
sshdemovm01 Ensure permissions on /etc/ssh/sshd_config are configured        Compliant            Access to '/etc/ssh/sshd_config' matches required ...
sshdemovm01 Ensure SSH is configured to meet best practices (protocol 2)     Compliant            'Protocol 2' is found uncommented in /etc/ssh/sshd_config
sshdemovm01 Ensure SSH is configured to ignore rhosts                        Compliant            The sshd service reports that 'ignorerhosts' is set to 'yes'
sshdemovm01 Ensure SSH LogLevel is set to INFO                               Compliant            The sshd service reports that 'loglevel' is set to 'INFO'
sshdemovm01 Ensure SSH MaxAuthTries is configured                            Compliant            The sshd service reports that 'maxauthtries' is set to '6'
sshdemovm01 Ensure allowed users for SSH access are configured               Compliant            The sshd service reports that 'allowusers' is set to '*@*'
sshdemovm01 Ensure denied users for SSH are configured                       Compliant            The sshd service reports that 'denyusers' is set to 'root'
sshdemovm01 Ensure allowed groups for SSH are configured                     Compliant            The sshd service reports that 'allowgroups' is set to '*'
sshdemovm01 Ensure denied groups for SSH are configured                      Compliant            The sshd service reports that 'denygroups' is set to 'root'
sshdemovm01 Ensure SSH host-based authenticationis disabled                  Compliant            The sshd service reports that 'hostbasedauthentication' is ...
#>

Interfejs wiersza polecenia platformy Azure

Obecnie jest niedostępna. Oczekiwanie https://github.com/Azure/azure-cli/issues/28377na . Użyj instrukcji portalu lub programu PowerShell.

Następny krok

Skontaktuj się z zespołem w firmie Microsoft, aby przekazać opinię, żądania dotyczące funkcji itp.

ssh_posture_control_through_azure@service.microsoft.com