Co to jest kontrola stanu SSH systemu Windows (prywatna wersja zapoznawcza) przy użyciu usługi Azure Policy i programu PowerShell?

Kontrola stanu protokołu SSH umożliwia korzystanie ze znanych przepływów pracy usługi Azure Policy i konfiguracji maszyny w celu:

• Zapewnianie zgodności ze standardami w branży lub organizacji
• Zmniejszanie obszaru ataków funkcji zdalnego zarządzania
• Zapewnianie spójnej konfiguracji całej floty pod kątem bezpieczeństwa i produktywności

Kontrola stanu protokołu SSH zawiera również szczegółowe powody opisujące sposób określania zgodności lub niezgodności. Te powody ułatwiają podejmowanie działań lub pełne udokumentowanie zgodności.

Kontrola stanu SSH analizuje i wymusza około 20 parametrów serwera SSH (sshd). Możesz również dostosować niektóre parametry, aby odpowiadały twojemu środowisku. Możesz na przykład dostosować użytkowników i grupy, do których można uzyskać dostęp za pomocą protokołu SSH, a także numer portu i nie tylko.

Kontrolę stanu SSH można wdrożyć w trybie inspekcji lub inspekcji i konfigurowania w celu inspekcji floty urządzeń, śledzić wyniki, a następnie automatycznie korygować flotę zgodnie ze standardami SSHD.

Ograniczenia prywatnej wersji zapoznawczej

Ważne

Kontrola stanu SSH jest dostępna w prywatnej wersji zapoznawczej — ma na celu wyzwolenie okna dialogowego między Tobą a firmą Microsoft.

• Wersja zapoznawcza jest przeznaczona do użytku z izolowanymi maszynami deweloperskimi/testowymi , w których żaden problem (w tym przypadkowo zablokowanie dostępu za pomocą protokołu SSH) nie miałby ważnych konsekwencji.
• Wersja zapoznawcza obejmuje zaimportowanie definicji zasad, a nie wybranie jej z wbudowanej listy usługi Azure Policy.
• W tym celu udostępnimy zarówno przepływ pracy inspekcji, jak i inspekcji i konfiguracji.
• Obsługiwane jednostki SKU systemu Windows są obecnie tylko windows Server 2025

Wprowadzenie do usługi Azure Policy

Ten przykład koncentruje się na szybkim rozpoczęciu pracy w usłudze Azure Policy. Upraszcza ona założenia i nie bada wszystkiego, co jest możliwe. Na przykład używa domyślnych ustawień protokołu SSH z definicji zasad, a nie dostosowywania parametrów, takich jak dozwolonych użytkowników i grup. Bardziej kompleksowe informacje na temat kontroli stanu SSH, w tym ustawień i zachowań, są oczekiwane w najbliższej przyszłości. Pamiętaj, że sekcja programu PowerShell znajduje się w sekcji na końcu artykułu.

Wskazówka

W tym artykule użyto następującego modelu psychicznego i terminologii.

• PolicyDefinition : definicja i metadane kontroli stanu SSH, jak pokazano w usłudze Azure Policy.
• PolicyAssignment : łączy zasady kontroli stanu SSHDostosowanie do zakresu, w którym należy zastosować te zasady, takie jak grupa zasobów.
• Maszyna : punkt końcowy, który może być zarządzany przez usługę Azure Policy i konfigurację maszyny (czyli konfigurację gościa). Innymi słowy, maszyna z obsługą usługi Arc lub maszyna wirtualna platformy Azure.

Odp. Wymagania wstępne

1. Konto platformy Azure z uprawnieniem do tworzenia grupy zasobów, maszyny wirtualnej (lub maszyny usługi Arc), definicji zasad i przypisania zasad.
2. Aby uzyskać dodatkowe wymagania wstępne, wybierz preferowane środowisko:

Portal

1. Za pomocą przeglądarki internetowej zaloguj się do witryny Azure Portal lub swojego lokalnego odpowiednika.

PowerShell

1. Środowisko programu PowerShell z zainstalowanymi następującymi modułami:
   1. Az.ResourceGraph
   2. Az.Accounts
   3. Az.Zasoby
2. Użyj Get-AzContext poleceń cmdlet i/lub Set-AzContext , aby upewnić się, że docelowe jest odpowiednie środowisko platformy Azure.

Wskazówka

Usługa Azure Cloud Shell w trybie programu PowerShell to gotowe do użycia środowisko i jest łatwym sposobem rozpoczęcia pracy.

Interfejs wiersza polecenia platformy Azure

Obecnie nie jest dostępny. Oczekujące https:// github.com/Azure/azure-cli/issues/28377. Postępuj zgodnie z instrukcjami dotyczącymi portalu lub programu PowerShell.

B. Tworzenie grupy zasobów

Portal

1. Utwórz grupę zasobów. W kolejnych krokach będzie to używane do określania zakresu zasad i zawierania nowej maszyny testowej.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group" 
$myAzureLocation = "eastus" ## Modify as needed

$myResourceGroup = New-AzResourceGroup -Name $myResourceGroupName -Location $myAzureLocation

Interfejs wiersza polecenia platformy Azure

Obecnie nie jest dostępny. Oczekujące https://github.com/Azure/azure-cli/issues/28377. Postępuj zgodnie z instrukcjami dotyczącymi portalu lub programu PowerShell.

C. Tworzenie definicji zasad

Uwaga

Ten dodatkowy krok (tworzenie zamiast wybierania definicji zasad) jest wymagany w prywatnej wersji zapoznawczej.

Portal

1. Przejdź do strony Przegląd usługi Azure Policy . Można na przykład użyć identyfikatora URI: https://portal.azure.com/#view/Microsoft_Azure_Policy/PolicyMenuBlade/~/Overview.
2. Przejdź do widoku Definicje .
3. Kliknij przycisk + Definicja zasad , aby utworzyć nową definicję zasad, wprowadzając następujące dane wejściowe.
   1. Lokalizacja definicji: wybierz subskrypcję platformy Azure, w której będzie aktywna definicja zasad.
   2. Nazwa: [Wersja zapoznawcza] Przeprowadź inspekcję zasad kontroli stanu SSH lub [wersja zapoznawcza] Konfigurowanie zasad kontroli stanu protokołu SSH
   3. Kategoria: Użyj istniejącej, a następnie wybierz pozycję Konfiguracja gościa
   4. Reguła zasad: Usuń wstępnie istniejący kod JSON i wklej definicję zasad PolicyDefinition JSON z poziomu wersji zapoznawczej z definicji zasad kontroli stanu SSHlubInspekcja stanu SSH i skonfiguruj definicję zasad kontroli stanu SSH
4. Kliknij Zapisz

PowerShell

zasady tylko inspekcji:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SecureShell_Preview_AuditIfNotExists.json"
$localFilePath = "AuditSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

zasady inspekcji i konfigurowania:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SetSecureShell_Preview_DeployIfNotExists.json"
$localFilePath = "ConfigureSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

Interfejs wiersza polecenia platformy Azure

Obecnie nie jest dostępny. Oczekujące https://github.com/Azure/azure-cli/issues/28377. Postępuj zgodnie z instrukcjami dotyczącymi portalu lub programu PowerShell.

D. Użyj przypisania zasad, aby zastosować definicję zasad do grupy zasobów

Ostrożność

Te zasady modyfikują konfigurację dysku SSHD na maszynach w zakresie. Te instrukcje umożliwiają przypisanie jej do początkowej pustej grupy zasobów, w której później utworzysz maszynę testową. Zadbaj o to, aby wybrać przypisanie do dowolnego szerszego zakresu.

Portal

1. Przejdź do zasad | Strona Definicji zawierająca listę wszystkich dostępnych definicji zasad.
2. Wybierz zasady kontroli stanu SSH [wersja zapoznawcza] Zasady kontroli stanu protokołu SSHDefinition utworzone wcześniej
3. Kliknij opcję Przypisz.
4. W obszarze Zakres wybierz grupę zasobów, w której później utworzysz nową maszynę testową.
5. Przejdź do karty Parametry .
   1. Wybierz wartość "true" dla opcji Uwzględnij maszyny połączone z usługą Arc, chyba że chcesz wykluczyć maszyny połączone z usługą Arc.
   2. UWAGA: Jeśli chcesz dostosować ustawienia SSH, takie jak dozwolone grupy, usuń zaznaczenie pola Pokaż tylko parametry... , aby wyświetlić wszystkie dostępne parametry. Jeśli zdecydujesz się określić dozwolonych lub odrzuconych użytkowników lub grup, pamiętaj, że wprowadzisz ciąg rozdzielany spacją, na przykład userA userB.
6. Przejdź do karty Korygowanie .
   1. UWAGA: Mimo że ta demonstracja koncentruje się na nowej maszynie, w innych scenariuszach, w których chcesz, aby przypisanie zasad dotyczyło istniejących maszyn, można zaznaczyć pole wyboru dla zadania korygowania.
   2. Wybierz pozycję Utwórz tożsamość zarządzaną z przypisanym systemem i wybraną lokalizacją tożsamości.
7. Przejdź do przeglądanie i tworzenie
   1. Wybierz pozycję Utwórz , aby ukończyć przypisanie zasad.

PowerShell

zasady tylko inspekcji:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Audit SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

zasady inspekcji i konfigurowania:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Configure SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

Interfejs wiersza polecenia platformy Azure

Obecnie nie jest dostępny. Oczekujące https://github.com/Azure/azure-cli/issues/28377. Postępuj zgodnie z instrukcjami dotyczącymi portalu lub programu PowerShell.

E. Tworzenie nowej maszyny

Mimo że nowe przypisania zasad mogą być stosowane do istniejących maszyn, proces może potrwać do 24 godzin. W tym przewodniku Szybki start skupimy się na ocenie nowej maszyny. W tym przykładzie utworzymy maszynę wirtualną platformy Azure, ale jeśli wolisz, możesz utworzyć maszynę z obsługą usługi Arc.

Portal

1. Przejdź do środowiska usługi Azure Virtual Machines .
2. Utwórz nową maszynę wirtualną, zapewniając następujące właściwości:
   1. Subskrypcja i grupa zasobów powinny być zgodne z zakresem policyAssignment.
   2. Obraz powinien mieć wartość "Windows Server 2025".
   3. Architektura maszyny wirtualnej powinna być x64.
   4. Inne właściwości, takie jak nazwa maszyny wirtualnej, rozmiar itp., mogą być dowolne.
3. Poczekaj na zakończenie tworzenia maszyny wirtualnej, a następnie kliknij pozycję Przejdź do zasobu , aby uzyskać dostęp do strony przeglądu maszyny
4. W obszarze nawigacji po lewej stronie wybierz pozycję Tożsamość i upewnij się, że maszyna ma tożsamość zarządzaną przez system
5. W obszarze nawigacji po lewej stronie wybierz pozycję Rozszerzenia i aplikacje, a następnie pozycję + Dodaj
6. Wybierz rozszerzenie Azure Machine Configuration dla rozszerzenia systemu Windows, a następnie wybierz pozycję Dalej
7. Wybierz pozycję Przejrzyj i utwórz, a następnie utwórz

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myNameForNewVM = "sshdemovm01"

## Creates a new VM which is prepped to work with MachineConfiguration
## by having a system assigned identity and the GuestConfiguration extension
New-AzVM -Name $myNameForNewVM -ResourceGroupName $myResourceGroupName -SystemAssignedIdentity -Image "MicrosoftWindowsServer:WindowsServer:2025-datacenter:latest"
Set-AzVMExtension -ResourceGroupName $myResourceGroupName -VMName $myNameForNewVM -ExtensionType "ConfigurationforWindows" -Publisher "Microsoft.GuestConfiguration" -Name "AzurePolicyforWindows" -TypeHandlerVersion 1.0

Interfejs wiersza polecenia platformy Azure

Obecnie nie jest dostępny. Oczekujące https://github.com/Azure/azure-cli/issues/28377. Postępuj zgodnie z instrukcjami dotyczącymi portalu lub programu PowerShell.

F. Przed kontynuowaniem wykonaj przerwę

Gdy są zaangażowane nowe zasadyDefinitions, PolicyAssignments i maszyny, może upłynąć kilka minut, aż wszystko osiągnie stały stan. Rozważ oczekiwanie co najmniej 30 minut przed przejściem do następnego kroku.

G. Obserwowanie wyników zgodności

Poniższe kroki umożliwiają wyświetlanie zestawienia zgodności na różnych wysokościach:

• Zgodność według zasadPrzypisania
  • Liczba maszyn zgodnych i niezgodnych
  • Najwyższa wysokość, szczególnie przydatna w przypadku dużych flot
• Zgodność według maszyny
  • Lista maszyn z wartością tak/nie na maszynę
• Zgodność przez ustawienie dla określonej maszyny
  • Najgłębszy poziom szczegółowości, taki jak zrzut ekranu w górnej części tego artykułu.

Wskazówka

Nowa maszyna będzie prawdopodobnie oceniana jako niezgodna, gdy po raz pierwszy napotka zasady. Domyślne ustawienia protokołu SSH w zasadach są bardziej rygorystyczne niż to, co wiele obrazów systemu operacyjnego skonfigurowano domyślnie. Po dodatkowych 20 minutach należy stwierdzić, że maszyna stanie się zgodna dzięki wbudowanej logice korygowania kontroli stanu protokołu SSH.

Portal

1. Przejdź do zasad | Strona zgodność .
2. Wybierz pozycję [Wersja zapoznawcza] Zasady kontroli stanu SSH.
3. Zwróć uwagę, że zgłoszono liczbę zgodnych/niezgodnych maszyn
4. W obszarze Zgodność zasobów można zobaczyć stan poszczególnych maszyn
5. Aby przejść do szczegółów ustawień poszczególnych maszyn:
   1. Kliknij przycisk ... obok maszyny, a następnie wybierz pozycję Wyświetl zasób , aby uzyskać dostęp do strony Przegląd maszyny
   2. W obszarze Nawigacja po lewej stronie w obszarze Operacje kliknij pozycję Zarządzanie konfiguracją (a nie konfiguracja w obszarze Ustawienia)
   3. Kliknij pozycję SecureShell
   4. Na wyświetlonej stronie przedstawiono każde ustawienie w konfiguracji ze szczegółowymi informacjami na temat zgodności, a także sposobem określania zgodności.

PowerShell

Aby obserwować stan na najwyższych wysokościach (tylko liczba maszyn), możesz użyć następujących funkcji:

$machineCountsQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend complianceStatus = tostring(properties.complianceStatus)
| summarize machineCount = count() by complianceStatus
'@

Search-AzGraph -Query $machineCountsQuery

<#
Sample output from an environment with two machines:

complianceStatus machineCount
---------------- ------------
Pending                     1
Compliant                   1
#>

Aby wyświetlić zgodność według maszyny, możesz użyć następujących elementów:

$machinePerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| project 
    machine = split(properties.targetResourceId,'/')[-1],
    complianceStatus = properties.complianceStatus,
    lastComplianceStatusChecked = properties.lastComplianceStatusChecked
'@

Search-AzGraph -Query $machinePerRowQuery

<#
Sample output:

machine     complianceStatus lastComplianceStatusChecked
-------     ---------------- ---------------------------
sshdemovm01 Compliant        2/15/2024 11:07:21 PM
sshdemovm02 Pending          1/1/0001 12:00:00 AM
#>

Aby wyświetlić szczegóły ustawienia po ustawieniu, możesz użyć następujących elementów:

$settingPerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend machine = split(properties.targetResourceId,'/')[-1]
| mvexpand properties.latestAssignmentReport.resources
| mvexpand properties_latestAssignmentReport_resources.reasons
| project machine,
    complianceCheck = tostring(properties_latestAssignmentReport_resources.resourceId),
    complianceStatus = tostring(properties.complianceStatus),
    complianceReason = tostring(properties_latestAssignmentReport_resources_reasons.phrase)
'@

Search-AzGraph $settingPerRowQuery

<#
   Sample output:
   
   machine     complianceCheck                                                  complianceStatus     complianceReason
   -------     ---------------                                                  ------               ------
   sshdemovm01 Ensure that the allowed groups for SSH are configured            Compliant            ["administrators","openssh users"] contains the expected values: ["administrators","openssh users"]
   sshdemovm01 Ensure that appropriate ciphers are used for SSH                 Compliant            ["aes128-ctr","aes192-ctr","aes256-ctr"] contains the expected values: ["aes128-ctr","aes192-ctr","aes256-ctr"]
   sshdemovm01 Ensure that the authorized key file for SSH is configured        Compliant            "%programdata%/ssh/administrators_authorized_keys" is equal to "%programdata%/ssh/administrators_authorized_keys"
   sshdemovm01 Ensure that the SSH ClientAliveInterval is configured            Compliant            3600 is equal to 3600
   sshdemovm01 Ensure that the SSH PermitEmptyPasswords is configured           Compliant            false is equal to false
   sshdemovm01 Ensure that the SSH port is configured                           Compliant            22 is equal to 22
   sshdemovm01 Ensure that the SSH MaxAuthTries is configured                   Compliant            6 is equal to 6
   sshdemovm01 Ensure that only approved MAC algorithms are used                Compliant            ["hmac-sha2-256"] contains the expected values: ["hmac-sha2-256"]
   sshdemovm01 Ensure that the SSH HostKey is configured                        Compliant            "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key" is equal to "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key"
   sshdemovm01 Ensure that the SSH LoginGraceTime is configured                 Compliant            60 is equal to 60
   #>

Interfejs wiersza polecenia platformy Azure

Obecnie nie jest dostępny. Oczekujące https://github.com/Azure/azure-cli/issues/28377. Postępuj zgodnie z instrukcjami dotyczącymi portalu lub programu PowerShell.

Wprowadzenie do środowiska lokalnego (PowerShell)

Wymagania wstępne

• Na urządzeniu musi być uruchomiony system Windows Server 2025 z podpisem produkcyjnym.
• Moduł OSConfig programu PowerShell musi być zainstalowany na urządzeniu serwera. Aby uzyskać szczegółowe informacje , zobacz Instalowanie modułu programu PowerShell OSConfig .
• Musisz mieć zainstalowaną usługę sshd i uruchomić następujący przewodnik: https://aka.ms/windows-openssh-install.

Aby zastosować punkt odniesienia, sprawdzić, czy punkt odniesienia jest stosowany, usunąć punkt odniesienia lub wyświetlić szczegółowe informacje o zgodności dla OSConfig w środowisku PowerShell, użyj poleceń na poniższych kartach.

Konfiguruj

Aby zastosować scenariusz SSH, uruchom następujące polecenie:

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

Weryfikacja

Aby sprawdzić, czy scenariusz SSH jest prawidłowo stosowany, uruchom następujące polecenie:

Get-OSConfigDesiredConfiguration -Scenario SSH

Sprawdź zgodność

Aby uzyskać żądane szczegóły konfiguracji dla określonego scenariusza, użyj następujących poleceń. Dane wyjściowe są wyświetlane w formacie tabeli, który zawiera nazwę elementu konfiguracji, jego stan zgodności i przyczynę niezgodności.

Aby sprawdzić szczegóły zgodności dla scenairo SSH, uruchom następujące polecenie:

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Konfiguracja niestandardowa

Aby ustawić ustawienie niestandardowe w scenariuszu SSH, można skonfigurować ustawienie z parametrem "-Name" i "-Value":

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

---

Następny krok

Skontaktuj się z zespołem w firmie Microsoft, aby przekazać opinię, żądania funkcji itp.

Skontaktuj się z nami