O que é o Controle de Postura SSH (versão prévia privada)-- com o Azure Policy e a Configuração do Computador?

! [IMPORTANTE] Este artigo descreve uma versão prévia antecipada do Controle de Postura SSH. Para obter a documentação atualizada, consulte O que é o Controle de Postura SSH?

O Controle de Postura SSH permite que você use os fluxos de trabalho familiares do Azure Policy e da Configuração do Computador para:

• Garantir a conformidade com os padrões em seu setor ou organização
• Reduzir a superfície de ataque dos recursos de gerenciamento remoto
• Garantir uma configuração consistente em toda a frota para segurança e produtividade

O Controle de Postura SSH também fornece motivos detalhados que descrevem como a conformidade ou a não conformidade foi determinada. Esses motivos facilitam a ação ou documentar totalmente a conformidade.

O Controle de Postura SSH analisa e impõe aproximadamente 20 parâmetros de servidor SSH (sshd). Por padrão, ele audita e aplica práticas recomendadas consistentes com a Linha de Base de Segurança de Computação do Azure para Linux. Você também pode personalizar determinados parâmetros para atender ao seu ambiente. Por exemplo, você pode personalizar quais usuários e grupos têm permissão de acesso SSH.

Limitações de visualização privada

Importante

O Controle de Postura SSH está em versão prévia privada, destinado a disparar a caixa de diálogo entre você e a Microsoft.

• A versão prévia destina-se ao uso com computadores de desenvolvimento/teste isolados em que qualquer problema (incluindo bloqueio acidental do acesso SSH) não teria consequências importantes.
• A visualização envolve a importação da definição de política, em vez de selecioná-la na lista interna do Azure Policy.
• As distribuições do Linux com suporte são inicialmente limitadas ao Ubuntu Server (20.04, 22.04) e Ao Debian (11, 12). Informe-nos (informações de contato no final da página) quais distribuições você gostaria de ver, insira a visualização a seguir.

Exemplo de introdução

Este exemplo se concentra em começar rapidamente. Ele faz suposições simplificadoras e não explora tudo o que é possível. Por exemplo, ele usa configurações de SSH padrão do PolicyDefinition, em vez de personalizar parâmetros como usuários e grupos permitidos. Informações mais abrangentes sobre o Controle de Postura SSH, incluindo configurações e comportamentos, são esperadas em um futuro próximo.

Dica

O modelo mental e a terminologia a seguir são usados ao longo deste artigo.

• PolicyDefinition : definição e metadados do Controle de Postura SSH, conforme representado no serviço do Azure Policy.
• PolicyAssignment : vincula sua Política de Controle de Postura SSHDefinição a um escopo em que essa política deve ser aplicada, como um grupo de recursos.
• Computador : um ponto de extremidade capaz de ser gerenciado pelo Azure Policy e pela Configuração do Computador (também conhecido como Configuração de Convidado). Em outras palavras, um computador habilitado para Arc ou uma VM do Azure.

a. Pré-requisitos

1. Uma conta do Azure com permissão para criar um grupo de recursos, uma VM (ou computador Arc), uma definição de política e uma atribuição de política.
2. Para obter pré-requisitos adicionais, escolha sua experiência preferida:

Portal

1. Usando um navegador da Web, entre no Portal do Azure ou no equivalente local.

PowerShell

1. Um ambiente do PowerShell com os seguintes módulos instalados:
   1. Az.ResourceGraph
   2. Az.Accounts
   3. Az.Resources
2. Use Get-AzContext e/ou Set-AzContext cmdlets para garantir que o ambiente desejado do Azure seja direcionado.

Dica

O Azure Cloud Shell no modo PowerShell é um ambiente pronto para uso e é uma maneira fácil de começar.

CLI do Azure

Não disponível no momento. Pendente https://github.com/Azure/azure-cli/issues/28377. Use as instruções do Portal ou do PowerShell.

B. Criar um grupo de recursos

Portal

1. Crie um grupos de recursos. Nas próximas etapas, isso será usado para definir o escopo da política e para conter um novo computador de teste.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group" 
$myAzureLocation = "eastus" ## Modify as needed

$myResourceGroup = New-AzResourceGroup -Name $myResourceGroupName -Location $myAzureLocation

CLI do Azure

Não disponível no momento. Pendente https://github.com/Azure/azure-cli/issues/28377. Use as instruções do Portal ou do PowerShell.

C. Criar o PolicyDefinition

Observação

Essa etapa extra (criar em vez de apenas escolher a PolicyDefinition) é necessária durante a versão prévia privada.

Portal

1. Navegue até a página Visão geral do Azure Policy . Por exemplo, você pode usar o URI: https://portal.azure.com/#view/Microsoft_Azure_Policy/PolicyMenuBlade/~/Overview.
2. Navegue até a exibição Definições .
3. Clique no botão + Definição de Política para criar uma nova PolicyDefinition, inserindo o seguinte como entradas.
   1. Local da definição: escolha sua assinatura do Azure em que a PolicyDefinition residirá.
   2. Nome: [Versão prévia] Política de controle de postura SSH
   3. Categoria: Usar Existente e, em seguida, escolha Configuração de Convidado
   4. Regra de política: exclua o JSON preexistente e cole o JSON PolicyDefinition da definição de política de controle de postura SSH de versão prévia
4. Clique em Salvar

PowerShell

$sshPolicyDefinitionJsonUri = "https://raw.githubusercontent.com/Azure/azure-osconfig/main/src/adapters/mc/sshpreview/OsConfigPolicy_DeployIfNotExists.json"
$sshPolicyDefinitionName = "[Preview] SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJsonUri

CLI do Azure

Não disponível no momento. Pendente https://github.com/Azure/azure-cli/issues/28377. Use as instruções do Portal ou do PowerShell.

D. Usar um PolicyAssignment para aplicar PolicyDefinition ao seu grupo de recursos

Cuidado

Essa política modifica a configuração de sshd em computadores no escopo. Essas instruções permitem que você o atribua a um grupo de recursos inicialmente vazio, no qual você criará posteriormente um computador de teste. Tome muito cuidado se você optar por atribuir a qualquer escopo mais amplo.

Portal

1. Navegue até a Política | Página definições que lista todas as definições de política disponíveis.
2. Selecione a política de controle de postura SSH [versão prévia] Definição criada anteriormente
3. Clique em Atribuir.
4. Em Escopo , escolha o grupo de recursos em que você criará posteriormente um novo computador de teste.
5. Vá para a guia Parâmetros .
   1. Escolha "true" para Incluir computadores conectados ao Arc, a menos que você deseje excluir especificamente os computadores conectados ao Arc.
   2. OBSERVAÇÃO: se você quiser personalizar as configurações de SSH, como grupos permitidos, desmarque a caixa Mostrar apenas parâmetros... para revelar todos os parâmetros disponíveis. Se você optar por especificar usuários ou grupos permitidos ou negados, lembre-se de que você inserirá uma cadeia de caracteres delimitada por espaço, por exemplo userA userB.
6. Vá para a guia Correção .
   1. OBSERVAÇÃO: embora essa demonstração se concentre em um novo computador, em outros cenários em que você deseja que o PolicyAssignment seja aplicado aos computadores existentes, marque a caixa Criar uma tarefa de correção.
   2. Escolha Criar uma Identidade Gerenciada com Sistema atribuído e um local de identidade de sua escolha.
7. Prossiga para Examinar + criar
   1. Escolha Criar para concluir o PolicyAssignment.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -AssignIdentity -Location $myAzureLocation
## Complete RBAC assignment
New-AzRoleAssignment -ObjectId $sshPolicyAssignment.Identity.PrincipalId -RoleDefinitionId $sshPolicyDefinition.Properties.PolicyRule.then.details.roleDefinitionIds[0].split("/")[4] -Scope "/subscriptions/$((Get-AzContext).Subscription.Id)"

CLI do Azure

Não disponível no momento. Pendente https://github.com/Azure/azure-cli/issues/28377. Use as instruções do Portal ou do PowerShell.

E. Criar um novo computador

Embora novas PolicyAssignments possam ser aplicadas a computadores existentes, o processo pode levar até 24 horas. Para este início rápido, nos concentraremos na avaliação de um novo computador. Neste exemplo, criaremos uma VM do Azure, mas você poderá criar um computador habilitado para Arc se preferir.

Portal

1. Navegue até a experiência de Máquinas Virtuais do Azure .
2. Crie uma nova VM, garantindo as seguintes propriedades:
   1. A assinatura e o grupo de recursos devem corresponder ao local em que o PolicyAssignment foi definido.
   2. A imagem deve ser "Unbuntu Server 22.04...".
   3. A arquitetura da VM deve ser x64.
   4. Outras propriedades, como nome da VM, tamanho etc. podem ser o que você preferir.
3. Aguarde a conclusão da criação da VM e clique em Ir para Recurso para acessar a página de visão geral do computador
4. Na navegação à esquerda, selecione Identidade e verifique se o computador tem uma identidade gerenciada pelo sistema
5. Na navegação à esquerda, selecione Extensões + aplicativos e + Adicionar
6. Escolha a extensão de Configuração do Computador de Gerenciamento Automatizado do Azure e selecione Avançar
7. Selecione Examinar + criar e, em seguida, criar

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myNameForNewVM = "sshdemovm01"

## Creates a new VM which is prepped to work with MachineConfiguration
## by having a system assigned identity and the GuestConfiguration extension
New-AzVM -Name $myNameForNewVM -ResourceGroupName $myResourceGroupName -SystemAssignedIdentity -Image Ubuntu2204
Set-AzVMExtension -ResourceGroupName $myResourceGroupName -VMName $myNameForNewVM -ExtensionType "ConfigurationforLinux" -Publisher "Microsoft.GuestConfiguration" -Name "AzurePolicyForLinux" -TypeHandlerVersion 1.0

CLI do Azure

Não disponível no momento. Pendente https://github.com/Azure/azure-cli/issues/28377. Use as instruções do Portal ou do PowerShell.

F. Faça uma pausa antes de continuar

Quando novas PolicyDefinitions, PolicyAssignments e computadores estão envolvidos, pode levar vários minutos para que tudo atinja o estado estável. Considere aguardar pelo menos 30 minutos antes de prosseguir para a próxima etapa.

G. Observar os resultados de conformidade

As etapas a seguir permitem que você veja um rollup de conformidade em altitudes diferentes:

• Conformidade por PolicyAssignment
  • Número de computadores compatíveis e não compatíveis
  • Altitude mais alta, especialmente útil para grandes frotas
• Conformidade por computador
  • Lista de computadores com sim/não por computador
• Conformidade por configuração, para um computador específico
  • Nível mais profundo de detalhes, como a captura de tela na parte superior deste artigo.

Dica

Seu novo computador provavelmente será julgado como não compatível quando encontrar a política pela primeira vez. As configurações de SSH padrão na política são mais estritas do que muitas imagens do sistema operacional configuradas por padrão. Depois de mais 20 minutos, você deve descobrir que seu computador se torna compatível graças à lógica de correção interna ao Controle de Postura SSH.

Portal

1. Navegue até a Política | Página de conformidade .
2. Selecione [Versão prévia] Política de controle da postura SSH.
3. Observe que o número de computadores compatíveis/não compatíveis é relatado
4. Em Conformidade de Recursos , você pode ver o status de computadores individuais
5. Para fazer uma busca detalhada nos detalhes de configuração por configuração de um computador específico:
   1. Clique em ... ao lado de um computador e escolha Exibir recurso para acessar a página Visão geral do computador
   2. Na navegação à esquerda em Operações, clique em Gerenciamento de configuração (não configuração em Configurações)
   3. Clique em LinuxSSHServerSecurityBaseline
   4. A página resultante mostra cada configuração na configuração com detalhes sobre conformidade, bem como como a conformidade foi determinada.

PowerShell

Para observar o status na altitude mais alta (apenas contagens de máquinas), você pode usar o seguinte:

$machineCountsQuery = @'
guestconfigurationresources
| where name startswith("LinuxSshServerSecurityBaseline")
| extend complianceStatus = tostring(properties.complianceStatus)
| summarize machineCount = count() by complianceStatus
'@

Search-AzGraph -Query $machineCountsQuery

<#
Sample output from an environment with two machines:

complianceStatus machineCount
---------------- ------------
Pending                     1
Compliant                   1
#>

Para ver uma conformidade por computador, você pode usar o seguinte:

$machinePerRowQuery = @'
guestconfigurationresources
| where name startswith("LinuxSshServerSecurityBaseline")
| project 
    machine = split(properties.targetResourceId,'/')[-1],
    complianceStatus = properties.complianceStatus,
    lastComplianceStatusChecked = properties.lastComplianceStatusChecked
'@

Search-AzGraph -Query $machinePerRowQuery

<#
Sample output:

machine     complianceStatus lastComplianceStatusChecked
-------     ---------------- ---------------------------
sshdemovm01 Compliant        2/15/2024 11:07:21 PM
sshdemovm02 Pending          1/1/0001 12:00:00 AM
#>

Para ver os detalhes de configuração por configuração, você pode usar o seguinte:

$settingPerRowQuery = @'
guestconfigurationresources
| where name startswith ('LinuxSshServerSecurityBaseline')
| extend machine = split(properties.targetResourceId,'/')[-1]
| mvexpand properties.latestAssignmentReport.resources
| mvexpand properties_latestAssignmentReport_resources.reasons
| project machine,
    complianceCheck = tostring(properties_latestAssignmentReport_resources.resourceId),
    complianceStatus = tostring(properties.complianceStatus),
    complianceReason = tostring(properties_latestAssignmentReport_resources_reasons.phrase)
'@

Search-AzGraph $settingPerRowQuery

<#
Sample output:

machine     complianceCheck                                                  complianceStatus     complianceReason
-------     ---------------                                                  ------               ------
sshdemovm01 Ensure permissions on /etc/ssh/sshd_config are configured        Compliant            Access to '/etc/ssh/sshd_config' matches required ...
sshdemovm01 Ensure SSH is configured to meet best practices (protocol 2)     Compliant            'Protocol 2' is found uncommented in /etc/ssh/sshd_config
sshdemovm01 Ensure SSH is configured to ignore rhosts                        Compliant            The sshd service reports that 'ignorerhosts' is set to 'yes'
sshdemovm01 Ensure SSH LogLevel is set to INFO                               Compliant            The sshd service reports that 'loglevel' is set to 'INFO'
sshdemovm01 Ensure SSH MaxAuthTries is configured                            Compliant            The sshd service reports that 'maxauthtries' is set to '6'
sshdemovm01 Ensure allowed users for SSH access are configured               Compliant            The sshd service reports that 'allowusers' is set to '*@*'
sshdemovm01 Ensure denied users for SSH are configured                       Compliant            The sshd service reports that 'denyusers' is set to 'root'
sshdemovm01 Ensure allowed groups for SSH are configured                     Compliant            The sshd service reports that 'allowgroups' is set to '*'
sshdemovm01 Ensure denied groups for SSH are configured                      Compliant            The sshd service reports that 'denygroups' is set to 'root'
sshdemovm01 Ensure SSH host-based authenticationis disabled                  Compliant            The sshd service reports that 'hostbasedauthentication' is ...
#>

CLI do Azure

Não disponível no momento. Pendente https://github.com/Azure/azure-cli/issues/28377. Use as instruções do Portal ou do PowerShell.

Próxima etapa

Entre em contato com a equipe da Microsoft para fornecer comentários, solicitações de recursos etc.

ssh_posture_control_through_azure@service.microsoft.com