O que é o Controlo de Postura SSH (pré-visualização privada)- com o Azure Policy e a Configuração do Computador?

! [IMPORTANTE] Este artigo descreve uma versão de pré-visualização antecipada do Controlo de Postura SSH. Para obter documentação atualizada, consulte O que é o Controlo de Postura SSH? em vez disso.

O Controlo de Postura SSH permite-lhe utilizar os fluxos de trabalho familiares do Azure Policy e da Configuração da Máquina para:

• Garantir a conformidade com as normas na sua indústria ou organização
• Reduzir a superfície de ataque das funcionalidades de gestão remota
• Garantir uma configuração consistente em toda a sua frota para segurança e produtividade

O Controlo de Postura SSH também fornece razões detalhadas que descrevem como a conformidade ou a não conformidade foram determinadas. Estas Razões facilitam a ação ou a documentação completa da conformidade.

O Controlo de Postura SSH analisa e impõe aproximadamente 20 parâmetros de servidor SSH (sshd). Por predefinição, audita e aplica as melhores práticas consistentes com a Linha de Base de Segurança de Computação do Azure para Linux. Também pode personalizar determinados parâmetros de acordo com o seu ambiente. Por exemplo, pode personalizar que utilizadores e grupos têm permissão de acesso SSH.

Limitações da pré-visualização privada

Importante

O Controlo de Postura SSH está em pré-visualização privada– destina-se a acionar a caixa de diálogo entre si e a Microsoft.

• A pré-visualização destina-se a ser utilizada com máquinas de desenvolvimento/teste isoladas em que qualquer problema (incluindo bloquear-se inadvertidamente do acesso SSH) não teria consequências importantes.
• A pré-visualização envolve importar a definição de política, em vez de a escolher a partir da lista incorporada do Azure Policy.
• As distribuições do Linux suportadas estão inicialmente limitadas ao Ubuntu Server (20.04, 22.04) e ao Debian (11, 12). Informe-nos (informações de contacto no final da página) que distribuições gostaria de ver, introduza a pré-visualização a seguir.

Exemplo de introdução

Este exemplo centra-se em começar rapidamente. Simplifica as suposições e não explora tudo o que é possível. Por exemplo, utiliza as predefinições de SSH da PolicyDefinition, em vez de personalizar parâmetros, como utilizadores e grupos permitidos. São esperadas informações mais abrangentes sobre o Controlo de Postura SSH, incluindo definições e comportamentos, num futuro próximo.

Dica

O seguinte modelo mental e terminologia são utilizados ao longo deste artigo.

• PolicyDefinition : definição e metadados do Controlo de Postura SSH, conforme representado no serviço Azure Policy.
• PolicyAssignment : liga a Política de Controlo de Postura SSHDefinição a um âmbito onde essa política deve ser aplicada, como um grupo de recursos.
• Computador : um ponto final capaz de ser gerido pelo Azure Policy e pela Configuração do Computador (também conhecido como Configuração de Convidado). Por outras palavras, um computador compatível com o Arc ou uma VM do Azure.

A. Pré-requisitos

1. Uma conta do Azure com permissão para criar um grupo de recursos, uma VM (ou um computador Arc), uma definição de política e uma atribuição de política.
2. Para pré-requisitos adicionais, escolha a sua experiência preferida:

Portal

1. Com um browser, inicie sessão no Portal do Azure ou no seu equivalente local.

PowerShell

1. Um ambiente do PowerShell com os seguintes módulos instalados:
   1. Az.ResourceGraph
   2. Az.Accounts
   3. Az.Resources
2. Utilize Get-AzContext e/ou Set-AzContext cmdlets para garantir que o ambiente do Azure pretendido é direcionado.

Dica

O Azure Cloud Shell no modo do PowerShell é um ambiente pronto a utilizar e é uma forma fácil de começar.

CLI do Azure

De momento, não está disponível. Pendente https://github.com/Azure/azure-cli/issues/28377. Utilize as instruções do Portal ou do PowerShell.

B. Criar um grupo de recursos

Portal

1. Crie um grupo de recursos. Nos próximos passos, isto será utilizado para definir o âmbito da política e para conter uma nova máquina de teste.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group" 
$myAzureLocation = "eastus" ## Modify as needed

$myResourceGroup = New-AzResourceGroup -Name $myResourceGroupName -Location $myAzureLocation

CLI do Azure

De momento, não está disponível. Pendente https://github.com/Azure/azure-cli/issues/28377. Utilize as instruções do Portal ou do PowerShell.

C. Criar o PolicyDefinition

Nota

Este passo adicional (criar em vez de escolher apenas PolicyDefinition) é necessário durante a pré-visualização privada.

Portal

1. Navegue para a página Descrição Geral do Azure Policy . Por exemplo, pode utilizar o URI: https://portal.azure.com/#view/Microsoft_Azure_Policy/PolicyMenuBlade/~/Overview.
2. Navegue para a vista Definições .
3. Clique no botão + Definição de Política para criar uma nova PolicyDefinition, introduzindo o seguinte como entradas.
   1. Localização da definição: selecione a sua subscrição do Azure onde a PolicyDefinition irá residir.
   2. Nome: [Pré-visualização] Política de Controlo de Postura SSH
   3. Categoria: Utilizar Existente e, em seguida, selecione Configuração de Convidado
   4. Regra de política: elimine o JSON pré-existente e cole o PolicyDefinition JSON da definição de política de Controlo de Postura SSH de Pré-visualização
4. Clique em Guardar

PowerShell

$sshPolicyDefinitionJsonUri = "https://raw.githubusercontent.com/Azure/azure-osconfig/main/src/adapters/mc/sshpreview/OsConfigPolicy_DeployIfNotExists.json"
$sshPolicyDefinitionName = "[Preview] SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJsonUri

CLI do Azure

De momento, não está disponível. Pendente https://github.com/Azure/azure-cli/issues/28377. Utilize as instruções do Portal ou do PowerShell.

D. Utilizar um PolicyAssignment para aplicar o PolicyDefinition ao grupo de recursos

Atenção

Esta política modifica a configuração do sshd em computadores no âmbito. Estas instruções permitem-lhe atribuí-lo a um grupo de recursos inicialmente vazio, onde irá criar mais tarde uma máquina de teste. Tenha muito cuidado se optar por atribuir a qualquer âmbito mais amplo.

Portal

1. Navegue para a Política | Página definições que lista todas as definições de política disponíveis.
2. Selecione a política de Controlo de Postura SSH [Pré-visualização] Definição que criou anteriormente
3. Clique em Atribuir.
4. Em Âmbito , selecione o grupo de recursos onde irá criar mais tarde um novo computador de teste.
5. Avance para o separador Parâmetros .
   1. Selecione "true" para Incluir máquinas ligadas ao Arc, a menos que pretenda excluir especificamente as máquinas ligadas ao Arc.
   2. NOTA: se quiser personalizar as definições de SSH, como grupos permitidos, desmarque a caixa Mostrar apenas parâmetros... para revelar todos os parâmetros disponíveis. Se optar por especificar utilizadores ou grupos permitidos ou negados, tenha em atenção que introduzirá uma cadeia delimitada por espaço, por exemplo userA userB.
6. Avance para o separador Remediação .
   1. NOTA: embora esta demonstração se centre num novo computador, noutros cenários em que pretende que o PolicyAssignment se aplique aos computadores existentes, pode selecionar a caixa Criar uma tarefa de remediação.
   2. Selecione Criar uma Identidade Gerida com o Sistema atribuído e uma localização de identidade à sua escolha.
7. Avance para Rever + criar
   1. Selecione Criar para concluir o PolicyAssignment.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -AssignIdentity -Location $myAzureLocation
## Complete RBAC assignment
New-AzRoleAssignment -ObjectId $sshPolicyAssignment.Identity.PrincipalId -RoleDefinitionId $sshPolicyDefinition.Properties.PolicyRule.then.details.roleDefinitionIds[0].split("/")[4] -Scope "/subscriptions/$((Get-AzContext).Subscription.Id)"

CLI do Azure

De momento, não está disponível. Pendente https://github.com/Azure/azure-cli/issues/28377. Utilize as instruções do Portal ou do PowerShell.

E. Criar um novo computador

Embora as novas PolicyAssignments possam ser aplicadas a máquinas existentes, o processo pode demorar até 24 horas. Neste guia de introdução, vamos concentrar-nos na avaliação de um novo computador. Neste exemplo, vamos criar uma VM do Azure, mas pode criar um computador compatível com o Arc, se preferir.

Portal

1. Navegue para a experiência das Máquinas Virtuais do Azure .
2. Crie uma nova VM, garantindo as seguintes propriedades:
   1. A subscrição e o Grupo de Recursos devem corresponder ao local onde o PolicyAssignment estava no âmbito.
   2. A imagem deve ser "Unbuntu Server 22.04...".
   3. A arquitetura da VM deve ser x64.
   4. Outras propriedades, como o nome da VM, o tamanho, etc. podem ser o que preferir.
3. Aguarde pela conclusão da criação da VM e, em seguida, clique em Ir para Recurso para aceder à página de descrição geral do computador
4. No painel de navegação esquerdo, selecione Identidade e certifique-se de que o computador tem uma identidade gerida pelo sistema
5. No painel de navegação esquerdo, selecione Extensões + aplicações e, em seguida, + Adicionar
6. Escolha a extensão Azure Automanage Machine Configuration e selecione Seguinte
7. Selecione Rever + criar e, em seguida, criar

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myNameForNewVM = "sshdemovm01"

## Creates a new VM which is prepped to work with MachineConfiguration
## by having a system assigned identity and the GuestConfiguration extension
New-AzVM -Name $myNameForNewVM -ResourceGroupName $myResourceGroupName -SystemAssignedIdentity -Image Ubuntu2204
Set-AzVMExtension -ResourceGroupName $myResourceGroupName -VMName $myNameForNewVM -ExtensionType "ConfigurationforLinux" -Publisher "Microsoft.GuestConfiguration" -Name "AzurePolicyForLinux" -TypeHandlerVersion 1.0

CLI do Azure

De momento, não está disponível. Pendente https://github.com/Azure/azure-cli/issues/28377. Utilize as instruções do Portal ou do PowerShell.

F. Faça uma pausa antes de continuar

Quando estão envolvidos novos PolicyDefinitions, PolicyAssignments e computadores, pode demorar vários minutos para que tudo atinja o estado estável. Considere aguardar pelo menos 30 minutos antes de avançar para o passo seguinte.

G. Observar resultados de compatibilidade

Os passos seguintes permitem-lhe ver um rollup de compatibilidade em altitudes diferentes:

• Conformidade por PolicyAssignment
  • Número de máquinas compatíveis e não conformes
  • Maior altitude, especialmente útil para grandes frotas
• Conformidade por computador
  • Lista de máquinas virtuais com sim/não por computador
• Conformidade por definição, para um computador específico
  • Nível de detalhe mais profundo, como a captura de ecrã na parte superior deste artigo.

Dica

O seu novo computador será provavelmente considerado não conforme quando encontrar a política pela primeira vez. As predefinições de SSH na política são mais rigorosas do que as que muitas imagens do SO configuraram por predefinição. Após mais ou menos 20 minutos, deverá verificar que o computador fica em conformidade graças à lógica de remediação incorporada no Controlo de Postura SSH.

Portal

1. Navegue para a Política | Página de conformidade .
2. Selecione [Pré-visualização] Política de Controlo de Postura SSH.
3. Observe que o número de máquinas compatíveis/não compatíveis é comunicado
4. Em Conformidade de Recursos , pode ver o estado das máquinas individuais
5. Para desagregar até aos detalhes de definição por definição de um computador específico:
   1. Clique no ... junto a um computador e selecione Ver recurso para aceder à página Descrição Geral do computador
   2. No painel de navegação esquerdo em Operações, clique em Gestão de configuração (não configuração em Definições)
   3. Clique em LinuxSSHServerSecurityBaseline
   4. A página resultante mostra cada definição na configuração com detalhes sobre a conformidade, bem como a forma como a conformidade foi determinada.

PowerShell

Para observar o estado na altitude mais elevada (apenas contagens de máquinas), pode utilizar o seguinte:

$machineCountsQuery = @'
guestconfigurationresources
| where name startswith("LinuxSshServerSecurityBaseline")
| extend complianceStatus = tostring(properties.complianceStatus)
| summarize machineCount = count() by complianceStatus
'@

Search-AzGraph -Query $machineCountsQuery

<#
Sample output from an environment with two machines:

complianceStatus machineCount
---------------- ------------
Pending                     1
Compliant                   1
#>

Para ver uma conformidade por computador, pode utilizar o seguinte:

$machinePerRowQuery = @'
guestconfigurationresources
| where name startswith("LinuxSshServerSecurityBaseline")
| project 
    machine = split(properties.targetResourceId,'/')[-1],
    complianceStatus = properties.complianceStatus,
    lastComplianceStatusChecked = properties.lastComplianceStatusChecked
'@

Search-AzGraph -Query $machinePerRowQuery

<#
Sample output:

machine     complianceStatus lastComplianceStatusChecked
-------     ---------------- ---------------------------
sshdemovm01 Compliant        2/15/2024 11:07:21 PM
sshdemovm02 Pending          1/1/0001 12:00:00 AM
#>

Para ver os detalhes de definição por definição, pode utilizar o seguinte:

$settingPerRowQuery = @'
guestconfigurationresources
| where name startswith ('LinuxSshServerSecurityBaseline')
| extend machine = split(properties.targetResourceId,'/')[-1]
| mvexpand properties.latestAssignmentReport.resources
| mvexpand properties_latestAssignmentReport_resources.reasons
| project machine,
    complianceCheck = tostring(properties_latestAssignmentReport_resources.resourceId),
    complianceStatus = tostring(properties.complianceStatus),
    complianceReason = tostring(properties_latestAssignmentReport_resources_reasons.phrase)
'@

Search-AzGraph $settingPerRowQuery

<#
Sample output:

machine     complianceCheck                                                  complianceStatus     complianceReason
-------     ---------------                                                  ------               ------
sshdemovm01 Ensure permissions on /etc/ssh/sshd_config are configured        Compliant            Access to '/etc/ssh/sshd_config' matches required ...
sshdemovm01 Ensure SSH is configured to meet best practices (protocol 2)     Compliant            'Protocol 2' is found uncommented in /etc/ssh/sshd_config
sshdemovm01 Ensure SSH is configured to ignore rhosts                        Compliant            The sshd service reports that 'ignorerhosts' is set to 'yes'
sshdemovm01 Ensure SSH LogLevel is set to INFO                               Compliant            The sshd service reports that 'loglevel' is set to 'INFO'
sshdemovm01 Ensure SSH MaxAuthTries is configured                            Compliant            The sshd service reports that 'maxauthtries' is set to '6'
sshdemovm01 Ensure allowed users for SSH access are configured               Compliant            The sshd service reports that 'allowusers' is set to '*@*'
sshdemovm01 Ensure denied users for SSH are configured                       Compliant            The sshd service reports that 'denyusers' is set to 'root'
sshdemovm01 Ensure allowed groups for SSH are configured                     Compliant            The sshd service reports that 'allowgroups' is set to '*'
sshdemovm01 Ensure denied groups for SSH are configured                      Compliant            The sshd service reports that 'denygroups' is set to 'root'
sshdemovm01 Ensure SSH host-based authenticationis disabled                  Compliant            The sshd service reports that 'hostbasedauthentication' is ...
#>

CLI do Azure

De momento, não está disponível. Pendente https://github.com/Azure/azure-cli/issues/28377. Utilize as instruções do Portal ou do PowerShell.

Passo seguinte

Contacte a equipa da Microsoft para fornecer comentários, pedidos de funcionalidades, etc.

ssh_posture_control_through_azure@service.microsoft.com