Guia de início rápido: aplicar o controle de postura SSH a uma máquina de teste do Windows Server

Nas etapas a seguir, você usará a Política do Azure para implantar configurações de Controle de Postura SSH em uma VM de teste do Windows Server 2019, 2022 ou 2025.

Para referência de fundo e conceitual, consulte O que é o Controle de Postura SSH?.

Para obter um passo a passo mais avançado, consulte Gerenciar suas configurações de sshd usando o Controle de Postura SSH.

Se não tiver uma conta do Azure, pode criar uma versão de avaliação gratuita.

Atenção

  • Este Guia de início rápido demonstra a aplicação de uma configuração sshd restritiva destinada a uma nova máquina de teste descartável. Se você aplicasse essa configuração a outras máquinas, poderia bloquear-se a si mesmo. Ao experimentar controles de segurança, como o Controle de Postura SSH, use um ambiente de área restrita isolado para que mesmo um erro na atribuição de políticas não reconfigure máquinas não intencionais.

Pré-requisitos

Antes de tentar as etapas neste artigo, verifique se você já tem:

  1. Uma conta do Azure onde você tem direitos para criar um grupo de recursos, atribuições de política e uma máquina virtual.
  2. Seu ambiente preferido para interagir com o Azure, como:
    1. do Azure Cloud Shell (recomendado)
      1. Nota: Os exemplos usarão o modo bash. Os leitores podem adaptar exemplos a outros ambientes de shell, incluindo o PowerShell.
    2. ou seu próprio ambiente de shell com a CLI do Azure instalada e conectada
    3. ouPortal do Azure em um navegador da Web

Verifique se você está conectado ao seu ambiente de teste

  1. Use as informações da conta no portal para ver seu contexto atual.

    Captura de tela mostrando informações da conta no portal do Azure

Criar um grupo de recursos

A escolha de eastus local neste exemplo não é significativa. Você pode usar qualquer local disponível do Azure.

Captura de tela da criação de grupo de recursos via portal

Atribuir a política ao grupo de recursos

Este Guia de início rápido aplica o comportamento de auditoria e configuração, usando a definição de política interna [Preview]: Configure SSH security posture for Windows.

A atribuição de exemplo dependerá em grande parte dos padrões do Controle de Postura SSH (por exemplo, porta 22, acesso raiz não permitido), com personalização limitada (texto do banner).

  1. Navegue até Política e, em seguida, Definições
  2. Filtre a lista para localizar e selecionar [Preview]: Configure SSH security posture for Windows
  3. Na página de definição de política, clique em Atribuir
  4. No fluxo de trabalho de atribuição de política
    1. Escolha o novo grupo de recursos vazio (criado anteriormente) como escopo.
    2. Opcional: escolha um nome para esta atribuição de política. Por padrão, o nome da definição de política é usado.
    3. Opcional: na guia parâmetros, substitua um valor padrão, como o valor "banner".
    4. Nota: A regra 'porta' deve ser configurada com um único valor para garantir a funcionalidade e conformidade adequadas para auditoria e configuração de cenários.
    5. Conclua a criação da atribuição de política.

Atenção

Se você usou o Portal ou a CLI, inspecione o escopo da atribuição de política que acabou de criar antes de prosseguir. Se o escopo foi definido erroneamente para algo diferente do novo grupo de recursos vazio criado anteriormente, ele deve ser corrigido imediatamente para evitar a configuração de máquinas não intencionais.

Criar uma VM de teste e prepará-la para a Configuração da Máquina

  1. Criar uma máquina virtual do Windows Server 2019, 2022 ou 2025
  2. Adicionar uma identidade atribuída ao sistema, se ainda não estiver presente
  3. Adicionar a extensão de Configuração de Máquina (rotulada no portal como Configuração de Máquina do Azure para Windows)

Sugestão

Neste Guia de início rápido, os pré-requisitos para Configuração da Máquina (a VM gerenciou a identidade e a extensão do agente) foram abordados diretamente durante a criação da VM. Em grande escala, estes pré-requisitos podem ser satisfeitos utilizando a Deploy prerequisites to enable Guest Configuration policies on virtual machines Iniciativa Política incorporada.

Faça uma pausa antes de prosseguir

Várias etapas agora acontecerão automaticamente. Cada um destes passos pode demorar alguns minutos. Por conseguinte, aguarde pelo menos 15 minutos antes de prosseguir.

Observar resultados

Usando as seguintes etapas, você pode ver:

  1. Quantas máquinas estão em conformidade (ou não)
    1. Particularmente útil em escalas de produção, onde você pode ter milhares de máquinas
  2. Quais máquinas estão em conformidade (ou não)
  3. Para uma determinada máquina, quais regras individuais estão em conformidade (ou não)

Opcional: adicione mais máquinas de teste para experimentar a escala

Neste artigo, a política foi atribuída a um grupo de recursos que estava inicialmente vazio e, em seguida, ganhou uma VM. Embora isso demonstre que o sistema funciona de ponta a ponta, não fornece uma sensação de operações em escala. Por exemplo, na exibição de conformidade de atribuição de política, um gráfico de pizza de uma máquina pode parecer artificial.

Considere adicionar mais máquinas de teste ao grupo de recursos, seja manualmente ou por meio de automação. Essas podem ser VMs do Azure ou máquinas habilitadas para Arc. À medida que você vê essas máquinas entrarem em conformidade (ou até mesmo falharem), você pode ganhar uma sensação mais apurada de operacionalizar o Controle de Postura SSH em escala.

Opcional: inspecione manualmente a máquina de teste para confirmar os resultados

Ao começar com um novo recurso, como o Controle de Postura SSH, pode ser valioso inspecionar manualmente os resultados fora da banda. Isto ajuda a criar confiança e clareza. As etapas neste artigo, por exemplo, devem ter resultado em uma configuração de banner de logon modificada em sua VM de teste. Você pode confirmar isso tentando uma conexão SSH com a máquina para ver o banner ou inspecionando o arquivo sshd_config.

Limpeza de recursos

Para evitar cobranças contínuas, considere excluir o grupo de recursos usado neste artigo. Por exemplo, o comando da CLI do Azure seria az group delete --name "sshdemo01"

Introdução à Experiência Local (PowerShell)

Pré-requisitos

  • Você deve estar executando uma compilação do Windows Server 2019, 2022, 2025 assinada em produção no seu dispositivo.
  • O módulo OSConfig PowerShell deve ser instalado no dispositivo do servidor. Consulte Instalar o módulo OSConfig PowerShell para obter detalhes.
  • Você deve ter o serviço sshd instalado e em execução seguindo este guia: https://aka.ms/windows-openssh-install.

Para aplicar uma linha de base, verificar se a linha de base é aplicada, remover uma linha de base ou exibir informações detalhadas de conformidade para o OSConfig no PowerShell, use os comandos nas guias a seguir.

Configurar

Para aplicar o cenário SSH, execute o seguinte comando:

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

Verificar

Para verificar se o cenário SSH está aplicado corretamente, execute o seguinte comando:

Get-OSConfigDesiredConfiguration -Scenario SSH

Verificar conformidade

Para obter os detalhes de configuração desejados para o cenário especificado, use os comandos a seguir. A saída aparece em um formato de tabela que inclui o nome do item de configuração, seu status de conformidade e o motivo da não conformidade.

Para verificar os detalhes de conformidade para SSH scenairo, execute o seguinte comando:

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Configuração personalizada

Para personalizar a configuração no cenário SSH, você pode definir uma configuração com os parâmetros '-Name' e '-Value':

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

Próximos passos

Entre em contato com a equipe da Microsoft para fornecer comentários, solicitações de recursos, etc.

Contacte-nos

  • Última atualização a