O que é o Controle de Postura SSH do Windows (visualização privada) com a Política do Azure e o PowerShell?

O Controle de Postura SSH permite que você use os fluxos de trabalho familiares da Política do Azure e da Configuração da Máquina para:

• Garantir a conformidade com os padrões em seu setor ou organização
• Reduza a superfície de ataque dos recursos de gerenciamento remoto
• Garanta uma configuração consistente em toda a sua frota para segurança e produtividade

O Controle de Postura SSH também fornece Razões detalhadas descrevendo como a conformidade ou não conformidade foi determinada. Esses motivos facilitam a tomada de medidas ou a documentação completa da conformidade.

O Controle de Postura SSH analisa e impõe aproximadamente 20 parâmetros do servidor SSH (sshd). Você também pode personalizar certos parâmetros para se adequar ao seu ambiente. Por exemplo, você pode personalizar quais usuários e grupos têm acesso SSH, bem como o número da porta e muito mais.

Você pode implantar o Controle de Postura SSH no modo de auditoria ou auditoria e configuração para auditar sua frota de dispositivos, acompanhar os resultados e, em seguida, corrigir automaticamente a frota para os padrões sshd adequados.

Limitações da pré-visualização privada

Importante

O Controle de Postura SSH está em visualização privada, destinado a acionar o diálogo entre você e a Microsoft.

• A pré-visualização destina-se a ser utilizada com máquinas de desenvolvimento/teste isoladas, onde qualquer problema (incluindo bloquear-se inadvertidamente do acesso SSH) não teria consequências importantes.
• A visualização envolve a importação da definição de política, em vez de escolhê-la na lista interna da Política do Azure.
• Para isso, forneceremos o fluxo de trabalho de auditoria e auditoria e configuração.
• Atualmente, as SKUs do Windows suportadas são apenas Windows Server 2025

Introdução à Política do Azure

Este exemplo é focado em começar rapidamente na Política do Azure. Faz suposições simplificadas e não explora tudo o que é possível. Por exemplo, ele usa configurações SSH padrão de PolicyDefinition, em vez de personalizar parâmetros como usuários e grupos permitidos. Espera-se num futuro próximo informações mais abrangentes sobre o Controlo de Postura SSH, incluindo configurações e comportamentos. Observe que a seção PowerShell está na seção no final do artigo.

Sugestão

O modelo mental e a terminologia a seguir são usados ao longo deste artigo.

• PolicyDefinition : definição e metadados do Controle de Postura SSH, conforme representado no serviço de Política do Azure.
• PolicyAssignment : vincula sua Política de Controle de Postura SSHDefinition a um escopo onde essa política deve ser aplicada, como um grupo de recursos.
• Máquina : um ponto de extremidade capaz de ser gerenciado pela Política do Azure e Configuração de Máquina (também conhecida como Configuração de Convidado). Em outras palavras, uma máquina habilitada para Arc ou uma VM do Azure.

Um. Pré-requisitos

1. Uma conta do Azure com permissão para criar um grupo de recursos, uma VM (ou máquina Arc), uma definição de política e uma atribuição de política.
2. Para pré-requisitos adicionais, escolha a sua experiência preferida:

Portais

1. Usando um navegador da Web, entre no Portal do Azure ou seu equivalente local.

PowerShell

1. Um ambiente PowerShell com os seguintes módulos instalados:
   1. Az.ResourceGraph
   2. Az.Contas
   3. Az.Recursos
2. Use Get-AzContext e/ou Set-AzContext cmdlets para garantir que o ambiente do Azure desejado seja direcionado.

Sugestão

O Azure Cloud Shell no modo PowerShell é um ambiente pronto para uso e é uma maneira fácil de começar.

Azure CLI

Não disponível no momento. Pendente https:// github.com/Azure/azure-cli/issues/28377. Use as instruções do Portal ou do PowerShell.

B. Criar um grupo de recursos

Portais

1. Crie um grupo de recursos. Nas próximas etapas, isso será usado para definir o escopo da política e para conter uma nova máquina de teste.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group" 
$myAzureLocation = "eastus" ## Modify as needed

$myResourceGroup = New-AzResourceGroup -Name $myResourceGroupName -Location $myAzureLocation

Azure CLI

Não disponível no momento. Pendente https://github.com/Azure/azure-cli/issues/28377. Use as instruções do Portal ou do PowerShell.

C. Criar a definição de política

Observação

Esta etapa extra (criar em vez de apenas escolher PolicyDefinition) é necessária durante a visualização privada.

Portais

1. Navegue até a página Visão Geral da Política do Azure . Por exemplo, você pode usar o URI: https://portal.azure.com/#view/Microsoft_Azure_Policy/PolicyMenuBlade/~/Overview.
2. Navegue até a visualização Definições .
3. Clique no botão + Definição de Política para criar uma nova PolicyDefinition, inserindo o seguinte como entradas.
   1. Local da definição: escolha sua assinatura do Azure onde a PolicyDefinition viverá.
   2. Nome: [Pré-visualizar] Auditar a política de Controlo de Postura SSH ou [Pré-visualizar] Configurar a política de Controlo de Postura SSH
   3. Categoria: Use Existente e escolha Configuração de convidado
   4. Regra de política: exclua o JSON pré-existente e cole o JSON PolicyDefinition de Preview audit SSH Posture Control policy definitionouPreview audit-and-configure SSH Posture Control policy definition
4. Clique em Guardar

PowerShell

Política Somente auditoria:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SecureShell_Preview_AuditIfNotExists.json"
$localFilePath = "AuditSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

Política de auditoria e configuração:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SetSecureShell_Preview_DeployIfNotExists.json"
$localFilePath = "ConfigureSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

Azure CLI

Não disponível no momento. Pendente https://github.com/Azure/azure-cli/issues/28377. Use as instruções do Portal ou do PowerShell.

D. Use um PolicyAssignment para aplicar PolicyDefinition ao seu grupo de recursos

Atenção

Esta política modifica a configuração do sshd em máquinas dentro do escopo. Estas instruções permitem atribuí-lo a um grupo de recursos inicialmente vazio, onde você criará posteriormente uma máquina de teste. Tenha muito cuidado se optar por atribuir a qualquer escopo mais amplo.

Portais

1. Navegue até a Política | Página de definições que lista todas as definições de política disponíveis.
2. Selecione a Política de Política de Controle de Postura SSH [Visualizar] que você criou anteriormente
3. Clique em Atribuir.
4. Em Escopo , escolha o grupo de recursos onde você criará posteriormente uma nova máquina de teste.
5. Vá para a guia Parâmetros .
   1. Escolha "true" para Incluir máquinas conectadas Arc, a menos que você queira excluir especificamente máquinas conectadas Arc.
   2. NOTA: Se pretender personalizar as definições de SSH, tais como grupos permitidos, desmarque a caixa Mostrar apenas parâmetros... para revelar todos os parâmetros disponíveis. Se você optar por especificar usuários ou grupos permitidos ou negados, esteja ciente de que você inseriria uma cadeia de caracteres delimitada por espaço, por exemplo userA userB.
6. Prossiga para a guia Remediação .
   1. NOTA: Embora esta demonstração se concentre em uma nova máquina, em outros cenários em que você deseja que PolicyAssignment seja aplicada a máquinas existentes, você pode marcar a caixa Criar uma tarefa de correção.
   2. Escolha Criar uma identidade gerenciada com o sistema atribuído e um local de identidade de sua escolha.
7. Avançar para Revisão + criar
   1. Escolha Create (Criar ) para concluir PolicyAssignment.

PowerShell

Política Somente auditoria:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Audit SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

Política de auditoria e configuração:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Configure SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

Azure CLI

Não disponível no momento. Pendente https://github.com/Azure/azure-cli/issues/28377. Use as instruções do Portal ou do PowerShell.

E. Criar uma nova máquina

Embora novas PolicyAssignments possam ser aplicadas a máquinas existentes, o processo pode levar até 24 horas. Para este início rápido, vamos nos concentrar na avaliação de uma nova máquina. Neste exemplo, criaremos uma VM do Azure, mas você pode criar uma máquina habilitada para Arc, se preferir.

Portais

1. Navegue até a experiência de Máquinas Virtuais do Azure .
2. Crie uma nova VM, garantindo as seguintes propriedades:
   1. Assinatura e Grupo de Recursos devem corresponder ao escopo do PolicyAssignment.
   2. A imagem deve ser "Windows Server 2025".
   3. A arquitetura da VM deve ser x64.
   4. Outras propriedades, como nome da VM, tamanho, etc., podem ser o que você preferir.
3. Aguarde a conclusão da criação da VM e clique em Ir para Recurso para acessar a página de visão geral da máquina
4. Na navegação à esquerda, selecione Identidade e verifique se a máquina tem uma identidade gerenciada pelo sistema
5. Na navegação à esquerda, selecione Extensões + aplicações e, em seguida, + Adicionar
6. Escolha a extensão Azure Machine Configuration para Windows e selecione Next
7. Selecione Rever + criar e, em seguida, criar

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myNameForNewVM = "sshdemovm01"

## Creates a new VM which is prepped to work with MachineConfiguration
## by having a system assigned identity and the GuestConfiguration extension
New-AzVM -Name $myNameForNewVM -ResourceGroupName $myResourceGroupName -SystemAssignedIdentity -Image "MicrosoftWindowsServer:WindowsServer:2025-datacenter:latest"
Set-AzVMExtension -ResourceGroupName $myResourceGroupName -VMName $myNameForNewVM -ExtensionType "ConfigurationforWindows" -Publisher "Microsoft.GuestConfiguration" -Name "AzurePolicyforWindows" -TypeHandlerVersion 1.0

Azure CLI

Não disponível no momento. Pendente https://github.com/Azure/azure-cli/issues/28377. Use as instruções do Portal ou do PowerShell.

F. Faça uma pausa antes de prosseguir

Quando novas PolicyDefinitions, PolicyAssignments e máquinas estão envolvidas, pode levar vários minutos para que tudo atinja o estado estacionário. Considere esperar pelo menos 30 minutos antes de prosseguir para a próxima etapa.

G. Observar os resultados de conformidade

As etapas a seguir permitem que você veja um pacote cumulativo de conformidade em diferentes altitudes:

• Conformidade por PolicyAssignment
  • Número de máquinas conformes e não conformes
  • Altitude mais elevada, especialmente útil para grandes frotas
• Conformidade por máquina
  • Lista de máquinas com sim/não por máquina
• Conformidade por configuração, para uma máquina específica
  • Nível mais profundo de detalhes, como a captura de tela no topo deste artigo.

Sugestão

Sua nova máquina provavelmente será julgada como não conforme quando encontrar a política pela primeira vez. As configurações de SSH padrão na política são mais rígidas do que muitas imagens do sistema operacional configuradas por padrão. Após mais 20 minutos, você deve descobrir que sua máquina se torna compatível graças à lógica de remediação integrada ao Controle de Postura SSH.

Portais

1. Navegue até a Política | Página de conformidade .
2. Selecione [Pré-visualizar] Política de Controlo de Postura SSH.
3. Observe que o número de máquinas conformes/não conformes é informado
4. Em Conformidade de Recursos , você pode ver o status de máquinas individuais
5. Para detalhar os detalhes de configuração por configuração de uma máquina específica:
   1. Clique no botão ... ao lado de uma máquina e escolha Exibir recurso para acessar a página Visão geral da máquina
   2. Na navegação à esquerda, em Operações, clique em Gerenciamento de configuração (não em Configuração em Configurações)
   3. Clique em SecureShell
   4. A página resultante mostra cada configuração na configuração com detalhes sobre a conformidade, bem como como a conformidade foi determinada.

PowerShell

Para observar o status na altitude mais alta (apenas contagens de máquinas), você pode usar o seguinte:

$machineCountsQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend complianceStatus = tostring(properties.complianceStatus)
| summarize machineCount = count() by complianceStatus
'@

Search-AzGraph -Query $machineCountsQuery

<#
Sample output from an environment with two machines:

complianceStatus machineCount
---------------- ------------
Pending                     1
Compliant                   1
#>

Para ver uma conformidade por máquina, você pode usar o seguinte:

$machinePerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| project 
    machine = split(properties.targetResourceId,'/')[-1],
    complianceStatus = properties.complianceStatus,
    lastComplianceStatusChecked = properties.lastComplianceStatusChecked
'@

Search-AzGraph -Query $machinePerRowQuery

<#
Sample output:

machine     complianceStatus lastComplianceStatusChecked
-------     ---------------- ---------------------------
sshdemovm01 Compliant        2/15/2024 11:07:21 PM
sshdemovm02 Pending          1/1/0001 12:00:00 AM
#>

Para ver os detalhes de configuração por configuração, você pode usar o seguinte:

$settingPerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend machine = split(properties.targetResourceId,'/')[-1]
| mvexpand properties.latestAssignmentReport.resources
| mvexpand properties_latestAssignmentReport_resources.reasons
| project machine,
    complianceCheck = tostring(properties_latestAssignmentReport_resources.resourceId),
    complianceStatus = tostring(properties.complianceStatus),
    complianceReason = tostring(properties_latestAssignmentReport_resources_reasons.phrase)
'@

Search-AzGraph $settingPerRowQuery

<#
   Sample output:
   
   machine     complianceCheck                                                  complianceStatus     complianceReason
   -------     ---------------                                                  ------               ------
   sshdemovm01 Ensure that the allowed groups for SSH are configured            Compliant            ["administrators","openssh users"] contains the expected values: ["administrators","openssh users"]
   sshdemovm01 Ensure that appropriate ciphers are used for SSH                 Compliant            ["aes128-ctr","aes192-ctr","aes256-ctr"] contains the expected values: ["aes128-ctr","aes192-ctr","aes256-ctr"]
   sshdemovm01 Ensure that the authorized key file for SSH is configured        Compliant            "%programdata%/ssh/administrators_authorized_keys" is equal to "%programdata%/ssh/administrators_authorized_keys"
   sshdemovm01 Ensure that the SSH ClientAliveInterval is configured            Compliant            3600 is equal to 3600
   sshdemovm01 Ensure that the SSH PermitEmptyPasswords is configured           Compliant            false is equal to false
   sshdemovm01 Ensure that the SSH port is configured                           Compliant            22 is equal to 22
   sshdemovm01 Ensure that the SSH MaxAuthTries is configured                   Compliant            6 is equal to 6
   sshdemovm01 Ensure that only approved MAC algorithms are used                Compliant            ["hmac-sha2-256"] contains the expected values: ["hmac-sha2-256"]
   sshdemovm01 Ensure that the SSH HostKey is configured                        Compliant            "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key" is equal to "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key"
   sshdemovm01 Ensure that the SSH LoginGraceTime is configured                 Compliant            60 is equal to 60
   #>

Azure CLI

Não disponível no momento. Pendente https://github.com/Azure/azure-cli/issues/28377. Use as instruções do Portal ou do PowerShell.

Introdução à Experiência Local (PowerShell)

Pré-requisitos

• Você deve estar executando uma compilação do Windows Server 2025 assinada em produção em seu dispositivo.
• O módulo OSConfig PowerShell deve ser instalado no dispositivo do servidor. Consulte Instalar o módulo OSConfig PowerShell para obter detalhes.
• Você deve ter o serviço sshd instalado e em execução seguindo este guia: https://aka.ms/windows-openssh-install.

Para aplicar uma linha de base, verificar se a linha de base é aplicada, remover uma linha de base ou exibir informações detalhadas de conformidade para o OSConfig no PowerShell, use os comandos nas guias a seguir.

Configurar

Para aplicar o cenário SSH, execute o seguinte comando:

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

Verificar

Para verificar se o cenário SSH está aplicado corretamente, execute o seguinte comando:

Get-OSConfigDesiredConfiguration -Scenario SSH

Verificar conformidade

Para obter os detalhes de configuração desejados para o cenário especificado, use os comandos a seguir. A saída aparece em um formato de tabela que inclui o nome do item de configuração, seu status de conformidade e o motivo da não conformidade.

Para verificar os detalhes de conformidade para SSH scenairo, execute o seguinte comando:

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Configuração personalizada

Para personalizar a configuração no cenário SSH, você pode definir uma configuração com os parâmetros '-Name' e '-Value':

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

---

Próximo passo

Entre em contato com a equipe da Microsoft para fornecer comentários, solicitações de recursos, etc.

Contacte-nos