Краткое руководство. Применение управления SSH Posture на тестовом компьютере

В следующих шагах вы будете использовать политику Azure для развертывания параметров управления posture SSH на тестовой виртуальной машине Linux.

Справочные сведения о фоновом и концептуальном справочнике см. в разделе Что такое элемент управления SSH Posture Control?.

Более подробное пошаговое руководство см. в разделе "Управление параметрами sshd" с помощью элемента управления posture SSH.

Если у вас нет учетной записи Azure, вы можете создать бесплатную пробную версию.

Осторожность

• В этом кратком руководстве показано применение ограничивающей конфигурации sshd, предназначенной для нового удаленного тестового компьютера. Если бы вы применили эту конфигурацию к другим компьютерам, вы можете заблокировать себя. При попытке использовать такие элементы управления безопасности, как SSH Posture Control, используйте изолированную среду песочницы, так что даже ошибка в назначении политики не будет повторно настраивать непреднамеренные компьютеры.

Необходимые условия

Прежде чем выполнить действия, описанные в этой статье, убедитесь, что у вас уже есть:

1. Учетная запись Azure, в которой есть права на создание группы ресурсов, назначений политик и виртуальной машины.
2. Предпочитаемая среда для взаимодействия с Azure, например:
   1. Azure Cloud Shell (рекомендуется)
      1. Примечание. Примеры будут использовать режим bash. Читатели могут адаптировать примеры к другим средам оболочки, включая PowerShell.
   2. или собственную среду оболочки с установленным и вошедшего в систему Azure CLI
   3. илипортал Azure в веб-браузере

Убедитесь, что вы вошли в тестовую среду

портале Azure

1. Используйте сведения об учетной записи на портале, чтобы просмотреть текущий контекст.

   

Azure CLI

1. Вы можете использовать az account show для просмотра текущего контекста. Чтобы войти в систему или изменить контексты, используйте az account login.

Создание группы ресурсов

Выбор расположения eastus в этом примере не является значительным. Вы можете использовать любое доступное расположение Azure.

портале Azure

Azure CLI

az group create --name sshdemo01 --location eastus

Назначение политики группе ресурсов

В этом кратком руководстве применяется поведение аудита и настройки с помощью встроенного определения политики Configure SSH Posture Control on Linux machines.

Пример назначения будет в основном зависеть от значений по умолчанию управления posture SSH (например, порт 22, корневой доступ не разрешен), с ограниченной настройкой (текст баннера).

портале Azure

1. Перейдите к политике, а затем определения
2. Фильтрация списка для поиска и выбора Configure SSH Posture Control on Linux machines
3. На странице определения политики нажмите кнопку "Назначить"
4. В рабочем процессе назначения политики
   1. Выберите новую пустую группу ресурсов (созданную ранее) в качестве области.
   2. Необязательно. Выберите имя для этого назначения политики. По умолчанию используется имя определения политики.
   3. Необязательно. На вкладке параметров переопределите значение по умолчанию, например "баннер".
   4. Примечание. Правило "порт" должно быть настроено с одним значением, чтобы обеспечить правильную функциональность и соответствие требованиям для аудита и настройки сценариев.
   5. Завершите создание назначения политики.

Azure CLI

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group sshdemo01 --query id --output tsv)
az policy assignment create --policy "e22a2f03-0534-4d10-8ea0-aa25a6113233" --name "Configure SSH Posture test machine" --scope "$RG_ID" --params '{"banner":{"value":"CONTOSO SYSTEMS. Unauthorized use will be prosecuted."}}' --mi-system-assigned --role "Guest Configuration Resource Contributor" --identity-scope "$RG_ID" --location eastus

Осторожность

Независимо от того, использовали ли вы портал или ИНТЕРФЕЙС командной строки, проверьте область назначения политики, которую вы только что создали перед продолжением. Если область была ошибочно задана, кроме новой пустой группы ресурсов, созданной ранее, она должна быть исправлена немедленно, чтобы избежать путаницы непреднамеренных компьютеров.

Создание тестовой виртуальной машины и его подготовка к настройке компьютера

портале Azure

1. Создание виртуальной машины Linux
2. Добавьте назначенное системой удостоверение, если оно еще не присутствует
3. Добавьте расширение конфигурации компьютера (помеченное на портале в качестве конфигурации компьютера Azure для Linux)

Azure CLI

1. Создание виртуальной машины Linux с назначенным системой удостоверением

   az vm create --name sshdemo01 --resource-group sshdemo01 --image Ubuntu2204 --assign-identity [system]
   

2. Установка агента конфигурации компьютера в качестве расширения виртуальной машины Azure

   az vm extension set --resource-group sshdemo01 --vm-name sshdemo01 --name ConfigurationForLinux --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

Кончик

В этом кратком руководстве предварительные требования для конфигурации компьютера (у виртуальной машины есть управляемое удостоверение и расширение агента) были устранены непосредственно во время создания виртуальной машины. В большом масштабе эти предварительные требования могут быть удовлетворены с помощью встроенной инициативы политики Deploy prerequisites to enable Guest Configuration policies on virtual machines.

Сделайте перерыв перед продолжением

Теперь несколько шагов будут выполняться автоматически. Каждое из этих действий может занять несколько минут. Соответственно, дождитесь по крайней мере 15 минут, прежде чем продолжить.

Наблюдение за результатами

С помощью следующих действий можно увидеть следующее:

1. Сколько компьютеров соответствует (или нет)
   1. Особенно полезно в рабочих масштабах, где могут быть тысячи компьютеров
2. Какие компьютеры соответствуют (или нет)
3. Для данного компьютера, который соответствует отдельным правилам (или нет)

портале Azure

Azure CLI

Ниже приведены примеры Azure CLI из среды bash. Чтобы использовать другую среду оболочки, может потребоваться настроить примеры для поведения конца строки, правил кавычки, экранирования символов и т. д.

1. Сколько компьютеров соответствует требованиям (или нет):

   QUERY="guestconfigurationresources
      | where name contains 'LinuxSshServerSecurityBaseline'
      | extend complianceStatus = tostring(properties.complianceStatus)
      | summarize machineCount = count() by complianceStatus
   "
   az graph query -q "$QUERY" --query data --output table
   
   # Sample output from an environment with two machines:
   # 
   # complianceStatus machineCount
   # ---------------- ------------
   # Pending                     1
   # Compliant                   1
   

2. Какие компьютеры соответствуют требованиям (или нет):

   QUERY="guestconfigurationresources
   | where name contains 'LinuxSshServerSecurityBaseline'
   | project 
       machine = split(properties.targetResourceId,'/')[-1],
       complianceStatus = properties.complianceStatus,
       lastComplianceStatusChecked = properties.lastComplianceStatusChecked
   "
   
   az graph query -q "$QUERY" --query data --output table
   
   # Sample output from an environment with two machines:
   #
   # machine     complianceStatus lastComplianceStatusChecked
   # -------     ---------------- ---------------------------
   # sshdemovm01 Compliant        2/15/2024 11:07:21 PM
   # sshdemovm02 Pending          1/1/0001 12:00:00 AM
   

3. Для определенного компьютера, который соответствует отдельным правилам (или нет):

   QUERY="GuestConfigurationResources
   | where name contains 'LinuxSshServerSecurityBaseline'
   | project report = properties.latestAssignmentReport,
     machine = split(properties.targetResourceId,'/')[-1],
     lastComplianceStatusChecked=properties.lastComplianceStatusChecked
   | mv-expand report.resources
   | project machine,
     rule = report_resources.resourceId,
     ruleComplianceStatus = report_resources.complianceStatus,
     ruleComplianceReason = report_resources.reasons[0].phrase,
     lastComplianceStatusChecked
   "
   az graph query -q "$QUERY" --query data --output table
   # Sample output from an environment where audit-and-configure behavior was selected, such that all settings became compliant:
   # 
   # machine     rule                                                            ruleComplianceStatus     ruleComplianceReason
   # -------     ---------------                                                  ------               ------
   # sshdemovm01 Ensure permissions on /etc/ssh/sshd_config are configured        true            Access to '/etc/ssh/sshd_config' matches required ...
   # sshdemovm01 Ensure SSH is configured to meet best practices (protocol 2)     true            'Protocol 2' is found uncommented in /etc/ssh/sshd_config
   # sshdemovm01 Ensure SSH is configured to ignore rhosts                        true            The sshd service reports that 'ignorerhosts' is set to 'yes'
   # sshdemovm01 Ensure SSH LogLevel is set to INFO                               true            The sshd service reports that 'loglevel' is set to 'INFO'
   # sshdemovm01 Ensure SSH MaxAuthTries is configured                            true            The sshd service reports that 'maxauthtries' is set to '6'
   # sshdemovm01 Ensure allowed users for SSH access are configured               true            The sshd service reports that 'allowusers' is set to '*@*'
   # sshdemovm01 Ensure denied users for SSH are configured                       true            The sshd service reports that 'denyusers' is set to 'root'
   # sshdemovm01 Ensure allowed groups for SSH are configured                     true            The sshd service reports that 'allowgroups' is set to '*'
   # sshdemovm01 Ensure denied groups for SSH are configured                      true            The sshd service reports that 'denygroups' is set to 'root'
   # sshdemovm01 Ensure SSH host-based authenticationis disabled                  true            The sshd service reports that 'hostbasedauthentication' is ...
   # ...
   

Необязательно. Добавление дополнительных тестовых компьютеров для масштабирования

В этой статье политика была назначена группе ресурсов, которая изначально была пустой, а затем получила одну виртуальную машину. Несмотря на то, что это демонстрирует работу системы, она не обеспечивает возможность масштабируемых операций. Например, в представлении соответствия требованиям политики круговая диаграмма одного компьютера может чувствовать себя искусственным.

Рассмотрите возможность добавления дополнительных тестовых компьютеров в группу ресурсов, будь то вручную или с помощью автоматизации. Это могут быть виртуальные машины Azure или компьютеры с поддержкой Arc. Как вы видите, эти компьютеры приходят в соответствие (или даже сбой) вы можете получить более острое чувство операционирования SSH Posture Control в масштабе.

Необязательно. Проверка тестового компьютера вручную для подтверждения результатов

При начале работы с новой функцией, например SSH Posture Control, это может быть полезно вручную проверить результаты вне полосы. Это помогает построить уверенность и ясность. Действия, описанные в этой статье, должны привести к изменению конфигурации баннера входа на тестовой виртуальной машине. Это можно подтвердить, попытаясь подключиться к компьютеру sSH, чтобы просмотреть баннер или проверить файл sshd_config.

Очистка ресурсов

Чтобы избежать текущих расходов, рассмотрите возможность удаления группы ресурсов, используемой в этой статье. Например, команда Azure CLI будет az group delete --name "sshdemo01"

---

Связанное содержимое

• Что такое элемент управления позы SSH?
• Безопасное развертывание параметров сервера SSH с помощью политики Azure
• Чтобы предоставить отзыв, обсудить запросы на функции и т. д., обратитесь к linux_sec_config_mgmt@service.microsoft.com