Краткое руководство: применение SSH Posture Control на тестовом компьютере Windows Server

На следующих шагах вы будете использовать Политику Azure для развертывания параметров управления состоянием SSH на тестовой виртуальной машине Windows Server 2019, 2022 или 2025.

Справочные сведения о фоновом и концептуальном справочнике см. в разделе Что такое элемент управления SSH Posture Control?.

Более подробное пошаговое руководство см. в разделе "Управление параметрами sshd" с помощью элемента управления posture SSH.

Если у вас нет учетной записи Azure, вы можете создать бесплатную пробную версию.

Осторожность

• В этом кратком руководстве показано применение ограничивающей конфигурации sshd, предназначенной для нового удаленного тестового компьютера. Если бы вы применили эту конфигурацию к другим компьютерам, вы можете заблокировать себя. При попытке использовать такие элементы управления безопасности, как SSH Posture Control, используйте изолированную среду песочницы, так что даже ошибка в назначении политики не будет повторно настраивать непреднамеренные компьютеры.

Предпосылки

Прежде чем выполнить действия, описанные в этой статье, убедитесь, что у вас уже есть:

1. Учетная запись Azure, в которой есть права на создание группы ресурсов, назначений политик и виртуальной машины.
2. Предпочитаемая среда для взаимодействия с Azure, например:
   1. Azure Cloud Shell (рекомендуется)
      1. Примечание. Примеры будут использовать режим bash. Читатели могут адаптировать примеры к другим средам оболочки, включая PowerShell.
   2. или собственную среду оболочки с установленным и вошедшего в систему Azure CLI
   3. илипортал Azure в веб-браузере

Убедитесь, что вы вошли в тестовую среду

Портал Azure

1. Используйте сведения об учетной записи на портале, чтобы просмотреть текущий контекст.

   

Azure CLI

1. Вы можете использовать az account show для просмотра текущего контекста. Чтобы войти в систему или изменить контексты, используйте az account login.

Создайте группу ресурсов

Выбор расположения eastus в этом примере не является значительным. Вы можете использовать любое доступное расположение Azure.

Портал Azure

Azure CLI

az group create --name sshdemo01 --location eastus

Назначение политики группе ресурсов

В этом кратком руководстве применяется поведение аудита и настройки с помощью встроенного определения политики [Preview]: Configure SSH security posture for Windows.

Пример назначения будет в основном зависеть от значений по умолчанию управления posture SSH (например, порт 22, корневой доступ не разрешен), с ограниченной настройкой (текст баннера).

Портал Azure

1. Перейдите к политике, а затем определения
2. Фильтрация списка для поиска и выбора [Preview]: Configure SSH security posture for Windows
3. На странице определения политики нажмите кнопку "Назначить"
4. В рабочем процессе назначения политики
   1. Выберите новую пустую группу ресурсов (созданную ранее) в качестве области.
   2. Необязательно. Выберите имя для этого назначения политики. По умолчанию используется имя определения политики.
   3. Необязательно. На вкладке параметров переопределите значение по умолчанию, например "баннер".
   4. Примечание. Правило "порт" должно быть настроено с одним значением, чтобы обеспечить правильную функциональность и соответствие требованиям для аудита и настройки сценариев.
   5. Завершите создание назначения политики.

Azure CLI

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group sshdemo01 --query id --output tsv)
az policy assignment create --policy "42830b63-79aa-4ea5-85dc-6baa719d7d7c" --name "Configure SSH Posture test machine" --scope "$RG_ID" --params '{"banner":{"value":"CONTOSO SYSTEMS. Unauthorized use will be prosecuted."}}' --mi-system-assigned --role "Guest Configuration Resource Contributor" --identity-scope "$RG_ID" --location eastus

Осторожность

Независимо от того, использовали ли вы портал или ИНТЕРФЕЙС командной строки, проверьте область назначения политики, которую вы только что создали перед продолжением. Если область была ошибочно задана, кроме новой пустой группы ресурсов, созданной ранее, она должна быть исправлена немедленно, чтобы избежать путаницы непреднамеренных компьютеров.

Создание тестовой виртуальной машины и его подготовка к настройке компьютера

Портал Azure

1. Создание виртуальной машины Windows Server 2019, 2022 или 2025
2. Добавьте назначенное системой удостоверение, если оно еще не присутствует
3. Добавление расширения "Конфигурация компьютера" (помечено на портале как "Конфигурация компьютера Azure" для Windows)

Azure CLI

1. Создание виртуальной машины Windows Server 2019, 2022 или 2025 с назначенным системой удостоверением

   az vm create --name sshdemo01 --resource-group sshdemo01 --image "MicrosoftWindowsServer:WindowsServer:2025-datacenter:latest" --assign-identity [system]
   

2. Установка агента конфигурации компьютера в качестве расширения виртуальной машины Azure

   az vm extension set --resource-group sshdemo01 --vm-name sshdemo01 --name ConfigurationForWindows --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

Подсказка

В этом кратком руководстве предварительные требования для конфигурации компьютера (у виртуальной машины есть управляемое удостоверение и расширение агента) были устранены непосредственно во время создания виртуальной машины. В большом масштабе эти предварительные требования могут быть удовлетворены с помощью встроенной инициативы политики Deploy prerequisites to enable Guest Configuration policies on virtual machines.

Сделайте перерыв перед продолжением

Теперь несколько шагов будут выполняться автоматически. Каждое из этих действий может занять несколько минут. Соответственно, дождитесь по крайней мере 15 минут, прежде чем продолжить.

Наблюдение за результатами

С помощью следующих действий можно увидеть следующее:

1. Сколько компьютеров соответствует (или нет)
   1. Особенно полезно в рабочих масштабах, где могут быть тысячи компьютеров
2. Какие компьютеры соответствуют (или нет)
3. Для данного компьютера, который соответствует отдельным правилам (или нет)

Портал Azure

Azure CLI

Ниже приведены примеры Azure CLI из среды bash. Чтобы использовать другую среду оболочки, может потребоваться настроить примеры для поведения конца строки, правил кавычки, экранирования символов и т. д.

1. Сколько компьютеров соответствует требованиям (или нет):

   QUERY="guestconfigurationresources
      | where name contains 'SecureShell'
      | extend complianceStatus = tostring(properties.complianceStatus)
      | summarize machineCount = count() by complianceStatus
   "
   az graph query -q "$QUERY" --query data --output table
   
   # Sample output from an environment with two machines:
   # 
   # complianceStatus machineCount
   # ---------------- ------------
   # Pending                     1
   # Compliant                   1
   

2. Какие компьютеры соответствуют требованиям (или нет):

   QUERY="guestconfigurationresources
   | where name contains 'SecureShell'
   | project 
       machine = split(properties.targetResourceId,'/')[-1],
       complianceStatus = properties.complianceStatus,
       lastComplianceStatusChecked = properties.lastComplianceStatusChecked
   "
   
   az graph query -q "$QUERY" --query data --output table
   
   # Sample output from an environment with two machines:
   #
   # machine     complianceStatus lastComplianceStatusChecked
   # -------     ---------------- ---------------------------
   # sshdemovm01 Compliant        2/15/2024 11:07:21 PM
   # sshdemovm02 Pending          1/1/0001 12:00:00 AM
   

3. Для определенного компьютера, который соответствует отдельным правилам (или нет):

   QUERY="GuestConfigurationResources
   | where name contains 'SecureShell'
   | project report = properties.latestAssignmentReport,
     machine = split(properties.targetResourceId,'/')[-1],
     lastComplianceStatusChecked=properties.lastComplianceStatusChecked
   | mv-expand report.resources
   | project machine,
     rule = report_resources.resourceId,
     ruleComplianceStatus = report_resources.complianceStatus,
     ruleComplianceReason = report_resources.reasons[0].phrase,
     lastComplianceStatusChecked
   "
   az graph query -q "$QUERY" --query data --output table
   # Sample output from an environment where audit-and-configure behavior was selected, such that all settings became compliant:
   # 
   # machine     rule                                                            ruleComplianceStatus     ruleComplianceReason
   # -------     ---------------                                                  ------               ------
   # sshdemovm01 Ensure permissions on /etc/ssh/sshd_config are configured        true            Access to '/etc/ssh/sshd_config' matches required ...
   # sshdemovm01 Ensure SSH is configured to meet best practices (protocol 2)     true            'Protocol 2' is found uncommented in /etc/ssh/sshd_config
   # sshdemovm01 Ensure SSH is configured to ignore rhosts                        true            The sshd service reports that 'ignorerhosts' is set to 'yes'
   # sshdemovm01 Ensure SSH LogLevel is set to INFO                               true            The sshd service reports that 'loglevel' is set to 'INFO'
   # sshdemovm01 Ensure SSH MaxAuthTries is configured                            true            The sshd service reports that 'maxauthtries' is set to '6'
   # sshdemovm01 Ensure allowed users for SSH access are configured               true            The sshd service reports that 'allowusers' is set to '*@*'
   # sshdemovm01 Ensure denied users for SSH are configured                       true            The sshd service reports that 'denyusers' is set to 'root'
   # sshdemovm01 Ensure allowed groups for SSH are configured                     true            The sshd service reports that 'allowgroups' is set to '*'
   # sshdemovm01 Ensure denied groups for SSH are configured                      true            The sshd service reports that 'denygroups' is set to 'root'
   # sshdemovm01 Ensure SSH host-based authenticationis disabled                  true            The sshd service reports that 'hostbasedauthentication' is ...
   # ...
   

Необязательно. Добавление дополнительных тестовых компьютеров для масштабирования

В этой статье политика была назначена группе ресурсов, которая изначально была пустой, а затем получила одну виртуальную машину. Несмотря на то, что это демонстрирует работу системы, она не обеспечивает возможность масштабируемых операций. Например, в представлении соответствия требованиям политики круговая диаграмма одного компьютера может чувствовать себя искусственным.

Рассмотрите возможность добавления дополнительных тестовых компьютеров в группу ресурсов, будь то вручную или с помощью автоматизации. Это могут быть виртуальные машины Azure или компьютеры с поддержкой Arc. Как вы видите, эти компьютеры приходят в соответствие (или даже сбой) вы можете получить более острое чувство операционирования SSH Posture Control в масштабе.

Необязательно. Проверка тестового компьютера вручную для подтверждения результатов

При начале работы с новой функцией, например SSH Posture Control, это может быть полезно вручную проверить результаты вне полосы. Это помогает построить уверенность и ясность. Действия, описанные в этой статье, должны привести к изменению конфигурации баннера входа на тестовой виртуальной машине. Это можно подтвердить, попытаясь подключиться к компьютеру sSH, чтобы просмотреть баннер или проверить файл sshd_config.

Очистите ресурсы

Чтобы избежать текущих расходов, рассмотрите возможность удаления группы ресурсов, используемой в этой статье. Например, команда Azure CLI будет az group delete --name "sshdemo01"

---

Начало работы с локальным интерфейсом (PowerShell)

Предпосылки

• На вашем устройстве должна быть установлена сборка Windows Server 2019, 2022, 2025, подписанная рабочей средой.
• Модуль OSConfig PowerShell должен быть установлен на серверном устройстве. Дополнительные сведения см. в разделе "Установка модуля PowerShell OSConfig".
• Необходимо установить и запустить службу sshd, выполнив следующую инструкцию: https://aka.ms/windows-openssh-install

Чтобы применить базовый план, убедитесь, что базовые показатели применены, удалите базовый план или просмотрите подробные сведения о соответствии для OSConfig в PowerShell, используйте команды на следующих вкладках.

Настройка

Чтобы применить сценарий SSH, выполните следующую команду:

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

Проверьте

Чтобы проверить правильность применения сценария SSH, выполните следующую команду:

Get-OSConfigDesiredConfiguration -Scenario SSH

Проверка соответствия требованиям

Чтобы получить необходимые сведения о конфигурации для указанного сценария, используйте следующие команды. Выходные данные отображаются в формате таблицы, включающую имя элемента конфигурации, его состояние соответствия и причину несоответствия.

Чтобы проверить сведения о соответствии для SSH scenairo, выполните следующую команду:

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Настраиваемая конфигурация

Чтобы настроить параметр в сценарии SSH, можно настроить параметр с параметром "-Name" и "-Value":

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

---

Дальнейшие шаги

Обратитесь в группу корпорации Майкрософт, чтобы предоставить отзывы, запросы функций и т. д.

Свяжитесь с нами