Vad är Windows SSH Posture Control (privat förhandsversion) med Azure Policy och PowerShell?

Med SSH Posture Control kan du använda de välbekanta arbetsflödena i Azure Policy och Machine Configuration för att:

• Se till att standarder i din bransch eller organisation efterlevs
• Minska angreppsytan för fjärrhanteringsfunktioner
• Säkerställa konsekvent konfiguration i hela flottan för säkerhet och produktivitet

SSH Posture Control innehåller också detaljerade skäl som beskriver hur efterlevnad eller bristande efterlevnad fastställdes. Dessa orsaker gör det enklare att vidta åtgärder eller att helt dokumentera efterlevnad.

SSH Posture Control analyserar och tillämpar cirka 20 SSH-serverparametrar (sshd). Du kan också anpassa vissa parametrar som passar din miljö. Du kan till exempel anpassa vilka användare och grupper som tillåts SSH-åtkomst samt portnummer med mera.

Du kan distribuera SSH Posture Control i antingen gransknings- eller gransknings- och konfigurationsläge för att granska din enhetsflotta, spåra resultat och sedan automatiskt reparera flottan till rätt sshd-standarder.

Begränsningar för privat förhandsversion

Viktigt!

SSH Posture Control är en privat förhandsversion som är avsedd att utlösa dialogrutan mellan dig och Microsoft.

• Förhandsversionen är avsedd att användas med isolerade utvecklings-/testdatorer där eventuella problem (inklusive oavsiktligt låsning från SSH-åtkomst) inte skulle få några viktiga konsekvenser.
• Förhandsgranskningen innebär att du importerar principdefinitionen i stället för att välja den från den inbyggda Azure Policy-listan.
• För detta tillhandahåller vi både gransknings- och gransknings- och konfigurationsarbetsflödet.
• Windows SKU:er som stöds är för närvarande endast Windows Server 2025

Komma igång med Azure Policy

Det här exemplet fokuserar på att komma igång snabbt i Azure Policy. Det förenklar antaganden och utforskar inte allt som är möjligt. Den använder till exempel standardinställningar för SSH från PolicyDefinition i stället för att anpassa parametrar som tillåtna användare och grupper. Mer omfattande information om SSH Posture Control, inklusive inställningar och beteenden, förväntas inom en snar framtid. Observera att PowerShell-avsnittet finns i avsnittet mot slutet av artikeln.

Tips/Råd

Följande mentala modell och terminologi används i hela den här artikeln.

• PolicyDefinition : SSH Posture Control definition och metadata, som representeras i Azure Policy-tjänsten.
• PolicyAssignment : Länkar din SSH Posture Control PolicyDefinition till ett omfång där principen ska tillämpas, till exempel en resursgrupp.
• Dator : En slutpunkt som kan hanteras av Azure Policy och Machine Configuration (även kallad gästkonfiguration). Med andra ord en Arc-aktiverad dator eller en virtuell Azure-dator.

A. Förutsättningar

1. Ett Azure-konto med behörighet att skapa en resursgrupp, en virtuell dator (eller Arc-dator), en principdefinition och en principtilldelning.
2. Om du vill ha ytterligare förutsättningar väljer du önskad upplevelse:

Portal

1. Logga in på Azure-portalen eller din lokala motsvarighet med hjälp av en webbläsare.

PowerShell

1. En PowerShell-miljö med följande moduler installerade:
   1. Az.ResourceGraph
   2. Az.Konton
   3. Az.Resources
2. Använd Get-AzContext och/eller Set-AzContext cmdletar för att säkerställa att önskad Azure-miljö är mål.

Tips/Råd

Azure Cloud Shell i PowerShell-läge är en färdig miljö och är ett enkelt sätt att komma igång.

Azure CLI

Inte tillgänglig just nu. Väntar på https:// github.com/Azure/azure-cli/issues/28377. Använd portal- eller PowerShell-instruktioner.

B. Skapa en resursgrupp

Portal

1. Skapa en resursgrupp. I kommande steg används detta för att begränsa principen och för att innehålla en ny testdator.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group" 
$myAzureLocation = "eastus" ## Modify as needed

$myResourceGroup = New-AzResourceGroup -Name $myResourceGroupName -Location $myAzureLocation

Azure CLI

Inte tillgänglig just nu. Väntar på https://github.com/Azure/azure-cli/issues/28377. Använd portal- eller PowerShell-instruktioner.

C. Skapa PolicyDefinition

Anmärkning

Det här extra steget (att skapa i stället för att bara välja PolicyDefinition) krävs under den privata förhandsversionen.

Portal

1. Gå till sidan Översikt över Azure Policy . Du kan till exempel använda URI:n: https://portal.azure.com/#view/Microsoft_Azure_Policy/PolicyMenuBlade/~/Overview.
2. Navigera till vyn Definitioner .
3. Klicka på knappen + Principdefinition för att skapa en ny PolicyDefinition och ange följande som indata.
   1. Definitionsplats: Välj din Azure-prenumeration där PolicyDefinition ska finnas.
   2. Namn: [Förhandsversion] Granska princip för SSH-hållningskontroll eller [förhandsversion] Konfigurera princip för SSH-hållningskontroll
   3. Kategori: Använd befintlig och välj sedan Gästkonfiguration
   4. Principregel: Ta bort den befintliga JSON:en och klistra in principdefinitionens JSON från förhandsversionen av principdefinitionen för SSH-hållningskontrollellerförhandsversion av principdefinitionen för granskning och konfiguration av SSH-hållningskontroll
4. Klicka på Spara

PowerShell

granskningsprincip:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SecureShell_Preview_AuditIfNotExists.json"
$localFilePath = "AuditSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

audit-and-configure Policy:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SetSecureShell_Preview_DeployIfNotExists.json"
$localFilePath = "ConfigureSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

Azure CLI

Inte tillgänglig just nu. Väntar på https://github.com/Azure/azure-cli/issues/28377. Använd portal- eller PowerShell-instruktioner.

D. Använd en PolicyAssignment för att tillämpa PolicyDefinition på resursgruppen

Försiktighet

Den här principen ändrar sshd-konfigurationen på datorer med omfång. De här anvisningarna beskriver hur du tilldelar den till en ursprungligen tom resursgrupp, där du senare skapar en testdator. Var mycket försiktig om du väljer att tilldela till något bredare omfång.

Portal

1. Gå till principen | Sidan Definitioner som visar alla tillgängliga principdefinitioner.
2. Välj policyn [Förhandsversion] SSH Posture Control PolicyDefinition som du skapade tidigare
3. Klicka på Tilldela.
4. För Omfång väljer du den resursgrupp där du senare ska skapa en ny testdator.
5. Fortsätt till fliken Parametrar .
   1. Välj "sant" för Inkludera Arc-anslutna datorer, såvida du inte specifikt vill exkludera Arc-anslutna datorer.
   2. Obs! Om du vill anpassa SSH-inställningar, till exempel tillåtna grupper, avmarkerar du rutan Visa endast parametrar... för att visa alla tillgängliga parametrar. Om du väljer att ange tillåtna eller nekade användare eller grupper bör du vara medveten om att du anger en blankstegsavgränsad sträng, till exempel userA userB.
6. Fortsätt till fliken Reparation .
   1. Obs! Även om den här demonstrationen fokuserar på en ny dator kan du i andra scenarier där du vill att PolicyAssignment ska gälla för befintliga datorer markera kryssrutan för Skapa en reparationsaktivitet.
   2. Välj Skapa en hanterad identitet med systemtilldelad och en valfri identitetsplats.
7. Gå vidare till Granska + skapa
   1. Välj Skapa för att slutföra PolicyAssignment.

PowerShell

granskningsprincip:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Audit SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

audit-and-configure Policy:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Configure SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

Azure CLI

Inte tillgänglig just nu. Väntar på https://github.com/Azure/azure-cli/issues/28377. Använd portal- eller PowerShell-instruktioner.

E. Skapa en ny dator

Även om nya PolicyAssignments kan gälla för befintliga datorer kan processen ta upp till 24 timmar. För den här snabbstarten fokuserar vi på att utvärdera en ny dator. I det här exemplet skapar vi en virtuell Azure-dator, men du kan skapa en Arc-aktiverad dator om du vill.

Portal

1. Gå till Azure Virtual Machines-upplevelsen .
2. Skapa en ny virtuell dator, vilket säkerställer följande egenskaper:
   1. Prenumerationen och resursgruppen bör matcha där PolicyAssignment begränsades.
   2. Avbildningen ska vara "Windows Server 2025".
   3. Vm-arkitekturen ska vara x64.
   4. Andra egenskaper som vm-namn, storlek osv. kan vara vad du vill.
3. Vänta tills den virtuella datorn har skapats och klicka sedan på Gå till resurs för att nå översiktssidan för datorn
4. I det vänstra navigeringsfältet väljer du Identitet och ser till att datorn har en systemhanterad identitet
5. I det vänstra navigeringsfältet väljer du Tillägg + program och sedan + Lägg till
6. Välj Azure Machine Configuration-tillägget för Windows-tillägget och välj Nästa
7. Välj Granska + skapa och skapa sedan

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myNameForNewVM = "sshdemovm01"

## Creates a new VM which is prepped to work with MachineConfiguration
## by having a system assigned identity and the GuestConfiguration extension
New-AzVM -Name $myNameForNewVM -ResourceGroupName $myResourceGroupName -SystemAssignedIdentity -Image "MicrosoftWindowsServer:WindowsServer:2025-datacenter:latest"
Set-AzVMExtension -ResourceGroupName $myResourceGroupName -VMName $myNameForNewVM -ExtensionType "ConfigurationforWindows" -Publisher "Microsoft.GuestConfiguration" -Name "AzurePolicyforWindows" -TypeHandlerVersion 1.0

Azure CLI

Inte tillgänglig just nu. Väntar på https://github.com/Azure/azure-cli/issues/28377. Använd portal- eller PowerShell-instruktioner.

F. Ta en paus innan du fortsätter

När nya PolicyDefinitions, PolicyAssignments och datorer ingår kan det ta flera minuter innan allt når stabilt tillstånd. Överväg att vänta minst 30 minuter innan du fortsätter till nästa steg.

G. Observera kompatibilitetsresultat

Med följande steg kan du se en sammanslagning av efterlevnad på olika höjder:

• Efterlevnad av PolicyAssignment
  • Antal datorer som är kompatibla och inkompatibla
  • Högsta höjd, särskilt användbar för stora flottor
• Efterlevnad per dator
  • Lista över datorer med ja/nej per dator
• Kompatibilitet efter inställning för en specifik dator
  • Djupaste detaljnivå, till exempel skärmbilden överst i den här artikeln.

Tips/Råd

Den nya datorn bedöms troligen som icke-kompatibel när den stöter på principen för första gången. Standardinställningarna för SSH i principen är striktare än vad många OS-avbildningar har konfigurerat som standard. Efter ytterligare 20 minuter eller så bör du upptäcka att datorn blir kompatibel tack vare den inbyggda reparationslogik som är inbyggd i SSH Posture Control.

Portal

1. Gå till principen | Sidan Efterlevnad .
2. Välj [Förhandsversion] Princip för SSH-hållningskontroll.
3. Observera att antalet kompatibla/icke-kompatibla datorer rapporteras
4. Under Resursefterlevnad kan du se status för enskilda datorer
5. Så här ökar du detaljnivån för inställning efter inställning för en specifik dator:
   1. Klicka på ... bredvid en dator och välj Visa resurs för att nå datorns översiktssida
   2. I det vänstra navigeringsfältet under Åtgärder klickar du på Konfigurationshantering (inte Konfiguration under Inställningar)
   3. Klicka på SecureShell
   4. Den resulterande sidan visar varje inställning i konfigurationen med information om efterlevnad samt hur efterlevnad fastställdes.

PowerShell

Om du vill se status på den högsta höjden (bara antal datorer) kan du använda följande:

$machineCountsQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend complianceStatus = tostring(properties.complianceStatus)
| summarize machineCount = count() by complianceStatus
'@

Search-AzGraph -Query $machineCountsQuery

<#
Sample output from an environment with two machines:

complianceStatus machineCount
---------------- ------------
Pending                     1
Compliant                   1
#>

Om du vill se en efterlevnad per dator kan du använda följande:

$machinePerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| project 
    machine = split(properties.targetResourceId,'/')[-1],
    complianceStatus = properties.complianceStatus,
    lastComplianceStatusChecked = properties.lastComplianceStatusChecked
'@

Search-AzGraph -Query $machinePerRowQuery

<#
Sample output:

machine     complianceStatus lastComplianceStatusChecked
-------     ---------------- ---------------------------
sshdemovm01 Compliant        2/15/2024 11:07:21 PM
sshdemovm02 Pending          1/1/0001 12:00:00 AM
#>

Om du vill se information om inställning efter inställning kan du använda följande:

$settingPerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend machine = split(properties.targetResourceId,'/')[-1]
| mvexpand properties.latestAssignmentReport.resources
| mvexpand properties_latestAssignmentReport_resources.reasons
| project machine,
    complianceCheck = tostring(properties_latestAssignmentReport_resources.resourceId),
    complianceStatus = tostring(properties.complianceStatus),
    complianceReason = tostring(properties_latestAssignmentReport_resources_reasons.phrase)
'@

Search-AzGraph $settingPerRowQuery

<#
   Sample output:
   
   machine     complianceCheck                                                  complianceStatus     complianceReason
   -------     ---------------                                                  ------               ------
   sshdemovm01 Ensure that the allowed groups for SSH are configured            Compliant            ["administrators","openssh users"] contains the expected values: ["administrators","openssh users"]
   sshdemovm01 Ensure that appropriate ciphers are used for SSH                 Compliant            ["aes128-ctr","aes192-ctr","aes256-ctr"] contains the expected values: ["aes128-ctr","aes192-ctr","aes256-ctr"]
   sshdemovm01 Ensure that the authorized key file for SSH is configured        Compliant            "%programdata%/ssh/administrators_authorized_keys" is equal to "%programdata%/ssh/administrators_authorized_keys"
   sshdemovm01 Ensure that the SSH ClientAliveInterval is configured            Compliant            3600 is equal to 3600
   sshdemovm01 Ensure that the SSH PermitEmptyPasswords is configured           Compliant            false is equal to false
   sshdemovm01 Ensure that the SSH port is configured                           Compliant            22 is equal to 22
   sshdemovm01 Ensure that the SSH MaxAuthTries is configured                   Compliant            6 is equal to 6
   sshdemovm01 Ensure that only approved MAC algorithms are used                Compliant            ["hmac-sha2-256"] contains the expected values: ["hmac-sha2-256"]
   sshdemovm01 Ensure that the SSH HostKey is configured                        Compliant            "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key" is equal to "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key"
   sshdemovm01 Ensure that the SSH LoginGraceTime is configured                 Compliant            60 is equal to 60
   #>

Azure CLI

Inte tillgänglig just nu. Väntar på https://github.com/Azure/azure-cli/issues/28377. Använd portal- eller PowerShell-instruktioner.

Komma igång med den lokala upplevelsen (PowerShell)

Förutsättningar

• Du måste köra en produktionssignerad Windows Server 2025-version på enheten.
• OSConfig PowerShell-modulen måste vara installerad på serverenheten. Mer information finns i Installera OSConfig PowerShell-modulen .
• Du måste ha SSHD-tjänsten installerad och körs enligt den här guiden: https://aka.ms/windows-openssh-install.

För att använda en baslinje, verifiera att baslinjen har tillämpats, ta bort en baslinje eller visa detaljerad efterlevnadsinformation för OSConfig i PowerShell, använd kommandona på flikarna nedan.

Konfigurera

Kör följande kommando för att tillämpa SSH-scenariot:

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

Kontrollera

Kontrollera att SSH-scenariot tillämpas korrekt genom att köra följande kommando:

Get-OSConfigDesiredConfiguration -Scenario SSH

Kontrollera efterlevnad

Använd följande kommandon för att hämta önskad konfigurationsinformation för det angivna scenariot. Utdata visas i ett tabellformat som innehåller namnet på konfigurationsobjektet, dess efterlevnadsstatus och orsaken till inkompatibilitet.

Kör följande kommando för att kontrollera efterlevnadsinformationen för SSH scenairo:

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Anpassad konfiguration

Om du vill anpassa inställningen i SSH-scenariot kan du konfigurera en inställning med parametern "-Name" och "-Value":

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

---

Nästa steg

Kontakta teamet på Microsoft för att ge feedback, förfrågningar om funktioner osv.

Kontakta oss