Azure IoT ve OSConfig ile konak güvenlik duvarını yönetme

Önemli

Sürüm 1.0.3 (28 Haziran 2022'de yayımlandı), mevcut kullanıcıları etkileyebilecek üye adlarına hataya neden olan değişiklikler içerir. Daha fazla bilgi için bkz. Sürüm 1.0.3'te üye adları PascalCase'ten camelCase'e geçiş

Hedef kitle

Bu makale, Azure IoT ile cihaz sağlayan veya yöneten kişileri desteklemek için tasarlanmıştır. Bu size uymuyorsa OSConfig için Audiences belgelerine göz atabilirsiniz.

Güvenlik duvarına genel bakış

Cihazlarda OSConfig yüklü olduğunda, birkaç temel güvenlik duvarı yönetim görevi gerçekleştirmek için Azure IoT hizmetlerini kullanabilirsiniz. Örnek:

• Güvenlik duvarının etkin olup olmadığını denetleme
• Belirli kuralların mevcut olduğundan emin olun (mevcut değilse oluştur)
• Belirli kuralların mevcut olmadığından emin olun (bulunursa silin)
• Dağıtılan birçok cihazın kurallarını bilinen iyi bir cihazla karşılaştırma
• Gelen ve giden trafik için varsayılan trafik ilkelerini ayarlama

İpucu

Nesne modeli başvurusu için buradaysanız Kullanım örnekleri örnekleriniBaşvuru bilgilerine atlayabilirsiniz

Kullanım örnekleri

Bu örnekler, benzersiz ortamınıza uyum sağlamanız için başlangıç noktaları olarak görev yapabilir.

Her örnek, Azure portal ve Bash'te Azure CLI ile çalışmaya yönelik adımlar ve ekran yakalamaları içerir.

Her örnek ayrıca bir cihaz (örneğin, bir sorun giderme senaryosu) veya birçok cihaz (örneğin, bir yapılandırma sağlama veya raporlama senaryosu) için varyasyonlar içerir.

Neler bekleyebileceğiniz:

Tek cihaz yönergelerinde, bildirilen ve istenen özellikleri doğrudan bir cihazın OSConfig ikizinde okuyup yazacaksınız. Ölçekli yönergelerde, istenen özellikleri birçok ikize göndermek için IoT Hub Yapılandırmaları (Otomatik Cihaz Yönetimi veya ADM olarak da bilinir) ve cihazlardan geri gelen sonuçları gözlemlemek için IoT Hub Sorguları (bağımsız olarak veya Ölçüm olarak Yapılandırmalar'a eklenmiş) kullanacaksınız.

Canlı sistemlerdeki örnekleri denemek için önkoşullar

Bu makaleyi başvuru için kullanıyorsanız ön koşul yoktur. Örnekleri gözden geçirebilir, özellik adlarını kopyalayabilirsiniz.

Canlı sistemlerde örnekleri denemek istiyorsanız (önerilen), şu adımları izleyin:

1. Ücretsiz bir Azure hesabı oluşturma veya mevcut bir hesabı kullanma

2. Bir IoT Hub en az bir OSConfig özellikli cihaz bağlama

   İpucu

   (sanal) cihazlar eklenmiş bir IoT Hub kolayca oluşturmak için bkz. 5 dakika içinde OSConfig (Azure IoT ile) laboratuvar ortamı oluşturma

3. Örneklerde Azure portal yönergelerini veya Azure CLI yönergelerini izlemeye hazır olun:

Azure portal kullanmayı tercih ediyorsanız

1. Azure portal oturum açın ve IoT Hub'nizin Genel Bakış sayfasına

-VEYA- Azure CLI kullanmayı tercih ediyorsanız

1. ÖNERİLEN: Azure Portalınızda oturum açıp Ardından Bash modunda Azure Cloud Shell başlatarak Bash ortamınız olarak Azure Cloud Shell kullanın
2. ALTERNATIF: Cloud Shell yerine kendi bash ortamınızı kullanmayı tercih ediyorsanız Azure CLI'yi yükleyin ve oturum açın
3. Komutunu çalıştırarak Azure IoT uzantısının hazır olduğundan emin olun az extension add --name azure-iot

---

Örnek A. Konak güvenlik duvarı etkin mi?

altındaki properties.reported.Firewall özelliği, state konak güvenlik duvarının etkin olup olmadığına ilişkin üst düzey bir gösterge sağlar. Örneğin, konak güvenlik duvarı altyapısının etkinleştirilip etkinleştirilmediğini ve FİlTRE tablosunda en az bir kuralın mevcut olup olmadığını gösterir. Olası değerleri ekleme hakkında state daha fazla bilgi için bkz. Başvuru bilgileri.

Portal: belirli bir cihaz

1. IoT Hub portal sayfasından sol gezinti bölmesinde Cihazlar'ı seçin. Cihazda OSConfig'e ek olarak IoT Edge yüklüyse Cihazlar yerine IoT Edge'ı seçin.

2. OSConfig'in yüklü olduğu bir cihaza tıklayın.

3. Modül Kimlikleri'nin altında osconfig'e tıklayın.

4. Modül Kimliği İkizi'ne tıklayın ve JSON'a properties.reported.Firewall.stategöz atın. Aşağıdaki ekran yakalama örneğinde bunu state: enabledgörebilirsiniz.

   

Portal: uygun ölçekte

1. Azure IoT Hub portal sayfasından sol gezinti bölmesinde Cihaz yönetimi -->Sorgular'ı seçin.

2. Güvenlik duvarının Azure IoT Hub bağlı bir cihaz filosu için etkinleştirilip etkinleştirilmediğini incelemek için aşağıdaki sorguyu yürütür.

   SELECT deviceId, properties.reported.Firewall.state AS firewallState    
   FROM devices.modules
   WHERE moduleId='osconfig' 
   

   

CLI: belirli bir cihaz

1. Belirli bir cihazın özelliğini alan state aşağıdaki örnek komutu kullanın ve cihaz kimliğini> ve/veya hub adını ortamınızla eşleşecek şekilde değiştirin<.><

   az iot hub query -q \
   "SELECT properties.reported.Firewall.state AS firewallState   
   FROM devices.modules
   WHERE moduleId='osconfig' AND deviceId = <device-id>" \
    --hub-name <hub-name> --output table
   

   Bu ekran yakalama örneğinde cihazın güvenlik duvarı etkin ve etkindir.

   

CLI: büyük ölçekte

1. Cihaz kimliği> ve/veya hub adını ortamınızla eşleşecek şekilde değiştirerek< bir cihaz filosunun özelliğini alan state aşağıdaki örnek komutu kullanın.><

   az iot hub query -q \
   "SELECT deviceId, properties.reported.Firewall.state AS firewallState   
   FROM devices.modules
   WHERE moduleId='osconfig'" --hub-name <hub-name> --output table
   

   

Örnek B. Güvenlik duvarı kuralı oluşturma

Bu örnekte Güvenlik Duvarı modülünün işlevi kullanılır desiredRules . Cihazdan 10.9.9.0/24 alt ağından giden TCP bağlantı noktası 443 trafiğine izin veren yeni bir kural oluşturuyoruz.

Hakkında desiredRules daha fazla bilgi için (birden çok kuralın işlenmesi ve kuralın kaldırılması dahil) bu makalenin devamında yer alan DesiredRules güvenlik duvarı başvurusuna bakın.

Portal: belirli bir cihaz

1. Azure Portal'ı kullanarak, cihazın osconfig modülü ikizinde ve desiredRules düğümlerini ekleme veya değiştirme Firewall altında properties.desired aşağıdaki gibi. JSON standartlarına göre, varsa diğer istenen özelliklerle tümleştirmek için sonuna virgül eklemeniz gerekebilir.

   "Firewall": {
      "desiredRules": [
         {
            "desiredState": "present",
            "action": "accept",
            "direction": "out",
            "protocol": "tcp",
            "destinationAddress": "10.9.9.0/24",
            "destinationPort": 443
         }
      ]
   }
   

   

2. Yaklaşık 30 saniye sonra, değişikliğin modül ikizinin kendisinden başarıyla yapıldığını doğrulayabilirsiniz. Modül ikizi görünümünü yenileyin, ardından öğesini, ardından statedesiredRulesreportedconfigurationStatusFirewall ve öğesini bulmak propertiesiçin kaydırın.

   

Portal: uygun ölçekte

1. Azure IoT Hub portal sayfasından Cihaz yönetimi --Yapılandırmalar -->>Modül Yapılandırması Ekle'yi seçin.

2. Yapılandırma profili için bir ad belirtin, ardından İstenen yapılandırmayla İkiz Ayarları'nı ayarlayın: Modül İkizi Özelliğiniproperties.desired.Firewall olarak ayarlayın ve Modül İkizi Özellik İçeriğini şu şekilde ayarlayın:

   "desiredRules": [
      {
         "desiredState": "present",
         "action": "accept",
         "direction": "out",
         "protocol": "tcp",
         "destinationAddress": "10.9.9.0/24",
         "destinationPort": 443
      }
   ]
   

3. Hedef Modüller için hangi cihazların kapsam içinde olduğunu belirten ölçütleri belirtin. Bu örnekte, hedef koşulunu belirterek tüm OSConfig özellikli cihazları hedefleyeceğiz FROM devices.modules where moduleId='osconfig'

4. Ad başarıyla yapılandırılmış bir Özel Ölçüm ve aşağıda gösterildiği gibi Ölçüm Ölçütleri oluşturun. Bu ölçüm sorgusu, yapılandırmayı başarıyla güncelleştiren tüm cihazları belirler.

   SELECT deviceId FROM devices.modules 
   WHERE properties.reported.Firewall.desiredRules.ac = 200
   AND properties.reported.Firewall.configurationStatus = 'success'
   

   

5. Yapılandırma cihazlara uygulandıktan sonra, uygulanan ölçümü ( appliedCount olarak da bilinir) denetleyerek hangi cihazların ikizlerinin istenen ikiz özellik içeriğiyle (bulut tarafı) güncelleştirildiğini doğrulayabilirsiniz. Yapılandırmayı hangi cihazların başarıyla güncelleştirdiğini görmek için yukarıda oluşturulan özel başarıyla yapılandırılmış ölçüme bakın.

   

CLI: belirli bir cihaz

1. Cihaz kimliğini> ve/veya hub adını ortamınızla eşleşecek şekilde değiştirerek< kuralı oluşturmak için aşağıdaki komutu kullanın.><

   az iot hub module-twin update -m osconfig --desired \
   '{
      "Firewall": {
         "desiredRules": [
            {
               "desiredState": "present",
               "action": "accept",
               "direction": "out",
               "protocol": "tcp",
               "destinationAddress": "10.9.9.0/24",
               "destinationPort": 443
            }
         ]
      }
   }' -d <device id> --hub-name <hub name>
   

2. Yapılandırmanın başarıyla tamamlandığını görmek için en az 30 saniye bekleyin, ardından modül ikizini aşağıdaki gibi okuyun:

   az iot hub query -q \
   "SELECT deviceId, properties.reported.Firewall.desiredRules.ac,properties.reported.Firewall.configurationStatus
   FROM devices.modules
   WHERE moduleId='osconfig'
   AND deviceId='<device id>'" --hub-name <hub name> --output table
   

   

CLI: büyük ölçekte

1. IoT Hub Yapılandırması oluşturmak için aşağıdaki örnek komutu kullanın. Bu Yapılandırma hedefleme ölçütlerini ve istenen yapılandırmayı içerir. Hub adını IoT Hub adınızla değiştirmeyi unutmayın. Aşağıdakilerin tek bir komutta ve geçici dosyalar kullanılmadan gerçekleştirilebileceğini unutmayın, ancak iç içe karakter kaçışlı karmaşık bir monolitik komuttan kaçınmak için bir komut dizisi ve iki geçici dosya kullanmayı seçiyoruz. Bu biçimi değiştirmek ve ortamınıza uyarlamak daha kolay olmalıdır.

printf '
{
 "moduleContent": 
    {"properties.desired.Firewall":
       {"desiredRules": [
          {
             "desiredState": "present",
             "action": "accept",
             "direction": "out",
             "protocol": "tcp",
             "destinationAddress": "10.9.9.0/24",
             "destinationPort": 443
          }
       ]
    }
  }
 }' > temp_myconfig_modulecontent.json

 printf $' 
 { 
   "metrics": { 
      "queries": { 
         "successfullyconfigured": "SELECT deviceId FROM devices.modules WHERE moduleId=\'osconfig\' AND properties.reported.Firewall.desiredRules.ac=200 AND properties.reported.Firewall.  configurationStatus=\'success\'"
      }
   }
 }' > temp_myconfig_metrics.json  

 az iot hub configuration create -c "setfirewall_config" --content temp_myconfig_modulecontent.json \
 --target-condition "from devices.modules where moduleId='osconfig'" --priority 10 \
 --metrics temp_myconfig_metrics.json --hub-name <hub-name>

1. hangi cihazların ikizlerinin istenen ikiz özellik içeriğiyle güncelleştirildiğini gözlemlemek için uygulanan ölçüme ( appliedCount olarak da bilinir) bakın. Uygulanan'ın yalnızca ikizlerde istenen özellikleri ayarlama işleminin bulut etkinliğini yansıttığını unutmayın. Dünyada hangi cihazların yapılandırmalarını başarıyla güncelleştirdiğini gözlemlemek için yukarıda oluşturulan özel başarıyla yapılandırılmış ölçüme bakın.

2. Bu ölçümlerin her ikisini de denetlemek için aşağıdaki komutları kullanın.

   az iot hub configuration show-metric --metric-id appliedCount \
   -c "setfirewall_config" --metric-type system \
   -n <hub name>
   
   az iot hub configuration show-metric --metric-id successfullyconfigured \
   -c "setfirewall_config" --metric-type user \
   -n <hub name> 
   

Örnek C. Birçok cihazın güvenlik duvarı durum parmak izini bilinen iyi bir cihazla karşılaştırma

özelliği, fingerprint uygun ölçekte uyumluluğu denetlemek için hızlı karşılaştırmalar sağlar. Tüm cihazlardan tüm kuralları almanız ve ardından çoka çok karşılaştırma stratejisi uygulamanız gerekmez. Parmak izinin birbiriyle eşleşmesi beklenen cihazlarda aynı olup olmadığını kontrol edebilirsiniz. Örneğin, dağıtılan cihazlarla bilinen iyi bir başvuru cihazı arasında karşılaştırma yapabilirsiniz.

Tek cihazlı örneklerde değeri alıp bant dışında bir karşılaştırma yaptığınız anlamına gelecek. Uygun ölçekteki örneklerde, bir filodaki ortaklığı veya ayrılığı göstermek için IoT Hub Query'nin GROUP BY işlecini kullanacağız.

Portal: belirli bir cihaz

Uygulanamaz, bkz. Büyük ölçekte Azure Portal.

Portal: uygun ölçekte

1. Azure IoT Hub portal sayfasından sol gezinti bölmesinde Cihaz yönetimi -->Sorgular'ı seçin.

2. Aşağıdaki sorguyu yürütür:

   SELECT properties.reported.Firewall.fingerprint AS firewallFingerprint,
   COUNT() AS numberOfDevices
   FROM devices.modules
   GROUP BY properties.reported.Firewall.fingerprint
   

   

CLI: belirli bir cihaz

Uygulanamaz, bkz. "Bash / Cloud Shell, uygun ölçekte"

CLI: büyük ölçekte

1. Cihaz kimliği> ve/veya hub adını ortamınızla eşleşecek şekilde değiştirerek bir cihaz filosunun özelliğini karşılaştıran<fingerprint aşağıdaki örnek komutu kullanın.><

   az iot hub query -q \
   "SELECT properties.reported.Firewall.fingerprint AS firewallFingerprint,
   COUNT() AS numberOfDevices
   FROM devices.modules
   GROUP BY properties.reported.Firewall.fingerprint" \
   --hub-name <hub-name> --output table
   

   

Başvuru bilgileri

Nesne modeli açıklaması

Bu bölümde ikiz özellikleri ve bunlara karşılık gelen davranışlar açıklanmaktadır.

İpucu

OSConfig başvuru belgeleri, veri modelinin Dijital İkiz Tanımlama Dili (DTDL) gelişmiş perspektiflerine sahip veya olmayan araçlar için geçerlidir. Daha fazla bilgi için bkz. Düz istenen/bildirilen görünümler ve DTDL gelişmiş görünümleri hakkında.

Güvenlik duvarı bildirilen/salt okunur özellikler (raporlama ve denetim senaryoları için)

• Yol: properties.reported.Firewall (Firewall bileşen, salt okunur özellikler)

• Açıklama: OSConfig'in Güvenlik Duvarı modülü tarafından algılanan konak güvenlik duvarının durumu

• Üyeler

  Ad	Tür	Notlar
  configurationStatus	dizelerin sabit listesi	İstenen yapılandırmaya ulaşmanın hata/başarı durumunu temsil eder. Yalnızca veya desiredDefaultPolicies gibi desiredRules istenen yapılandırma özellikleri ayarlandıysa anlamlıdır. Bu yazmadan itibaren olası değer , failureve unknownşeklindedirsuccess.
  configurationStatusDetail	string	Temel API'ler veya iptable'lar gibi araçlar tarafından döndürülen metin. Tanılama günlüklerini taramaya gerek kalmadan hatalı giriş parametreleri vb. hakkında ilk düzeyde içgörü sağlamak için kullanılır.
  defaultPolicies	nesne dizisi (örnek yüke bakın)	Güvenlik duvarının belirli bir kurala uymayan varsayılan paket teslimini temsil eder. Iptable'lar bağlamında bu, filtre tablosunun giriş ve çıkış zincirleri için zincir ilkelerine eşler. Diğer güvenlik duvarı altyapılarında bu, gerektiğinde güvenlik duvarı altyapısı davranışıyla eşler. Örneğin, bazı güvenlik duvarı altyapılarının açık bir ilke ilkesi yoktur ve doğal olarak hiçbir kurala uymayan trafiği bırakır.
  Parmak izi	string	• Cihazdaki tüm güvenlik duvarı kurallarının listesi için opak parmak izi • Çok sayıda cihazı bilinen iyi bir cihazla karşılaştırmak için kullanılır NOT: OSConfig'in Ekim 2022 sürümünden önceki sürümlerinde, bu özellik "firewallFingerprint" olarak biliniyordu
  state	dizelerin sabit listesi	Konak güvenlik duvarının üst düzey durumu. Olası değerler şunlardır: • unknown • enabled • disabled için mantık enabled , etkin bir güvenlik duvarı altyapısının algılandığı ve FILTER tablosunda en az bir kural olduğudur. NOT: OSConfig'in Ekim 2022 sürümünden önceki sürümlerinde bu bilgiler "firewallState" ("durum" yerine) olarak sunulmuştur ve değerler tamsayılardır (dizeler yerine).

• Örnek yük (ikizin properties.reported bölümünde görüldüğü gibi)

  "Firewall": {
      "configurationStatus": "success",
      "configurationStatusDetail": "",
      "defaultPolicies": [
         {
            "direction": "in",
            "action": "accept"
         },
         {
            "direction": "out",
            "action": "accept"
         }
      ],
      "fingerprint": "c30d8b8bf5327a8a325a686e0c4bbf73b1bd33a72779af88827e8ea256caddb2",
      "state": "enabled"
  }
  

Firewall desiredRules

Dikkat

Herhangi bir güvenlik duvarı yönetiminde olduğu gibi trafiği engellerken de dikkatli olun. Cihazın IoT Hub veya diğer yönetim kanallarıyla bağlantısını sürdürmesini engelleme gücünüz vardır. Bu gibi durumlarda kurtarmak için cihaza yerel erişim gerekebilir.

• Yol: properties.desired.Firewall.desiredRules (Firewall bileşen, desiredRules yazılabilir özellik)

• Açıklama: Kural tanımlayıcılarının sıralı listesi. Listedeki her kural tanımlayıcısı aşağıdaki üyelere sahip olabilir.

• Her kural tanımlayıcısının üyeleri

  Ad	Tür	Notlar
  desiredState	dizelerin sabit listesi	Her zaman gereklidir. Olası değerler şunlardır present (eşleşen bir kural yoksa böyle bir kuralın oluşturulması gerektiği anlamına gelir) veya absent (bu tanımlayıcıyla eşleşen cihazda mevcut olan herhangi bir kuralın bulunması durumunda silinmesi gerektiği anlamına gelir). Cihazda eşleşen kuralın mevcut olmadığı desiredState: "present" ve bulunmadığı kural tanımlayıcıları için, yeni kural cihazdaki kural listesinin en üstüne eklenir. Bağlam açısından, bunun yerine ile benzer iptables -Iiptables -Aolduğunu düşünebilirsiniz. içinde desiredRulesbirden çok desiredState: "present" kural tanımlayıcısı varsa, sıra korunabilecek şekilde eklenir. Başka bir deyişle en üstteki kural desiredRules , cihazdaki kural listesinin en üstünde yer alır; içindeki bir sonraki kural desiredRules , cihazdaki kurallar listesinde bunu izler ve bu şekilde devam eder.
  action	dizelerin sabit listesi	Her zaman gereklidir. Olası değerler , dropveya rejectdeğerleridiraccept.
  yön	dizelerin sabit listesi	Her zaman gereklidir. Olası değerler: in veya out.
  protokol	dizelerin sabit listesi	Her zaman gereklidir. Olası değerler , udp, tcpveya icmpdeğerleridirany. Bunun herhangi bir trafik anlamına geldiğini any unutmayın (diğer IP protokolleri değil, tcp ve udp anlamına gelir). Buna göre, veya destinationPortiçermemesi sourcePort gereken kurallarprotocol: "any".
  sourceAddress	string	IP adresi veya CIDR aralığı. Belirtilmezse, sonuçta elde edilen kural herhangi bir adresle eşleşebilir
  sourcePort	tamsayı	veya protocol:udpolan protocol: tcp kurallarla ilgilidir. Diğer kurallara dahil edilmemelidir. İlgili bir kurala dahil edildiğinde bağlantı noktası numarasını belirtir. Dahil edilmediğinde, herhangi bir bağlantı noktası numarasıyla eşleşmesi gereken bir kuralı belirtir.
  destinationAddress	string	IP adresi veya CIDR aralığı. Belirtilmezse, sonuçta elde edilen kural herhangi bir adresle eşleşebilir
  destinationPort	tamsayı	veya protocol:udpolan protocol: tcp kurallarla ilgilidir. Diğer kurallara dahil edilmemelidir. İlgili bir kurala dahil edildiğinde bağlantı noktası numarasını belirtir. Dahil edilmediğinde, herhangi bir bağlantı noktası numarasıyla eşleşmesi gereken bir kuralı belirtir.

Örnek yük (ikizin properties.desired bölümünde görüldüğü gibi)

Aşağıdaki kurallar aşağıdaki yönetici amaçlarını temsil eder:

1. "Şirket içi yönetici alt ağım 10.9.9.0/24, bu nedenle cihazların oradan gelen 22 numaralı bağlantı noktasına (SSH) izin vermelerini istiyorum"

2. "Eski yönetici alt ağım 10.24.24.0/24'tür, dolayısıyla herhangi bir cihazda hala 22 numaralı bağlantı noktasına (SSH) izin veren bir kural varsa, böyle bir kuralın kaldırılmasını istiyorum"

3. NOT: Yönetici, SSH'yi her yerden engellemek için burada üçüncü bir kural isteyebilir (yukarıdaki özel durum hariç), ancak bu örnekte, bu tür bir kuralı yedekli hale getirerek varsayılan bir bırakma ilkesi kullanacağız. Bu belgenin desiredDefaultPolicies ilerleyen bölümlerindeki örne bakın.

   "Firewall": {
      "desiredRules": [
         {
            "desiredState": "present",
            "action": "accept",
            "direction": "in",
            "protocol": "tcp",
            "sourceAddress": "10.9.9.0/24",
            "destinationPort": 22
         },
         {
            "desiredState": "absent",
            "action": "accept",
            "direction": "in",
            "protocol": "tcp",
            "sourceAddress": "10.24.24.0/24",
            "destinationPort": 22
         }
      ]
   }
   

Bir yönetim iş akışı ayarlandığında properties.desired.Firewall.desiredRules (bileşen, desiredRules DTDL perspektifinden yazılabilir özellik), cihazın öğesine bir desiredRules özellik ekleyerek aynı özelliğin properties.reported.FirewallalındığınıFirewall kabul ettiğini unutmayın. Bu özelliğin değeri, sürüm numarası ve durum koduyla birlikte özgün desiredRules yükün bir kopyasını içerir. IoT Hub tabanlı yönetim iş akışları, istenen durumun cihaza ulaşıp ulaşmadığını belirlemek için bunu kullanabilir. Bu sadece bir takdirdir. Cihazın istenen duruma ulaşmada başarılı olup olmadığını belirlemek için ve configurationStatusDetailbölümüne de bakınconfigurationStatus.

Güvenlik duvarı desiredDefaultPolicies

Dikkat

Tüm güvenlik duvarı yönetimleri gibi trafiği engellerken de dikkatli olun. Cihazın IoT Hub veya diğer yönetim kanallarıyla bağlantısını sürdürmesini engelleme gücünüz vardır. Böyle durumlarda kurtarmak için cihaza yerel erişim gerekebilir.

Varsayılan ilkeler özellikle dikkatli bir uygulama gerektirir. Örneğin iptable tabanlı sistemlerde ilkeler, mevcut bağlantıları dikkate almadan her pakete ayrı ayrı uygulanır. Başka bir deyişle, gelen varsayılan ilkesi drop (yeni gelen bağlantıları engellemeye ek olarak) uzak sistemlerden gelen yanıtları engeller. Bu, cihazın çift yönlü paket akışı gerektiren protokolleri (TCP gibi) kullanarak giden iletişim kurmasını mümkün kılabilir. Tüm gerekli paketleri her iki yönde de etkinleştirmek için belirli kuralların mevcut olmasını sağlamadan veya ilkelerinde olarak ayarlamayın actionindrop.out

• Yol: properties.desired.Firewall.desiredDefaultPolicies (Firewall bileşen, desiredDefaultPolicies yazılabilir özellik)

• Açıklama: gelen trafik ve giden trafik için istenen varsayılan davranışı (kabul etme veya bırakma) açıklayan iki öğeli bir dizi.

• Her öğenin üyeleri

  Ad	Tür	Notlar
  yön	dizelerin sabit listesi	Olası değerler veya'dır inout
  action	dizelerin sabit listesi	Her zaman gereklidir. Olası değerler: accept veya drop.

Örnek yük (ikizin properties.desired bölümünde görüldüğü gibi)

"Firewall": {
   "desiredDefaultPolicies": [
      {"direction": "in", "action": "drop"},
      {"direction": "out", "action": "accept"}
   ]
}

Bir yönetim iş akışı ayarlandığında properties.desired.Firewall.desiredDefaultPolicies (bileşen, desiredDefaultPolicies DTDL perspektifinden yazılabilir özellik), cihazın öğesine bir desiredDefaultPolicies özellik ekleyerek aynı özelliğin properties.reported.FirewallalındığınıFirewall kabul ettiğini unutmayın. Bu özelliğin değeri, sürüm numarası ve durum koduyla birlikte özgün yükün bir kopyasını içerir. IoT Hub tabanlı yönetim iş akışları, istenen durumun cihaza henüz ulaşıp ulaşmadığını belirlemek için bunu kullanabilir. Bu yalnızca alındı ve işlenme onayıdır. İstenen duruma ulaşma başarısı veya başarısızlığı hakkında daha fazla bilgi için bkz configurationStatus . ve configurationStatusDetail.

Ek bilgiler ve SSS

"Her şeyi değiştir" kullanım örneğine ne dersin?

Bazı durumlarda yöneticiler, cihazın net güvenlik duvarı kuralları listesi üzerinde mutlak denetim sağlamak isteyebilir. "Yalnızca X, Y ve Z kuralları mevcut olmalıdır; Diğer tüm kurallar (cihazda önceden var olan veya zaman içinde başka işlemler tarafından oluşturulan) düzenli aralıklarla kaldırılmalıdır." Şu anda OSConfig Güvenlik Duvarı modülü bu kullanım örneğini doğrudan sağlamaz. Belirli kuralların kaldırılması ve "desiredState": "absent"aracılığıyla desiredRules gerçekleştirilebilir, ancak açık tümünü değiştir işlevi yoktur. Böyle bir özellik eklemek isterseniz adresinde genişletilebilirlik belgelerine bakın https://github.com/Azure/azure-osconfig.

Sonraki adımlar

OSConfig senaryolarına ve özelliklerine genel bakış için bkz:

• IoT için OSconfig nedir?

Belirli pratik örnekler için bkz:

• 5 dakika içinde OSConfig (Azure IoT ile) laboratuvar ortamı oluşturma
• Hızlı Başlangıç: OSConfig ve Azure IoT kullanmaya başlamak için sorgu örnekleri
• Neleri sağlayabilir ve yönetebilirim?