Hızlı Başlangıç: Test makinesiyle Linux için Azure güvenlik temeli yapılandırma

uyumluluk raporuScreen snippet of compliance reportScreen snippet of compliance reportekran parçacığını

Bu kılavuzda, Bir makineyi Linux için Azure güvenlik temeli ayarlarıyla yapılandırmak için Azure İlkesi'ni kullanacaksınız. Güvenlik ayarlarının uygulanmasının erişiminizi, iş yükü uyumluluğunuzu vb. etkileyebileceğinden emin olun. Test makineleri uyumluluk açısından değerlendirilirken ortamına güvenlik yapılandırmasını dikkatli bir şekilde sunmalı. Bu kılavuz, uygulama kapsamını sınırlamak için atılabilir vm ile atılabilir bir kaynak grubu oluşturmanızı sağlar. Özellikle şunları yapacaksınız:

1. Boş kaynak grubu oluşturma
2. bir ilkesi tanımını içeri aktarın ve boş kaynak grubuna atayın
3. Kaynak grubunda VM oluşturma ve denetim sonuçlarını gözlemleme

Önizlemede dikkat edilmesi gerekenler

1. Bu güvenlik temeli uygulaması, sınırlı bir genel önizlemeve yalıtılmış test ortamlarında kullanılmalıdır.
2. Geri bildirim kanalları için bu makalenin sonundaki İlgili kaynaklar bölümüne bakın.
3. İlke tanımı Azure'da yerleşik değildir. İçeri aktarılmalıdır.
4. Bu ilkenin varsayılan eyleminin "DeployIfNotExist" olduğunu ve bu azure-osconfig sonucunda hedef makinedeki tüm uyumsuzluk bulgularını otomatik olarak düzeltmeyi deneyeceğini unutmayın
5. İlk olarak "Denetim" ilkesini kullanmaya ve "uyumlu olmayan" öğe miktarını görmeye çalışırsanız ilkenin çalıştığından emin olma yönteminiz- bu ilkeyi hedef makineye uyguladığınızda uyumlu olmayan öğeler marjinal olarak azaltılır

Önkoşullar

Bu makaledeki adımları denemeden önce şunlara sahip olduğunuzdan emin olun:

1. Kaynak grubu, ilke atamaları ve sanal makine oluşturma erişiminiz olan bir Azure hesabı.
   1. Azure hesabınız yoksa ücretsiz deneme sürümü oluşturabilirsiniz.
2. Azure ile etkileşim için tercih ettiğiniz ortam, örneğin:
   1. [Önerilen] Azure Cloud Shell'i kullanma (https://shell.azure.com veya yerel eşdeğeriniz)
   2. VEYA Azure CLI yüklü ve oturum açmış olarak kendi makine ve kabuk ortamınızı kullanma
   3. VEYA Azure portalını kullanın (https://portal.azure.com veya yerel eşdeğeriniz)

Test ortamınızda oturum açtığınızı denetleyin

1. Geçerli bağlamınızı görmek için portaldaki hesap bilgilerini kullanın.

   hesap bilgilerini gösteren ekran görüntüsü

1. Geçerli bağlamınızı görmek için az account show kullanabilirsiniz. Oturum açmak veya bağlamları değiştirmek için az account loginkullanın.
2. İlke tanımı, id yanıt olarak az account show olarak gösterilen aboneliğe aktarılır

1. Adım: Kaynak grubu oluşturma

Bahşiş

Bu makale boyunca örnek konum olarak "Doğu ABD" (eastus) kullanımı rastgeledir. Kullanılabilir herhangi bir Azure konumunu seçebilirsiniz.

1. Azure portalından Kaynak gruplarına göz atın
2. + Oluştur'u seçin
3. "my-demo-rg" ve "Doğu ABD" gibi bir ad ve bölge seçin
4. gözden geçirme ve oluşturma devam edin

az group create --name my-demo-rg --location eastus

2. Adım: İlke tanımını içeri aktarma

Önizleme ilkesi tanımı şu anda Azure'da yerleşik değildir. Aşağıdaki adımlarda özel bir ilke tanımı olarak içeri aktarma gösterilmektedir.

1. İlke tanımı JSON bilgisayarınıza indirin ve tercih ettiğiniz metin düzenleyicide açın. Sonraki bir adımda, bu dosyanın içeriğini kopyalayıp yapıştıracaksınız.
2. Azure portalı arama çubuğuna İlke yazın ve Hizmetler sonuçlarından İlke seçin.
3. Azure İlkesi'ne genel bakış sayfasından Yazma>Tanımlarıgidin.
4. + İlke tanımı'nı seçin ve elde edilen formu aşağıdaki gibi doldurun:
   1. Tanım konumu: <test Azure aboneliğinizi seçin>
   2. Adı: Linux için Azure güvenlik temelini yapılandırma (OSConfig tarafından desteklenir)
   3. Kategori: Mevcut > Konuk yapılandırmasını kullanın
   4. İlke kuralı: Önceden doldurulmuş içeriği silin ve 1. adımdaki dosyadan JSON'a yapıştırın

Portal iş akışlarının, URL'lerin vb. zaman içinde geliştiğini unutmayın. Videoyu teknik ayrıntılar yerine iş akışı hakkında genel bir bakış için kullanın.

Kamu bulutu gibi özelleştirilmiş bir Azure ortamı kullanıyorsanız, aşağıdaki az rest komutundaki management.azure.com yerel uç noktanızla değiştirmeniz gerekebilir.

curl -L https://github.com/Azure/azure-osconfig/releases/download/PrivatePreview_ASB_Remediation_Feb2025/AzureLinuxBaseline_DeployIfNotExists.json -o ./temp_policy_def.json

# Note that it is not necessary to manually replace the {subscriptionId} token in the command below. The az rest command 
# will automatically replace it with the subscription id from the az account show command.
az rest --url "https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/policyDefinitions/preview_azure_baseline_linux_osconfig?api-version=2023-04-01" --method PUT --body @./temp_policy_def.json

3. Adım: İlkeyi boş test kaynak grubunuz için atama

1. İlke tanımı sayfasından İlke ataöğesini seçin; bu da sizi ilkeyi atamak için iş akışına götürür.
2. Temel bilgiler sekmesi:
   1. Kapsam: test kaynak grubunuzu seçin (örneğin, my-demo-rg)
      1. Aboneliğin tamamını veya yanlış kaynak grubunu seçmek için dikkat edin
   2. İlke tanımı: Linux için Azure güvenlik temeli yapılandırma (OSConfig tarafından desteklenir)
   3. Atama adı: Linux için Azure güvenlik temelini yapılandırma (OSConfig tarafından desteklenir)
3. Parametreler sekmesi
   1. İsteğe bağlı: Hangi parametrelerin kullanılabilir olduğunu incelemek için Parametreleri sekmesine geçin. Azure Sanal Makinesi yerine Arc özellikli bir makineyle test ediyorsanız , "Arc makinelerini dahil et" ayarını true olarak değiştirdiğinizden emin olun.
4. düzeltme sekmesini
   1. yönetilen kimlik oluşturma seçeneğini belirleyin ve "sistem tarafından yönetilen" seçeneğini belirleyin
5. Gözden Geçir + oluştur sekmesi
   1. Oluştur'u seçin
6. İlke tanımı sayfasına döndüğünüzde, Atamaları sekmesinin altında yeni oluşturduğunuz ilke atamasına gidin

Portal iş akışlarının, URL'lerin vb. zaman içinde geliştiğini unutmayın. Videoyu teknik ayrıntılar yerine iş akışı hakkında genel bir bakış için kullanın.

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group my-demo-rg --query id --output tsv)
az policy assignment create --policy "preview_azure_baseline_linux_osconfig" --name "assign_preview_azure_baseline_linux_osconfig" --display-name "Configure Azure security baseline for Linux (powered by OSConfig)" --scope "$RG_ID" --mi-system-assigned --role "Guest Configuration Resource Contributor" --identity-scope "$RG_ID" --location eastus

4. Adım: Test VM'sini (Sanal Makine) oluşturma ve Makine Yapılandırması için hazırlama

Bahşiş

Bu örnekteki Ubuntu seçimi rastgeledir. Uyumlu dağıtımlar hakkında bilgi için bkz. Linux için Azure güvenlik temeli nedir?.

1. Aşağıdaki seçeneklerle bir Linux sanal makinesi oluşturun:
   1. Sanal makine adı: my-demo-vm-01
   2. Kaynak grubu: Daha önce oluşturulan boş kaynak grubu, örneğin my-demo-rg
   3. Görüntü: Ubuntu Server 22.04 LTS - x64 2. Nesil
   4. VM mimarisi: x64
   5. vm boyutunu : Tercihiniz, ancak Standard_B2s gibi daha küçük B serisi VM boyutlarının test için uygun maliyetli bir seçenek olabileceğini unutmayın
2. VM oluşturulduktan sonra VM'yi Makine Yapılandırması ile çalışacak şekilde güncelleştirin:
   1. Henüz yoksa sistem tarafından atanan kimlik ekleme
   2. Makine Yapılandırması uzantısını ekleyin (portalda Azure Otomatik Yönetim Makine Yapılandırması olarak etiketlenmiştir)

Bahşiş

Yönetilen kimlik ve Makine Yapılandırması uzantısı adımları, doğrusal bir deneyim sağlamak için bu kılavuzda el ile gerçekleştirildi. Bunlar büyük ölçekte Deploy prerequisites to enable Guest Configuration policies on virtual machines yerleşik ilke girişimi kullanılarak karşılanabilir.

1. Sistem tarafından atanan kimlikle Linux VM oluşturma

   az vm create --name my-demo-vm-01 --resource-group my-demo-rg --image Ubuntu2204 --assign-identity [system] --size Standard_B2s
   

   Bahşiş

   "Henüz erişim verilmedi..." gibi bir uyarı almak normaldir. Azure Makine Yapılandırması yalnızca makinenin yönetilen kimliğe sahip olmasını gerektirdiğinden yönetilen kimliğe belirli bir erişim atanmaması kasıtlı olarak kullanılmaktadır.

2. Makine Yapılandırma aracısını Azure VM uzantısı olarak yükleme

   az vm extension set --resource-group my-demo-rg --vm-name my-demo-vm-01 --name ConfigurationForLinux --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

Önemli

Devam etmeden önce ara verin

Birkaç adım otomatik olarak gerçekleştirilir. Bu adımların her biri birkaç dakika sürebilir. Buna uygun olarak, devam etmeden önce lütfen en az 15 dakika bekleyin.

5. Adım: Sonuçları gözlemleme

Aşağıdaki örneklerde nasıl edineceğiniz gösterilmektedir:

1. Uyumluluk durumuna göre makine sayısı (binlerce makineye sahip olabileceğiniz üretim ölçeklerinde kullanışlıdır)
2. Her biri için uyumluluk durumuna sahip makinelerin listesi
3. Her biri için uyumluluk durumu ve kanıt içeren temel kuralların ayrıntılı listesi (Nedenlerolarak da bilinir)

Bahşiş

Birkaç kalan uyumsuz sonuçlarının aşağıdakini görmeyi bekleyin. Bu özellik çoğu sistemde >90% temel kural yapılandırabiliyor, ancak bazı temel kuralların otomatik olarak düzeltilebilmesi imkansız veya risklidir.

Örneğin, temel kurallardan biri konak güvenlik duvarının varsayılan drop ilkesine sahip olması gerektiğini belirtir. Bu tercih edilir, ancak yalnızca ortamınız için gerekli tüm allow kurallarını bağımsız olarak oluşturduktan sonra. Buna göre bu, el ile düzeltmeye bırakılır.

1. Azure İlkesi'ne genel bakış sayfasına gidin
2. Sol gezinti bölmesinde "Uyumluluk" seçeneğine tıklayın
3. Daha önce oluşturduğunuz ilke atamasını tıklatın, örneğin Linux için Azure güvenlik temelini yapılandırma (OSConfig tarafından desteklenir)
4. Bu sayfanın her ikisini de sağladığını unutmayın:
   1. Uyumluluk durumuna göre makine sayısı
   2. Her biri için uyumluluk durumuna sahip makinelerin listesi
5. Uyumluluk durumu ve kanıt içeren temel kuralların ayrıntılı listesini görmeye hazır olduğunuzda aşağıdakileri yapın:
   1. Makine listesinde (Kaynak uyumluluğualtında gösterilir) test makinenizin adını seçin
   2. Makineye genel bakış sayfasına gitmek için Kaynak görüntüle'ye tıklayın
   3. Sol gezinti bölmesinde Yapılandırma yönetimi bulun ve seçin
   4. Yapılandırma listesinde adı SetAzureLinuxBaseline... başlayan yapılandırmayı seçin
   5. Yapılandırma ayrıntıları görünümünde filtre açılan menüsünü kullanarak Hem uyumlu hem de uyumlu olmayan kuralları görmek istiyorsanız Tüm seç seçeneğini belirleyin

Aşağıdaki Azure CLI örnekleri bash ortamından alınıyor. Başka bir kabuk ortamı kullanmak için satır sonu davranışı, tırnak kuralları, karakter kaçışı vb. örnekleri ayarlamanız gerekebilir.

1. Her biri için uyumluluk durumuna sahip makinelerin listesi:

   az graph query --query data --output yamlc --graph-query '
   // returns one record per machine, with status
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | project ["> Machine"] = split(properties.targetResourceId,"/")[-1],
     ComplianceStatus = properties.complianceStatus,
     LastComplianceCheck = properties.lastComplianceStatusChecked'
   

2. Uyumluluk durumuna göre makine sayısı:

   az graph query --query data --output yamlc --graph-query '
   // Returns one record per observed compliance status bucket, with machine counts for each
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | extend ["> ComplianceStatus"] = tostring(properties.complianceStatus)
   | summarize MachineCount = count() by ["> ComplianceStatus"]'
   

3. Her biri için uyumluluk durumu ve kanıt içeren temel kuralların ayrıntılı listesi (Nedenlerolarak da bilinir):

   QUERY='
   // Returns one record per baseline rule (around 200 per machine) with status for each
   GuestConfigurationResources
   | where name contains "AzureLinuxBaseline"
   | project Report = properties.latestAssignmentReport,
     Machine = split(properties.targetResourceId,"/")[-1],
     LastComplianceCheck=properties.lastComplianceStatusChecked
   | mv-expand Report.resources
   | project ["> Machine"] = Machine,
     ["> Rule"] = Report_resources.resourceId,
     RuleComplianceStatus = Report_resources.complianceStatus,
     RuleComplianceReason = Report_resources.reasons[0].phrase,
     LastComplianceCheck'
   
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

İsteğe bağlı: Ölçeklendirme deneyimi için daha fazla test makinesi ekleyin

Bu makalede, ilke başlangıçta boş olan ve ardından bir VM kazanan bir kaynak grubuna atanmıştır. Sistemin uçtan uca çalıştığını gösterse de, büyük ölçekli işlemlere yönelik bir his sağlamaz. Örneğin, ilke ataması uyumluluk görünümünde bir makinenin pasta grafiği yapay hissedebilir.

El ile veya otomasyon aracılığıyla kaynak grubuna daha fazla test makinesi eklemeyi göz önünde bulundurun. Bu makineler Azure VM'leri veya Arc özellikli makineler olabilir. Bu makinelerin uyumlu hale geldiğini (hatta başarısız olduğunu) gördüğünüzde, Azure güvenlik temelini büyük ölçekte kullanıma hazır hale getirme konusunda daha keskin bir anlayış elde edebilirsiniz.

Kaynakları temizleme

Devam eden ücretlerden kaçınmak için bu makalede kullanılan kaynak grubunu silmeyi göz önünde bulundurun. Örneğin, Azure CLI komutu az group delete --name "my-demo-rg"olacaktır.

---

İlgili içerik

• Geri bildirim sağlamak için özellik isteklerini vb. tartışın: linux_sec_config_mgmt@service.microsoft.com
• Ignite 2024'te duyurulan başlatma blogu hakkında bilgi edinin
• Bizimle birlikte çalışmak ve bu özelliğin geleceğini şekillendirmeye yardımcı olmak için temeller ve düzeltme gelecekteki işbirliğine kaydolun