Hızlı Başlangıç: Windows Server test makinesine SSH Duruş Denetimi uygulama

Aşağıdaki adımlarda, SSH Duruş Denetimi ayarlarını test Windows Server 2019, 2022 veya 2025 VM'sine dağıtmak için Azure İlkesi kullanacaksınız.

Arka plan ve kavramsal başvuru için bkz. SSH Duruş Denetimi nedir?.

Daha gelişmiş bir izlenecek yol için bkz. SSH Duruş Denetimi kullanarak sshd ayarlarınızı yönetme.

Azure hesabınız yoksa ücretsiz deneme sürümü oluşturabilirsiniz.

Dikkat

• Bu Hızlı Başlangıçta, yeni bir atılabilir test makinesine yönelik kısıtlayıcı bir sshd yapılandırmasının uygulanması gösterilmektedir. Bu yapılandırmayı diğer makinelere uygulayacaksanız, kendini kilitleyebilirsiniz. SSH Duruş Denetimi gibi güvenlik denetimlerini denerken, ilke atamasında yapılan bir hatanın bile istenmeyen makineleri yeniden yapılandırmaması için yalıtılmış bir korumalı alan ortamı kullanın.

Önkoşullar

Bu makaledeki adımları denemeden önce şunlara sahip olduğunuzdan emin olun:

1. Kaynak grubu, ilke atamaları ve sanal makine oluşturma haklarına sahip olduğunuz bir Azure hesabı.
2. Azure ile etkileşim için tercih ettiğiniz ortam, örneğin:
   1. Azure Cloud Shell (önerilir)
      1. Not: Örnekler bash modunu kullanır. Okuyucular örnekleri PowerShell dahil olmak üzere diğer kabuk ortamlarına uyarlanabilir.
   2. Azure CLI yüklü ve oturum açmış olarak kendi kabuk ortamınızı veya
   3. Web tarayıcısında Azure Portal veya

Test ortamınızda oturum açtığınızı denetleyin

Azure portalı

1. Geçerli bağlamınızı görmek için portaldaki hesap bilgilerini kullanın.

   hesap bilgilerini gösteren ekran görüntüsü

Azure CLI

1. Geçerli bağlamınızı görmek için az account show kullanabilirsiniz. Oturum açmak veya bağlamları değiştirmek için az account loginkullanın.

Bir kaynak grubu oluşturun

Bu örnekteki eastus konumu seçimi önemli değildir. Kullanılabilir herhangi bir Azure konumunu kullanabilirsiniz.

Azure portalı

aracılığıyla kaynak grubu oluşturma ekran görüntüsü

Azure CLI

az group create --name sshdemo01 --location eastus

İlkeyi kaynak grubuna atama

Bu Hızlı Başlangıç, [Preview]: Configure SSH security posture for Windowsyerleşik ilke tanımını kullanarak denetim ve yapılandırma davranışını uygular.

Örnek atama büyük ölçüde sınırlı özelleştirme (başlık metni) ile SSH Duruş Denetimi varsayılanlarına (örneğin, bağlantı noktası 22, kök erişime izin verilmez) dayanır.

Azure portalı

1. İlke'ye ve ardından Tanımlar'a gidin
2. Listeyi filtreleyip [Preview]: Configure SSH security posture for Windows
3. İlke tanımı sayfasında Ata'ya tıklayın
4. İlke ataması iş akışında
   1. Kapsam olarak yeni boş kaynak grubunu (daha önce oluşturulmuş) seçin.
   2. İsteğe bağlı: Bu ilke ataması için bir ad seçin. Varsayılan olarak ilke tanımının adı kullanılır.
   3. İsteğe bağlı: Parametreler sekmesinde, "başlık" değeri gibi varsayılan bir değeri geçersiz kılın.
   4. Not: 'bağlantı noktası' kuralı, senaryoları denetleme ve yapılandırma için düzgün işlevsellik ve uyumluluk sağlamak için tek bir değerle yapılandırılmalıdır.
   5. İlke atamasının oluşturulmasını tamamlayın.

Azure CLI

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group sshdemo01 --query id --output tsv)
az policy assignment create --policy "42830b63-79aa-4ea5-85dc-6baa719d7d7c" --name "Configure SSH Posture test machine" --scope "$RG_ID" --params '{"banner":{"value":"CONTOSO SYSTEMS. Unauthorized use will be prosecuted."}}' --mi-system-assigned --role "Guest Configuration Resource Contributor" --identity-scope "$RG_ID" --location eastus

Dikkat

Portalı veya CLI'yı kullandığınızdan, devam etmeden önce oluşturduğunuz ilke atamasının kapsamını inceleyin. Kapsam yanlışlıkla daha önce oluşturulan yeni boş kaynak grubu dışında bir değere ayarlandıysa, istenmeyen makinelerin el konmasını önlemek için hemen düzeltilmelidir.

Test VM'sini oluşturma ve Makine Yapılandırması için hazırlama

Azure portalı

1. Windows Server 2019, 2022 veya 2025 sanal makinesi oluşturma
2. Henüz yoksa sistem tarafından atanan kimlik ekleme
3. Makine Yapılandırması uzantısını ekleyin (portalda Windows için Azure Makine Yapılandırması olarak etiketlenir)

Azure CLI

1. Sistem tarafından atanan kimlikle Windows Server 2019, 2022 veya 2025 VM oluşturma

   az vm create --name sshdemo01 --resource-group sshdemo01 --image "MicrosoftWindowsServer:WindowsServer:2025-datacenter:latest" --assign-identity [system]
   

2. Makine Yapılandırma aracısını Azure VM uzantısı olarak yükleme

   az vm extension set --resource-group sshdemo01 --vm-name sshdemo01 --name ConfigurationForWindows --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

Tavsiye

Bu Hızlı Başlangıçta Makine Yapılandırması (VM yönetilen kimlik ve aracı uzantısına sahiptir) için önkoşullar, VM oluşturma sırasında doğrudan ele alınmıştır. Bu önkoşullar, büyük ölçekte yerleşik Deploy prerequisites to enable Guest Configuration policies on virtual machines İlke Girişimi kullanılarak karşılanabilir.

Devam etmeden önce ara verin

Birkaç adım otomatik olarak gerçekleştirilir. Bu adımların her biri birkaç dakika sürebilir. Buna uygun olarak, devam etmeden önce lütfen en az 15 dakika bekleyin.

Sonuçları gözlemleme

Aşağıdaki adımları kullanarak şunları görebilirsiniz:

1. Kaç makine uyumlu (veya uyumlu değil)
   1. Binlerce makineye sahip olabileceğiniz üretim ölçeklerinde özellikle kullanışlıdır
2. Hangi makineler uyumlu (veya uyumlu değil)
3. Tek tek kuralların uyumlu (veya uyumlu olmayan) belirli bir makine için

Azure portalı

Azure CLI

Aşağıdaki Azure CLI örnekleri bash ortamından alınıyor. Başka bir kabuk ortamı kullanmak için satır sonu davranışı, tırnak kuralları, karakter kaçışı gibi örnekler ayarlamanız gerekebilir.

1. Kaç makine uyumlu (veya uyumlu değil):

   QUERY="guestconfigurationresources
      | where name contains 'SecureShell'
      | extend complianceStatus = tostring(properties.complianceStatus)
      | summarize machineCount = count() by complianceStatus
   "
   az graph query -q "$QUERY" --query data --output table
   
   # Sample output from an environment with two machines:
   # 
   # complianceStatus machineCount
   # ---------------- ------------
   # Pending                     1
   # Compliant                   1
   

2. Hangi makineler uyumlu (veya uyumlu değil):

   QUERY="guestconfigurationresources
   | where name contains 'SecureShell'
   | project 
       machine = split(properties.targetResourceId,'/')[-1],
       complianceStatus = properties.complianceStatus,
       lastComplianceStatusChecked = properties.lastComplianceStatusChecked
   "
   
   az graph query -q "$QUERY" --query data --output table
   
   # Sample output from an environment with two machines:
   #
   # machine     complianceStatus lastComplianceStatusChecked
   # -------     ---------------- ---------------------------
   # sshdemovm01 Compliant        2/15/2024 11:07:21 PM
   # sshdemovm02 Pending          1/1/0001 12:00:00 AM
   

3. Belirli bir makine için, tek tek kuralların uyumlu olduğu (veya olmadığı):

   QUERY="GuestConfigurationResources
   | where name contains 'SecureShell'
   | project report = properties.latestAssignmentReport,
     machine = split(properties.targetResourceId,'/')[-1],
     lastComplianceStatusChecked=properties.lastComplianceStatusChecked
   | mv-expand report.resources
   | project machine,
     rule = report_resources.resourceId,
     ruleComplianceStatus = report_resources.complianceStatus,
     ruleComplianceReason = report_resources.reasons[0].phrase,
     lastComplianceStatusChecked
   "
   az graph query -q "$QUERY" --query data --output table
   # Sample output from an environment where audit-and-configure behavior was selected, such that all settings became compliant:
   # 
   # machine     rule                                                            ruleComplianceStatus     ruleComplianceReason
   # -------     ---------------                                                  ------               ------
   # sshdemovm01 Ensure permissions on /etc/ssh/sshd_config are configured        true            Access to '/etc/ssh/sshd_config' matches required ...
   # sshdemovm01 Ensure SSH is configured to meet best practices (protocol 2)     true            'Protocol 2' is found uncommented in /etc/ssh/sshd_config
   # sshdemovm01 Ensure SSH is configured to ignore rhosts                        true            The sshd service reports that 'ignorerhosts' is set to 'yes'
   # sshdemovm01 Ensure SSH LogLevel is set to INFO                               true            The sshd service reports that 'loglevel' is set to 'INFO'
   # sshdemovm01 Ensure SSH MaxAuthTries is configured                            true            The sshd service reports that 'maxauthtries' is set to '6'
   # sshdemovm01 Ensure allowed users for SSH access are configured               true            The sshd service reports that 'allowusers' is set to '*@*'
   # sshdemovm01 Ensure denied users for SSH are configured                       true            The sshd service reports that 'denyusers' is set to 'root'
   # sshdemovm01 Ensure allowed groups for SSH are configured                     true            The sshd service reports that 'allowgroups' is set to '*'
   # sshdemovm01 Ensure denied groups for SSH are configured                      true            The sshd service reports that 'denygroups' is set to 'root'
   # sshdemovm01 Ensure SSH host-based authenticationis disabled                  true            The sshd service reports that 'hostbasedauthentication' is ...
   # ...
   

İsteğe bağlı: Ölçeklendirme deneyimi için daha fazla test makinesi ekleyin

Bu makalede, ilke başlangıçta boş olan ve ardından bir VM kazanan bir kaynak grubuna atandı. Bu, sistemin uçtan uca çalıştığını gösterse de, büyük ölçekli işlemlere yönelik bir his sağlamaz. Örneğin, ilke ataması uyumluluk görünümünde bir makinenin pasta grafiği yapay hissedebilir.

El ile veya otomasyon aracılığıyla kaynak grubuna daha fazla test makinesi eklemeyi göz önünde bulundurun. Bunlar Azure VM'leri veya Arc özellikli makineler olabilir. Bu makinelerin uyumlu hale geldiğini (hatta başarısız olduğunu) gördüğünüzde, SSH Duruş Denetimi'nin büyük ölçekte kullanıma hazır hale getirilip kullanılmayabileceğini daha iyi anlayabilirsiniz.

İsteğe bağlı: Sonuçları onaylamak için test makinesini el ile inceleyin

SSH Duruş Denetimi gibi yeni bir özelliği kullanmaya başlarken bant dışı sonuçları el ile incelemek değerli olabilir. Bu, güven ve netlik oluşturmaya yardımcı olur. Örneğin bu makaledeki adımlar, test VM'nizde değiştirilmiş bir oturum açma başlığı yapılandırmasıyla sonuçlanmış olmalıdır. Başlığı görmek için makineye bir SSH bağlantısı deneyerek veya sshd_config dosyasını inceleyerek bunu onaylayabilirsiniz.

Kaynakları temizle

Devam eden ücretlerden kaçınmak için bu makalede kullanılan kaynak grubunu silmeyi göz önünde bulundurun. Örneğin Azure CLI komutu az group delete --name "sshdemo01"

---

Yerel Deneyimi kullanmaya başlama (PowerShell)

Önkoşullar

• Cihazınızda üretim imzalı bir Windows Server 2019, 2022, 2025 derlemesi çalıştırıyor olmanız gerekir.
• OSConfig PowerShell modülü sunucu cihazınıza yüklenmelidir. Ayrıntılar için bkz. OSConfig PowerShell modülünü yükleme .
• Şu kılavuzu izleyerek sshd hizmetini yüklemiş ve çalıştırmış olmanız gerekir: https://aka.ms/windows-openssh-install.

Temel uygulamak, temelin uygulandığını doğrulamak, temeli kaldırmak veya PowerShell'de OSConfig için ayrıntılı uyumluluk bilgilerini görüntülemek için aşağıdaki sekmelerdeki komutları kullanın.

Yapılandırma

SSH senaryosunu uygulamak için aşağıdaki komutu çalıştırın:

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

Doğrulama

SSH senaryosunun düzgün uygulandığını doğrulamak için aşağıdaki komutu çalıştırın:

Get-OSConfigDesiredConfiguration -Scenario SSH

Uyumluluğu denetle

Belirtilen senaryo için istenen yapılandırma ayrıntılarını almak için aşağıdaki komutları kullanın. Çıkış, yapılandırma öğesinin adını, uyumluluk durumunu ve uyumsuzluk nedenini içeren bir tablo biçiminde görüntülenir.

SSH scenairo uyumluluk ayrıntılarını denetlemek için aşağıdaki komutu çalıştırın:

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Özel Yapılandırma

SSH senaryosunda ayarı özelleştirmek için ,'-Name' ve '-Value' parametresiyle bir ayar yapılandırabilirsiniz:

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

---

Sonraki Adımlar

Geri bildirim, özellik istekleri vb. sağlamak için Microsoft ekibiyle iletişime geçin.

Bize Ulaşın