Azure İlkesi ve PowerShell ile Windows SSH Duruş Denetimi (özel önizleme) nedir?

SSH Duruş Denetimi, Azure İlkesi ve Makine Yapılandırması'nın tanıdık iş akışlarını kullanarak şunları kullanmanıza olanak tanır:

• Sektörünüzde veya kuruluşunuzda standartlara uyumluluğu sağlayın
• Uzaktan yönetim özelliklerinin saldırı yüzeyini azaltma
• Güvenlik ve üretkenlik için filonuzda tutarlı bir kurulum sağlayın

SSH Duruş Denetimi ayrıca uyumluluğun veya uyumsuzluk durumunun nasıl belirlendiğini açıklayan ayrıntılı Nedenler sağlar. Bu Nedenler, eylem gerçekleştirmeyi veya uyumluluğu tam olarak belgeleyi kolaylaştırır.

SSH Duruş Denetimi, yaklaşık 20 SSH sunucusu (sshd) parametresini analiz eder ve uygular. Ayrıca, belirli parametreleri ortamınıza uyacak şekilde özelleştirebilirsiniz. Örneğin, hangi kullanıcıların ve grupların SSH erişimine izin verileceğine ek olarak bağlantı noktası numarasını ve daha fazlasını özelleştirebilirsiniz.

Cihaz filonuzu denetlemek, sonuçları izlemek ve ardından uygun sshd standartlarına göre filoyu otomatik olarak düzeltmek için SSH Duruş Denetimi'ni denetim veya denetim ve yapılandırma modunda dağıtabilirsiniz.

Özel önizleme sınırlamaları

Önemli

SSH Duruş Denetimi, sizinle Microsoft arasında iletişim kutusunu tetikleme amacıyla özel önizleme aşamasındadır.

• Önizleme, herhangi bir sorunun (istemeden kendinizi SSH erişiminden kilitlemek dahil) önemli sonuçlar doğurmaması durumunda yalıtılmış geliştirme/test makinelerinde kullanıma yöneliktir.
• Önizleme, ilke tanımını Azure İlkesi yerleşik listesinden seçmek yerine içeri aktarmayı içerir.
• Bunun için hem denetim hem de denetim ve yapılandırma iş akışını sağlarız.
• Desteklenen Windows SKU'ları şu anda yalnızca Windows Server 2025'lerdir

Azure İlkesi'ni kullanmaya başlama

Bu örnek, Azure İlkesi içinde hızlı bir şekilde çalışmaya başlamaya odaklanmıştır. Varsayımları basitleştirir ve mümkün olan her şeyi keşfetmez. Örneğin, izin verilen kullanıcılar ve gruplar gibi parametreleri özelleştirmek yerine PolicyDefinition'dan varsayılan SSH ayarlarını kullanır. Yakın gelecekte ayarlar ve davranışlar dahil olmak üzere SSH Duruş Denetimi hakkında daha kapsamlı bilgiler beklenmektedir. PowerShell bölümünün makalenin sonuna doğru bölümünde olduğunu unutmayın.

Tavsiye

Bu makale boyunca aşağıdaki zihinsel model ve terminoloji kullanılmaktadır.

• PolicyDefinition : Azure İlkesi hizmetinde gösterildiği gibi SSH Duruş Denetimi tanımı ve meta verileri.
• policyAssignment : SSH Posture Control PolicyDefinition'ınızı bu ilkenin uygulanması gereken bir kapsama (kaynak grubu gibi) bağlar.
• Makine : Azure İlkesi ve Makine Yapılandırması (diğer adıyla Konuk Yapılandırması) tarafından yönetilebilen bir uç nokta. Başka bir deyişle Arc özellikli bir makine veya Azure VM.

A. Önkoşullar

1. Kaynak grubu, VM (veya Arc makinesi), ilke tanımı ve ilke ataması oluşturma iznine sahip bir Azure hesabı.
2. Ek önkoşullar için tercih ettiğiniz deneyimi seçin:

Portal

1. Web tarayıcısı kullanarak Azure Portal'da veya yerel eşdeğerinizde oturum açın.

PowerShell

1. Aşağıdaki modüllerin yüklü olduğu bir PowerShell ortamı:
   1. Az.ResourceGraph
   2. Azure Hesapları
   3. Az.Resources
2. İstenen Azure ortamının hedeflendiğinden emin olmak için ve/veya Get-AzContext cmdlet'leri kullanınSet-AzContext.

Tavsiye

PowerShell modunda Azure Cloud Shell kullanıma hazır bir ortamdır ve kullanmaya başlamanın kolay bir yoludur.

Azure CLI

Şu anda kullanılamıyor. Bekleyen https:// github.com/Azure/azure-cli/issues/28377. Lütfen Portal veya PowerShell yönergelerini kullanın.

B. Kaynak grubu oluşturma

Portal

1. Bir kaynak grubu oluşturun. Bu, gelecek adımlarda ilkenin kapsamını ve yeni bir test makinesi içermesini sağlamak için kullanılacaktır.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group" 
$myAzureLocation = "eastus" ## Modify as needed

$myResourceGroup = New-AzResourceGroup -Name $myResourceGroupName -Location $myAzureLocation

Azure CLI

Şu anda kullanılamıyor. Beklemede https://github.com/Azure/azure-cli/issues/28377. Lütfen Portal veya PowerShell yönergelerini kullanın.

C. policyDefinition oluşturma

Uyarı

Bu ek adım (yalnızca PolicyDefinition'ı seçmek yerine oluşturma) özel önizleme sırasında gereklidir.

Portal

1. Azure İlkesine Genel Bakış sayfasına gidin. Örneğin, URI'yi kullanabilirsiniz: https://portal.azure.com/#view/Microsoft_Azure_Policy/PolicyMenuBlade/~/Overview.
2. Tanımlar görünümüne gidin.
3. Yeni bir PolicyDefinition oluşturmak için + İlke Tanımı düğmesine tıklayın ve giriş olarak aşağıdakileri girin.
   1. Tanım konumu: PolicyDefinition'ın yaşayacağı Azure aboneliğinizi seçin.
   2. Ad: [Önizleme] Denetim SSH Duruş Denetimi ilkesi veya [Önizleme] SSH Duruş Denetimi ilkesini yapılandırma
   3. Kategori: Var Olanı kullan'ı ve ardından Konuk Yapılandırması'nı seçin
   4. İlke kuralı: Önceden var olan JSON'u silin ve Önizleme denetimi SSH Duruş Denetimi ilke tanımındanpolicyDefinition JSON'u yapıştırın veyaSSH Duruş Denetimi ilke tanımında önizleme denetimi ve yapılandırma
4. Kaydet’e tıklayın

PowerShell

Yalnızca denetim ilkesi:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SecureShell_Preview_AuditIfNotExists.json"
$localFilePath = "AuditSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

denetim ve yapılandırma İlkesi:

$sshPolicyDefinitionJsonUri = "https://github.com/microsoft/osconfig/releases/download/ppe-ssh/SetSecureShell_Preview_DeployIfNotExists.json"
$localFilePath = "ConfigureSSHPolicy.json"
Invoke-WebRequest -Uri $sshPolicyDefinitionJsonUri -OutFile $localFilePath
$sshPolicyDefinitionJson = Get-Content $localFilePath -Raw
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJson

Azure CLI

Şu anda kullanılamıyor. Beklemede https://github.com/Azure/azure-cli/issues/28377. Lütfen Portal veya PowerShell yönergelerini kullanın.

D. PolicyDefinition'ı kaynak grubunuz için uygulamak için PolicyAssignment kullanma

Dikkat

Bu ilke kapsam içi makinelerde sshd yapılandırmasını değiştirir. Bu yönergeler, bunu daha sonra bir test makinesi oluşturacağınız başlangıçta boş bir kaynak grubuna atamanızı sağlar. Daha geniş bir kapsama atamayı seçerseniz çok dikkatli olun.

Portal

1. İlke | öğesine gidin Kullanılabilir tüm ilke tanımlarını listeleyen tanımlar sayfası.
2. Daha önce oluşturduğunuz [Önizleme] SSH Duruş Denetimi ilkesi policyDefinition öğesini seçin
3. Atama'yı tıklatın.
4. Kapsam için daha sonra yeni bir test makinesi oluşturacağınız kaynak grubunu seçin.
5. Parametreler sekmesine geçin.
   1. Arc bağlantılı makineleri hariç tutmak istemiyorsanız Arc bağlantılı makineleri dahil et için "true" seçeneğini belirleyin.
   2. NOT: İzin verilen gruplar gibi SSH ayarlarını özelleştirmek istiyorsanız, tüm kullanılabilir parametreleri göstermek için Yalnızca parametreleri göster... kutusunun işaretini kaldırın. İzin verilen veya reddedilen kullanıcıları veya grupları belirtmeyi seçerseniz, boşlukla ayrılmış bir dize girebileceğinizi unutmayın, örneğin userA userB.
6. Düzeltme sekmesine geçin.
   1. NOT: Bu tanıtım yeni bir makineye odaklansa da, policyAssignment öğesinin mevcut makinelere uygulanmasını istediğiniz diğer senaryolarda Düzeltme görevi oluştur kutusunu işaretleyebilirsiniz.
   2. Sistem tarafından atanan ve seçtiğiniz bir kimlik konumuyla Yönetilen Kimlik Oluştur'u seçin.
7. gözden geçirme ve oluşturma devam edin
   1. İlke Atamasını tamamlamak için Oluştur'u seçin.

PowerShell

Yalnızca denetim ilkesi:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Audit SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Audit SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

denetim ve yapılandırma İlkesi:

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] Configure SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] Configure SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -Location $myAzureLocation -IdentityType SystemAssigned

Azure CLI

Şu anda kullanılamıyor. Beklemede https://github.com/Azure/azure-cli/issues/28377. Lütfen Portal veya PowerShell yönergelerini kullanın.

E. Yeni makine oluşturma

Yeni PolicyAssignments mevcut makinelere uygulanabilir ancak işlem 24 saate kadar sürebilir. Bu hızlı başlangıç için yeni bir makineyi değerlendirmeye odaklanacağız. Bu örnekte bir Azure VM oluşturacağız, ancak isterseniz Arc özellikli bir makine oluşturabilirsiniz.

Portal

1. Azure Sanal Makineler deneyimine gidin.
2. Aşağıdaki özellikleri sağlayarak yeni bir VM oluşturun:
   1. Abonelik ve Kaynak Grubu, PolicyAssignment kapsamının bulunduğu yerle eşleşmelidir.
   2. Görüntü "Windows Server 2025" olmalıdır.
   3. VM mimarisi x64 olmalıdır.
   4. VM adı, boyutu vb. gibi diğer özellikler istediğiniz gibi olabilir.
3. VM oluşturma işleminin tamamlanmasını bekleyin ve makineye genel bakış sayfasına ulaşmak için Kaynağa Git'e tıklayın
4. Sol gezinti bölmesinde Kimlik'i seçin ve makinenin sistem tarafından yönetilen bir kimliğe sahip olduğundan emin olun
5. Sol gezinti bölmesinde Uzantılar + uygulamalar'ı ve ardından + Ekle'yi seçin
6. Windows uzantısı için Azure Machine Yapılandırma uzantısını seçin ve İleri'yi seçin
7. Gözden geçir + oluştur'u ve ardından oluştur'u seçin

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myNameForNewVM = "sshdemovm01"

## Creates a new VM which is prepped to work with MachineConfiguration
## by having a system assigned identity and the GuestConfiguration extension
New-AzVM -Name $myNameForNewVM -ResourceGroupName $myResourceGroupName -SystemAssignedIdentity -Image "MicrosoftWindowsServer:WindowsServer:2025-datacenter:latest"
Set-AzVMExtension -ResourceGroupName $myResourceGroupName -VMName $myNameForNewVM -ExtensionType "ConfigurationforWindows" -Publisher "Microsoft.GuestConfiguration" -Name "AzurePolicyforWindows" -TypeHandlerVersion 1.0

Azure CLI

Şu anda kullanılamıyor. Beklemede https://github.com/Azure/azure-cli/issues/28377. Lütfen Portal veya PowerShell yönergelerini kullanın.

F. Devam etmeden önce ara verin

Yeni PolicyDefinitions, PolicyAssignments ve makineler söz konusu olduğunda, her şeyin kararlı duruma ulaşması birkaç dakika sürebilir. Sonraki adıma geçmeden önce en az 30 dakika beklemeyi göz önünde bulundurun.

G. Uyumluluk sonuçlarını gözlemleme

Aşağıdaki adımlar, farklı yüksekliklerde bir uyumluluk toplaması görmenize olanak tanır:

• PolicyAssignment'a Göre Uyumluluk
  • Uyumlu ve uyumlu olmayan makine sayısı
  • En yüksek rakım, özellikle büyük filolar için kullanışlıdır
• Makineye göre uyumluluk
  • Makine başına evet/hayır içeren makinelerin listesi
• Belirli bir makine için ayara göre uyumluluk
  • Bu makalenin en üstündeki ekran görüntüsü gibi en ayrıntılı ayrıntı düzeyi.

Tavsiye

Yeni makineniz büyük olasılıkla ilkeyle ilk kez karşılaştığında uyumsuz olarak değerlendirilir. İlkedeki varsayılan SSH ayarları, varsayılan olarak yapılandırılan işletim sistemi görüntüsünden daha katıdır. 20 dakika kadar sonra, SSH Duruş Denetimi'nde yerleşik düzeltme mantığı sayesinde makinenizin uyumlu hale geldiğini fark etmelisiniz.

Portal

1. İlke | öğesine gidin Uyumluluk sayfası.
2. [Önizleme] SSH Duruş Denetimi ilkesi'ni seçin.
3. Uyumlu/uyumlu olmayan makine sayısının bildirildiğini gözlemleyin
4. Kaynak Uyumluluğu altında tek tek makinelerin durumunu görebilirsiniz
5. Belirli bir makine için ayara göre ayar ayrıntılarına gitmek için:
   1. Makinenin yanındaki ... öğesine tıklayın ve Makinenin Genel Bakış sayfasına ulaşmak için Kaynağı görüntüle'yi seçin
   2. sol gezinti bölmesinde İşlemler'in altında Yapılandırma yönetimi'ne tıklayın (Ayarlar'ın altında Yapılandırma'ya değil)
   3. SecureShell'e tıklayın
   4. Sonuçta elde edilen sayfa, yapılandırmadaki her ayarı uyumlulukla ve uyumluluğun nasıl belirlendiğiyle ilgili ayrıntılarla birlikte gösterir.

PowerShell

En yüksek rakımdaki durumu gözlemlemek için (yalnızca makine sayıları) aşağıdakileri kullanabilirsiniz:

$machineCountsQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend complianceStatus = tostring(properties.complianceStatus)
| summarize machineCount = count() by complianceStatus
'@

Search-AzGraph -Query $machineCountsQuery

<#
Sample output from an environment with two machines:

complianceStatus machineCount
---------------- ------------
Pending                     1
Compliant                   1
#>

Makineye göre uyumluluğu görmek için aşağıdakileri kullanabilirsiniz:

$machinePerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| project 
    machine = split(properties.targetResourceId,'/')[-1],
    complianceStatus = properties.complianceStatus,
    lastComplianceStatusChecked = properties.lastComplianceStatusChecked
'@

Search-AzGraph -Query $machinePerRowQuery

<#
Sample output:

machine     complianceStatus lastComplianceStatusChecked
-------     ---------------- ---------------------------
sshdemovm01 Compliant        2/15/2024 11:07:21 PM
sshdemovm02 Pending          1/1/0001 12:00:00 AM
#>

Ayara göre ayarlama ayrıntılarını görmek için aşağıdakileri kullanabilirsiniz:

$settingPerRowQuery = @'
guestconfigurationresources
| where name contains "SecureShell"
| extend machine = split(properties.targetResourceId,'/')[-1]
| mvexpand properties.latestAssignmentReport.resources
| mvexpand properties_latestAssignmentReport_resources.reasons
| project machine,
    complianceCheck = tostring(properties_latestAssignmentReport_resources.resourceId),
    complianceStatus = tostring(properties.complianceStatus),
    complianceReason = tostring(properties_latestAssignmentReport_resources_reasons.phrase)
'@

Search-AzGraph $settingPerRowQuery

<#
   Sample output:
   
   machine     complianceCheck                                                  complianceStatus     complianceReason
   -------     ---------------                                                  ------               ------
   sshdemovm01 Ensure that the allowed groups for SSH are configured            Compliant            ["administrators","openssh users"] contains the expected values: ["administrators","openssh users"]
   sshdemovm01 Ensure that appropriate ciphers are used for SSH                 Compliant            ["aes128-ctr","aes192-ctr","aes256-ctr"] contains the expected values: ["aes128-ctr","aes192-ctr","aes256-ctr"]
   sshdemovm01 Ensure that the authorized key file for SSH is configured        Compliant            "%programdata%/ssh/administrators_authorized_keys" is equal to "%programdata%/ssh/administrators_authorized_keys"
   sshdemovm01 Ensure that the SSH ClientAliveInterval is configured            Compliant            3600 is equal to 3600
   sshdemovm01 Ensure that the SSH PermitEmptyPasswords is configured           Compliant            false is equal to false
   sshdemovm01 Ensure that the SSH port is configured                           Compliant            22 is equal to 22
   sshdemovm01 Ensure that the SSH MaxAuthTries is configured                   Compliant            6 is equal to 6
   sshdemovm01 Ensure that only approved MAC algorithms are used                Compliant            ["hmac-sha2-256"] contains the expected values: ["hmac-sha2-256"]
   sshdemovm01 Ensure that the SSH HostKey is configured                        Compliant            "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key" is equal to "__PROGRAMDATA__/ssh/ssh_host_ecdsa_key"
   sshdemovm01 Ensure that the SSH LoginGraceTime is configured                 Compliant            60 is equal to 60
   #>

Azure CLI

Şu anda kullanılamıyor. Beklemede https://github.com/Azure/azure-cli/issues/28377. Lütfen Portal veya PowerShell yönergelerini kullanın.

Yerel Deneyimi kullanmaya başlama (PowerShell)

Önkoşullar

• Cihazınızda üretim imzalı bir Windows Server 2025 derlemesi çalıştırıyor olmanız gerekir.
• OSConfig PowerShell modülü sunucu cihazınıza yüklenmelidir. Ayrıntılar için bkz. OSConfig PowerShell modülünü yükleme .
• Şu kılavuzu izleyerek sshd hizmetini yüklemiş ve çalıştırmış olmanız gerekir: https://aka.ms/windows-openssh-install.

Temel uygulamak, temelin uygulandığını doğrulamak, temeli kaldırmak veya PowerShell'de OSConfig için ayrıntılı uyumluluk bilgilerini görüntülemek için aşağıdaki sekmelerdeki komutları kullanın.

Yapılandırma

SSH senaryosunu uygulamak için aşağıdaki komutu çalıştırın:

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

Doğrulama

SSH senaryosunun düzgün uygulandığını doğrulamak için aşağıdaki komutu çalıştırın:

Get-OSConfigDesiredConfiguration -Scenario SSH

Uyumluluğu denetle

Belirtilen senaryo için istenen yapılandırma ayrıntılarını almak için aşağıdaki komutları kullanın. Çıkış, yapılandırma öğesinin adını, uyumluluk durumunu ve uyumsuzluk nedenini içeren bir tablo biçiminde görüntülenir.

SSH scenairo uyumluluk ayrıntılarını denetlemek için aşağıdaki komutu çalıştırın:

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Özel Yapılandırma

SSH senaryosunda ayarı özelleştirmek için ,'-Name' ve '-Value' parametresiyle bir ayar yapılandırabilirsiniz:

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

---

Sonraki adım

Geri bildirim, özellik istekleri vb. sağlamak için Microsoft ekibiyle iletişime geçin.

Bize Ulaşın