Azure Linux 採用預設安全的基線，並在開機、執行時及更新工作流程中設有分層保護。 本文將介紹安全模型、主要功能，以及在 Azure Linux 上驗證安全設定的建議。
Note
Azure Linux 4.0 目前已進入 preview，僅限於評估與測試用途。 它不適合生產使用。
安全性模型
下表總結了指導 Azure Linux 設計的核心安全原則及其在整個平台上的實作：
| 安全原則 | Azure Linux 中的實作 |
|---|---|
| 預設安全 | 套件設定簡約，僅金鑰 SSH 認證，並啟用防火牆 |
| 深層防禦 | SELinux 強制存取控制，網路強化 |
| 最低權限 | SELinux 政策、核心能力限制 |
核心安全特性
由預設安全基準保障
- 強化型核心：具備 ASLR、堆疊金絲雀保護和指標限制。
- 最小套件集：僅包含核心作業系統（OS）功能所需的必要套件。 基礎映像中不包含舊版通訊協定、開發工具或非必要的常駐程式。
- 預設沒有外部網路連線：firewalld 拒絕除了 SSH 以外的所有入站流量。
- 僅金鑰 SSH 認證：密碼認證被停用。
- 套件完整性：所有套件及儲存庫的元資料皆為 GPG 簽名。
執行時保護
- SELinux： 處於強制模式。 搭配預先標示套件的針對性原則。
- eBPF 強化：禁用非特權 BPF，停用直譯器以支援 JIT。
網路安全
- firewalld：預設啟用且具有nftables 後端。
- 網路系統強化：嚴格的反向路徑過濾，停用 ICMP 重定向，啟用 SYN Cookie。
- IPv6：啟用後已套用強化設定。
身分識別與存取
- SSSD/realmd：可從 Azure Linux 軟體庫取得，支援 Active Directory 與 LDAP 的混合身份情境。
Cryptography
- FIPS 140-3：經過驗證的密碼模組，具備簡單的啟用機制。
- 後量子密碼學：ML-KEM 混合金鑰交換支援。
- 系統加密函式庫：應用程式可以使用作業系統層級的加密。
記錄、稽核與監控
- 審核：預設啟用;規則設定檔會在 /usr/share/audit-rules/ 下發佈，並可透過將所需設定檔複製到 /etc/audit/rules.d/ 來啟用。
- journald：帶有結構化 JSON 輸出的持久儲存。
弱點掃描整合
Azure Linux 支援與常見的漏洞掃描與安全工具整合。 有關支援的工具清單，請參見 Azure Linux 合作夥伴解決方案。