快速入門：將 SSH 狀態控制套用至 Windows Server 測試電腦

在下列步驟中，您將使用 Azure 原則將 SSH 狀態控制設定部署至測試 Windows Server 2019、2022 或 2025 VM。

如需背景和概念參考，請參閱什麼是 SSH 狀態控件？。

如需更進階的逐步解說，請參閱使用 SSH 狀態控制管理 sshd 設定。

如果您沒有 Azure 帳戶，您可以建立免費試用。

謹慎

本快速入門示範如何套用適用於新可處置測試機器的限制性 sshd 組態。如果您要將此設定套用至其他計算機，您可以自行鎖定。嘗試 SSH 狀態控制件之類的安全性控制件時，請使用隔離的沙箱環境，即使原則指派發生錯誤也不會重新設定非預期的機器。

先決條件

嘗試本文中的步驟之前，請確定您已具備：

您有權建立資源群組、原則指派和虛擬機的 Azure 帳戶。
與 Azure 互動的慣用環境，例如：
1. Azure Cloud Shell （建議）
  1. 注意：範例會使用bash模式。讀者可能會將範例調整為其他殼層環境，包括 PowerShell。
2. 或已安裝並登入 Azure CLI 的殼層環境
3. 在網頁瀏覽器中或Azure 入口網站

使用入口網站中的帳戶資訊來查看您目前的內容。

建立資源群組

此範例中 eastus 位置的選擇並不重要。您可以使用任何可用的 Azure 位置。

Azure 入口網站
Azure CLI

透過入口網站建立資源群組的螢幕快照

az group create --name sshdemo01 --location eastus

將原則指派給資源群組

本快速入門會使用內建原則定義 [Preview]: Configure SSH security posture for Windows套用稽核和設定行為。

範例指派主要依賴 SSH 狀態控制項預設值（例如埠 22，不允許根存取），且自定義有限（橫幅文字）。

Azure 入口網站
Azure CLI

流覽至 [原則]，然後流覽至 [定義]
篩選清單以尋找並選取 [[Preview]: Configure SSH security posture for Windows
從原則定義頁面，按兩下 [指派]
在原則指派工作流程中
1. 選擇新的空白資源群組（稍早建立）作為範圍。
2. 選擇性：選擇此原則指派的名稱。根據預設，會使用原則定義的名稱。
3. 選擇性：在 [參數] 索引標籤上，覆寫預設值，例如 “banner” 值。
4. 注意：規則 'port' 應設定為單一值，以確保稽核和設定案例的適當功能和合規性。
5. 完成原則指派的建立。

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group sshdemo01 --query id --output tsv)
az policy assignment create --policy "42830b63-79aa-4ea5-85dc-6baa719d7d7c" --name "Configure SSH Posture test machine" --scope "$RG_ID" --params '{"banner":{"value":"CONTOSO SYSTEMS. Unauthorized use will be prosecuted."}}' --mi-system-assigned --role "Guest Configuration Resource Contributor" --identity-scope "$RG_ID" --location eastus

謹慎

無論您是使用入口網站或 CLI，在繼續之前，請先檢查您剛才建立的原則指派範圍。如果範圍錯誤地設定為稍早建立的新空白資源群組以外的任何專案，則應該立即更正，以避免混淆非預期的機器。

建立測試 VM 並準備電腦設定

Azure 入口網站
Azure CLI

建立 Windows Server 2019、2022 或 2025 虛擬機器
如果尚未存在，請新增系統指派的身分識別
新增電腦設定延伸（在門戶中標記為適用於 Windows 的 Azure 電腦設定）

建立具有系統指派身分識別的 Windows Server 2019、2022 或 2025 VM

az vm create --name sshdemo01 --resource-group sshdemo01 --image "MicrosoftWindowsServer:WindowsServer:2025-datacenter:latest" --assign-identity [system]

安裝計算機設定代理程式，作為 Azure VM 擴充功能

az vm extension set --resource-group sshdemo01 --vm-name sshdemo01 --name ConfigurationForWindows --publisher Microsoft.GuestConfiguration --enable-auto-upgrade

小提示

在本快速入門中，機器設定的必要條件（VM 具有受控識別和代理程序擴充功能）會在建立 VM 期間直接解決。您可以透過 Deploy prerequisites to enable Guest Configuration policies on virtual machines 內建原則方案，大規模滿足這些必要條件。

繼續前休息一下

現在會自動執行數個步驟。這些步驟可能需要幾分鐘的時間。因此，請至少等候 15 分鐘，然後再繼續進行。

觀察結果

使用下列步驟，您可以看到：

有多少部機器符合規範（或不符合）
1. 在生產規模上特別有用，您可能會有數千部機器
哪些機器符合規範（或不符合）
針對指定的電腦，哪些個別規則符合規範（或不符合）

Azure 入口網站
Azure CLI

下列 Azure CLI 範例來自 bash 環境。若要使用另一個殼層環境，您可能需要調整行尾行為、引號規則、字元逸出等範例。

有多少部機器符合規範（或不符合）：

QUERY="guestconfigurationresources
   | where name contains 'SecureShell'
   | extend complianceStatus = tostring(properties.complianceStatus)
   | summarize machineCount = count() by complianceStatus
"
az graph query -q "$QUERY" --query data --output table

# Sample output from an environment with two machines:
# 
# complianceStatus machineCount
# ---------------- ------------
# Pending                     1
# Compliant                   1

哪些機器符合規範（或不符合）：

QUERY="guestconfigurationresources
| where name contains 'SecureShell'
| project 
    machine = split(properties.targetResourceId,'/')[-1],
    complianceStatus = properties.complianceStatus,
    lastComplianceStatusChecked = properties.lastComplianceStatusChecked
"

az graph query -q "$QUERY" --query data --output table

# Sample output from an environment with two machines:
#
# machine     complianceStatus lastComplianceStatusChecked
# -------     ---------------- ---------------------------
# sshdemovm01 Compliant        2/15/2024 11:07:21 PM
# sshdemovm02 Pending          1/1/0001 12:00:00 AM

針對指定的計算機，哪些個別規則符合規範（或不符合）：

QUERY="GuestConfigurationResources
| where name contains 'SecureShell'
| project report = properties.latestAssignmentReport,
  machine = split(properties.targetResourceId,'/')[-1],
  lastComplianceStatusChecked=properties.lastComplianceStatusChecked
| mv-expand report.resources
| project machine,
  rule = report_resources.resourceId,
  ruleComplianceStatus = report_resources.complianceStatus,
  ruleComplianceReason = report_resources.reasons[0].phrase,
  lastComplianceStatusChecked
"
az graph query -q "$QUERY" --query data --output table
# Sample output from an environment where audit-and-configure behavior was selected, such that all settings became compliant:
# 
# machine     rule                                                            ruleComplianceStatus     ruleComplianceReason
# -------     ---------------                                                  ------               ------
# sshdemovm01 Ensure permissions on /etc/ssh/sshd_config are configured        true            Access to '/etc/ssh/sshd_config' matches required ...
# sshdemovm01 Ensure SSH is configured to meet best practices (protocol 2)     true            'Protocol 2' is found uncommented in /etc/ssh/sshd_config
# sshdemovm01 Ensure SSH is configured to ignore rhosts                        true            The sshd service reports that 'ignorerhosts' is set to 'yes'
# sshdemovm01 Ensure SSH LogLevel is set to INFO                               true            The sshd service reports that 'loglevel' is set to 'INFO'
# sshdemovm01 Ensure SSH MaxAuthTries is configured                            true            The sshd service reports that 'maxauthtries' is set to '6'
# sshdemovm01 Ensure allowed users for SSH access are configured               true            The sshd service reports that 'allowusers' is set to '*@*'
# sshdemovm01 Ensure denied users for SSH are configured                       true            The sshd service reports that 'denyusers' is set to 'root'
# sshdemovm01 Ensure allowed groups for SSH are configured                     true            The sshd service reports that 'allowgroups' is set to '*'
# sshdemovm01 Ensure denied groups for SSH are configured                      true            The sshd service reports that 'denygroups' is set to 'root'
# sshdemovm01 Ensure SSH host-based authenticationis disabled                  true            The sshd service reports that 'hostbasedauthentication' is ...
# ...

選擇性：新增更多測試機器以體驗調整規模

在本文中，原則已指派給資源群組，該群組一開始是空的，然後取得一個 VM。雖然這會示範系統端對端運作，但不會提供大規模作業的感覺。例如，在原則指派合規性檢視中，一部機器的餅圖可能會感到人為。

請考慮手動或透過自動化，將更多測試機器新增至資源群組。這些可能是 Azure VM 或已啟用 Arc 的機器。當您看到這些機器符合規範（或甚至失敗）時，您可以獲得更敏銳的 SSH 狀態控制大規模運作感。

選擇性：手動檢查測試計算機以確認結果

開始使用 SSH 狀態控制等新功能時，手動檢查頻外的結果可能很實用。這有助於建立信賴度和清楚度。例如，本文中的步驟應該會導致測試 VM 上的修改登入橫幅設定。您可以嘗試透過 SSH 連線到電腦以查看橫幅，或檢查sshd_config檔案來確認此情況。

清理資源

若要避免持續產生費用，請考慮刪除本文中使用的資源群組。例如，Azure CLI 命令會 az group delete --name "sshdemo01"

開始使用本機體驗（PowerShell）

先決條件

您必須在裝置上執行生產簽署的 Windows Server 2019、2022、2025 組建。
OSConfig PowerShell 模組必須安裝在您的伺服器裝置上。如需詳細資訊，請參閱安裝OSConfig PowerShell模組。
您必須已安裝 sshd 服務，並執行下列指南： https://aka.ms/windows-openssh-install。

若要套用基準，請確認基準已套用、移除基準，或檢視 PowerShell 中 OSConfig 的詳細合規性資訊，請使用下列索引卷標上的命令。

設定

若要套用 SSH 案例，請執行下列命令：

Set-OSConfigDesiredConfiguration -Scenario SSH -Default

驗證

若要確認 SSH 案例已正確套用，請執行下列命令：

Get-OSConfigDesiredConfiguration -Scenario SSH

檢查合規性

若要獲取指定情境所需的設定詳細資訊，請使用以下命令。輸出會以數據表格式顯示，其中包含組態項目的名稱、其合規性狀態，以及不符合規範的原因。

若要檢查 SSH scenairo 的合規性詳細數據，請執行下列命令：

Get-OSConfigDesiredConfiguration -Scenario SSH | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

自訂設定

若要在 SSH 案例中自訂設定，您可以使用參數 '-Name' 和 '-Value' 來設定設定：

Set-OSConfigDesiredConfiguration -Scenario SSH -Name Banner -Value "Custom Banner"

後續步驟

請連絡Microsoft小組，以提供意見反應、功能要求等。

與我們連絡

上次更新時間： 2025-09-22

快速入門：將 SSH 狀態控制 套用至 Windows Server 測試電腦

先決條件

確認您已登入測試環境

建立資源群組

將原則指派給資源群組

建立測試 VM 並準備電腦設定

繼續前休息一下

觀察結果

選擇性：新增更多測試機器以體驗調整規模

選擇性：手動檢查測試計算機以確認結果

清理資源

開始使用本機體驗 （PowerShell）

先決條件

設定

驗證

檢查合規性

自訂設定

後續步驟

其他資源

快速入門：將 SSH 狀態控制套用至 Windows Server 測試電腦

開始使用本機體驗（PowerShell）