Schnellstart: Überwachen der Azure-Sicherheitsgrundwerte für Linux mit einem Testcomputer

az group create --name my-demo-rg --location eastus

1. Navigieren Sie im Azure-Portal zu Ressourcengruppen
2. Wählen Sie + erstellen aus.
3. Wählen Sie einen Namen und eine Region aus, z. B. "my-demo-rg" und "East US"
4. Fahren Sie mit Überprüfung fort und erstellen Sie

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group my-demo-rg --query id --output tsv)
az policy assignment create --policy "fc9b3da7-8347-4380-8e70-0a0361d8dedd" --display-name "Linux machines should meet requirements for the Azure compute security baseline" --scope "$RG_ID"

1. Geben Sie in der Suchleiste des Azure-Portals "Richtlinie" ein, und wählen Sie Richtlinie aus den Ergebnissen der Dienste aus.
2. Navigieren Sie in der Azure-Richtlinienübersicht zu Authoring>Definitions.
3. Suchen Sie in der Liste der verfügbaren Definitionen nach "Linux-Computer sollten", und wählen Sie Linux-Computer sollten die Anforderungen für die Azure Compute-Sicherheitsbaseline erfüllen.
4. Wählen Sie auf der Seite Richtliniendefinition die Schaltfläche Richtlinie zuweisen aus, um den Workflow für die Richtlinienzuweisung aufzurufen.
5. registerkarte Grundlagen:
   1. Bereich: Wählen Sie Ihre Testressourcengruppe aus (z. B. my-demo-rg)
      1. Achten Sie darauf, nicht, das gesamte Abonnement oder die falsche Ressourcengruppe auszuwählen.
   2. Richtliniendefinition: Sollte bereits mit Linux-Computern gefüllt sein, sollte die Anforderungen für die Azure-Computesicherheitsbaseline erfüllen.
   3. Beachten Sie, dass mehrere andere Felder, einschließlich des Zuweisungsnamens und der Version, automatisch ausgefüllt werden.
6. Fahren Sie mit der Überprüfung und Erstellung der Aufgabe fort
7. Optional: Sie befinden sich nun wieder auf der Seite mit der Richtliniendefinition. Wenn Sie möchten, dass die soeben erstellte Richtlinienzuweisung angezeigt wird, navigieren Sie zur Registerkarte Zuweisungen.

1. Erstellen einer Linux-VM mit einer system zugewiesenen Identität

   az vm create --name my-demo-vm-01 --resource-group my-demo-rg --image Ubuntu2204 --assign-identity [system] --size Standard_B2s
   

   Trinkgeld

   Es ist normal, eine Warnung zu erhalten, die "Es wurde noch kein Zugriff gewährt...". Die Azure-Computerkonfiguration erfordert nur, dass der Computer eine verwaltete Identität, nicht über einen bestimmten Ressourcenzugriff verfügen.

2. Installieren des Computerkonfigurations-Agents als Azure VM-Erweiterung

   az vm extension set --resource-group my-demo-rg --vm-name my-demo-vm-01 --name ConfigurationForLinux --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

1. Erstellen Sie einen virtuellen Linux-Computer mit den folgenden Optionen:

   1. Name des virtuellen Computers: my-demo-vm-01
   2. Ressourcengruppe: Die zuvor erstellte leere Ressourcengruppe, z. B. my-demo-rg
   3. Bild: Ubuntu Server 22.04 LTS - x64 Gen2
   4. VM-Architektur: x64
   5. VM-Größe: Ihre Wahl, beachten Sie jedoch, dass kleinere VM-Größen der B-Serie wie Standard_B2s eine kostengünstige Option zum Testen sein können.

2. Aktualisieren Sie die VM nach der VM-Erstellung so, dass sie mit der Maschinenkonfiguration funktioniert:

   1. Hinzufügen einer zugewiesenen Systemidentität, sofern noch nicht vorhanden
   2. Hinzufügen der Computerkonfigurationserweiterung (im Portal als Azure Automanage Machine Configurationbezeichnet)

Die folgenden Azure CLI-Beispiele stammen aus einer bash Umgebung. Wenn Sie eine andere Shellumgebung verwenden möchten, müssen Sie möglicherweise Beispiele für das Zeilenendeverhalten, Anführungszeichenregeln, Escapezeichen usw. anpassen.

1. Anzahl der Computer nach Compliancestatus:

   QUERY='
   // Returns one record per observed compliance status bucket, with machine counts for each
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | extend ["> ComplianceStatus"] = tostring(properties.complianceStatus)
   | summarize MachineCount = count() by ["> ComplianceStatus"]'
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

2. Liste der Computer mit Konformitätsstatus für jede:

   QUERY='
   // returns one record per machine, with status
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | project ["> Machine"] = split(properties.targetResourceId,"/")[-1],
     ComplianceStatus = properties.complianceStatus,
     LastComplianceCheck = properties.lastComplianceStatusChecked'
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

3. Detaillierte Liste der Basisregeln mit Konformitätsstatus und Nachweisen (auch bekannt als Gründe) für jede:

   QUERY='
   // Returns one record per baseline rule (around 200 per machine) with status for each
   GuestConfigurationResources
   | where name contains "AzureLinuxBaseline"
   | project Report = properties.latestAssignmentReport,
     Machine = split(properties.targetResourceId,"/")[-1],
     LastComplianceCheck=properties.lastComplianceStatusChecked
   | mv-expand Report.resources
   | project ["> Machine"] = Machine,
     ["> Rule"] = Report_resources.resourceId,
     RuleComplianceStatus = Report_resources.complianceStatus,
     RuleComplianceReason = Report_resources.reasons[0].phrase,
     LastComplianceCheck'
   
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

Das Video ist enthalten, um einen Überblick über den Arbeitsablauf zu vermitteln. Weitere Informationen zu Abfragen finden Sie im Text in diesem Artikel.

1. Navigieren Sie zur Übersichtsseite für Azure-Richtlinien
2. Klicken Sie im linken Navigationsbereich auf "Compliance".
3. Klicken Sie auf Ihre Linux-Rechner sollten ... Richtlinienzuweisung
4. Beachten Sie, dass diese Seite beides bietet:
   1. Anzahl der Computer nach Compliancestatus
   2. Liste der Computer mit dem Konformitätsstatus für die einzelnen Computer
5. Wenn Sie bereit sind, eine detaillierte Liste der Basisregeln mit Compliancestatus und Nachweisen anzuzeigen, gehen Sie wie folgt vor:
   1. Wählen Sie in der Liste der Computer (unter Ressourcenkompatibilität) den Namen Ihres Testcomputers aus.
   2. Klicken Sie auf Ressource anzeigen, um zur Seite "Computerübersicht" zu wechseln.
   3. Suchen Und wählen Sie in der linken Navigationsleiste Konfigurationsverwaltung
   4. Wählen Sie in der Liste der Konfigurationen die Konfiguration aus, deren Name mit AzureLinuxBaseline...
   5. Verwenden Sie in der Ansicht "Konfigurationsdetails" die Dropdownliste "Filter", um "Alle auswählen", wenn Sowohl Compliance- als auch nicht kompatible Regeln angezeigt werden sollen.