Schnellstart: Konfigurieren der Azure-Sicherheitsbasislinie für Linux mit einem Testcomputer

1. Verwenden Sie die Kontoinformationen im Portal, um Ihren aktuellen Kontext anzuzeigen.

   

1. Sie können az account show verwenden, um Ihren aktuellen Kontext anzuzeigen. Verwenden Sie az account login, um sich anzumelden oder Kontexte zu ändern.
2. Die Richtliniendefinition wird in das Abonnement importiert, das als id als Reaktion auf az account show

1. Navigieren Sie im Azure-Portal zu Ressourcengruppen
2. Wählen Sie + erstellen aus.
3. Wählen Sie einen Namen und eine Region aus, z. B. "my-demo-rg" und "East US"
4. Fahren Sie mit Überprüfung fort und erstellen Sie

az group create --name my-demo-rg --location eastus

1. Laden Sie json- der Richtliniendefinition auf Ihren Computer herunter, und öffnen Sie sie in Ihrem bevorzugten Text-Editor. In einem späteren Schritt kopieren und einfügen Sie den Inhalt dieser Datei.
2. Geben Sie in der Suchleiste des Azure-Portals "Richtlinie" ein, und wählen Sie Richtlinie aus den Ergebnissen der Dienste aus.
3. Navigieren Sie in der Azure-Richtlinienübersicht zu Authoring>Definitions.
4. Wählen Sie + Richtliniendefinitionaus, und füllen Sie das resultierende Formular wie folgt aus:
   1. Definitionsspeicherort: <Wählen Sie Ihr Azure-Testabonnement>
   2. Name: Konfigurieren der Azure-Sicherheitsbasislinie für Linux (unterstützt von OSConfig)
   3. Kategorie-: Vorhandene > Gastkonfiguration verwenden
   4. Richtlinienregel: Löschen den vorgefüllten Inhalt, und dann in den JSON-Code aus der Datei in Schritt 1 einfügen

Wenn Sie eine spezielle Azure-Umgebung wie eine Government Cloud verwenden, müssen Sie möglicherweise management.azure.com im folgenden az rest Befehl durch Ihren lokalen Endpunkt ersetzen.

curl -L https://github.com/Azure/azure-osconfig/releases/download/PrivatePreview_ASB_Remediation_Feb2025/AzureLinuxBaseline_DeployIfNotExists.json -o ./temp_policy_def.json

# Note that it is not necessary to manually replace the {subscriptionId} token in the command below. The az rest command 
# will automatically replace it with the subscription id from the az account show command.
az rest --url "https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/policyDefinitions/preview_azure_baseline_linux_osconfig?api-version=2023-04-01" --method PUT --body @./temp_policy_def.json

1. Wählen Sie auf der Seite "Richtliniendefinition" Richtlinie zuweisenaus, die Sie zum Workflow zum Zuweisen der Richtlinie führt.
2. registerkarte Grundlagen:
   1. Bereichs-: Wählen Sie Ihre Test Ressourcengruppe aus (z. B. my-demo-rg)
      1. Achten Sie darauf, nicht, das gesamte Abonnement oder die falsche Ressourcengruppe auszuwählen.
   2. Richtliniendefinition: Konfigurieren der Azure-Sicherheitsbasislinie für Linux (unterstützt von OSConfig)
   3. Zuordnungsname: Konfigurieren der Azure-Sicherheitsbasislinie für Linux (unterstützt von OSConfig)
3. Registerkarte Parameter
   1. Optional: Fahren Sie mit der Registerkarte Parameter fort, um zu prüfen, welche Parameter verfügbar sind. Wenn Sie einen Arc-aktivierten Computer im Gegensatz zu einem virtuellen Azure-Computer testen, müssen Sie "Arc-Computer einschließen" in trueändern.
4. Registerkarte Korrektur
   1. Wählen Sie die Option aus, verwaltete Identitätzu erstellen, und wählen Sie "vom System verwaltet" aus.
5. Überprüfen + Erstellen Registerkarte
   1. Wählen Sie erstellen aus.
6. Navigieren Sie zurück auf der Seite "Richtliniendefinition" zu der soeben erstellten Richtlinienzuweisung unter der Registerkarte Aufgaben

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group my-demo-rg --query id --output tsv)
az policy assignment create --policy "preview_azure_baseline_linux_osconfig" --name "assign_preview_azure_baseline_linux_osconfig" --display-name "Configure Azure security baseline for Linux (powered by OSConfig)" --scope "$RG_ID" --mi-system-assigned --role "Guest Configuration Resource Contributor" --identity-scope "$RG_ID" --location eastus

1. Erstellen Sie einen virtuellen Linux-Computer mit den folgenden Optionen:
   1. Name des virtuellen Computers: my-demo-vm-01
   2. Ressourcengruppe: Die zuvor erstellte leere Ressourcengruppe, z. B. my-demo-rg
   3. Image: Ubuntu Server 22.04 LTS - x64 Gen2
   4. VM-Architektur: x64
   5. VM-Größe: Ihre Wahl, beachten Sie jedoch, dass kleinere VM-Größen der B-Serie wie Standard_B2s eine kostengünstige Option zum Testen sein können.
2. Aktualisieren Sie nach der Vm-Erstellung den virtuellen Computer so, dass er mit der Computerkonfiguration funktioniert:
   1. Hinzufügen einer zugewiesenen Systemidentität, sofern noch nicht vorhanden
   2. Hinzufügen der Computerkonfigurationserweiterung (im Portal als Azure Automanage Machine Configurationbezeichnet)

1. Erstellen einer Linux-VM mit einer system zugewiesenen Identität

   az vm create --name my-demo-vm-01 --resource-group my-demo-rg --image Ubuntu2204 --assign-identity [system] --size Standard_B2s
   

   Trinkgeld

   Es ist normal, eine Warnung wie "Es wurde noch kein Zugriff gewährt..."zu erhalten. Es ist beabsichtigt, dass der verwalteten Identität kein bestimmter Zugriff zugewiesen ist, da die Azure-Computerkonfiguration nur erfordert, dass der Computer über eine verwaltete Identität verfügt.

2. Installieren des Computerkonfigurations-Agents als Azure VM-Erweiterung

   az vm extension set --resource-group my-demo-rg --vm-name my-demo-vm-01 --name ConfigurationForLinux --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

1. Navigieren Sie zur Übersichtsseite für Azure-Richtlinien
2. Klicken Sie im linken Navigationsbereich auf "Compliance".
3. Klicken Sie auf die zuvor erstellte Richtlinienzuweisung, z. B. Konfigurieren der Azure-Sicherheitsbasislinie für Linux (unterstützt von OSConfig)
4. Beachten Sie, dass diese Seite beides bietet:
   1. Anzahl der Computer nach Compliancestatus
   2. Liste der Computer mit dem Konformitätsstatus für die einzelnen Computer
5. Wenn Sie bereit sind, eine detaillierte Liste der Basisregeln mit Compliancestatus und Nachweisen anzuzeigen, gehen Sie wie folgt vor:
   1. Wählen Sie in der Liste der Computer (unter Ressourcenkompatibilität) den Namen Ihres Testcomputers aus.
   2. Klicken Sie auf Ressource anzeigen, um zur Seite "Computerübersicht" zu wechseln.
   3. Suchen Und wählen Sie in der linken Navigationsleiste Konfigurationsverwaltung
   4. Wählen Sie in der Liste der Konfigurationen die Konfiguration aus, deren Name mit SetAzureLinuxBaseline beginnt...
   5. Verwenden Sie in der Ansicht "Konfigurationsdetails" die Dropdownliste "Filter", um "Alle auswählen", wenn sowohl kompatible als auch nicht kompatible Regeln angezeigt werden sollen.

Die folgenden Azure CLI-Beispiele stammen aus einer bash Umgebung. Wenn Sie eine andere Shellumgebung verwenden möchten, müssen Sie möglicherweise Beispiele für das Zeilenendeverhalten, Anführungszeichenregeln, Escapezeichen usw. anpassen.

1. Liste der Computer mit Konformitätsstatus für jede:

   az graph query --query data --output yamlc --graph-query '
   // returns one record per machine, with status
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | project ["> Machine"] = split(properties.targetResourceId,"/")[-1],
     ComplianceStatus = properties.complianceStatus,
     LastComplianceCheck = properties.lastComplianceStatusChecked'
   

2. Anzahl der Computer nach Compliancestatus:

   az graph query --query data --output yamlc --graph-query '
   // Returns one record per observed compliance status bucket, with machine counts for each
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | extend ["> ComplianceStatus"] = tostring(properties.complianceStatus)
   | summarize MachineCount = count() by ["> ComplianceStatus"]'
   

3. Detaillierte Liste der Basisregeln mit Konformitätsstatus und Nachweisen (auch bekannt als Gründe) für jede:

   QUERY='
   // Returns one record per baseline rule (around 200 per machine) with status for each
   GuestConfigurationResources
   | where name contains "AzureLinuxBaseline"
   | project Report = properties.latestAssignmentReport,
     Machine = split(properties.targetResourceId,"/")[-1],
     LastComplianceCheck=properties.lastComplianceStatusChecked
   | mv-expand Report.resources
   | project ["> Machine"] = Machine,
     ["> Rule"] = Report_resources.resourceId,
     RuleComplianceStatus = Report_resources.complianceStatus,
     RuleComplianceReason = Report_resources.reasons[0].phrase,
     LastComplianceCheck'
   
   az graph query --graph-query "$QUERY" --query data --output yamlc