Inicio rápido: Configuración de la línea base de seguridad de Azure para Linux con una máquina de prueba

1. Use la información de la cuenta en el portal para ver el contexto actual.

   captura de pantalla de

1. Puede usar az account show para ver el contexto actual. Para iniciar sesión o cambiar contextos, use az account login.
2. La definición de directiva se importará a la suscripción que se muestra como id en respuesta a az account show

1. En Azure Portal, vaya a Grupos de recursos
2. Seleccione + Crear
3. Elija un nombre y una región, como "my-demo-rg" y "Este de EE. UU. "
4. Continúe con Revisar y crear

az group create --name my-demo-rg --location eastus

1. Descargue la definición de directiva JSON en el equipo y ábralo en el editor de texto que prefiera. En un paso posterior, copiará y pegará el contenido de este archivo.
2. En la barra de búsqueda de Azure Portal, escriba Directiva y seleccione Directiva en los resultados de servicios.
3. En la información general de Azure Policy, vaya a Creación de definiciones de>.
4. Seleccione + Definición de directivay rellene el formulario resultante de la siguiente manera:
   1. ubicación de definición: <elegir la suscripción de Azure de prueba>
   2. Nombre: configuración de la línea de base de seguridad de Azure para Linux (con tecnología de OSConfig)
   3. categoría: usar la configuración de invitado de > existente
   4. regla de directiva: Eliminar el contenido rellenado previamente y, a continuación, pegar en el json del archivo en el paso 1

Si usa un entorno de Azure especializado, como una nube de administración pública, es posible que tenga que reemplazar management.azure.com en el siguiente comando az rest por el punto de conexión local.

curl -L https://github.com/Azure/azure-osconfig/releases/download/PrivatePreview_ASB_Remediation_Feb2025/AzureLinuxBaseline_DeployIfNotExists.json -o ./temp_policy_def.json

# Note that it is not necessary to manually replace the {subscriptionId} token in the command below. The az rest command 
# will automatically replace it with the subscription id from the az account show command.
az rest --url "https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/policyDefinitions/preview_azure_baseline_linux_osconfig?api-version=2023-04-01" --method PUT --body @./temp_policy_def.json

1. En la página Definición de directiva, seleccione Asignar directiva, que le llevará al flujo de trabajo para asignar la directiva.
2. pestaña Aspectos básicos:
   1. ámbito: seleccione el grupo de recursos de prueba de (por ejemplo, my-demo-rg)
      1. Tenga cuidado no para seleccionar toda la suscripción o el grupo de recursos incorrecto
   2. definición de directiva: configuración de la línea de base de seguridad de Azure para Linux (con tecnología de OSConfig)
   3. Nombre de asignación: configuración de la línea base de seguridad de Azure para Linux (con tecnología de OSConfig)
3. pestaña Parámetros de
   1. Opcional: continúe con la pestaña Parámetros de para inspeccionar qué parámetros están disponibles. Si está probando con una máquina habilitada para Arc en lugar de una máquina virtual de Azure, asegúrese de cambiar "incluir máquinas arc" a true.
4. pestaña corrección de
   1. Elija la opción para crear identidad administraday elija "administrado por el sistema".
5. pestaña Revisar y crear
   1. Seleccione Crear
6. De nuevo en la página de definición de directiva, vaya a la asignación de directiva que acaba de crear, en la pestaña Asignaciones

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group my-demo-rg --query id --output tsv)
az policy assignment create --policy "preview_azure_baseline_linux_osconfig" --name "assign_preview_azure_baseline_linux_osconfig" --display-name "Configure Azure security baseline for Linux (powered by OSConfig)" --scope "$RG_ID" --mi-system-assigned --role "Guest Configuration Resource Contributor" --identity-scope "$RG_ID" --location eastus

1. Cree una máquina virtual Linux con las siguientes opciones:
   1. nombre de máquina virtual: my-demo-vm-01
   2. grupo de recursos: el grupo de recursos vacío creado anteriormente, por ejemplo, my-demo-rg
   3. image: Ubuntu Server 22.04 LTS - x64 Gen2
   4. arquitectura de máquina virtual: x64
   5. tamaño de máquina virtual: su elección, pero tenga en cuenta que los tamaños de máquina virtual de la serie B más pequeños, como Standard_B2s, pueden ser una opción rentable para las pruebas.
2. Después de la creación de la máquina virtual, actualice la máquina virtual para que funcione con la configuración de la máquina:
   1. Agregar una identidad asignada por el sistema, si aún no está presente
   2. Agregue la extensión Machine Configuration (etiquetada en el portal como Azure Automanage Machine Configuration)

1. Creación de una máquina virtual Linux con una identidad asignada por el sistema

   az vm create --name my-demo-vm-01 --resource-group my-demo-rg --image Ubuntu2204 --assign-identity [system] --size Standard_B2s
   

   Propina

   Es normal recibir una advertencia similar a "No se ha dado acceso todavía...". Es intencionada que no se asigna ningún acceso específico a la identidad administrada, ya que Azure Machine Configuration solo requiere que la máquina tenga una identidad administrada.

2. Instalación del agente de Machine Configuration como una extensión de máquina virtual de Azure

   az vm extension set --resource-group my-demo-rg --vm-name my-demo-vm-01 --name ConfigurationForLinux --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

1. Vaya a la página de información general de Azure Policy.
2. Haga clic en "Cumplimiento" en el panel de navegación izquierdo.
3. Haga clic en la asignación de directiva que creó anteriormente, por ejemplo, Configuración de la línea de base de seguridad de Azure para Linux (con tecnología de OSConfig)
4. Tenga en cuenta que esta página proporciona las dos opciones:
   1. Recuento de máquinas por estado de cumplimiento
   2. Lista de máquinas con estado de cumplimiento para cada uno
5. Cuando esté listo para ver una lista detallada de reglas de línea base con estado de cumplimiento y evidencia, haga lo siguiente:
   1. En la lista de máquinas (que se muestra en cumplimiento de recursos) seleccione el nombre de la máquina de prueba.
   2. Haga clic en Ver de recursos para ir a la página de información general de la máquina.
   3. En el panel de navegación izquierdo, busque y seleccione Administración de configuración
   4. En la lista de configuraciones, seleccione la configuración cuyo nombre comienza por SetAzureLinuxBaseline...
   5. En la vista de detalles de configuración, use la lista desplegable filtro para Seleccionar todas las si desea ver reglas compatibles y no compatibles.

Los siguientes ejemplos de la CLI de Azure proceden de un entorno de bash. Para usar otro entorno de shell, es posible que tenga que ajustar ejemplos para el comportamiento final de línea, las reglas de comillas, el escape de caracteres, etc.

1. Lista de máquinas con estado de cumplimiento para cada una:

   az graph query --query data --output yamlc --graph-query '
   // returns one record per machine, with status
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | project ["> Machine"] = split(properties.targetResourceId,"/")[-1],
     ComplianceStatus = properties.complianceStatus,
     LastComplianceCheck = properties.lastComplianceStatusChecked'
   

2. Recuento de máquinas por estado de cumplimiento:

   az graph query --query data --output yamlc --graph-query '
   // Returns one record per observed compliance status bucket, with machine counts for each
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | extend ["> ComplianceStatus"] = tostring(properties.complianceStatus)
   | summarize MachineCount = count() by ["> ComplianceStatus"]'
   

3. Lista detallada de reglas de línea base con estado de cumplimiento y evidencia (también conocida como Razones) para cada una:

   QUERY='
   // Returns one record per baseline rule (around 200 per machine) with status for each
   GuestConfigurationResources
   | where name contains "AzureLinuxBaseline"
   | project Report = properties.latestAssignmentReport,
     Machine = split(properties.targetResourceId,"/")[-1],
     LastComplianceCheck=properties.lastComplianceStatusChecked
   | mv-expand Report.resources
   | project ["> Machine"] = Machine,
     ["> Rule"] = Report_resources.resourceId,
     RuleComplianceStatus = Report_resources.complianceStatus,
     RuleComplianceReason = Report_resources.reasons[0].phrase,
     LastComplianceCheck'
   
   az graph query --graph-query "$QUERY" --query data --output yamlc