Démarrage rapide : Auditer la base de référence de sécurité Azure pour Linux avec une machine de test

az group create --name my-demo-rg --location eastus

1. À partir du portail Azure, accédez à groupes de ressources
2. Sélectionnez + Créer
3. Choisissez un nom et une région, tels que « my-demo-rg » et « USA Est »
4. Passez à Vérifier + créer

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group my-demo-rg --query id --output tsv)
az policy assignment create --policy "fc9b3da7-8347-4380-8e70-0a0361d8dedd" --display-name "Linux machines should meet requirements for the Azure compute security baseline" --scope "$RG_ID"

1. Dans la barre de recherche du portail Azure, tapez Stratégie et sélectionnez Stratégie dans les résultats des services.
2. Dans la vue d’ensemble d’Azure Policy, accédez à >Définitions de création.
3. Dans la liste des définitions disponibles, recherchez « Les machines Linux doivent » et sélectionnez Les machines Linux doivent répondre aux exigences de la base de référence de sécurité de calcul Azure.
4. Sur la page Définition de la stratégie, sélectionnez le bouton Attribuer une stratégie pour accéder au flux de travail d’attribution de stratégie.
5. onglet De base :
   1. Étendue : sélectionnez votre groupe de ressources de test (par exemple, my-demo-rg)
      1. Veillez ne pas sélectionner l’intégralité de l’abonnement ou le groupe de ressources incorrect
   2. Définition de la stratégie : Doit déjà être rempli avec des machines Linux Doit répondre aux exigences de la base de référence de sécurité de calcul Azure
   3. Notez que plusieurs autres champs, y compris le nom de l’attribution et la version, seront renseignés automatiquement.
6. Procédez à la révision et à la création du devoir
7. Facultatif : Vous serez de retour sur la page de définition de la stratégie. Si vous souhaitez voir l’attribution de stratégie que vous venez de créer, accédez à l’onglet Attributions.

1. Créer une machine virtuelle Linux avec une identité affectée par le système

   az vm create --name my-demo-vm-01 --resource-group my-demo-rg --image Ubuntu2204 --assign-identity [system] --size Standard_B2s
   

   Pourboire

   Il est normal de recevoir une alerte similaire à « Aucun accès n’a encore été donné... ». Azure Machine Configuration nécessite uniquement que l’ordinateur dispose d' une identité managée, pas d’accès spécifique aux ressources.

2. Installer l’agent Machine Configuration en tant qu’extension de machine virtuelle Azure

   az vm extension set --resource-group my-demo-rg --vm-name my-demo-vm-01 --name ConfigurationForLinux --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

1. Créez une machine virtuelle Linux, avec les choix suivants :

   1. nom de machine virtuelle: my-demo-vm-01
   2. groupe de ressources: groupe de ressources vide créé précédemment, par exemple my-demo-rg
   3. Image : Ubuntu Server 22.04 LTS - x64 Gen2
   4. architecture de machine virtuelle: x64
   5. taille de machine virtuelle: votre choix, mais notez que les tailles de machine virtuelle de série B plus petites telles que Standard_B2s peuvent être une option économique pour les tests

2. Après la création de la machine virtuelle, mettez-la à jour pour qu’elle fonctionne avec la configuration de la machine :

   1. Ajouter une identité affectée par le système, s’il n’est pas déjà présent
   2. Ajouter l’extension Configuration de l’ordinateur (étiquetée dans le portail en tant que Azure Automanage Machine Configuration)

Les exemples Azure CLI suivants proviennent d’un environnement bash. Pour utiliser un autre environnement d’interpréteur de commandes, vous devrez peut-être ajuster des exemples pour le comportement de fin de ligne, les règles de guillemets, l’échappement de caractères, et ainsi de suite.

1. Nombre d’ordinateurs par état de conformité :

   QUERY='
   // Returns one record per observed compliance status bucket, with machine counts for each
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | extend ["> ComplianceStatus"] = tostring(properties.complianceStatus)
   | summarize MachineCount = count() by ["> ComplianceStatus"]'
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

2. Liste des machines avec l’état de conformité pour chacun d’eux :

   QUERY='
   // returns one record per machine, with status
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | project ["> Machine"] = split(properties.targetResourceId,"/")[-1],
     ComplianceStatus = properties.complianceStatus,
     LastComplianceCheck = properties.lastComplianceStatusChecked'
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

3. Liste détaillée des règles de base avec l’état de conformité et les preuves (également appelées Raisons) pour chacune d’elles :

   QUERY='
   // Returns one record per baseline rule (around 200 per machine) with status for each
   GuestConfigurationResources
   | where name contains "AzureLinuxBaseline"
   | project Report = properties.latestAssignmentReport,
     Machine = split(properties.targetResourceId,"/")[-1],
     LastComplianceCheck=properties.lastComplianceStatusChecked
   | mv-expand Report.resources
   | project ["> Machine"] = Machine,
     ["> Rule"] = Report_resources.resourceId,
     RuleComplianceStatus = Report_resources.complianceStatus,
     RuleComplianceReason = Report_resources.reasons[0].phrase,
     LastComplianceCheck'
   
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

La vidéo est incluse pour donner une idée générale du flux de travail. Pour plus d’informations sur la requête, reportez-vous au texte de cet article.

1. Accédez à la page vue d’ensemble d’Azure Policy
2. Cliquez sur « Conformité » dans le volet de navigation gauche
3. Cliquez sur vos machines Linux pour ... attribution de politique
4. Notez que cette page fournit les deux éléments suivants :
   1. Nombre d’ordinateurs par état de conformité
   2. Liste des machines avec l’état de conformité pour chacun d’eux
5. Lorsque vous êtes prêt à afficher une liste détaillée des règles de base avec l’état de conformité et la preuve, procédez comme suit :
   1. Dans la liste des machines (affichées sous conformité des ressources) sélectionnez le nom de votre machine de test.
   2. Cliquez sur Afficher la ressource pour accéder à la page vue d’ensemble de l’ordinateur
   3. Dans le volet de navigation gauche, recherchez et sélectionnez Gestion de la configuration
   4. Dans la liste des configurations, sélectionnez la configuration dont le nom commence par AzureLinuxBaseline...
   5. Dans la vue détails de la configuration, utilisez la liste déroulante filtre pour Sélectionner tous les si vous souhaitez voir à la fois les règles de conformité et de non-conformité