Partager via

Démarrage rapide : Configurer la base de référence de sécurité Azure pour Linux avec une machine de test

extrait de code d’écran du rapport de conformité

Dans ce guide, vous allez utiliser Azure Policy pour configurer une machine avec des paramètres à partir de la base de référence de sécurité Azure pour Linux. Notez que l’application des paramètres de sécurité peut avoir un impact sur votre accès, la compatibilité de la charge de travail, et ainsi de suite. Il convient d’introduire soigneusement la configuration de la sécurité dans leur environnement tout en évaluant les machines de test pour la compatibilité. Ce guide vous permet de créer un groupe de ressources jetable avec une machine virtuelle jetable pour limiter l’étendue de l’application. Plus précisément, vous allez :

  1. Créer un groupe de ressources vide
  2. Importer une stratégie définition et l’affecter au groupe de ressources vide
  3. Créer une machine virtuelle dans le groupe de ressources et observer les résultats de l’audit

Considérations relatives à la préversion

  1. Cette implémentation de la base de référence de sécurité est une publique limitée et doit être utilisée dans des environnements de test isolés.
  2. Pour obtenir des canaux de commentaires, consultez la section ressources associées à la fin de cet article.
  3. La définition de stratégie n’est pas intégrée à Azure. Elle doit être importée.
  4. N’oubliez pas que l’action par défaut de cette stratégie est « DeployIfNotExist » et, par conséquent, azure-osconfig tente de corriger automatiquement toutes les conclusions de non-conformité sur l’ordinateur cible.
  5. La façon dont vous pouvez vous assurer que la stratégie a fonctionné si vous essayez d’abord d’utiliser la stratégie « Audit » et de voir la quantité d’éléments « non conformes », une fois que vous appliquerez cette stratégie sur l’ordinateur cible, les éléments non conformes seront réduits marginalement.

Conditions préalables

Avant d’essayer les étapes décrites dans cet article, vérifiez que vous disposez déjà des points suivants :

  1. Un compte Azure auquel vous avez accès pour créer un groupe de ressources, des affectations de stratégie et une machine virtuelle.
    1. Si vous n’avez pas de compte Azure, vous pouvez créer une version d’évaluation gratuite.
  2. Votre environnement préféré pour interagir avec Azure, par exemple :
    1. [Recommandé] Utilisez Azure Cloud Shell (à https://shell.azure.com ou votre équivalent local)
    2. OR Utiliser votre propre ordinateur et environnement shell avec Azure CLI installé et connecté
    3. OU Utiliser le portail Azure (à https://portal.azure.com ou votre équivalent local)

Vérifiez que vous êtes connecté à votre environnement de test

  1. Utilisez les informations de compte dans le portail pour afficher votre contexte actuel.

    capture d’écran affichant les informations de compte dans le portail Azure

Étape 1 : Créer un groupe de ressources

Pourboire

L’utilisation de « USA Est » (eastus) comme exemple d’emplacement dans cet article est arbitraire. Vous pouvez choisir n’importe quel emplacement Azure disponible.

  1. À partir du portail Azure, accédez à groupes de ressources
  2. Sélectionnez + Créer
  3. Choisissez un nom et une région, tels que « my-demo-rg » et « USA Est »
  4. Passez à Vérifier + créer

Étape 2 : Importer la définition de stratégie

La définition de stratégie en préversion n’est pas intégrée à Azure pour l’instant. Les étapes suivantes illustrent l’importation en tant que définition de stratégie personnalisée.

  1. Téléchargez la définition de stratégie JSON sur votre ordinateur et ouvrez-la dans votre éditeur de texte préféré. Dans une étape ultérieure, vous allez copier et coller le contenu de ce fichier.
  2. Dans la barre de recherche du portail Azure, tapez Stratégie et sélectionnez Stratégie dans les résultats des services.
  3. Dans la vue d’ensemble d’Azure Policy, accédez à >Définitions de création.
  4. Sélectionnez + définition de stratégie, puis renseignez le formulaire obtenu comme suit :
    1. emplacement de définition: <choisissez votre abonnement Azure de test>
    2. Nom: Configurer la base de référence de sécurité Azure pour Linux (alimenté par OSConfig)
    3. catégorie: utiliser la configuration d’invité > existante
    4. règle de stratégie: supprimer le contenu prérempli, puis coller dans le code JSON à partir du fichier à l’étape 1
Notez que les flux de travail du portail, les URL, etc. évoluent au fil du temps. Utilisez la vidéo pour un sens général du flux de travail plutôt que des détails techniques.

Étape 3 : Affecter la stratégie à votre groupe de ressources de test vide

  1. Dans la page définition de stratégie, sélectionnez Affecter une stratégie, ce qui vous amène au flux de travail pour l’affectation de la stratégie
  2. onglet De base :
    1. étendue: sélectionnez votre test groupe de ressources (par exemple, my-demo-rg)
      1. Veillez ne pas sélectionner l’intégralité de l’abonnement ou le groupe de ressources incorrect
    2. définition de stratégie: configurer la base de référence de sécurité Azure pour Linux (alimentée par OSConfig)
    3. nom d’affectation: Configurer la base de référence de sécurité Azure pour Linux (alimenté par OSConfig)
  3. onglet Paramètres de
    1. Facultatif : passez à l’onglet Paramètres pour inspecter les paramètres disponibles. Si vous effectuez des tests avec une machine avec Arc activée par opposition à une machine virtuelle Azure, veillez à modifier « inclure des machines Arc » en vrai.
  4. onglet Correction
    1. Choisissez l’option permettant de créer identité managée, puis choisissez « géré par le système »
  5. Vérifier + créer un onglet
    1. Sélectionnez Créer
  6. De retour à la page de définition de stratégie, accédez à l’attribution de stratégie que vous venez de créer, sous l’onglet Affectations
Notez que les flux de travail du portail, les URL, etc. évoluent au fil du temps. Utilisez la vidéo pour un sens général du flux de travail plutôt que des détails techniques.

Étape 4 : Créer une machine virtuelle de test (machine virtuelle) et la préparer pour la configuration de la machine

Pourboire

Le choix d’Ubuntu dans cet exemple est arbitraire. Pour plus d’informations sur les distributions compatibles, consultez Qu’est-ce que la base de référence de sécurité Azure pour Linux ?.

  1. Créez une machine virtuelle Linux avec les choix suivants :
    1. nom de machine virtuelle: my-demo-vm-01
    2. groupe de ressources: groupe de ressources vide créé précédemment, par exemple my-demo-rg
    3. image: Ubuntu Server 22.04 LTS - x64 Gen2
    4. architecture de machine virtuelle: x64
    5. taille de machine virtuelle: votre choix, mais notez que les tailles de machine virtuelle de série B plus petites telles que Standard_B2s peuvent être une option économique pour les tests
  2. Après la création de la machine virtuelle, mettez à jour la machine virtuelle pour qu’elle fonctionne avec la configuration de l’ordinateur :
    1. Ajouter une identité affectée par le système, s’il n’est pas déjà présent
    2. Ajouter l’extension Configuration de l’ordinateur (étiquetée dans le portail en tant que Azure Automanage Machine Configuration)

Pourboire

Les étapes d’extension d’identité managée et de configuration de machine ont été effectuées manuellement dans ce guide pour fournir une expérience linéaire. À grande échelle, elles peuvent être satisfaites à l’aide de l’initiative de stratégie intégrée Deploy prerequisites to enable Guest Configuration policies on virtual machines.

Important

prendre une pause avant de continuer

Plusieurs étapes se produisent désormais automatiquement. Chacune de ces étapes peut prendre quelques minutes. En conséquence, veuillez patienter à moins de 15 minutes avant de continuer.

Étape 5 : Observer les résultats

Les exemples suivants montrent comment obtenir :

  1. Nombre d’ordinateurs par état de conformité (utile à l’échelle de production, où vous pouvez avoir des milliers de machines)
  2. Liste des machines avec l’état de conformité pour chacun d’eux
  3. Liste détaillée des règles de base avec l’état de conformité et les preuves (également appelées Raisons) pour chacun d’eux

Pourboire

Attendez-vous à voir quelques autres non conformes aboutit à ce qui suit. Cette fonctionnalité est en mesure de configurer >90% de règles de base sur la plupart des systèmes, mais certaines règles de base sont impossibles ou risquées pour corriger automatiquement.

Par exemple, l’une des règles de base indique que le pare-feu hôte doit avoir une stratégie DROP par défaut. Cela est souhaitable, mais seulement après avoir créé indépendamment toutes les règles ALLOW nécessaires pour votre environnement. En conséquence, il est laissé à la correction manuelle.

  1. Accédez à la page vue d’ensemble d’Azure Policy
  2. Cliquez sur « Conformité » dans le volet de navigation gauche
  3. Cliquez sur l’attribution de stratégie que vous avez créée précédemment, par exemple, Configurer la base de référence de sécurité Azure pour Linux (alimenté par OSConfig)
  4. Notez que cette page fournit les deux éléments suivants :
    1. Nombre d’ordinateurs par état de conformité
    2. Liste des machines avec l’état de conformité pour chacun d’eux
  5. Lorsque vous êtes prêt à afficher une liste détaillée des règles de base avec l’état de conformité et la preuve, procédez comme suit :
    1. Dans la liste des machines (affichées sous conformité des ressources) sélectionnez le nom de votre machine de test.
    2. Cliquez sur Afficher la ressource pour accéder à la page vue d’ensemble de l’ordinateur
    3. Dans le volet de navigation gauche, recherchez et sélectionnez Gestion de la configuration
    4. Dans la liste des configurations, sélectionnez la configuration dont le nom commence par SetAzureLinuxBaseline...
    5. Dans la vue détails de la configuration, utilisez la liste déroulante filtre pour Sélectionner tous les si vous souhaitez voir les règles conformes et non conformes

Facultatif : Ajouter d’autres machines de test à une mise à l’échelle

Dans cet article, la stratégie a été affectée à un groupe de ressources qui a été initialement vide, puis a gagné une machine virtuelle. Bien qu’il illustre le fonctionnement du système de bout en bout, il ne fournit pas de sens des opérations à grande échelle. Par exemple, dans l’affichage conformité des affectations de stratégie, un graphique en secteurs d’une machine peut se sentir artificiel.

Envisagez d’ajouter d’autres machines de test au groupe de ressources, que ce soit manuellement ou via automation. Ces machines peuvent être des machines virtuelles Azure ou des machines avec Arc. Comme vous voyez que ces machines entrent en conformité (ou même échouent), vous pouvez avoir un sens plus vif de l’opérationnalisation de la base de référence de sécurité Azure à grande échelle.

Nettoyer les ressources

Pour éviter les frais en cours, envisagez de supprimer le groupe de ressources utilisé dans cet article. Par exemple, la commande Azure CLI serait az group delete --name "my-demo-rg".

Contenu connexe

  • Last updated on