クイック スタート: テスト マシンを使用して Linux 用の Azure セキュリティ ベースラインを監査する

az group create --name my-demo-rg --location eastus

1. Azure portal から、リソース グループ 参照します。
2. [+ 作成 を選択します
3. 名前とリージョン ("my-demo-rg" や "米国東部" など) を選択します
4. 確認と作成に進

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group my-demo-rg --query id --output tsv)
az policy assignment create --policy "fc9b3da7-8347-4380-8e70-0a0361d8dedd" --display-name "Linux machines should meet requirements for the Azure compute security baseline" --scope "$RG_ID"

1. Azure portal の検索バーに「ポリシー」と入力し、サービスの結果から Policy を選択します。
2. Azure Policy の概要から、作成>定義に移動します。
3. 使用可能な定義の一覧で、"Linux マシンは "should "を検索し、 [Linux マシンは Azure コンピューティング セキュリティ ベースラインの要件を満たす必要があります] を選択します。
4. [ポリシー定義] ページで、[ ポリシーの割り当て] ボタンを選択して、ポリシー割り当てワークフローに入ります。
5. の [基本] タブ:
   1. スコープ: テスト リソース グループ (my-demo-rg など) を選択します。
      1. サブスクリプション全体または間違ったリソース グループを選択する 注意してください
   2. ポリシー定義: 既に Linux マシンが入力されている必要があります。 Azure コンピューティング セキュリティ ベースラインの要件を満たす必要があります
   3. 割り当て名やバージョンなど、他のいくつかのフィールドが自動入力されることに注意してください。
6. 課題の確認と作成に進みます
7. オプション: ポリシー定義ページに戻ります。 作成したポリシー割り当てを表示する場合は、[割り当て] タブに移動します。

1. システム割り当て ID を使用して Linux VM を作成する

   az vm create --name my-demo-vm-01 --resource-group my-demo-rg --image Ubuntu2204 --assign-identity [system] --size Standard_B2s
   

   先端

   通常、"No access was given yet... (アクセス権がまだ与えられていない....のようなアラートを受け取ります。 Azure Machine Configuration では、マシン がマネージド ID を するだけで、特定のリソース アクセスは必要ありません。

2. Azure VM 拡張機能として Machine Configuration エージェントをインストールする

   az vm extension set --resource-group my-demo-rg --vm-name my-demo-vm-01 --name ConfigurationForLinux --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

1. 次の選択肢を使用して Linux 仮想マシンを作成します。

   1. 仮想マシン名の: my-demo-vm-01
   2. リソース グループの: 前に作成した空のリソース グループ (例: my-demo-rg )
   3. イメージ: Ubuntu Server 22.04 LTS - x64 Gen2
   4. VM アーキテクチャの: x64
   5. VM サイズ: 選択できますが、Standard_B2sなどの B シリーズの VM サイズが小さいほど、テストにコスト効率の高いオプションになる可能性があることに注意してください

2. VM の作成後、マシン構成で動作するように VM を更新します。

   1. まだ存在しない場合は、システム割り当て ID を追加する
   2. マシン構成拡張機能を追加する (ポータルで Azure Automanage Machine Configurationラベルが付いています)

次の Azure CLI の例は、bash 環境の例です。 別のシェル環境を使用するには、行の終了動作、引用符の規則、文字エスケープなどの例を調整する必要がある場合があります。

1. コンプライアンス状態別のマシンの数:

   QUERY='
   // Returns one record per observed compliance status bucket, with machine counts for each
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | extend ["> ComplianceStatus"] = tostring(properties.complianceStatus)
   | summarize MachineCount = count() by ["> ComplianceStatus"]'
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

2. コンプライアンス状態が各マシンの一覧:

   QUERY='
   // returns one record per machine, with status
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | project ["> Machine"] = split(properties.targetResourceId,"/")[-1],
     ComplianceStatus = properties.complianceStatus,
     LastComplianceCheck = properties.lastComplianceStatusChecked'
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

3. コンプライアンスの状態と証拠 (理由とも呼ばれます) を含むベースライン 規則の詳細な一覧。

   QUERY='
   // Returns one record per baseline rule (around 200 per machine) with status for each
   GuestConfigurationResources
   | where name contains "AzureLinuxBaseline"
   | project Report = properties.latestAssignmentReport,
     Machine = split(properties.targetResourceId,"/")[-1],
     LastComplianceCheck=properties.lastComplianceStatusChecked
   | mv-expand Report.resources
   | project ["> Machine"] = Machine,
     ["> Rule"] = Report_resources.resourceId,
     RuleComplianceStatus = Report_resources.complianceStatus,
     RuleComplianceReason = Report_resources.reasons[0].phrase,
     LastComplianceCheck'
   
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

ワークフローの全体的な感覚を与えるためにビデオが含まれています。 クエリの詳細については、この記事のテキストを参照してください。

1. Azure Policy の概要ページに移動します
2. 左側のナビゲーションで [コンプライアンス] をクリックします
3. Linuxマシンの「ポリシーの割り当て」をクリックします。
4. このページでは、次の両方が提供されることに注意してください。
   1. コンプライアンス状態別のマシンの数
   2. コンプライアンス状態が各マシンの一覧
5. コンプライアンスの状態と証拠を含むベースライン 規則の詳細な一覧を表示する準備ができたら、次の操作を行います。
   1. マシンの一覧 (リソース コンプライアンスの下に表示) で、テスト マシンの名前を選択します
   2. [リソース の表示] をクリックして、コンピューターの概要ページに移動します
   3. 左側のナビゲーションで、構成管理 見つけて選択します
   4. 構成の一覧で、名前が AzureLinuxBaseline で始まる構成を選択します。
   5. [構成の詳細] ビューで、[フィルター] ドロップダウンを使用して コンプライアンス規則と非準拠ルールの両方を表示する場合は、すべての を選択します