빠른 시작: 테스트 머신을 사용하여 Linux에 대한 Azure 보안 기준 감사

az group create --name my-demo-rg --location eastus

1. Azure Portal에서 리소스 그룹 찾습니다.
2. + 만들기
3. "my-demo-rg" 및 "미국 동부"와 같은 이름 및 지역 선택
4. 검토 + 만들기 진행

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group my-demo-rg --query id --output tsv)
az policy assignment create --policy "fc9b3da7-8347-4380-8e70-0a0361d8dedd" --display-name "Linux machines should meet requirements for the Azure compute security baseline" --scope "$RG_ID"

1. Azure Portal 검색 창에서 정책을 입력하고 서비스 결과에서 정책 선택합니다.
2. Azure Policy 개요에서 작성>정의이동합니다.
3. 사용 가능한 정의 목록에서 "Linux 머신이 필요함"을 검색하고 Linux 머신이 Azure 컴퓨팅 보안 기준에 대한 요구 사항을 충족해야 함을 선택합니다.
4. 정책 정의 페이지에서 정책 할당 단추를 선택하여 정책 할당 워크플로를 입력합니다.
5. 기본 탭:
   1. 범위: 테스트 리소스 그룹(예: my-demo-rg)을 선택합니다.
      1. 전체 구독 또는 잘못된 리소스 그룹을 선택할 주의
   2. 정책 정의: 이미 Linux 머신으로 채워져 있어야 합니다. Azure 컴퓨팅 보안 기준에 대한 요구 사항을 충족해야 합니다.
   3. 할당 이름 및 버전을 포함한 여러 다른 필드가 자동으로 채워집니다.
6. 과제 검토 및 생성을 진행합니다.
7. 선택 사항: 이제 정책 정의 페이지로 돌아갑니다. 방금 만든 정책 할당을 보려면 할당 탭으로 이동합니다.

1. 시스템 할당 ID를 사용하여 Linux VM 만들기

   az vm create --name my-demo-vm-01 --resource-group my-demo-rg --image Ubuntu2204 --assign-identity [system] --size Standard_B2s
   

   팁

   "아직 액세스 권한이 부여되지 않았습니다..."유사한 경고를 수신하는 것이 정상입니다. Azure Machine Configuration을 사용하려면 특정 리소스 액세스가 아닌 관리 ID를 컴퓨터 있어야 합니다.

2. Azure VM 확장으로 Machine Configuration 에이전트 설치

   az vm extension set --resource-group my-demo-rg --vm-name my-demo-vm-01 --name ConfigurationForLinux --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

1. 다음 선택 항목을 사용하여 Linux 가상 머신을 만듭니다.

   1. 가상 머신 이름: my-demo-vm-01
   2. 리소스 그룹: 이전에 만든 빈 리소스 그룹(예: my-demo-rg )입니다.
   3. 이미지: Ubuntu Server 22.04 LTS - x64 Gen2
   4. VM 아키텍처: x64
   5. VM 크기: 선택 사항이지만 Standard_B2s 같은 작은 B 시리즈 VM 크기는 테스트에 비용 효율적인 옵션이 될 수 있습니다.

2. VM을 만든 후 머신 구성을 사용하도록 VM을 업데이트합니다.

   1. 시스템 할당 ID를 추가합니다(아직 없는 경우).
   2. 컴퓨터 구성 확장 추가(포털에서 Azure Automanage Machine Configuration레이블 지정)

다음 Azure CLI 예제는 bash 환경에서 제공됩니다. 다른 셸 환경을 사용하려면 줄 끝 동작, 따옴표 규칙, 문자 이스케이프 등에 대한 예제를 조정해야 할 수 있습니다.

1. 준수 상태별 컴퓨터 수:

   QUERY='
   // Returns one record per observed compliance status bucket, with machine counts for each
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | extend ["> ComplianceStatus"] = tostring(properties.complianceStatus)
   | summarize MachineCount = count() by ["> ComplianceStatus"]'
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

2. 각각에 대한 준수 상태가 있는 컴퓨터 목록:

   QUERY='
   // returns one record per machine, with status
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | project ["> Machine"] = split(properties.targetResourceId,"/")[-1],
     ComplianceStatus = properties.complianceStatus,
     LastComplianceCheck = properties.lastComplianceStatusChecked'
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

3. 준수 상태 및 증명 정보(이유라고도 함)가 있는 기준 규칙의 자세한 목록은 다음과 같습니다.

   QUERY='
   // Returns one record per baseline rule (around 200 per machine) with status for each
   GuestConfigurationResources
   | where name contains "AzureLinuxBaseline"
   | project Report = properties.latestAssignmentReport,
     Machine = split(properties.targetResourceId,"/")[-1],
     LastComplianceCheck=properties.lastComplianceStatusChecked
   | mv-expand Report.resources
   | project ["> Machine"] = Machine,
     ["> Rule"] = Report_resources.resourceId,
     RuleComplianceStatus = Report_resources.complianceStatus,
     RuleComplianceReason = Report_resources.reasons[0].phrase,
     LastComplianceCheck'
   
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

전반적인 작업 흐름을 제공하기 위해 비디오가 포함되어 있습니다. 쿼리에 대한 자세한 내용은 이 문서의 텍스트를 참고하세요.

1. Azure Policy 개요 페이지로 이동합니다.
2. 왼쪽 탐색 창에서 "준수"를 클릭합니다.
3. Linux 시스템을 클릭하여 ... 정책 할당
4. 이 페이지에서는 다음을 모두 제공합니다.
   1. 준수 상태별 컴퓨터 수
   2. 각각에 대한 준수 상태가 있는 컴퓨터 목록
5. 규정 준수 상태 및 증거가 있는 기준 규칙의 자세한 목록을 볼 준비가 되면 다음을 수행합니다.
   1. 컴퓨터 목록(리소스 준수아래에 표시됨)에서 테스트 머신의 이름을 선택합니다.
   2. 리소스 보기를 클릭하여 컴퓨터 개요 페이지로 이동합니다.
   3. 왼쪽 탐색 창에서 구성 관리 찾아 선택합니다.
   4. 구성 목록에서 이름이 AzureLinuxBaseline으로 시작하는 구성을 선택합니다.
   5. 구성 세부 정보 보기에서 필터 드롭다운을 사용하여 준수 규칙과 비준수 규칙을 모두 확인하려면 모든 선택합니다.