Szybki start: przeprowadzanie inspekcji punktu odniesienia zabezpieczeń platformy Azure dla systemu Linux przy użyciu maszyny testowej

az group create --name my-demo-rg --location eastus

1. W witrynie Azure Portal przejdź do grupy zasobów
2. Wybieranie i tworzenie
3. Wybierz nazwę i region, taki jak "my-demo-rg" i "Wschodnie stany USA"
4. Przejdź do przeglądanie i tworzenie

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group my-demo-rg --query id --output tsv)
az policy assignment create --policy "fc9b3da7-8347-4380-8e70-0a0361d8dedd" --display-name "Linux machines should meet requirements for the Azure compute security baseline" --scope "$RG_ID"

1. Na pasku wyszukiwania w witrynie Azure Portal wpisz Zasady i wybierz pozycję Zasady w wynikach usług.
2. Z przeglądu usługi Azure Policy przejdź do Authoring>Definitions.
3. Na liście dostępnych definicji wyszukaj ciąg "Maszyny z systemem Linux powinny" i wybierz pozycję Maszyny z systemem Linux powinny spełniać wymagania dotyczące punktu odniesienia zabezpieczeń obliczeniowych platformy Azure.
4. Na stronie Definicja zasad wybierz przycisk Przypisz zasady , aby przejść do przepływu pracy przypisywania zasad.
5. karta Podstawowe:
   1. Zakres: wybierz testową grupę zasobów (na przykład my-demo-rg)
      1. nie wybrać całej subskrypcji lub niewłaściwej grupy zasobów
   2. Definicja zasad: powinna być już wypełniona maszynami z systemem Linux, które powinny spełniać wymagania dotyczące punktu odniesienia zabezpieczeń obliczeniowych platformy Azure
   3. Należy zauważyć, że kilka innych pól, w tym nazwa przypisania i wersja, zostanie wypełnionych automatycznie.
6. Przejdź do przeglądania i tworzenia projektu
7. Opcjonalnie: teraz nastąpi powrót na stronę definicji zasad. Jeśli chcesz zobaczyć właśnie utworzone przypisanie zasad, przejdź do karty Przypisania.

1. Tworzenie maszyny wirtualnej z systemem Linux z tożsamością przypisaną przez system

   az vm create --name my-demo-vm-01 --resource-group my-demo-rg --image Ubuntu2204 --assign-identity [system] --size Standard_B2s
   

   Napiwek

   Zwykle otrzymujesz alert podobny do "Nie podano jeszcze dostępu...". Usługa Azure Machine Configuration wymaga tylko, aby maszyny tożsamości zarządzanej, a nie żadnego określonego dostępu do zasobów.

2. Instalowanie agenta konfiguracji maszyny jako rozszerzenia maszyny wirtualnej platformy Azure

   az vm extension set --resource-group my-demo-rg --vm-name my-demo-vm-01 --name ConfigurationForLinux --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

1. Utwórz maszynę wirtualną z systemem Linux z następującymi opcjami:

   1. Nazwa maszyny wirtualnej: my-demo-vm-01
   2. grupa zasobów: utworzona wcześniej pusta grupa zasobów, np. my-demo-rg
   3. Obraz: Ubuntu Server 22.04 LTS — x64 Gen2
   4. architektura maszyny wirtualnej : x64
   5. rozmiar maszyny wirtualnej: Wybór jest jednak następujący: mniejsze rozmiary maszyn wirtualnych serii B, takie jak Standard_B2s, mogą być opłacalną opcją testowania

2. Po utworzeniu maszyny wirtualnej zaktualizuj maszynę wirtualną do pracy z konfiguracją maszyny:

   1. Dodawanie tożsamości przypisanej przez system, jeśli jeszcze nie istnieje
   2. Dodaj rozszerzenie Konfiguracja maszyny (oznaczone w portalu jako Azure Automanage Machine Configuration)

Poniższe przykłady interfejsu wiersza polecenia platformy Azure pochodzą ze środowiska powłoki bash . Aby użyć innego środowiska powłoki, może być konieczne dostosowanie przykładów zachowania zakończenia wiersza, reguł cudzysłowu, ucieczki znaków itd.

1. Liczba maszyn według stanu zgodności:

   QUERY='
   // Returns one record per observed compliance status bucket, with machine counts for each
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | extend ["> ComplianceStatus"] = tostring(properties.complianceStatus)
   | summarize MachineCount = count() by ["> ComplianceStatus"]'
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

2. Lista maszyn ze stanem zgodności dla każdego z nich:

   QUERY='
   // returns one record per machine, with status
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | project ["> Machine"] = split(properties.targetResourceId,"/")[-1],
     ComplianceStatus = properties.complianceStatus,
     LastComplianceCheck = properties.lastComplianceStatusChecked'
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

3. Szczegółowa lista reguł odniesienia ze stanem zgodności i dowodami (znanymi również jako Reasons) dla każdego z nich:

   QUERY='
   // Returns one record per baseline rule (around 200 per machine) with status for each
   GuestConfigurationResources
   | where name contains "AzureLinuxBaseline"
   | project Report = properties.latestAssignmentReport,
     Machine = split(properties.targetResourceId,"/")[-1],
     LastComplianceCheck=properties.lastComplianceStatusChecked
   | mv-expand Report.resources
   | project ["> Machine"] = Machine,
     ["> Rule"] = Report_resources.resourceId,
     RuleComplianceStatus = Report_resources.complianceStatus,
     RuleComplianceReason = Report_resources.reasons[0].phrase,
     LastComplianceCheck'
   
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

Film jest dołączony, aby dać ogólne poczucie przepływu pracy. Aby uzyskać szczegółowe informacje o zapytaniu, skorzystaj z tekstu w tym artykule.

1. Przejdź do strony przeglądu usługi Azure Policy
2. Kliknij pozycję "Zgodność" w obszarze nawigacji po lewej stronie
3. Kliknij na swoje maszyny z systemem Linux, które powinny ... przypisanie zasad
4. Zwróć uwagę, że ta strona zawiera oba następujące elementy:
   1. Liczba maszyn według stanu zgodności
   2. Lista maszyn ze stanem zgodności dla każdego
5. Gdy wszystko będzie gotowe do wyświetlenia szczegółowej listy reguł punktu odniesienia ze stanem zgodności i dowodami, wykonaj następujące czynności:
   1. Na liście maszyn (pokazanych w obszarze zgodność zasobów) wybierz nazwę maszyny testowej
   2. Kliknij pozycję Wyświetl zasobów, aby przejść do strony przeglądu maszyny
   3. W obszarze nawigacji po lewej stronie znajdź i wybierz pozycję Zarządzanie konfiguracją
   4. Z listy konfiguracji wybierz konfigurację, której nazwa zaczyna się od AzureLinuxBaseline...
   5. W widoku szczegółów konfiguracji użyj listy rozwijanej filtru, aby Wybierz wszystkie, jeśli chcesz zobaczyć reguły zgodności i niezgodne