Szybki start: konfigurowanie punktu odniesienia zabezpieczeń platformy Azure dla systemu Linux przy użyciu maszyny testowej

1. Użyj informacji o koncie w portalu, aby wyświetlić bieżący kontekst.

   przechwytywanie ekranu

1. Możesz użyć az account show, aby wyświetlić bieżący kontekst. Aby zalogować się lub zmienić konteksty, użyj az account login.
2. Definicja zasad zostanie zaimportowana do subskrypcji, która jest wyświetlana jako id w odpowiedzi na az account show

1. W witrynie Azure Portal przejdź do grupy zasobów
2. Wybieranie i tworzenie
3. Wybierz nazwę i region, taki jak "my-demo-rg" i "Wschodnie stany USA"
4. Przejdź do przeglądanie i tworzenie

az group create --name my-demo-rg --location eastus

1. Pobierz pliku JSON definicji zasad na komputer i otwórz go w preferowanym edytorze tekstów. W późniejszym kroku skopiujesz i wklejesz zawartość tego pliku.
2. Na pasku wyszukiwania w witrynie Azure Portal wpisz Zasady i wybierz pozycję Zasady w wynikach usług.
3. Z przeglądu usługi Azure Policy przejdź do Authoring>Definitions.
4. Wybierz i definicję zasadi wypełnij wynikowy formularz w następujący sposób:
   1. lokalizacja definicji: <wybrać testowej subskrypcji platformy Azure>
   2. Nazwa: Konfigurowanie punktu odniesienia zabezpieczeń platformy Azure dla systemu Linux (obsługiwanego przez program OSConfig)
   3. kategorii: użyj istniejącej konfiguracji gościa >
   4. reguła zasad: Usuń wstępnie wypełnionej zawartości, a następnie wklej w formacie JSON z pliku w kroku 1

Jeśli używasz wyspecjalizowanego środowiska platformy Azure, takiego jak chmura dla instytucji rządowych, może być konieczne zastąpienie management.azure.com w poniższym az rest polecenia lokalnym punktem końcowym.

curl -L https://github.com/Azure/azure-osconfig/releases/download/PrivatePreview_ASB_Remediation_Feb2025/AzureLinuxBaseline_DeployIfNotExists.json -o ./temp_policy_def.json

# Note that it is not necessary to manually replace the {subscriptionId} token in the command below. The az rest command 
# will automatically replace it with the subscription id from the az account show command.
az rest --url "https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/policyDefinitions/preview_azure_baseline_linux_osconfig?api-version=2023-04-01" --method PUT --body @./temp_policy_def.json

1. Na stronie Definicja zasad wybierz pozycję Przypisz zasady, co spowoduje przejście do przepływu pracy na potrzeby przypisywania zasad
2. karta Podstawowe:
   1. zakres: wybierz test grupy zasobów (na przykład my-demo-rg)
      1. nie wybrać całej subskrypcji lub niewłaściwej grupy zasobów
   2. definicja zasad: Konfigurowanie punktu odniesienia zabezpieczeń platformy Azure dla systemu Linux (obsługiwanego przez program OSConfig)
   3. nazwa przypisania: Konfigurowanie punktu odniesienia zabezpieczeń platformy Azure dla systemu Linux (obsługiwanego przez program OSConfig)
3. Karta Parametry
   1. Opcjonalnie: przejdź do karty parametry , aby sprawdzić, które parametry są dostępne. Jeśli testujesz przy użyciu maszyny z obsługą usługi Arc, a nie maszyny wirtualnej platformy Azure, pamiętaj, aby zmienić wartość "include Arc machines" na true.
4. Karta korygowania
   1. Wybierz opcję tworzenia tożsamości zarządzanej i wybierz pozycję "Zarządzana przez system"
5. karta Przeglądanie i tworzenie
   1. Wybierz pozycję Utwórz
6. Wróć do strony definicji zasad, przejdź do właśnie utworzonego przypisania zasad na karcie Przypisania

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group my-demo-rg --query id --output tsv)
az policy assignment create --policy "preview_azure_baseline_linux_osconfig" --name "assign_preview_azure_baseline_linux_osconfig" --display-name "Configure Azure security baseline for Linux (powered by OSConfig)" --scope "$RG_ID" --mi-system-assigned --role "Guest Configuration Resource Contributor" --identity-scope "$RG_ID" --location eastus

1. Utwórz maszynę wirtualną z systemem Linux z następującymi opcjami:
   1. Nazwa maszyny wirtualnej: my-demo-vm-01
   2. grupa zasobów: utworzona wcześniej pusta grupa zasobów, np. my-demo-rg
   3. obraz: Ubuntu Server 22.04 LTS — x64 Gen2
   4. architektura maszyny wirtualnej : x64
   5. rozmiar maszyny wirtualnej: Wybór jest jednak następujący: mniejsze rozmiary maszyn wirtualnych serii B, takie jak Standard_B2s, mogą być opłacalną opcją testowania
2. Po utworzeniu maszyny wirtualnej zaktualizuj maszynę wirtualną do pracy z konfiguracją maszyny:
   1. Dodawanie tożsamości przypisanej przez system, jeśli jeszcze nie istnieje
   2. Dodaj rozszerzenie Konfiguracja maszyny (oznaczone w portalu jako Azure Automanage Machine Configuration)

1. Tworzenie maszyny wirtualnej z systemem Linux z tożsamością przypisaną przez system

   az vm create --name my-demo-vm-01 --resource-group my-demo-rg --image Ubuntu2204 --assign-identity [system] --size Standard_B2s
   

   Napiwek

   Zwykle pojawia się ostrzeżenie podobne do "Nie podano jeszcze dostępu...". Celowe jest, że żaden określony dostęp nie jest przypisany do tożsamości zarządzanej, ponieważ usługa Azure Machine Configuration wymaga tylko, aby maszyna miała tożsamość zarządzaną.

2. Instalowanie agenta konfiguracji maszyny jako rozszerzenia maszyny wirtualnej platformy Azure

   az vm extension set --resource-group my-demo-rg --vm-name my-demo-vm-01 --name ConfigurationForLinux --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

1. Przejdź do strony przeglądu usługi Azure Policy
2. Kliknij pozycję "Zgodność" w obszarze nawigacji po lewej stronie
3. Kliknij utworzone wcześniej przypisanie zasad, np. Konfigurowanie punktu odniesienia zabezpieczeń platformy Azure dla systemu Linux (obsługiwanego przez program OSConfig)
4. Zwróć uwagę, że ta strona zawiera oba następujące elementy:
   1. Liczba maszyn według stanu zgodności
   2. Lista maszyn ze stanem zgodności dla każdego
5. Gdy wszystko będzie gotowe do wyświetlenia szczegółowej listy reguł punktu odniesienia ze stanem zgodności i dowodami, wykonaj następujące czynności:
   1. Na liście maszyn (pokazanych w obszarze zgodność zasobów) wybierz nazwę maszyny testowej
   2. Kliknij pozycję Wyświetl zasobów, aby przejść do strony przeglądu maszyny
   3. W obszarze nawigacji po lewej stronie znajdź i wybierz pozycję Zarządzanie konfiguracją
   4. Na liście konfiguracji wybierz konfigurację, której nazwa rozpoczyna się od SetAzureLinuxBaseline...
   5. W widoku szczegółów konfiguracji użyj listy rozwijanej filtru, aby Wybierz wszystkie, jeśli chcesz zobaczyć reguły zgodne i niezgodne

Poniższe przykłady interfejsu wiersza polecenia platformy Azure pochodzą ze środowiska powłoki bash. Aby użyć innego środowiska powłoki, może być konieczne dostosowanie przykładów zachowania zakończenia wiersza, reguł cudzysłowu, ucieczki znaków itd.

1. Lista maszyn ze stanem zgodności dla każdego z nich:

   az graph query --query data --output yamlc --graph-query '
   // returns one record per machine, with status
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | project ["> Machine"] = split(properties.targetResourceId,"/")[-1],
     ComplianceStatus = properties.complianceStatus,
     LastComplianceCheck = properties.lastComplianceStatusChecked'
   

2. Liczba maszyn według stanu zgodności:

   az graph query --query data --output yamlc --graph-query '
   // Returns one record per observed compliance status bucket, with machine counts for each
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | extend ["> ComplianceStatus"] = tostring(properties.complianceStatus)
   | summarize MachineCount = count() by ["> ComplianceStatus"]'
   

3. Szczegółowa lista reguł odniesienia ze stanem zgodności i dowodami (znanymi również jako Reasons) dla każdego z nich:

   QUERY='
   // Returns one record per baseline rule (around 200 per machine) with status for each
   GuestConfigurationResources
   | where name contains "AzureLinuxBaseline"
   | project Report = properties.latestAssignmentReport,
     Machine = split(properties.targetResourceId,"/")[-1],
     LastComplianceCheck=properties.lastComplianceStatusChecked
   | mv-expand Report.resources
   | project ["> Machine"] = Machine,
     ["> Rule"] = Report_resources.resourceId,
     RuleComplianceStatus = Report_resources.complianceStatus,
     RuleComplianceReason = Report_resources.reasons[0].phrase,
     LastComplianceCheck'
   
   az graph query --graph-query "$QUERY" --query data --output yamlc