Szybki start: stosowanie kontroli stanu SSH na maszynie testowej

1. Użyj informacji o koncie w portalu, aby wyświetlić bieżący kontekst.

   przechwytywanie ekranu

1. Możesz użyć az account show, aby wyświetlić bieżący kontekst. Aby zalogować się lub zmienić konteksty, użyj az account login.

az group create --name sshdemo01 --location eastus

1. Przejdź do pozycji Zasady, a następnie definicje
2. Filtruj listę, aby znaleźć i wybrać Configure SSH Posture Control on Linux machines
3. Na stronie definicji zasad kliknij pozycję Przypisz
4. W przepływie pracy przypisywania zasad
   1. Wybierz nową pustą grupę zasobów (utworzoną wcześniej) jako zakres.
   2. Opcjonalnie: wybierz nazwę tego przypisania zasad. Domyślnie jest używana nazwa definicji zasad.
   3. Opcjonalnie: na karcie parametry zastąpij wartość domyślną, taką jak wartość "banner".
   4. Uwaga: reguła "port" powinna być skonfigurowana z jedną wartością w celu zapewnienia prawidłowej funkcjonalności i zgodności na potrzeby inspekcji i konfigurowania scenariuszy.
   5. Ukończ tworzenie przypisania zasad.

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group sshdemo01 --query id --output tsv)
az policy assignment create --policy "e22a2f03-0534-4d10-8ea0-aa25a6113233" --name "Configure SSH Posture test machine" --scope "$RG_ID" --params '{"banner":{"value":"CONTOSO SYSTEMS. Unauthorized use will be prosecuted."}}' --mi-system-assigned --role "Guest Configuration Resource Contributor" --identity-scope "$RG_ID" --location eastus

1. Tworzenie maszyny wirtualnej z systemem Linux
2. Dodawanie tożsamości przypisanej przez system, jeśli jeszcze nie istnieje
3. Dodaj rozszerzenie Konfiguracja maszyny (oznaczone etykietą w portalu jako Azure Machine Configuration dla systemu Linux)

1. Tworzenie maszyny wirtualnej z systemem Linux z tożsamością przypisaną przez system

   az vm create --name sshdemo01 --resource-group sshdemo01 --image Ubuntu2204 --assign-identity [system]
   

2. Instalowanie agenta konfiguracji maszyny jako rozszerzenia maszyny wirtualnej platformy Azure

   az vm extension set --resource-group sshdemo01 --vm-name sshdemo01 --name ConfigurationForLinux --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

Poniższe przykłady interfejsu wiersza polecenia platformy Azure pochodzą ze środowiska powłoki bash . Aby użyć innego środowiska powłoki, może być konieczne dostosowanie przykładów zachowania kończenia wierszy, reguł cudzysłowu, ucieczki znaków itd.

1. Ile maszyn jest zgodnych (lub nie):

   QUERY="guestconfigurationresources
      | where name contains 'LinuxSshServerSecurityBaseline'
      | extend complianceStatus = tostring(properties.complianceStatus)
      | summarize machineCount = count() by complianceStatus
   "
   az graph query -q "$QUERY" --query data --output table
   
   # Sample output from an environment with two machines:
   # 
   # complianceStatus machineCount
   # ---------------- ------------
   # Pending                     1
   # Compliant                   1
   

2. Które maszyny są zgodne (lub nie):

   QUERY="guestconfigurationresources
   | where name contains 'LinuxSshServerSecurityBaseline'
   | project 
       machine = split(properties.targetResourceId,'/')[-1],
       complianceStatus = properties.complianceStatus,
       lastComplianceStatusChecked = properties.lastComplianceStatusChecked
   "
   
   az graph query -q "$QUERY" --query data --output table
   
   # Sample output from an environment with two machines:
   #
   # machine     complianceStatus lastComplianceStatusChecked
   # -------     ---------------- ---------------------------
   # sshdemovm01 Compliant        2/15/2024 11:07:21 PM
   # sshdemovm02 Pending          1/1/0001 12:00:00 AM
   

3. Dla danej maszyny, które poszczególne reguły są zgodne (lub nie):

   QUERY="GuestConfigurationResources
   | where name contains 'LinuxSshServerSecurityBaseline'
   | project report = properties.latestAssignmentReport,
     machine = split(properties.targetResourceId,'/')[-1],
     lastComplianceStatusChecked=properties.lastComplianceStatusChecked
   | mv-expand report.resources
   | project machine,
     rule = report_resources.resourceId,
     ruleComplianceStatus = report_resources.complianceStatus,
     ruleComplianceReason = report_resources.reasons[0].phrase,
     lastComplianceStatusChecked
   "
   az graph query -q "$QUERY" --query data --output table
   # Sample output from an environment where audit-and-configure behavior was selected, such that all settings became compliant:
   # 
   # machine     rule                                                            ruleComplianceStatus     ruleComplianceReason
   # -------     ---------------                                                  ------               ------
   # sshdemovm01 Ensure permissions on /etc/ssh/sshd_config are configured        true            Access to '/etc/ssh/sshd_config' matches required ...
   # sshdemovm01 Ensure SSH is configured to meet best practices (protocol 2)     true            'Protocol 2' is found uncommented in /etc/ssh/sshd_config
   # sshdemovm01 Ensure SSH is configured to ignore rhosts                        true            The sshd service reports that 'ignorerhosts' is set to 'yes'
   # sshdemovm01 Ensure SSH LogLevel is set to INFO                               true            The sshd service reports that 'loglevel' is set to 'INFO'
   # sshdemovm01 Ensure SSH MaxAuthTries is configured                            true            The sshd service reports that 'maxauthtries' is set to '6'
   # sshdemovm01 Ensure allowed users for SSH access are configured               true            The sshd service reports that 'allowusers' is set to '*@*'
   # sshdemovm01 Ensure denied users for SSH are configured                       true            The sshd service reports that 'denyusers' is set to 'root'
   # sshdemovm01 Ensure allowed groups for SSH are configured                     true            The sshd service reports that 'allowgroups' is set to '*'
   # sshdemovm01 Ensure denied groups for SSH are configured                      true            The sshd service reports that 'denygroups' is set to 'root'
   # sshdemovm01 Ensure SSH host-based authenticationis disabled                  true            The sshd service reports that 'hostbasedauthentication' is ...
   # ...