Konfiguracja funkcji MSP

Protokół MSP (Metadata Security Protocol) umożliwia dostosowanie, aby maksymalnie ograniczyć dostęp do serwera metadanych w ramach Twojego obciążenia roboczego. W tym artykule przedstawiono podstawowe pojęcia, które można szybko włączyć na dowolnej obsługiwanej maszynie wirtualnej (VM) lub zestawie skalującym maszyn wirtualnych.

Jeśli wiesz, jak obciążenie korzysta z usług metadanych, możesz dodatkowo wzmocnić dostęp, postępując zgodnie z przewodnikiem dotyczącym zaawansowanej konfiguracji.

Program MSP można skonfigurować za pomocą:

• Szablony usługi Azure Resource Manager
• interfejs API REST
• PowerShell
• Portal Azure

Pojęcia

Pola usługi Azure Resource Manager

Całą konfigurację można zarządzać za pomocą nowych właściwości w securityProfile sekcji konfiguracji zasobu.

Minimalna wersja interfejsu API do konfiguracji usługi MSP to 2024-03-01.

Konfiguracja ogólna

ProxyAgentSettings to nowa właściwość w modelu maszyny wirtualnej dla maszyn wirtualnych platformy Azure i zestawów skalowania maszyn wirtualnych, których używasz do konfigurowania funkcji MSP.

Konfiguracja dla każdej usługi metadanych

Dla każdej usługi metadanych można skonfigurować poszczególne zabezpieczenia. Schemat jest taki sam dla każdej usługi.

Konfiguracje wbudowane i połączone wykluczają się wzajemnie na podstawie poszczególnych usług.

Konfiguracja śródliniowa

Konfigurację śródliniową można zdefiniować, używając właściwości mode elementu HostEndpointSettings. Konfiguracje wbudowane nie obsługują dostosowywania.

W poniższej tabeli mode to wyliczenie, które jest wyrażone jako String.

W trybie WireServer Enforce gpA niejawnie wymaga, aby proces był uruchamiany jako Administrator lub root w celu uzyskania dostępu do serwera WireServer. To wymaganie jest równoważne regule zapory sieciowej w maszynie wirtualnej, która istnieje nawet wtedy, gdy program MSP jest wyłączony, ale z wdrożeniem bardziej bezpiecznym.

Konfiguracja połączona

Typ inVMAccessControlProfiles zasobu definiuje konfigurację dla usługi, którą można połączyć z maszyną wirtualną lub zestawem skalowania maszyn wirtualnych. Te konfiguracje obsługują pełne dostosowania. Aby uzyskać szczegółowe informacje, zobacz Konfiguracja zaawansowana dla programu MSP.

Ta właściwość musi być pełnym identyfikatorem usługi Resource Manager, który ma następującą formę: /subscriptions/{SubscriptionId}/resourceGroups/{ResourceGroupName}/providers/Microsoft.Compute/galleries/{galleryName}/inVMAccessControlProfiles/{profile}/versions/{version}.

Pełny przykład

• VM: https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group-name}/providers/Microsoft.Compute/virtualMachines/{virtualMachine-Name}?api-version=2024-03-01
• Zestaw skalowania maszyn wirtualnych: https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group-name}/providers/Microsoft.Compute/virtualMachineScaleSets/{vmScaleSet-name}/virtualMachines/{instance-id}?api-version=2024-03-01

W poniższym przykładzie użyto mode:

{
  "name": "GPAWinVM",
  "location": "centraluseuap",
  "properties": {
    ...
    ...
    "securityProfile": {
      "proxyAgentSettings": {
        "enabled": true,
        "wireServer": {
          "mode": "Enforce"
        },
        "imds": {
          "mode": "Audit"
        }
      }
    },
  }
}

W poniższym przykładzie użyto inVMAccessControlProfileReferenceId:

{
  "name": "GPAWinVM",
  "location": "centraluseuap",
  "properties": {
    ...
    ...
    "securityProfile": {
      "proxyAgentSettings": {
        "enabled": true,
        "wireServer": {
          "inVMAccessControlProfileReferenceId": "/subscriptions/{SubscriptionId}/resourceGroups/{ResourceGroupName}/providers/Microsoft.Compute/galleries/{galleryName}/inVMAccessControlProfiles/{profile}/versions/{version}"
        },
        "imds": {
          "inVMAccessControlProfileReferenceId": "/subscriptions/{SubscriptionId}/resourceGroups/{ResourceGroupName}/providers/Microsoft.Compute/galleries/{galleryName}/inVMAccessControlProfiles/{profile}/versions/{version}"
        }
      }
    },
  }
}

Dzienniki inspekcji

W trybach Audit i Enforce dzienniki audytu są generowane na lokalnym dysku.

Zalecana kolejność

Klienci często nie są świadomi pełnego zakresu wykorzystywania usług WireServer i Instance Metadata Service w swoich obciążeniach. Użycie twojej maszyny wirtualnej jest kombinacją niestandardowych integracji, które tworzysz, oraz szczegółów implementacji dowolnego innego oprogramowania, które uruchamiasz. Zalecamy rozpoczęcie od prostszej konfiguracji i iterowanie wraz z upływem czasu w miarę uzyskiwania dodatkowych informacji. Ogólnie rzecz biorąc, najlepiej jest przejść w następującej kolejności:

1. Włącz funkcjonalność MSP dla usług WireServer i Instance Metadata Service w trybie Audit. Ten krok pozwala potwierdzić zgodność i dowiedzieć się więcej o obciążeniu. Generuje również cenne dane do wykrywania podmiotów zagrożeń.
2. Przejrzyj dane inspekcji. Zwróć szczególną uwagę na wszelkie oznaczone żądania. Te żądania mogą być oznakami trwającego ataku lub niezgodności obciążenia.
3. Koryguj wszelkie problemy. W ramach domyślnej konfiguracji wszystkie oznaczone elementy są niewłaściwym wykorzystaniem usług metadanych. W razie potrzeby skontaktuj się z zespołem ds. zabezpieczeń lub odpowiednimi właścicielami usług.
4. Przełącz się z Audit trybu na Enforce tryb. Oflagowane żądania są odrzucane w celu ochrony zasobów.
5. Eksperymentuj z zaawansowaną konfiguracją. Domyślna konfiguracja odzwierciedla reguły zabezpieczeń sprzed MSP, które często są zbyt liberalne. Definiowanie niestandardowej konfiguracji dla obciążenia umożliwia dalsze zwiększanie zabezpieczeń przez zastosowanie zasady dostępu z najniższymi uprawnieniami.

Nie martw się o wykonanie idealnej progresji. Każdy poziom włączania MSP znacznie poprawia bezpieczeństwo i pomaga chronić przed realistycznymi atakami.

Treści powiązane

• Wdrażanie maszyny wirtualnej lub zestawu skalowania maszyn wirtualnych za pomocą programu MSP
• Włączanie programu MSP na istniejącej maszynie wirtualnej lub zestawie skalowania maszyn wirtualnych
• Konfiguracja zaawansowana dla programu MSP