Início Rápido: Auditar a linha de base de segurança do Azure para Linux com um computador de teste

az group create --name my-demo-rg --location eastus

1. No portal do Azure, navegue até grupos de recursos
2. Selecione + Criar
3. Escolha um nome e uma região, como "my-demo-rg" e "East US"
4. Prossiga para Revisão + criar

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group my-demo-rg --query id --output tsv)
az policy assignment create --policy "fc9b3da7-8347-4380-8e70-0a0361d8dedd" --display-name "Linux machines should meet requirements for the Azure compute security baseline" --scope "$RG_ID"

1. Na barra de pesquisa do portal do Azure, digite Política e selecione Política nos resultados dos Serviços.
2. Na visão geral do Azure Policy, navegue até definições dede criação.
3. Na lista de definições disponíveis, pesquise "os computadores Linux devem" e selecione Os computadores Linux devem atender aos requisitos da linha de base de segurança de computação do Azure.
4. Na página Definição de política, selecione o botão Atribuir política para entrar no fluxo de trabalho de atribuição de política.
5. guia noções básicas do :
   1. Escopo: selecione seu grupo de recursos de teste (por exemplo, my-demo-rg)
      1. Tome cuidado não selecionar a assinatura inteira ou o grupo de recursos errado
   2. Definição de política: já deve estar preenchido com computadores Linux deve atender aos requisitos da linha de base de segurança de computação do Azure
   3. Observe que vários outros campos, incluindo o nome e a versão da atribuição, serão preenchidos automaticamente.
6. Prossiga para revisar e criar a atribuição
7. Opcional: Agora você estará de volta à página de definição de política. Se você quiser ver a atribuição de política que acabou de criar, navegue até a guia Atribuições.

1. Criar uma VM do Linux com uma identidade atribuída pelo sistema

   az vm create --name my-demo-vm-01 --resource-group my-demo-rg --image Ubuntu2204 --assign-identity [system] --size Standard_B2s
   

   Ponta

   É normal receber um alerta semelhante ao "Nenhum acesso foi dado ainda...". A Configuração de Máquina do Azure requer apenas que o computador tenha uma identidade gerenciada, não qualquer acesso específico a recursos.

2. Instalar o agente de Configuração de Máquina, como uma extensão de VM do Azure

   az vm extension set --resource-group my-demo-rg --vm-name my-demo-vm-01 --name ConfigurationForLinux --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

1. Crie uma máquina virtual Linux, com as seguintes opções:

   1. nome da máquina virtual: my-demo-vm-01
   2. grupo de recursos: o grupo de recursos vazio criado anteriormente, por exemplo, my-demo-rg
   3. Imagem: Ubuntu Server 22.04 LTS - x64 Gen2
   4. arquitetura de VM: x64
   5. tamanho da VM: sua escolha, mas observe que tamanhos menores de VM da série B, como Standard_B2s, podem ser uma opção econômica para teste

2. Após a criação da VM, atualize a VM para funcionar com a Configuração do Computador:

   1. Adicionar uma identidade atribuída pelo sistema, se ainda não estiver presente
   2. Adicionar a extensão de Configuração de Máquina (rotulada no portal como de Configuração de Máquina de Gerenciamento Automatizado do Azure)

Os exemplos da CLI do Azure a seguir são de um ambiente de de bash. Para usar outro ambiente de shell, talvez seja necessário ajustar exemplos de comportamento de término de linha, regras de aspas, escape de caracteres e assim por diante.

1. Contagem de computadores por estado de conformidade:

   QUERY='
   // Returns one record per observed compliance status bucket, with machine counts for each
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | extend ["> ComplianceStatus"] = tostring(properties.complianceStatus)
   | summarize MachineCount = count() by ["> ComplianceStatus"]'
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

2. Lista de computadores com estado de conformidade para cada um:

   QUERY='
   // returns one record per machine, with status
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | project ["> Machine"] = split(properties.targetResourceId,"/")[-1],
     ComplianceStatus = properties.complianceStatus,
     LastComplianceCheck = properties.lastComplianceStatusChecked'
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

3. Lista detalhada de regras de linha de base com estado de conformidade e evidência (também conhecida como Razões) para cada um:

   QUERY='
   // Returns one record per baseline rule (around 200 per machine) with status for each
   GuestConfigurationResources
   | where name contains "AzureLinuxBaseline"
   | project Report = properties.latestAssignmentReport,
     Machine = split(properties.targetResourceId,"/")[-1],
     LastComplianceCheck=properties.lastComplianceStatusChecked
   | mv-expand Report.resources
   | project ["> Machine"] = Machine,
     ["> Rule"] = Report_resources.resourceId,
     RuleComplianceStatus = Report_resources.complianceStatus,
     RuleComplianceReason = Report_resources.reasons[0].phrase,
     LastComplianceCheck'
   
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

O vídeo está incluído para dar uma noção geral do fluxo de trabalho. Para obter detalhes da consulta, confie no texto deste artigo.

1. Navegue até a página de visão geral do Azure Policy
2. Clique em "Conformidade" na navegação à esquerda
3. Clique em suas máquinas Linux deve ... atribuição de política
4. Observe que esta página fornece ambos:
   1. Contagem de computadores por estado de conformidade
   2. Lista de computadores com estado de conformidade para cada
5. Quando você estiver pronto para ver uma lista detalhada de regras de linha de base com estado de conformidade e evidências, faça o seguinte:
   1. Na lista de computadores (mostrada em de conformidade de recursos) selecione o nome do computador de teste
   2. Clique em Exibir de recursos para ir para a página de visão geral do computador
   3. Na navegação à esquerda, localize e selecione de gerenciamento de configuração
   4. Na lista de configurações, selecione a configuração cujo nome começa com AzureLinuxBaseline...
   5. No modo de exibição de detalhes de configuração, use a lista suspensa de filtro para Selecionar todos os se quiser ver regras de conformidade e não compatíveis