快速入門：使用測試機器設定適用於Linux的 Azure 安全性基準

1. 使用入口網站中的帳戶資訊來查看您目前的內容。

   

1. 您可以使用 az account show 來查看目前的內容。 若要登入或變更內容，請使用 az account login。
2. 原則定義會匯入至訂用帳戶，其會顯示為 id 以回應 az account show

1. 從 Azure 入口網站流覽至 資源群組
2. 選取 [+ 建立
3. 選擇名稱和區域，例如 “my-demo-rg” 和 “East US”
4. 繼續 檢閱 + 建立

az group create --name my-demo-rg --location eastus

1. 下載 原則定義 JSON 到您的電腦，然後在您慣用的文字編輯器中開啟它。 在稍後的步驟中，您將複製並貼上此檔案的內容。
2. 在 Azure 入口網站搜尋列中，輸入 [原則]，然後從 [服務] 結果中選取 [原則]。
3. 從 Azure 原則概觀中，流覽至 撰寫>定義。
4. 選取 [+ 原則定義]，然後填入產生的窗體，如下所示：
   1. 定義位置：<選擇您的測試 Azure 訂用帳戶>
   2. 名稱：設定 Linux 的 Azure 安全性基準（由 OSConfig 提供）
   3. 類別：使用現有的 > 來賓設定
   4. 原則規則：刪除 預先填入的內容，然後在步驟 1 的檔案中 貼上 JSON

如果您使用特殊的 Azure 環境，例如政府雲端，您可能需要將下列 az rest 命令中的 management.azure.com 取代為您的本機端點。

curl -L https://github.com/Azure/azure-osconfig/releases/download/PrivatePreview_ASB_Remediation_Feb2025/AzureLinuxBaseline_DeployIfNotExists.json -o ./temp_policy_def.json

# Note that it is not necessary to manually replace the {subscriptionId} token in the command below. The az rest command 
# will automatically replace it with the subscription id from the az account show command.
az rest --url "https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/policyDefinitions/preview_azure_baseline_linux_osconfig?api-version=2023-04-01" --method PUT --body @./temp_policy_def.json

1. 從 [原則定義] 頁面中，選取 [指派原則，這會帶您前往指派原則的工作流程
2. [基本] 索引標籤：
   1. 範圍：選取您的 測試 資源群組（例如 my-demo-rg）
      1. 請小心 不要 選取整個訂用帳戶或錯誤的資源群組
   2. 原則定義：設定 Linux 的 Azure 安全性基準（由 OSConfig 提供）
   3. 指派名稱：設定 Linux 的 Azure 安全性基準（由 OSConfig 提供）
3. [參數] 索引標籤
   1. 選擇性：繼續前往 [參數] 索引卷標，以檢查可用的參數。 如果您要使用已啟用 Arc 的電腦進行測試，而不是 Azure 虛擬機器，請務必將 「包含 Arc 機器」變更為 true。
4. 補救 索引標籤
   1. 選擇選項以建立 受控識別，然後選擇 [系統管理]
5. 檢閱 + 建立 索引標籤
   1. 選取 [建立
6. 回到原則定義頁面，流覽至您剛才建立的原則指派，在 [指派] 索引卷標底下

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group my-demo-rg --query id --output tsv)
az policy assignment create --policy "preview_azure_baseline_linux_osconfig" --name "assign_preview_azure_baseline_linux_osconfig" --display-name "Configure Azure security baseline for Linux (powered by OSConfig)" --scope "$RG_ID" --mi-system-assigned --role "Guest Configuration Resource Contributor" --identity-scope "$RG_ID" --location eastus

1. 使用下列選項建立 Linux 虛擬機：
   1. 虛擬機名稱：my-demo-vm-01
   2. 資源群組：稍早建立的空白資源群組，例如 my-demo-rg
   3. 映射：Ubuntu Server 22.04 LTS - x64 Gen2
   4. VM 架構： x64
   5. VM 大小：您選擇的，但請注意，較小的 B 系列 VM 大小，例如 Standard_B2s 可以是符合成本效益的測試選項
2. 建立 VM 之後，更新 VM 以使用電腦設定：
   1. 如果尚未存在，請新增系統指派的身分識別
   2. 新增計算機組態延伸模組 （標示為 azure Automanage Machine Configuration ]

1. 建立具有系統指派身分識別的Linux VM

   az vm create --name my-demo-vm-01 --resource-group my-demo-rg --image Ubuntu2204 --assign-identity [system] --size Standard_B2s
   

   提示

   通常會收到類似 「尚未提供存取權...」的警告，。 這是刻意將沒有特定存取權指派給受控識別，因為 Azure Machine 組態只需要電腦具有受控識別。

2. 安裝計算機設定代理程式，作為 Azure VM 擴充功能

   az vm extension set --resource-group my-demo-rg --vm-name my-demo-vm-01 --name ConfigurationForLinux --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

1. 流覽至 Azure 原則概觀頁面
2. 點選左側導覽中的 [合規性]
3. 單擊您稍早建立的原則指派，例如 設定 Linux 的 Azure 安全性基準（由 OSConfig 提供電源）
4. 請注意，此頁面提供下列兩項：
   1. 依合規性狀態的計算機計數
   2. 每個機器的合規性狀態清單
5. 當您準備好查看具有合規性狀態和辨識項的基準規則詳細清單時，請執行下列動作：
   1. 在計算機清單中（如 資源合規性所示）選取測試計算機的名稱
   2. 按兩下 [檢視資源 移至電腦概觀頁面
   3. 在左側導覽中，尋找並選取 [設定管理
   4. 在組態清單中，選取名稱開頭為 setAzureLinuxBaseline 的組態...
   5. 在組態詳細數據檢視中，使用篩選下拉式清單來 如果您想要同時看到符合規範和不符合規範的規則，請選取所有

下列 Azure CLI 範例來自 bash 環境。 若要使用另一個殼層環境，您可能需要調整行尾行為、引號規則、字元逸出等範例。

1. 每個機器的合規性狀態清單：

   az graph query --query data --output yamlc --graph-query '
   // returns one record per machine, with status
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | project ["> Machine"] = split(properties.targetResourceId,"/")[-1],
     ComplianceStatus = properties.complianceStatus,
     LastComplianceCheck = properties.lastComplianceStatusChecked'
   

2. 依合規性狀態的電腦計數：

   az graph query --query data --output yamlc --graph-query '
   // Returns one record per observed compliance status bucket, with machine counts for each
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | extend ["> ComplianceStatus"] = tostring(properties.complianceStatus)
   | summarize MachineCount = count() by ["> ComplianceStatus"]'
   

3. 每個基準規則的詳細清單，其中包含合規性狀態和辨識項（也稱為 原因）：

   QUERY='
   // Returns one record per baseline rule (around 200 per machine) with status for each
   GuestConfigurationResources
   | where name contains "AzureLinuxBaseline"
   | project Report = properties.latestAssignmentReport,
     Machine = split(properties.targetResourceId,"/")[-1],
     LastComplianceCheck=properties.lastComplianceStatusChecked
   | mv-expand Report.resources
   | project ["> Machine"] = Machine,
     ["> Rule"] = Report_resources.resourceId,
     RuleComplianceStatus = Report_resources.complianceStatus,
     RuleComplianceReason = Report_resources.reasons[0].phrase,
     LastComplianceCheck'
   
   az graph query --graph-query "$QUERY" --query data --output yamlc