快速入門：使用測試機器稽核適用於Linux的 Azure 安全性基準

az group create --name my-demo-rg --location eastus

1. 從 Azure 入口網站流覽至 資源群組
2. 選取 [+ 建立
3. 選擇名稱和區域，例如 “my-demo-rg” 和 “East US”
4. 繼續 檢閱 + 建立

# Note this example is from a bash shell. Other shells may require different handling of special characters and variables
RG_ID=$(az group show --resource-group my-demo-rg --query id --output tsv)
az policy assignment create --policy "fc9b3da7-8347-4380-8e70-0a0361d8dedd" --display-name "Linux machines should meet requirements for the Azure compute security baseline" --scope "$RG_ID"

1. 在 Azure 入口網站搜尋列中，輸入 [原則]，然後從 [服務] 結果中選取 [原則]。
2. 從 Azure 原則概觀中，流覽至 撰寫>定義。
3. 在可用定義清單中，搜尋 [Linux 機器應該]，然後選取 [Linux 機器應符合 Azure 計算安全性基準的需求]。
4. 從 [原則定義] 頁面中，選取 [指派原則] 按鈕以進入原則指派工作流程。
5. [基本] 索引標籤：
   1. 範圍：選取您的測試資源群組 （例如 my-demo-rg）
      1. 請小心 不要 選取整個訂用帳戶或錯誤的資源群組
   2. 原則定義：應該已經填入 Linux 機器，應該符合 Azure 計算安全性基準的需求
   3. 請注意，其他幾個欄位，包括指派名稱和版本，將自動填入。
6. 繼續檢閱並建立指派
7. 選用項目： 您現在會回到原則定義頁面。 如果您想要看到剛建立的原則指派，請流覽至 [指派] 索引標籤。

1. 建立具有系統指派身分識別的Linux VM

   az vm create --name my-demo-vm-01 --resource-group my-demo-rg --image Ubuntu2204 --assign-identity [system] --size Standard_B2s
   

   提示

   通常會收到類似 「尚未提供存取權...」的警示，。 Azure 機器組態只需要電腦 受控識別，而不是任何特定的資源存取權。

2. 安裝計算機設定代理程式，作為 Azure VM 擴充功能

   az vm extension set --resource-group my-demo-rg --vm-name my-demo-vm-01 --name ConfigurationForLinux --publisher Microsoft.GuestConfiguration --enable-auto-upgrade
   

1. 建立 Linux 虛擬機器，具有下列選項：

   1. 虛擬機名稱：my-demo-vm-01
   2. 資源群組：稍早建立的空白資源群組，例如 my-demo-rg
   3. 映像：Ubuntu Server 22.04 LTS - x64 Gen2
   4. VM 架構： x64
   5. VM 大小：您選擇的，但請注意，較小的 B 系列 VM 大小，例如 Standard_B2s 可以是符合成本效益的測試選項

2. 建立 VM 之後，請更新 VM 以使用機器組態：

   1. 如果尚未存在，請新增系統指派的身分識別
   2. 新增計算機組態延伸模組 （標示為 azure Automanage Machine Configuration ]

下列 Azure CLI 範例來自 bash 環境。 若要使用另一個殼層環境，您可能需要調整行尾行為、引號規則、字元逸出等範例。

1. 依合規性狀態的電腦計數：

   QUERY='
   // Returns one record per observed compliance status bucket, with machine counts for each
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | extend ["> ComplianceStatus"] = tostring(properties.complianceStatus)
   | summarize MachineCount = count() by ["> ComplianceStatus"]'
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

2. 每個機器的合規性狀態清單：

   QUERY='
   // returns one record per machine, with status
   guestconfigurationresources
   | where name contains "AzureLinuxBaseline"
   | project ["> Machine"] = split(properties.targetResourceId,"/")[-1],
     ComplianceStatus = properties.complianceStatus,
     LastComplianceCheck = properties.lastComplianceStatusChecked'
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

3. 每個基準規則的詳細清單，其中包含合規性狀態和辨識項（也稱為 原因）：

   QUERY='
   // Returns one record per baseline rule (around 200 per machine) with status for each
   GuestConfigurationResources
   | where name contains "AzureLinuxBaseline"
   | project Report = properties.latestAssignmentReport,
     Machine = split(properties.targetResourceId,"/")[-1],
     LastComplianceCheck=properties.lastComplianceStatusChecked
   | mv-expand Report.resources
   | project ["> Machine"] = Machine,
     ["> Rule"] = Report_resources.resourceId,
     RuleComplianceStatus = Report_resources.complianceStatus,
     RuleComplianceReason = Report_resources.reasons[0].phrase,
     LastComplianceCheck'
   
   az graph query --graph-query "$QUERY" --query data --output yamlc
   

包含該視頻是為了給人一種工作流程的整體感覺。 如需查詢詳細資料，請參閱本文中的文字。

1. 流覽至 Azure 原則概觀頁面
2. 點選左側導覽中的 [合規性]
3. 按一下您的 Linux 機器 應該... 原則指派
4. 請注意，此頁面提供下列兩項：
   1. 依合規性狀態的計算機計數
   2. 每個機器的合規性狀態清單
5. 當您準備好查看具有合規性狀態和辨識項的基準規則詳細清單時，請執行下列動作：
   1. 在計算機清單中（如 資源合規性所示）選取測試計算機的名稱
   2. 按兩下 [檢視資源 移至電腦概觀頁面
   3. 在左側導覽中，尋找並選取 [設定管理
   4. 在設定清單中，選取名稱以 AzureLinuxBaseline...
   5. 在設定詳細數據檢視中，使用篩選下拉式清單來 如果您想要同時查看合規性和不符合規範的規則，請選取所有