Azure Yerel için güvenlik varsayılanlarını yönetme

Şunlar için geçerlidir: Azure Yerel 2311.2 ve üzeri

Bu makalede, Azure Yerel örneğiniz için varsayılan güvenlik ayarlarının nasıl yönetileceğini açıklar. Ayrıca, cihazınızın bilinen iyi durumda başlaması için dağıtım sırasında tanımlanan kayma denetimini ve korumalı güvenlik ayarlarını değiştirebilirsiniz.

Önkoşullar

Başlamadan önce dağıtılan, kaydedilen ve Azure'a bağlı bir Azure Yerel sistemine erişiminiz olduğundan emin olun.

Azure portalında güvenlik varsayılan ayarlarını görüntüleme

Azure portalında güvenlik varsayılan ayarlarını görüntülemek için MCSB girişimini uyguladığınıza emin olun. Daha fazla bilgi için bkz . Microsoft Cloud Security Benchmark girişimini uygulama.

Sisteminizde sistem güvenliğini, kayma denetimini ve Güvenli çekirdek ayarlarını yönetmek için güvenlik varsayılan ayarlarını kullanabilirsiniz.

Veri korumaları>Ağ koruması sekmesi altında SMB imzalama durumunu görüntüleyin. SMB imzalama, Azure Yerel bir örnek ile diğer sistemler arasında SMB trafiğini dijital olarak imzalamanıza olanak tanır.

Azure portalında güvenlik temeli uyumluluğunu görüntüleme

Azure Yerel örneğinizi Microsoft Defender for Cloud ile kaydettikten veya yerleşik ilke Windows makineleri Azure işlem güvenlik temeline uygun olmalıdır'yı atadıktan sonra, bir uyumluluk raporu oluşturulur. Azure Yerel örneğinizin karşılaştırılması gereken kuralların tam listesi için bkz . Windows güvenlik temeli.

Azure Yerel makinesinde, Güvenli çekirdek için tüm donanım gereksinimleri karşılandığında varsayılan beklenen uyumluluk puanı 324 kuraldan 321'idir; diğer bir ifadeyle kuralların %99'unun uyumlu olması gerekir.

Aşağıdaki tabloda uyumlu olmayan kurallar ve geçerli boşluğun mantığı açıklanmaktadır:

Kurallara uyumu düzenleme

Kuralların uyumluluğunu düzeltmek için aşağıdaki komutları çalıştırın veya tercih ettiğiniz başka bir aracı kullanın:

1. Yasal bildirim: Kuruluşunuzun ihtiyaçlarına ve ilkelerine bağlı olarak yasal bildirim için özel bir değer oluşturun. Aşağıdaki komutları çalıştırın:

   Set-ItemProperty -Path "HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\System" -Name "LegalNoticeCaption" -Value "Legal Notice"
   Set-ItemProperty -Path "HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\System" -Name "LegalNoticeText" -Value "LegalNoticeText"
   

2. En düşük parola uzunluğu: Azure Yerel makinesinde en düşük parola uzunluğu ilkesini 14 karakter olarak ayarlayın. Varsayılan değer 7'dir ve 14'in altındaki tüm değerler izleme temel ilkesi tarafından işaretlenir. Aşağıdaki komutları çalıştırın:

   net accounts /minpwlen:14
   

PowerShell ile güvenlik varsayılanlarını yönetme

Kayma koruması etkinleştirildiğinde, yalnızca korumasız güvenlik ayarlarını değiştirebilirsiniz. Temeli oluşturan korumalı güvenlik ayarlarını değiştirmek için önce kayma korumasını devre dışı bırakmanız gerekir. Güvenlik ayarlarının tam listesini görüntülemek ve indirmek için bkz . Güvenlik Temeli.

Güvenlik varsayılanlarını değiştirme

İlk güvenlik temeli ile başlayın ve dağıtım sırasında tanımlanan kayma denetimini ve korumalı güvenlik ayarlarını değiştirin.

Kayma denetimini etkinleştirme

Kayma denetimini etkinleştirmek için aşağıdaki adımları kullanın:

1. Azure Yerel makinenize bağlanın.

2. Aşağıdaki cmdlet'i çalıştırın:

   Enable-AzsSecurity -FeatureName DriftControl -Scope <Local | Cluster>
   

   • Yerel - Yalnızca yerel düğümü etkiler.
   • Küme - Düzenleyiciyi kullanarak kümedeki tüm düğümleri etkiler.

Kayma denetimini devre dışı bırakma

Kayma denetimini devre dışı bırakmak için aşağıdaki adımları kullanın:

1. Azure Yerel makinenize bağlanın.

2. Aşağıdaki cmdlet'i çalıştırın:

   Disable-AzsSecurity -FeatureName DriftControl -Scope <Local | Cluster>
   

   • Yerel - Yalnızca yerel düğümü etkiler.
   • Küme - Düzenleyiciyi kullanarak kümedeki tüm düğümleri etkiler.

Dağıtım sırasında güvenlik ayarlarını yapılandırma

Dağıtımın bir parçası olarak, kümenizdeki güvenlik temelini oluşturan kayma denetimini ve diğer güvenlik ayarlarını değiştirebilirsiniz.

Aşağıdaki tabloda, dağıtım sırasında Azure Yerel örneğinizde yapılandırabileceğiniz güvenlik ayarları açıklanmaktadır.

Dağıtımdan sonra güvenlik ayarlarını değiştirme

Dağıtım tamamlandıktan sonra, kayma denetimini korurken güvenlik ayarlarını değiştirmek için PowerShell'i kullanabilirsiniz. Bazı özelliklerin etkili olması için yeniden başlatma gerekir.

PowerShell cmdlet özellikleri

Aşağıdaki cmdlet özellikleri AzureStackOSConfigAgent modülüne yöneliktir . Modül dağıtım sırasında yüklenir.

• Get-AzsSecurity -Kapsam: <Yerel | PerNode | AllNodes | Küme>

  • Local - Yerel düğümde boole değeri (true/False) sağlar. Normal bir uzak PowerShell oturumundan çalıştırılabilir.
  • PerNode - Düğüm başına boole değeri (doğru/yanlış) sağlar.
  • Rapor - Uzak masaüstü protokolü (RDP) bağlantısı kullanırken CredSSP veya Azure yerel makinesi gerektirir.
    • AllNodes – Düğümler arasında hesaplanan boole değeri (true/false) sağlar.
    • Küme – ECE deposundan boolean değeri döndürür. Düzenleyiciyle etkileşim kurar ve kümedeki tüm düğümlere göre hareket eder.

• Enable-AzsSecurity -Kapsam <Yerel | Küme>

• Disable-AzsSecurity -Kapsam <Yerel | Küme>

  • ÖzellikAdı - <Kimlik Koruma | Kayma Kontrolü | DRTM | HVCI | Yan Kanal Azaltma | SMB Şifreleme | SMB İmzalama | VBS>

    • Kayma Denetimi
    • Credential Guard (Kimlik Bilgisi Koruması)
    • VBS (Sanallaştırma Tabanlı Güvenlik)- Yalnızca enable komutunu destekliyoruz.
    • DRTM (Ölçüm için Dinamik Güven Kökü)
    • HVCI (Kod Bütünlüğü Hiper Yönetici Tarafından Sağlanır)
    • Yan Kanal Azaltımı
    • SMB İmzalama
    • SMB Kümesi şifrelemesi

    Önemli

    Enable AzsSecurity ve Disable AzsSecurity cmdlet'leri yalnızca yeni dağıtımlarda veya güvenlik temelleri düğümlere düzgün uygulandıktan sonra yükseltilen dağıtımlarda kullanılabilir. Daha fazla bilgi için bkz . Azure Local'ı yükselttikten sonra güvenliği yönetme.

Aşağıdaki tabloda desteklenen güvenlik özellikleri, kayma denetimini destekleyip desteklemedikleri ve özelliği uygulamak için yeniden başlatma gerekip gerekmediği belgelenmiştir.

Sonraki adımlar

• BitLocker şifrelemeyi anlama.