Microsoft AZ-500: 混合云和多云安全 — 学习指南

    azcmagent connect \
      --resource-group rg-hybrid \
      --tenant-id <tenantId> \
      --subscription-id <subId> \
      --location <azureRegion> \
      --service-principal-id <appId> \
      --service-principal-secret <password>
    ```

- 代理要求与扩展
  - `Connected Machine` 代理 (`azcmagent`) 是必需的；它在 TCP 443 端口上使用出站 TLS 1.2，并且需要本地管理员/root 权限进行安装。
  - 不要对其流量进行 SSL 检查；该代理在某些流程的握手过程中会执行双向 TLS 和证书固定。
  - 使用 Arc 扩展来部署各项功能：`Azure Monitor Agent`（首选）、`Defender for Endpoint`/`Defender for Servers` 组件、`Update Manager` 和 `Guest Configuration`。
  - 原因：扩展为非 Azure 主机提供了 Azure 风格的生命周期和合规性管理，且无需任何入站端口。

- RBAC
  - `Azure Connected Machine Onboarding`：注册计算机。
  - `Azure Connected Machine Resource Administrator`：管理 Arc 服务器资源及其扩展。
  - `Policy Contributor/Reader`：管理策略的强制执行和可见性。
  - 原因：职责分离——载入与持续管理分开——可以减小爆炸半径。

- 私有连接
  - 通过创建 `Private Link Scope` 和用于 Arc 控制平面服务的私有终结点，来为已启用 Arc 的服务器使用 `Private Link`，并与 `Private DNS` 区域和本地 DNS 转发器集成。
  - 原因：强制代理通过您的私有网络路径进行通信，消除了对公网出口的依赖，并满足严格的出口控制要求。

已启用 Azure Arc 的 Kubernetes

- 集群连接 (Cluster connect)
  - 使用以下命令连接集群：

    az k8s-configuration flux create \
      --cluster-name arc-aks-onprem --resource-group rg-hybrid \
      --name baseline --namespace cluster-config \
      --url https://github.com/org/platform-baseline --branch main --sync-interval 1m
    ```

- 策略
  - 通过 `azurepolicy` 扩展启用 `Azure Policy for Kubernetes` (`Gatekeeper v3`)；分配内置的计划（initiatives）来阻止特权 Pod、`hostPath` 或缺少 `seccomp` 配置文件的部署。
  - 原因：在部署时强制执行准入控制，从而减少运行时风险暴露。

- Defender 集成
  - 在 Arc 集群上，启用 `Defender for Containers`。这将部署所需的代理，以收集 `Kube` 审计事件、检测异常行为，并支持对镜像和工作负载的漏洞发现。
  - 原因：在单一计划下，将威胁检测和安全态势与云原生集群统一起来。

已启用 Azure Arc 的 SQL Server 和混合清单

- 使用 `SQL Server` 扩展，载入运行在已启用 Arc 的计算机上的 `SQL Server` 实例；这将 `SQL` 作为 Azure 资源呈现出来。
- 在计算机上启用 `Defender for SQL` 以进行漏洞评估和高级威胁检测；从 `Defender for Cloud` 配置自动预配以确保覆盖率。
- 使用 Arc 清单和 `Azure Resource Graph` 来查询混合资产、标记重要性级别以及限定策略范围（例如，强制执行仅 TLS 的终结点和强密码套件）。
- 原因：为传统的、基于 VM 的 `SQL` 以及 PaaS 数据库提供一致的治理和安全分析。
### 与 Microsoft Defender for Cloud 的多云集成

多云连接器

- AWS
  - 在 Defender for Cloud 中创建 AWS 连接器；在 Organization 级别部署提供的 CloudFormation 模板或 StackSet，以创建只读的跨账户角色和事件转发。
  - 为 Defender for Servers 和 Containers 选择性启用代理自动预配。
  - 理由：组织级别的接入可确保新账户无需手动操作即可继承安全控制。

- Google Cloud
  - 创建 GCP 连接器；在 Organization 级别使用最低权限服务账户部署推荐的 Terraform 或 Deployment Manager 模板。
  - 理由：标准化的最低权限访问可将态势管理自动扩展到新的项目和文件夹。

云安全态势管理 (CSPM)

- 将 Azure、AWS、GCP 和本地/边缘（通过 Arc）的资源聚合到 Defender for Cloud 的安全分数和法规符合性仪表板中。
- 在管理组级别分配内置计划（CIS、NIST、PCI）；通过 Azure Policy Guest Configuration 将操作系统级别的基线扩展到 Arc 服务器。
- 使用建议来驱动修复任务，并在支持的情况下通过 DeployIfNotExists 策略自动修复（例如，将 Azure Monitor Agent 部署到 Arc 服务器）。
- 理由：跨异构平台的单一符合性模型可降低审计复杂性并加速修复。

威胁防护

- 跨云启用相关的 Defender 计划（Servers、Containers、SQL、Storage）；集中配置自动预配和数据收集设置。
- 理由：通用的警报分类法和分析功能可为您的 SIEM 提供规范化的信号。

### 混合身份与安全监控

混合身份与本地 AD 安全

- 同步策略
  - 使用密码哈希同步以实现恢复能力，并在需要应用本地密码策略和登录限制但又要最小化基础设施时，使用直通身份验证和无缝 SSO。这种组合可以最大限度地减少服务器占用空间并满足本地策略的强制执行要求。
  - 使用 Synchronization Rules Editor 基于属性的筛选来排除账户（例如，givenName 以 LAB 开头的账户）。
- Microsoft Entra Connect 监控
  - 部署 Azure AD Connect Health 来监控同步、域控制器和 AD FS（如果使用），并针对延迟、故障和有风险的配置发出警报。
- 特权访问
  - 配置 Privileged Identity Management (PIM) 需要全局管理员角色。首先发现特权角色，然后启用即时 (just-in-time) 访问、审批和访问评审。
- 身份验证体验
  - 对于混合加入的 Windows 设备，从 SSMS 使用 Active Directory 集成身份验证连接到 Azure SQL Database，以便在使用 Entra ID 令牌的同时最大限度地减少提示。
- AD 强化
  - 强制执行分层管理模型，使用 LAPS 进行本地管理员密码轮换，禁用旧版协议，并使用 Defender for Identity 监控 Kerberos/NTLM 异常。
- 理由：良好的身份卫生习惯可防止凭据盗窃演变为跨环境的泄露事件。

Azure Monitor Agent (AMA)、数据收集规则 (DCR) 与安全日志收集

- 使用 Arc 扩展部署 AMA；编写 DCR 来精确定义要收集哪些 Windows 事件日志和 Syslog 设施，并将其路由到特定的 Log Analytics 工作区。
- 通过数据收集终结点 (DCE) 解耦引入终结点；使用 Azure Monitor Private Link Scope (AMPLS) 限制出口流量。
- DCR 片段示例：

- 理由：与主机级别的配置漂移相比，DCR 提供了最低权限的遥测（仅收集所需内容），降低了成本，并简化了变更控制。
### 网络、DNS、代理和基于策略的基线

私有连接、DNS、代理和出站防火墙要求

- 仅出站模型
- Arc 代理、AMA、Defender 和策略扩展在 443 端口上使用出站 TLS 1.2。不应要求入站 NAT 或端口开放。
- Private Link
- 为 Arc 和 Azure Monitor 使用 Private Link Scopes；创建相应的 Private DNS zones 和条件转发器，以便混合计算机将服务 FQDN 解析为私有 IP。
- 代理
- 如果使用正向代理，请将 Azure 控制平面和数据引入 FQDN 加入允许列表，并对 Arc/Monitor 终结点绕过 SSL 检查。
- 在服务器上使用以下命令进行配置：