یادداشت های قوس لاجورد – 51 امنیت

نصب ماژول قوس لاجورد:

لازم نیست

Install-Module -Name Az.ConnectedMachine

اگر AzcMagent دارید ، هیچ خطایی به رسمیت شناخته نمی شود ، پس از دو دستور اجرا کنید:

دستگاه قوس لاجورد در صفحه اصلی

دستگاه قوس لاجورد را اضافه کنید:

یک سرور با قوس لاجورد اضافه کنید

برای شروع کد در Linux یا Windows Machine را بارگیری یا کپی / وارد کنید.

بسته نصب را بارگیری می کند و سپس عامل Hybrid بارگیری شده را نصب می کند ، در نهایت دستور اتصال را برای اتصال به پورتال ARC راه اندازی می کند.

امتحان کنید
$ env: اشتراک_ id = “d9fzzzz-zzzzzzzzzzzzb9” ؛
$ env: resource_group = “rg-servers” ؛
$ env: tenant_id = “ADFD-DFDFD-DFDFD-DFDFD-DFDFDF” ؛
$ env: location = “Eastus” ؛
$ env: نویسنده_type = “توکن” ؛
$ env: همبستگی_id = “yyy980-dfd-ad-fdsafd-fdf-dfdfd” ؛
$ env: cloud = “azurecloud” ؛

[Net.ServicePointManager]:: SecurityProtocol = [Net.ServicePointManager]:: SecurityProtocol -bor 3072 ؛
# بسته نصب را بارگیری کنید
invoke -webrequest -sebasicparsing -ri

https://aka.ms/azcmagent-windows

“-TimeoutSec 30 -outfile” $ env: temp \ install_windows_

azcmagent.ps

1 ″ ؛
# عامل هیبریدی را نصب کنید
& “$ env: temp \ install_windows_

azcmagent.ps

1 ″ ؛
if ($ lassexitcode -ne 0) {خروج 1 ؛ }
# اجرای فرمان
& “$ env: programW6432 \ azureconnectedMachineAgent \ azcmagent.exe” اتصال -resource -گروه “$ env: repuce_group” -tod “$ env: tenant_id” $ enovation “$ envation” $ subscription_id “-cloud” $ env “env” -id -id “$”
}
گرفتن
$ logbody = @{subscriptionId = “$ env: subscription_id” ؛ ResourceGroup = “$ env: resource_group” ؛ TENANTID = “$ env: teanant_id” ؛ مکان = “$ env: مکان” ؛ corre lationid = “$ env: همبستگی_id” ؛ authortype = “$ env: نویسنده_type” ؛ عملیات = “ورود به سیستم” ؛ MessageType = $ _. کاملاً واجد شرایط ؛ پیام = “$ _” ؛} ؛
invoke -webrequest -sebasicparsing -ri

https://gbl.his.arc.azure.com/log

“-Method” قرار دهید “-body ($ logbody | converttto -json) | out -null ؛
نوشتن -host -forgradcolor red $ _. استثنا ؛
}

نصب پسوند (AMA)

ویرایش رویدادهای امنیتی ویندوز از طریق کانکتور AMA ، قانون جمع آوری داده ها را برای منابع خود اضافه کنید:

به روزرسانی دست Azure Arc Agent و در هیئت مدیره

1. رایانه خود را با یک حساب کاربری که دارای حقوق اداری است وارد کنید.
2. آخرین نصب کننده عامل را از https: // بارگیری کنید

   aka.ms

   /azureconnectedMachineAgent

3. برای شروع جادوگر تنظیم ، AzureConnectedMachineAgent.msi را کامل کنید.

# روش جایگزین از طریق CLI

• msiexec.exe /i azureconnectedmachineagent.msi /qn /l*v “c: \ پشتیبانی \ logs \ azcmagentupgradestup.log”

پس از نصب ، دستور زیر می تواند یک کاربردی را ایجاد کند

azcmagent disconnect --service-principal-id 0c11111-90e6-4803-ae4e-57d319e111f --service-principal-secret ZO11111JWX111107Z1kthm-ZdhO

پیروی از دستور می تواند تخته ای بسازد.

azcmagent connect --service-principal-id 0c11111-90a6-4803-aa4e-57d319e111f --service-principal-secret ZO11111JWX111107Z1kthm-ZdhO --tenant-id 7911111-5cac-4357-aa96-49b1111160a --subscription-id a511111-e4e7-41f0-b115-94fa1111158 --resource-group "RG-ARC-PROD01" --location "eastus"

دستگاه Offboard از Azure Arc

تعداد کمی از مؤلفه ها وجود دارد که باید به یک عامل قوس منتقل شوند. (آژانس ماشین متصل به لاجورد)

1. اسکریپت خارج از تخته از MDE را کامل کنید
2. همه نمایندگان را حذف نصب کنید
3. 
4. حذف عامل دستگاه متصل به لاجورد

4. اسکریپت PowerShell را برای لغو مجوز MDE تکمیل کنید

پیروی از دستور می تواند تخته ای بسازد.

azcmagent connect --service-principal-id 0c11111-90a6-4803-aa4e-57d319e111f --service-principal-secret ZO11111JWX111107Z1kthm-ZdhO --tenant-id 7911111-5cac-4357-aa96-49b1111160a --subscription-id a511111-e4e7-41f0-b115-94fa1111158 --resource-group "RG-ARC-PROD01" --location "eastus"

دستور زیر می تواند یک تخته را ایجاد کند:

azcmagent disconnect --service-principal-id 0c11111-90e6-4803-ae4e-57d319e111f --service-principal-secret ZO11111JWX111107Z1kthm-ZdhO

دستورات azcmagent

استفاده دیگر از ابزار AzcMagent حذف سرور و اتصال دوباره آن است ، حتی اگر منبع دستگاه مرتبط با Azure Arc توسط Azure حذف شود. این امر عامل و خدمات ماشین مجازی وی را حذف یا نصب نمی کند. هر دو پارامتر به شما نیاز دارند که اعتبار معتبر را در روشی که روش محرومیت انجام می دهد ارائه دهید.

azcmagent disconnect --service-principal-id 0c11111-90e6-4803-ae4e-57d319e111f --service-principal-secret ZO11111JWX111107Z1kthm-ZdhO

azcmagent connect --service-principal-id 0c11111-90a6-4803-aa4e-57d319e111f --service-principal-secret ZO11111JWX111107Z1kthm-ZdhO --tenant-id 7911111-5cac-4357-aa96-49b1111160a --subscription-id a511111-e4e7-41f0-b115-94fa1111158 --resource-group "RG-ARC-PROD01" --location "eastus"

توجه: اگر شناسه اصلی سرویس و اجزای مخفی را ترک می کنید ، ویندوز تلاش تعاملی برای ورود به مرورگر برای ارائه اعتبار برای تأیید اعتبار به شما می دهد. در مورد گزینه های احراز هویت بیشتر بدانید.

این روش خاموش و اتصال نیز برای ماشینهایی که بیش از 45 روز سیگنال ریتم قلب را به لاجورد ارسال نکرده اند ، توصیه می شود و پس از آن آنها به طور خودکار انزجار خواهند بود.

دستورات:

azcmagent disconnect --service-principal-id serviceprincipalAppID> --service-principal-secret serviceprincipalPassword>

azcmagent connect --service-principal-id serviceprincipalAppID> --service-principal-secret serviceprincipalPassword> --tenant-id tenantID>
 --subscription-id subscriptionID> --resource-group ResourceGroupName> --location resourceLocation>

نمایشگاه azcmagent

نماینده MDE باید با استفاده از روش های دیگر از طریق دفاع ابری یا اسکریپت هایی که توسط پورتال Defender ایجاد شده است ، دوباره نصب شود.

AzureMonitorWindowsAgent را می توان از طریق دکمه A +ADD نصب کرد.

مرجع