Maak een Application Control-supplemental policy voor MABS aan met PowerShell

Een Application Control-supplemental policy voor MABS laat Azure Lokaal draaien in Enforced-modus zonder back-ups te blokkeren. Wanneer een Azure Lokaal-implementatie draait in Application Control geforceerde modus, moeten MABS en alle gebruikte DLL's correct worden ondertekend.

Dit artikel beschrijft hoe je een Application Control-supplemental policy kunt maken door PowerShell te gebruiken om het basisbeleid uit te breiden en MABS te laten draaien.

Controleer en wissel de Application Control policy-modus op Azure Lokaal

Application Control-beleidsregels kunnen in een van drie modi draaien: Audit, Afgedwongen of Uitgeschakeld. Leer hoe je van Application Control-beleidsmodi wisselt.

Maak een aanvullend beleid voor Application Control voor MABS aan

Om een Application Control-supplemental beleid voor MABS met PowerShell te maken, volgt u deze stappen:

1. Genereer een WDAC-beleidsbestand met de informatie die nodig is om het DPM-beleid vanaf de MABS-server te maken door de cmdlet New-CIPolicy uit te voeren.

   
    	New-CIPolicy `
    	-ScanPath "C:\Program Files\Microsoft Azure Backup Server V4\DPM\DPM\ProtectionAgents" `
    	-Level Publisher `
    	-Fallback Hash `
    	-UserPEs `
    	-FilePath "C:\WDAC\Broadcom-VMware-TBS-fingerprint.xml"
   

2. Maak een nieuw XML-bestand aan met het volgende voorbeeldscript, en sla het op op het pad op Azure Lokaal virtuele machines C:\WDAC\Broadcom_Supplemental-VMWareOnly.xml:

     <?xml version="1.0" encoding="utf-8"?>
     <SiPolicy xmlns="urn:schemas-microsoft-com:sipolicy" PolicyType="Supplemental Policy">
    	 <VersionEx>10.0.0.0</VersionEx>
    	 <PlatformID>{xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx}</PlatformID>
    	 <Rules>
    		 <Rule>
    			 <Option>Enabled:Unsigned System Integrity Policy</Option>
    		 </Rule>
    		 <Rule>
    			 <Option>Enabled:Advanced Boot Options Menu</Option>
    		 </Rule>
    		 <Rule>
    			 <Option>Enabled:UMCI</Option>
    		 </Rule>
    	 </Rules>
    	 <!-- EKUs -->
    	 <EKUs />
    	 <!-- File Rules -->
    	 <FileRules />
    	 <!-- Signers -->
    	 <Signers>
    		 <!-- Broadcom SHA256/SHA384 signer -->
    		 <Signer ID="ID_SIGNER_BROADCOM_SHA256"
    			 Name="DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1">
    			 <CertRoot Type="TBS"
    				 Value="XXXXX-XXXXX-XXXXX-XXXXX-XXXXX-XXXXX" />
    			 <CertPublisher Value="Broadcom Inc" />
    		 </Signer>
    		 <!-- VMware SHA256 signer -->
    		 <Signer ID="ID_SIGNER_VMWARE_SHA256" Name="Symantec Class 3 SHA256 Code Signing CA">
    			 <CertRoot Type="TBS"
    				 Value="XXXXX-XXXXX-XXXXX-XXXXX-XXXXX-XXXXX" />
    			 <CertPublisher Value="VMware, Inc." />
    		 </Signer>
    		 <!-- VMware SHA384 signer -->
    		 <Signer ID="ID_SIGNER_VMWARE_SHA384"
    			 Name="DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1">
    			 <CertRoot Type="TBS"
    				 Value="XXXXX-XXXXX-XXXXX-XXXXX-XXXXX-XXXXX" />
    			 <CertPublisher Value="VMware, Inc." />
    		 </Signer>
    	 </Signers>
    	 <!-- Signing Scenarios -->
    	 <SigningScenarios>
    		 <!-- User-mode executables/DLLs -->
    		 <SigningScenario Value="12" ID="ID_SIGNINGSCENARIO_WINDOWS"
    			 FriendlyName="Broadcom+VMware+Microsoft Supplemental User-Mode Policy">
    			 <ProductSigners>
    				 <AllowedSigners>
    					 <AllowedSigner SignerId="ID_SIGNER_BROADCOM_SHA256" />
    					 <AllowedSigner SignerId="ID_SIGNER_VMWARE_SHA256" />
    					 <AllowedSigner SignerId="ID_SIGNER_VMWARE_SHA384" />
    				 </AllowedSigners>
    			 </ProductSigners>
    		 </SigningScenario>
    	 </SigningScenarios>
    	 <UpdatePolicySigners />
    	 <CiSigners>
    		 <CiSigner SignerId="ID_SIGNER_BROADCOM_SHA256" />
    		 <CiSigner SignerId="ID_SIGNER_VMWARE_SHA256" />
    		 <CiSigner SignerId="ID_SIGNER_VMWARE_SHA384" />
    	 </CiSigners>
    	 <HvciOptions>0</HvciOptions>
    	 <Settings />
    	 <BasePolicyID>{yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy}</BasePolicyID>
    	 <PolicyID>{zzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzzzzzz}</PolicyID>
     </SiPolicy>
   

   Note

   Update PlatformID, BasePolicyID, PolicyID, en Signer’s TBS value indien nodig:

   • PlatformID: Vertegenwoordigt de platformvereniging. Vind dit detail in het dossier C:\WDAC\Broadcom-VMware-TBS-fingerprint.xml.
   • BasePolicyID: Vertegenwoordigt het basisbeleid waarop het huidige beleid steunt. Je kunt gebruiken Get-ASLocalWDACPolicyInfo om je basispolis te vinden.
   • PolicyID: Geeft de identificatiecode voor het huidige beleid weer. Vind dit detail in het dossier C:\WDAC\Broadcom-VMware-TBS-fingerprint.xml.
   • Signer’s TBS values: Haal de root/chain identifier van het ondertekeningscertificaat (de TBS-vingerafdruk) van de ondertekenaar op uit het bestand C:\WDAC\Broadcom-VMware-TBS-fingerprint.xml.

3. Om de metadata van je aanvullende beleid op Azure Lokaal virtuele machines te wijzigen, voer je de volgende cmdlet uit:

     # Path of newly created XML
     $policyPath = "c:\wdac\Broadcom_Supplemental-VMWareOnly.xml"
   
     # Set Policy Version (VersionEx in the XML file)
     $policyVersion = "1.0.0.1"
     Set-CIPolicyVersion -FilePath $policyPath -Version $policyVersion
   
     # Set Policy Info (PolicyName, PolicyID in the XML file)
     Set-CIPolicyIdInfo -FilePath $policyPath -PolicyID "DPM-Policy_$policyVersion" -PolicyName "DPM-Policy"
   

4. Om het beleid op Azure Lokaal virtuele machines te implementeren, voer je de volgende cmdlet uit:

     Add-ASWDACSupplementalPolicy -Path c:\wdac\Broadcom_Supplemental-VMWareOnly.xml
   

5. Om de status van het nieuwe beleid op Azure Lokaal virtuele machines te controleren, voer je de volgende cmdlet uit:

     Get-ASLocalWDACPolicyInfo
   

Voorbeelduitvoer

NodeName : Node1
PolicyMode : Enforced
PolicyGuid : {XXXXX-XXXXX-XXXXX-XXXXX-XXXXX-XXXXX}
PolicyName : DPM-Policy
PolicyVersion : 1.0.0.1
Status : Active
PolicyScope : Kernel & User
MicrosoftProvided : False
IsSigned : False

Volgende stap

Maak een back-up van Azure Lokaal virtual machines met Azure Backup Server.