Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
OSConfig is een beveiligingsconfiguratieprogramma voor Windows Server die een bekende goede beveiligingsstatus op uw apparaten toepast en onderhoudt. Het maakt gebruik van scenario's, die vooraf gedefinieerde groepen instellingen zijn, om een consistente configuratie te bieden aan on-premises en Azure Arc verbonden apparaten tijdens hun levenscyclus.
Na verloop van tijd verdwijnen servers van hun beoogde beveiligingsconfiguratie en het toepassen van instellingen consistent op veel apparaten en beheerhulpprogramma's is moeilijk met de hand te doen. MET OSConfig kunt u elk apparaat in de beoogde status houden door deze drift automatisch te detecteren en te corrigeren, zodat uw servers veilig en compatibel blijven.
In dit artikel wordt uitgelegd wat OSConfig is, hoe het werkt en de scenario's die worden ondersteund, zodat u kunt bepalen hoe u deze kunt gebruiken om uw servers te beveiligen en te onderhouden.
Hoe OSConfig werkt
De OSConfig-stack bestaat uit basis-cmdlets, systeemeigen API's en een scenariodefinitie die de gewenste statusconfiguratie definieert. De scenariodefinitie is een gegevensgestuurde beschrijving van configuraties. De configuraties zijn groepen instellingen die naam-/waardeparen gebruiken met een vooraf gedefinieerde volgorde en afhankelijkheden die overeenkomen met subgebieden.
Het ontwerp van het objectmodel is gegevensgestuurd, waardoor toewijzing aan verschillende providers in het Windows besturingssysteem (OS) voor apparaatconfiguratie mogelijk is. In het volgende diagram wordt de OSConfig-stroom beschreven.
Stroomdiagram van de OSConfig-stack die laat zien hoe beheerhulpprogramma's configuratie toepassen op een apparaat. Bovenaan bevinden drie out-of-band-beheerbronnen zich boven een stippellijn: Windows Admin Center, Azure Policy en machineconfiguratie en lokale hulpprogramma's. Elke bron heeft een pijl die omlaag wijst naar de OSConfig PowerShell-module, die de breedte van het diagram beslaat als een band met het label Out of Band. Een enkele pijl leidt vanuit de OSConfig PowerShell-module omlaag naar een container met het label Apparaat. Binnen de apparaatcontainer zijn drie gestapelde vakken achtereenvolgens met neerwaartse pijlen verbonden: van de OSConfig-API en het platform naar configuratieproviders, zoals CSP's en registers, die op hun beurt beveiligingsfuncties toepassen.
Op Windows Server 2025 kan OSConfig worden geïntegreerd met Azure Policy, Microsoft Defender, Windows Admin Center en Azure Policy machineconfiguratie ter ondersteuning van bewaking en nalevingsrapportage. Het maakt ook verbeterde toewijzing of zelfs directe conversie mogelijk met andere vooraf bestaande beheerdefinities. Deze definities omvatten .admx bestanden in Groepsbeleid, .mof bestanden in WMI-bestanden (Windows Management Instrumentation) en DDF-bestanden (Device Description Framework) in de CSP (Configuration Service Provider).
Als één enkel platform, OSConfig:
- Past configuratiepayloads toe in de levenscyclus van het apparaat, inclusief configuratie, herstel, bewaking, rapportage en versiebeheer.
- Werkt consistent in Windows Admin Center, Azure Arc, PowerShell, Azure Policy en Azure Policy machineconfiguratie.
- Houdt via orkestratierichtlijnen rekening met vereisten en afhankelijkheden tussen instellingen.
- Onderhoudt de gewenste status via detectie, rapportage en correctie van configuratiedrift.
OSConfig-driftcontrole
Een van de belangrijkste functies van OSConfig is driftbesturing. Het helpt ervoor te zorgen dat het systeem wordt gestart en in een bekende goede beveiligingsstatus blijft. Wanneer u deze functie inschakelt, corrigeert OSConfig automatisch eventuele systeemwijzigingen die afwijken van de gewenste status. OSConfig voert de correctie uit via een taak voor verversen.
Wanneer u de functie uitschakelt, schakelt OSConfig ook de vernieuwingstaak uit. U kunt vervolgens andere hulpprogramma's, met of zonder OSConfig, gebruiken om het systeem te wijzigen. Elk beheerprogramma kan verschillende doeleinden dienen en verschillende actoren kunnen het gebruiken, zodat meerdere autoriteiten dezelfde set apparaatinstellingen kunnen beheren. Instanties kunnen bijvoorbeeld Azure Policy gebruiken voor cloudresources of met Azure Arc ondersteunde resources op schaal, terwijl ze Windows Admin Center kunnen gebruiken voor lokaal beheer.
Als u meerdere instanties wilt aanpakken, zorgt een orchestrator voor deterministische configuratie in een omgeving waarin meerdere instanties verschillende IT-beheerhulpprogramma's gebruiken. Onder dit model ontvangt elke instantie een prioriteitsvolgorde. Deze prioriteitsvolgorde is niet alleen van toepassing vanuit een configuratieperspectief. Hiermee kunt u ook driftbeheer per instantie en zelfs per scenariodocument toestaan.
Als u cloudresources of voor Azure Arc ingeschakelde resources gebruikt, is de volgorde van prioriteit:
- Beleidsinstantie voor cloud (Azure Policy)
- Lokale instantie (Windows Admin Center en Windows PowerShell)
- Elk ander implementatieprogramma
Door OSConfig ondersteunde scenario's
OSConfig levert configuratie via scenario's. Op Windows Server 2025 vallen de ondersteunde scenario's in twee gebieden: beveiligingsbasislijnen en App Control voor Bedrijven.
Beveiligingsbasislijnen
OsConfig-gestuurde beveiligingsbasislijnen passen een aanbevolen, functiebewuste beveiligingspostuur toe op uw servers en virtuele machines. Tijdens de levenscyclus van het apparaat past u deze toe met behulp van PowerShell of Windows Admin Center, en driftbesturing helpt elke server in de bekende goede staat te houden. Dit gebied omvat:
- De Windows Server beveiligingsbasislijn, afgestemd op de serverfunctie.
- Microsoft Defender Antivirus-configuratie.
- Windows Local Administrator Password Solution (LAPS).
- Configuratie van beveiligde kernserver.
Door de beveiligingsbasislijnen toe te passen, kunt u het volgende doen:
- Verbeter de beveiligingspostuur door verouderde protocollen en coderingen uit te schakelen.
- Verminder de operationele inspanning door ingebouwde driftbesturing voor consistente bewaking op schaal.
- Werk toe naar de aanbevelingen van de Center for Internet Security (CIS) Benchmarks en Defense Information Systems Agency Security Technical Implementation Guides (DISA STIGs) voor de beveiligingsbasislijn van het besturingssysteem.
App-beheer voor Bedrijven
Met App Control voor Bedrijven kunt u bepalen welke toepassingen en code op uw servers kunnen worden uitgevoerd, zodat u het risico van niet-geautoriseerde of niet-vertrouwde software kunt verminderen. OSConfig biedt een scenario voor het toepassen en onderhouden van deze configuratie als onderdeel van hetzelfde gewenste statusmodel.