Crie uma política suplementar de Controle de Aplicações para o MABS usando o PowerShell

Uma política suplementar de Application Control para o MABS permite que o Azure Local rode no modo Enforced sem bloquear backups. Quando uma implantação do Azure Local é executada no modo imposto de Controle de Aplicativos, o MABS e todas as DLLs que ele usa devem estar devidamente assinados digitalmente.

Este artigo descreve como criar uma política suplementar de Controle de Aplicações usando o PowerShell para estender a política base e permitir a execução do MABS.

Verifique e alterne o modo de política de Controle de Aplicações no Azure Local

As políticas de Controle de Aplicações podem ser executadas em um de três modos: Auditoria, Aplicada ou Desativada. Saiba como alternar os modos da política de Controle de Aplicativo.

Criar uma política suplementar de Controle de Aplicações para o MABS

Para criar uma política suplementar de Controle de Aplicações para MABS usando PowerShell, siga estes passos:

  1. Gerar um arquivo de política WDAC contendo as informações necessárias para criar a política DPM a partir do servidor MABS executando o New-CIPolicy cmdlet.

    
 	New-CIPolicy `
 	-ScanPath "C:\Program Files\Microsoft Azure Backup Server V4\DPM\DPM\ProtectionAgents" `
 	-Level Publisher `
 	-Fallback Hash `
 	-UserPEs `
 	-FilePath "C:\WDAC\Broadcom-VMware-TBS-fingerprint.xml"

  2. Crie um novo arquivo XML usando o seguinte script de exemplo e salve-o no caminho nas máquinas C:\WDAC\Broadcom_Supplemental-VMWareOnly.xmlvirtuais Azure Local:

      <?xml version="1.0" encoding="utf-8"?>
  <SiPolicy xmlns="urn:schemas-microsoft-com:sipolicy" PolicyType="Supplemental Policy">
 	 <VersionEx>10.0.0.0</VersionEx>
 	 <PlatformID>{xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx}</PlatformID>
 	 <Rules>
 		 <Rule>
 			 <Option>Enabled:Unsigned System Integrity Policy</Option>
 		 </Rule>
 		 <Rule>
 			 <Option>Enabled:Advanced Boot Options Menu</Option>
 		 </Rule>
 		 <Rule>
 			 <Option>Enabled:UMCI</Option>
 		 </Rule>
 	 </Rules>
 	 <!-- EKUs -->
 	 <EKUs />
 	 <!-- File Rules -->
 	 <FileRules />
 	 <!-- Signers -->
 	 <Signers>
 		 <!-- Broadcom SHA256/SHA384 signer -->
 		 <Signer ID="ID_SIGNER_BROADCOM_SHA256"
 			 Name="DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1">
 			 <CertRoot Type="TBS"
 				 Value="XXXXX-XXXXX-XXXXX-XXXXX-XXXXX-XXXXX" />
 			 <CertPublisher Value="Broadcom Inc" />
 		 </Signer>
 		 <!-- VMware SHA256 signer -->
 		 <Signer ID="ID_SIGNER_VMWARE_SHA256" Name="Symantec Class 3 SHA256 Code Signing CA">
 			 <CertRoot Type="TBS"
 				 Value="XXXXX-XXXXX-XXXXX-XXXXX-XXXXX-XXXXX" />
 			 <CertPublisher Value="VMware, Inc." />
 		 </Signer>
 		 <!-- VMware SHA384 signer -->
 		 <Signer ID="ID_SIGNER_VMWARE_SHA384"
 			 Name="DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1">
 			 <CertRoot Type="TBS"
 				 Value="XXXXX-XXXXX-XXXXX-XXXXX-XXXXX-XXXXX" />
 			 <CertPublisher Value="VMware, Inc." />
 		 </Signer>
 	 </Signers>
 	 <!-- Signing Scenarios -->
 	 <SigningScenarios>
 		 <!-- User-mode executables/DLLs -->
 		 <SigningScenario Value="12" ID="ID_SIGNINGSCENARIO_WINDOWS"
 			 FriendlyName="Broadcom+VMware+Microsoft Supplemental User-Mode Policy">
 			 <ProductSigners>
 				 <AllowedSigners>
 					 <AllowedSigner SignerId="ID_SIGNER_BROADCOM_SHA256" />
 					 <AllowedSigner SignerId="ID_SIGNER_VMWARE_SHA256" />
 					 <AllowedSigner SignerId="ID_SIGNER_VMWARE_SHA384" />
 				 </AllowedSigners>
 			 </ProductSigners>
 		 </SigningScenario>
 	 </SigningScenarios>
 	 <UpdatePolicySigners />
 	 <CiSigners>
 		 <CiSigner SignerId="ID_SIGNER_BROADCOM_SHA256" />
 		 <CiSigner SignerId="ID_SIGNER_VMWARE_SHA256" />
 		 <CiSigner SignerId="ID_SIGNER_VMWARE_SHA384" />
 	 </CiSigners>
 	 <HvciOptions>0</HvciOptions>
 	 <Settings />
 	 <BasePolicyID>{yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy}</BasePolicyID>
 	 <PolicyID>{zzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzzzzzz}</PolicyID>
  </SiPolicy>

    Note

    Atualize PlatformID, BasePolicyID, PolicyID, e Signer’s TBS value conforme necessário:

    • PlatformID: Representa a associação de plataforma. Encontre esse detalhe no arquivo C:\WDAC\Broadcom-VMware-TBS-fingerprint.xml.
    • BasePolicyID: Representa a política base na qual a política atual se baseia. Você pode usar Get-ASLocalWDACPolicyInfo para encontrar sua apólice base.
    • PolicyID: Representa o identificador da política atual. Encontre esse detalhe no arquivo C:\WDAC\Broadcom-VMware-TBS-fingerprint.xml.
    • Signer’s TBS values: obtenha do arquivo o valor do identificador da raiz/cadeia do certificado de assinatura do signatário (a impressão digital TBS) C:\WDAC\Broadcom-VMware-TBS-fingerprint.xml.

  3. Para modificar os metadados da sua política suplementar em máquinas virtuais Azure Local, execute o seguinte cmdlet:

      # Path of newly created XML
  $policyPath = "c:\wdac\Broadcom_Supplemental-VMWareOnly.xml"

  # Set Policy Version (VersionEx in the XML file)
  $policyVersion = "1.0.0.1"
  Set-CIPolicyVersion -FilePath $policyPath -Version $policyVersion

  # Set Policy Info (PolicyName, PolicyID in the XML file)
  Set-CIPolicyIdInfo -FilePath $policyPath -PolicyID "DPM-Policy_$policyVersion" -PolicyName "DPM-Policy"

  4. Para implantar a política em máquinas virtuais Azure Local, execute o seguinte cmdlet:

      Add-ASWDACSupplementalPolicy -Path c:\wdac\Broadcom_Supplemental-VMWareOnly.xml

  5. Para verificar o status da nova política nas máquinas virtuais Azure Local, execute o seguinte cmdlet:

      Get-ASLocalWDACPolicyInfo

Saída de exemplo

NodeName : Node1
PolicyMode : Enforced
PolicyGuid : {XXXXX-XXXXX-XXXXX-XXXXX-XXXXX-XXXXX}
PolicyName : DPM-Policy
PolicyVersion : 1.0.0.1
Status : Active
PolicyScope : Kernel & User
MicrosoftProvided : False
IsSigned : False

Próximas etapas

Faça backup das máquinas virtuais Azure Local com Backup do Azure Server.

  • Last updated on