Gerenciar a conformidade da máquina virtual

Este artigo descreve como gerenciar a conformidade da VM (máquina virtual) sem interromper as práticas de DevOps. Use o Construtor de Imagens de VM do Azure e a Galeria de Computação do Azure para minimizar o risco de imagens do sistema. A solução consiste no processo de publicação de imagem dourada e no processo de monitoramento de conformidade da VM.

Arquitetura

Baixe um Arquivo Visio dessa arquitetura.

Fluxo de dados

As seções a seguir descrevem os dois processos nesta solução.

Publicação de imagem dourada

O fluxo de dados a seguir corresponde ao diagrama anterior:

1. Todos os meses, o processo de publicação de imagens douradas captura uma imagem base do Microsoft Marketplace. Uma imagem dourada é a versão publicada de uma imagem do Marketplace.

2. O Construtor de Imagens de VM personaliza a imagem.

3. O processo de tatuagem da imagem rastreia informações de versão da imagem, como a origem e a data de publicação.

4. Testes automatizados validam a imagem.

5. Se a imagem falhar em qualquer um dos testes, retornará à etapa de personalização para reparos.

6. O processo publica a imagem finalizada.

7. A Galeria de Computação disponibiliza a imagem para equipes de DevOps.

Acompanhamento de conformidade da VM

Baixe um Arquivo Visio dessa arquitetura.

O fluxo de dados a seguir corresponde ao diagrama anterior:

1. O processo de acompanhamento de conformidade da VM usa o Azure Policy para atribuir definições de política a VMs e avaliar as VMs para conformidade.

2. O Azure Policy publica dados de conformidade para as VMs e outros recursos do Azure no painel do Azure Policy.

Componentes

• O Construtor de Imagens de VM é um serviço gerenciado para personalizar imagens do sistema. Ele cria imagens que as equipes do DevOps usam. Nessa arquitetura, o VM Image Builder captura imagens base mensais do Marketplace, aplica reforço de segurança e instala agentes. A compilação da imagem nesse processo é a imagem dourada.

• A Galeria de Computação é um serviço do Azure para armazenar e organizar imagens de VM personalizadas. Ele centraliza o gerenciamento de imagens e controla o acesso a equipes internas e a todos os locatários externos autorizados. Nessa arquitetura, a Galeria de Computação armazena as imagens douradas que as equipes do DevOps devem usar. O Azure Policy exige que as equipes de DevOps provisionem VMs somente a partir de imagens presentes nesta galeria.

• O Azure Policy é um serviço de governança do Azure que fornece definições de política. Você pode usar essas definições para impor os padrões da sua organização e avaliar a conformidade em escala. O painel do Azure Policy exibe os resultados das avaliações do Azure Policy e mantém você informado sobre o status de conformidade de seus recursos. Nessa arquitetura, o Azure Policy atribui definições de política a VMs, as avalia para conformidade, publica resultados no painel do Azure Policy e restringe as equipes do DevOps a usar apenas imagens da Galeria de Computação.

• O recurso de configuração de máquina do Azure do Azure Policy fornece uma maneira de auditar ou atribuir configurações dinamicamente a máquinas por meio de código. As configurações geralmente incluem configurações de ambiente ou sistema operacional. Nessa arquitetura, a configuração de máquina do Azure audita as configurações de configuração estabelecidas pela personalização de imagem e marca as VMs como não conformes no painel do Azure Policy quando ocorre um desvio de configuração.

Alternativas

• Você pode usar uma ferramenta que não seja da Microsoft para gerenciar a conformidade. Normalmente, você precisa instalar um agente na VM de destino e talvez precise pagar uma taxa de licenciamento.

• Você pode usar extensões de script personalizadas para instalar software em VMs ou configurar VMs após a implantação. Cada VM ou conjunto de dimensionamento de máquinas virtuais dá suporte a apenas uma extensão de script personalizada.

Detalhes do cenário

Os regulamentos de conformidade, os padrões de segurança e os níveis de risco aceitáveis variam entre organizações e regiões.

Padrões diferentes podem ser mais difíceis de seguir em ambientes de nuvem de dimensionamento dinâmico do que em sistemas locais. Quando as equipes usam práticas de DevOps, geralmente colocam menos restrições sobre quem pode criar recursos do Azure, como VMs. Essa flexibilidade complica os esforços de conformidade.

O Azure Policy e as atribuições de RBAC (controle de acesso baseado em função) podem ajudar as empresas a impor padrões nos recursos do Azure. No entanto, para VMs, esses controles se aplicam apenas ao plano de controle ou à rota para a VM. As imagens do sistema executadas na VM representam uma ameaça à segurança. Algumas empresas impedem que os desenvolvedores acessem VMs, o que reduz a agilidade e dificulta o acompanhamento das práticas do DevOps.

Essa solução usa o Construtor de Imagens de VM, a Galeria de Computação e o Azure Policy para gerenciar a conformidade da VM no Azure. Ele controla a conformidade, minimiza o risco de imagens do sistema que são executadas em VMs e dá suporte a práticas de DevOps.

Possíveis casos de uso

Use esta solução se sua organização usar VMs e você precisar:

• Forneça imagens douradas para as equipes do DevOps.

• Teste e valide as imagens antes de disponibilizá-las para as equipes do DevOps.

• Acompanhe qual imagem cada equipe do DevOps usa.

• Impor padrões da empresa sem perda de produtividade.

• Verifique se as equipes do DevOps usam as versões de imagem mais recentes.

• Gerencie a conformidade dos servidores de animais de estimação, que são intensivos em manutenção e servidores de gado, que são facilmente substituíveis.

Abordagem

As seções a seguir descrevem detalhadamente a abordagem da solução.

Identificar animais de estimação e gado

As equipes de DevOps usam uma analogia de animais de estimação e gado para definir modelos de serviço. Para acompanhar a conformidade de uma VM, primeiro determine se ela é um animal de estimação ou um servidor de gado:

• Os servidores de animais de estimação exigem atenção significativa e não são fáceis de substituir. A recuperação de um servidor de animais de estimação leva um tempo considerável e recursos financeiros. Por exemplo, um servidor que execute SAP pode ser considerado um "pet". Além do software no servidor, outras considerações podem determinar o modelo de serviço. Os servidores de produção em sistemas em tempo real e quase em tempo real também podem ser animais de estimação quando você tem uma tolerância a falhas baixa.

• Os servidores de gado fazem parte de um grupo idêntico e são fáceis de substituir. Por exemplo, as VMs executadas em um conjunto de dimensionamento de máquinas virtuais são gado. Os servidores de ambiente de teste são outro exemplo de gado quando atendem às seguintes condições:

  • Use um procedimento automatizado para criar os servidores do zero.
  • Depois de executar os testes, você desativa os servidores.

Um ambiente pode conter apenas servidores de animais de estimação ou apenas servidores de gado. Por outro lado, um conjunto de VMs em um ambiente pode ser “pet”. Um conjunto diferente de VMs nesse mesmo ambiente pode ser “gado”.

As considerações de conformidade diferem para ambientes de animais de estimação e gado:

• O acompanhamento da conformidade de animais de estimação pode ser mais desafiador do que no caso do gado. Normalmente, apenas equipes de DevOps podem rastrear e manter a conformidade de ambientes e servidores “pet”. Essa solução aumenta a visibilidade do status de cada animal de estimação para que todos na organização possam acompanhar a conformidade.

• Para ambientes de gado, atualize as VMs e recompile-as do zero regularmente para manter a conformidade. Você pode alinhar esse ciclo de atualização com a frequência regular de lançamento de versões por parte da equipe de DevOps.

Restringir imagens

Não permita que as equipes do DevOps usem imagens de VM do Marketplace. Permita apenas imagens de VM publicadas pela Galeria de Computação. Essa restrição é essencial para a conformidade da VM. Você pode usar uma política personalizada no Azure Policy para impor essa restrição. Para ver um exemplo, consulte Permitir editores de imagem.

Como parte dessa solução, o Construtor de Imagens da VM deve usar uma imagem do Marketplace. É crucial que você use a imagem disponível mais recente no Marketplace. Aplique suas personalizações sobre essa imagem. As imagens do Marketplace são atualizadas com frequência e incluem configurações predefinidas que tornam suas imagens seguras por padrão.

Personalizar imagens

Uma imagem dourada é uma versão personalizada de uma imagem do Marketplace que você publica na Galeria de Computação para equipes de DevOps a serem usadas. As atividades de personalização são exclusivas de cada empresa. As atividades comuns incluem:

• Endurecimento do sistema operacional

• Implantação de agentes personalizados para software que não é da Microsoft

• Instalação de certificados raiz da AC (autoridade de certificação) corporativa

Você pode usar o Construtor de Imagens de VM para personalizar imagens ajustando as configurações do sistema operacional e executando scripts e comandos personalizados. O Construtor de Imagens de VM oferece suporte a imagens Windows e Linux. Para obter mais informações, consulte os controles de conformidade regulatória do Azure Policy para Máquinas Virtuais do Azure.

Fortalecer imagens usando o Início Confiável

Além das personalizações no nível do aplicativo, as imagens douradas devem estabelecer uma cadeia de confiança com raiz de hardware da inicialização ao runtime. O Trusted Launch fornece essa base para VMs da Geração 2. Configure imagens douradas com estas funcionalidades de Inicialização Confiável:

• Inicialização Segura: Garante que somente carregadores, kernels e drivers do sistema operacional assinados e confiáveis são executados durante a inicialização. Essa abordagem protege contra kits de inicialização e rootkits.

• Módulo da Plataforma Virtual Confiável (vTPM): Emula um TPM (Trusted Platform Module) de hardware dentro da VM e fornece armazenamento seguro para chaves de criptografia, certificados e medidas de inicialização. O vTPM dá suporte a cenários como criptografia de disco do BitLocker e atestado de convidado criptográfico.

• Monitoramento de integridade de inicialização: Mede toda a cadeia de inicialização e exibe a telemetria para o Microsoft Defender para Nuvem.

Rastrear tatuagens de imagem

A tatuagem de imagem é o processo de acompanhamento de todas as informações de controle de versão de imagem que uma VM usa. Essas informações são valiosas durante a solução de problemas e podem incluir:

• A origem da imagem, como o nome do editor e sua versão.

• A sequência de caracteres de versão do sistema operacional para uma atualização no local.

• A versão da sua imagem personalizada.

• Sua data de publicação.

O volume e o tipo de informações que você acompanha depende do nível de conformidade da sua organização.

Para a retografia de imagem em VMs Windows, configure um registro personalizado. Adicione todas as informações necessárias a esse caminho do Registro como pares chave-valor. Em VMs linux, insira dados de tatuagem de imagem em variáveis de ambiente ou em um arquivo. Coloque o arquivo na pasta /etc/ onde ele não conflite com o trabalho de desenvolvedores ou aplicativos. Para usar o Azure Policy para acompanhar ou relatar os dados de tatuagem, armazene cada parte dos dados como um par de chave-valor exclusivo. Para obter mais informações, consulte Encontrar uma versão de imagem do Marketplace.

Gerar uma fatura de software de materiais para imagens douradas

A tatuagem de imagem registra metadados sobre a imagem, como sua origem, versão e data de publicação. Um inventário de software de materiais (SBOM) complementa a marcação ao registrar o que está contido na imagem, como pacotes do SO, agentes, bibliotecas e patches. Esse inventário dá suporte à resposta a vulnerabilidades, auditorias de conformidade e transparência da cadeia de suprimentos.

Um SBOM para imagens douradas ajuda das seguintes maneiras:

• Resposta de CVE (vulnerabilidades e exposições comuns) mais rápida: Quando uma vulnerabilidade crítica é divulgada, um SBOM identifica quais versões de imagem dourada contêm o componente afetado.

• Conformidade regulatória: As leis e os padrões regulatórios geralmente exigem SBOMs para artefatos de software. As imagens de VM fazem parte dessa cadeia de fornecimento de software.

• Rastreabilidade de auditoria: Quando você emparelha tatuagens de imagem com SBOMs, os auditores obtêm uma imagem completa de que imagem uma VM está executando e exatamente quais componentes de software a imagem continha no momento da construção.

Gerar o SBOM durante a construção da imagem

Adicione a geração de SBOM como uma etapa no pipeline do Construtor de Imagens da VM imediatamente após a personalização e antes da validação.

Use a ferramenta SBOM da Microsoft de software livre para gerar SBOMs no formato SPDX . A ferramenta enumera pacotes, agentes e dependências do sistema operacional instalados. Execute o software na imagem personalizada como uma etapa de personalização do VM Image Builder ou como um script pós-personalização no seu pipeline. Assine criptograficamente o SBOM gerado para garantir sua integridade.

Armazene o SBOM junto com a imagem. Carregue o SBOM em uma conta de Armazenamento do Azure ou em um repositório de artefatos vinculado à versão de imagem da Galeria de Computação. Use uma convenção de nomenclatura consistente que mapeia cada arquivo SBOM para sua definição de imagem, versão e data de build. Mantenha o SBOM disponível pelo menos enquanto a versão da imagem estiver em uso.

Validar imagens douradas usando testes automatizados

Em geral, você deve atualizar as imagens douradas mensalmente para se manter atualizado com as atualizações e alterações mais recentes nas imagens do Marketplace. Use um procedimento de teste recorrente para essa finalidade. Como parte do processo de criação de imagem, use um pipeline do Azure ou outro fluxo de trabalho automatizado para teste. Configure o pipeline para implantar uma nova VM para executar testes antes do início de cada mês. Os testes devem confirmar as imagens preparadas antes de publicá-las para consumo. Automatize testes usando uma solução de automação de teste ou executando comandos ou lotes na VM.

Alguns cenários de teste comuns são:

• Valide o tempo de inicialização da VM.

• Confirme as personalizações de imagem, como configurações de sistema operacional e implantações de agentes.

A falha em um teste deve interromper o processo. Repita o teste depois de resolver a causa raiz do problema. Se os testes forem executados sem problemas, automatizar o processo de teste reduzirá o esforço para manter um estado sempre verde.

Publicar imagens douradas

Publique as imagens finais na Galeria de Computação como imagens gerenciadas que as equipes do DevOps podem usar. Marque as imagens anteriores como envelhecidas. Se você ainda não definiu uma data de fim de vida útil para uma versão de imagem na Galeria de Computação, considere descontinuar a imagem mais antiga com base nas políticas da sua empresa.

Para obter mais informações sobre os limites que se aplicam ao usar a Galeria de Computação, consulte Store e compartilhe imagens na Galeria de Computação.

Publicar as imagens mais recentes em diferentes regiões é uma boa prática. Você pode usar a Galeria de Computação para gerenciar o ciclo de vida e a replicação de suas imagens em diferentes regiões do Azure.

Atualizar imagens douradas

Quando um aplicativo usa uma imagem, a imagem do sistema operacional subjacente pode ser difícil de atualizar com alterações de conformidade recentes. Requisitos de negócios rígidos podem complicar o processo de atualização da VM subjacente. A atualização também é complexa para VMs críticas aos negócios.

Os servidores de gado são dispensáveis, portanto, você pode coordenar com as equipes do DevOps para atualizá-los em uma janela de manutenção planejada como uma atividade regular.

Os servidores de animais de estimação são mais desafiadores de atualizar. Descontinuar uma imagem pode colocar aplicativos em risco. Em cenários de expansão, o Azure não consegue encontrar as respectivas imagens, o que resulta em falhas.

Considere estas diretrizes ao atualizar servidores de animais de estimação:

• Para obter as práticas recomendadas, consulte a visão geral do pilar de confiabilidade no Azure Well-Architected Framework.

• Para simplificar o processo, consulte os princípios nos seguintes artigos:

  • Padrão de Carimbos de Implantação
  • Padrão de geode
  • Padrão de bulkhead

• Marque cada servidor “pet” como tal. Configurar uma política no Azure Policy para levar em consideração essa tag durante as atualizações de políticas.

Aplicação de patch de emergência para vulnerabilidades críticas

A cadência mensal de atualização de imagem dourada atende às atualizações de rotina, mas vulnerabilidades críticas de segurança e CVEs exigem ação antes do próximo ciclo agendado. Estabeleça um processo de aplicação de patch de emergência fora de banda (OOB) que é executado independentemente da cadência mensal e é acionado sob demanda. Assine as notificações do Centro de Resposta de Segurança da Microsoft e da Integridade do Serviço do Azure para alertas CVE que afetam suas imagens de base.

Quando uma CVE crítica afeta uma imagem dourada publicada, aja imediatamente para impedir o provisionamento de novas VMs com a versão vulnerável. Comece marcando a versão da imagem afetada como excluída da versão da imagem que o Azure seleciona quando os usuários ou a automação solicitam a versão mais recente. Na Galeria de Computação, defina a propriedade excludeFromLatest como true em todas as versões de imagem afetadas. Após essa alteração, a automação e os usuários que solicitam a versão mais recente disponível não recebem mais a versão vulnerável. Utilize a descrição da atribuição do Azure Policy para criar um link para um runbook ou wiki interno que liste o CVE, as versões de imagem afetadas e as ações de correção necessárias.

Disparar um build de imagem OOB

Use o mesmo pipeline do Construtor de Imagens de VM que produz a imagem dourada mensal, mas dispare-a sob demanda:

1. Aplique o patch de segurança. Adicione a correção crítica à etapa de personalização da imagem como uma atualização do sistema operacional, uma alteração de configuração ou um script que corrija a vulnerabilidade específica.

2. Execute o conjunto de testes automatizado. Não ignore a validação. Os mesmos testes executados durante o ciclo mensal devem ser executados para builds de emergência.

3. Publique a imagem corrigida. Publique a nova versão da imagem na Galeria de Computação e replique-a em todas as regiões necessárias. A versão afetada é excluída da seleção de versão mais recente, portanto, a versão corrigida automaticamente se torna a versão que as novas implantações usam.

4. Atualize a tatuagem da foto. Registre a natureza OOB da atualização na tatuagem da imagem e inclua o identificador CVE, a data do patch e um sinalizador que a distingue de uma versão mensal agendada. Esses dados dão suporte a auditorias de conformidade.

Melhorar a visibilidade

Em geral, você deve usar o Azure Policy para gerenciar a atividade de conformidade do plano de controle. Você também pode usar o Azure Policy para realizar as seguintes tarefas:

• Acompanhe a conformidade da VM.

• Instale agentes do Azure. Use o agente do Azure Monitor para monitoramento.

• Capturar logs de diagnóstico.

• Melhore a visibilidade da conformidade da Máquina Virtual.

Use a configuração do computador do Azure para auditar as alterações de configuração feitas durante a personalização da imagem. Quando ocorre descompasso, o painel do Azure Policy lista a VM afetada como não compatível. O Azure Policy pode usar informações de retografia de imagem para rastrear o uso de imagens ou sistemas operacionais desatualizados.

Audite os servidores "pet" de cada aplicação. Você pode melhorar a visibilidade desses servidores usando políticas do Azure que têm o efeito de auditoria. Ajuste o processo de auditoria de acordo com o nível aceitável de risco da sua empresa e os processos internos de gerenciamento de riscos.

Cada equipe de DevOps pode acompanhar os níveis de conformidade dos seus aplicativos no painel do Azure Policy e adotar as ações corretivas corretas. Ao atribuir essas políticas a um grupo de gerenciamento ou a uma assinatura, inclua uma URL para a documentação de toda a empresa sobre a política na descrição da atribuição. Sua documentação deve listar as etapas que as equipes do DevOps devem seguir para tornar suas VMs compatíveis.

Os gerentes de risco de TI e os agentes de segurança também podem usar o painel do Azure Policy para gerenciar os riscos da empresa de acordo com o nível aceitável de risco de sua empresa.

A configuração do computador do Azure com opções de correção aplica automaticamente ações corretivas. Mas consultas frequentes ou modificações em uma VM que você usa para um aplicativo comercialmente crítico podem afetar o desempenho. Planeje cuidadosamente ações de remediação para cargas de trabalho de produção. Atribua à equipe de DevOps a responsabilidade pela conformidade do aplicativo em todos os ambientes. Use essa abordagem para servidores e ambientes de animais de estimação, que normalmente são componentes do Azure de longo prazo.

Práticas recomendadas para higiene de imagem dourada

Um processo de build de imagem bem estruturado impede erros comuns que levam a incidentes de segurança, descompasso de configuração e atrito operacional. Siga estas diretrizes ao personalizar e manter imagens douradas:

• Nunca embuta segredos em imagens. Não insira chaves de API, cadeias de conexão, senhas, chaves privadas de certificados ou tokens na imagem. Ao inserir segredos em uma imagem, você os expõe a todas as VMs que usam a imagem e a qualquer pessoa que tenha acesso de leitura à Galeria de Computação. Em vez disso, recupere segredos em runtime do Azure Key Vault usando uma identidade gerenciada.

• Prefira a configuração externa em vez de valores codificados. Externalize as configurações que podem mudar entre ambientes ou antes da próxima compilação de imagem, como pontos de extremidade, sinalizadores de recursos, configurações regionais ou níveis de log. Reserve a personalização de imagem para configurações estáticas e universais em todas as implementações.

• Minimizar a pegada do software. Instale apenas os componentes necessários para cada consumidor da imagem. Implante ferramentas extras específicas para um único caso de uso ou carga de trabalho após o provisionamento usando extensões ou gerenciamento de configuração. Um volume menor reduz a superfície de ataque e o número de componentes que exigem aplicação de patch.

• Remova o código do aplicativo e os artefatos de implantação da imagem. As imagens douradas devem fornecer uma base de sistema operacional segura e compatível. Implante o código do aplicativo separadamente por meio de pipelines de CI/CD (integração contínua e entrega contínua). Essa separação mantém o ciclo de vida da imagem e o ciclo de vida do aplicativo independentes.

• Use scripts de build determinísticos e repetíveis. Fixe as versões do pacote em seus scripts de personalização. Evite comandos como apt-get upgrade ou yum update que possam produzir imagens diferentes em dias de build diferentes.

Considerações

Essas considerações implementam os pilares do Azure Well-Architected Framework, que é um conjunto de princípios orientadores que você pode usar para melhorar a qualidade de uma carga de trabalho. Para obter mais informações, consulte Well-Architected Framework.

Fiabilidade

A confiabilidade ajuda a garantir que seu aplicativo possa cumprir os compromissos que você faz aos seus clientes. Para obter mais informações, consulte a Lista de verificação de revisão de design para a Confiabilidade.

Essa solução usa componentes gerenciados automaticamente resilientes em nível regional. Para obter mais informações, consulte Design de aplicativos resilientes para o Azure.

Você pode configurar o número de réplicas de cada imagem que a Galeria de Computação armazena. Um número maior de réplicas reduz o risco de limitação ao provisionar várias VMs ao mesmo tempo. Para obter mais informações, consulte Dimensionamento para Galeria de Cálculo.

Otimização de custos

A Otimização de Custos concentra-se em maneiras de reduzir despesas desnecessárias e melhorar a eficiência operacional. Para obter mais informações, consulte Lista de verificação de revisão de design para otimização de custos.

Se você usar apenas os serviços da Microsoft, poderá evitar o custo adicional de ferramentas que não são da Microsoft, como o Ansible ou o Terraform. No entanto, os encargos do Azure ainda podem ser aplicados para armazenamento, saída, criação de imagem, replicação e recursos híbridos. Outros encargos potenciais envolvem esses componentes:

• "A Azure Policy e a configuração de máquina do Azure são gratuitas para recursos do Azure." Se sua empresa usar uma abordagem híbrida, os recursos do Azure Arc adicionarão encargos extras.

• O Construtor de Imagens de VM usa um único tipo de instância de computação com 1 vCPU e 3,5 GB de RAM. Podem ser aplicados encargos ao armazenamento e à transferência de dados.

• A Galeria de Computação incorre em encargos apenas para o armazenamento de réplicas e a saída de rede associada à replicação de imagem.

Colaboradores

A Microsoft mantém este artigo. Os colaboradores a seguir escreveram este artigo.

Autor principal:

• Yunus Emre Alpozen | Arquiteto de Programas

Para ver perfis de LinkedIn não públicos, entre em LinkedIn.

Próximas etapas

• Zona de destino do Azure
• Introdução à infraestrutura de nuvem
• Construtor de Imagens da VM
• Galeria de Computação
• Azure Policy e o painel de política
• Configuração do computador do Azure

Recursos relacionados

• DevTest e DevOps para soluções iaaS (infraestrutura como serviço)
• DevSecOps no AKS