Crie uma política suplementar de Controlo de Aplicações para o MABS utilizando o PowerShell

Uma política suplementar de Controlo de Aplicações para o MABS permite que o Azure Local corra em modo Forçado sem bloquear backups. Quando uma implementação Azure Local corre em modo de Application Control enforced, o MABS e todas as DLLs que utiliza devem ser devidamente assinados.

Este artigo descreve como criar uma política suplementar de Controlo de Aplicações usando o PowerShell para estender a política base e permitir a execução do MABS.

Verifique e altere o modo de política de Controlo de Aplicações no Azure Local

As políticas de Controlo de Aplicações podem ser executadas em três modos: Auditoria, Aplicação ou Desativada. Aprenda a mudar os modos de política de Controlo de Aplicações.

Criar uma política suplementar de Controlo de Aplicações para o MABS

Para criar uma política suplementar de Controlo de Aplicações para MABS usando PowerShell, siga estes passos:

1. Gerar um ficheiro de política WDAC contendo a informação necessária para criar a política DPM a partir do servidor MABS, executando o New-CIPolicy cmdlet.

   
    	New-CIPolicy `
    	-ScanPath "C:\Program Files\Microsoft Azure Backup Server V4\DPM\DPM\ProtectionAgents" `
    	-Level Publisher `
    	-Fallback Hash `
    	-UserPEs `
    	-FilePath "C:\WDAC\Broadcom-VMware-TBS-fingerprint.xml"
   

2. Crie um novo ficheiro XML usando o seguinte script de exemplo e guarde-o no caminho nas máquinas C:\WDAC\Broadcom_Supplemental-VMWareOnly.xmlvirtuais Azure Local:

     <?xml version="1.0" encoding="utf-8"?>
     <SiPolicy xmlns="urn:schemas-microsoft-com:sipolicy" PolicyType="Supplemental Policy">
    	 <VersionEx>10.0.0.0</VersionEx>
    	 <PlatformID>{xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx}</PlatformID>
    	 <Rules>
    		 <Rule>
    			 <Option>Enabled:Unsigned System Integrity Policy</Option>
    		 </Rule>
    		 <Rule>
    			 <Option>Enabled:Advanced Boot Options Menu</Option>
    		 </Rule>
    		 <Rule>
    			 <Option>Enabled:UMCI</Option>
    		 </Rule>
    	 </Rules>
    	 <!-- EKUs -->
    	 <EKUs />
    	 <!-- File Rules -->
    	 <FileRules />
    	 <!-- Signers -->
    	 <Signers>
    		 <!-- Broadcom SHA256/SHA384 signer -->
    		 <Signer ID="ID_SIGNER_BROADCOM_SHA256"
    			 Name="DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1">
    			 <CertRoot Type="TBS"
    				 Value="XXXXX-XXXXX-XXXXX-XXXXX-XXXXX-XXXXX" />
    			 <CertPublisher Value="Broadcom Inc" />
    		 </Signer>
    		 <!-- VMware SHA256 signer -->
    		 <Signer ID="ID_SIGNER_VMWARE_SHA256" Name="Symantec Class 3 SHA256 Code Signing CA">
    			 <CertRoot Type="TBS"
    				 Value="XXXXX-XXXXX-XXXXX-XXXXX-XXXXX-XXXXX" />
    			 <CertPublisher Value="VMware, Inc." />
    		 </Signer>
    		 <!-- VMware SHA384 signer -->
    		 <Signer ID="ID_SIGNER_VMWARE_SHA384"
    			 Name="DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1">
    			 <CertRoot Type="TBS"
    				 Value="XXXXX-XXXXX-XXXXX-XXXXX-XXXXX-XXXXX" />
    			 <CertPublisher Value="VMware, Inc." />
    		 </Signer>
    	 </Signers>
    	 <!-- Signing Scenarios -->
    	 <SigningScenarios>
    		 <!-- User-mode executables/DLLs -->
    		 <SigningScenario Value="12" ID="ID_SIGNINGSCENARIO_WINDOWS"
    			 FriendlyName="Broadcom+VMware+Microsoft Supplemental User-Mode Policy">
    			 <ProductSigners>
    				 <AllowedSigners>
    					 <AllowedSigner SignerId="ID_SIGNER_BROADCOM_SHA256" />
    					 <AllowedSigner SignerId="ID_SIGNER_VMWARE_SHA256" />
    					 <AllowedSigner SignerId="ID_SIGNER_VMWARE_SHA384" />
    				 </AllowedSigners>
    			 </ProductSigners>
    		 </SigningScenario>
    	 </SigningScenarios>
    	 <UpdatePolicySigners />
    	 <CiSigners>
    		 <CiSigner SignerId="ID_SIGNER_BROADCOM_SHA256" />
    		 <CiSigner SignerId="ID_SIGNER_VMWARE_SHA256" />
    		 <CiSigner SignerId="ID_SIGNER_VMWARE_SHA384" />
    	 </CiSigners>
    	 <HvciOptions>0</HvciOptions>
    	 <Settings />
    	 <BasePolicyID>{yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy}</BasePolicyID>
    	 <PolicyID>{zzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzzzzzz}</PolicyID>
     </SiPolicy>
   

   Note

   Atualize PlatformID, BasePolicyID, PolicyID, e Signer’s TBS value conforme necessário:

   • PlatformID: Representa a associação da plataforma. Encontre este detalhe no ficheiro C:\WDAC\Broadcom-VMware-TBS-fingerprint.xml.
   • BasePolicyID: Representa a política base sobre a qual a política atual se baseia. Pode usar Get-ASLocalWDACPolicyInfo para encontrar a sua apólice base.
   • PolicyID: Representa o identificador da política atual. Encontre este detalhe no ficheiro C:\WDAC\Broadcom-VMware-TBS-fingerprint.xml.
   • Signer’s TBS values: Obtenha o valor do identificador raiz/cadeia do certificado de assinatura do signatário (a impressão digital TBS) do ficheiro C:\WDAC\Broadcom-VMware-TBS-fingerprint.xml.

3. Para modificar os metadados da sua política suplementar em máquinas virtuais Azure Local, execute o seguinte cmdlet:

     # Path of newly created XML
     $policyPath = "c:\wdac\Broadcom_Supplemental-VMWareOnly.xml"
   
     # Set Policy Version (VersionEx in the XML file)
     $policyVersion = "1.0.0.1"
     Set-CIPolicyVersion -FilePath $policyPath -Version $policyVersion
   
     # Set Policy Info (PolicyName, PolicyID in the XML file)
     Set-CIPolicyIdInfo -FilePath $policyPath -PolicyID "DPM-Policy_$policyVersion" -PolicyName "DPM-Policy"
   

4. Para implementar a política nas máquinas virtuais Azure Local, execute o seguinte cmdlet:

     Add-ASWDACSupplementalPolicy -Path c:\wdac\Broadcom_Supplemental-VMWareOnly.xml
   

5. Para verificar o estado da nova política nas máquinas virtuais Azure Local, execute o seguinte cmdlet:

     Get-ASLocalWDACPolicyInfo
   

Exemplo de saída

NodeName : Node1
PolicyMode : Enforced
PolicyGuid : {XXXXX-XXXXX-XXXXX-XXXXX-XXXXX-XXXXX}
PolicyName : DPM-Policy
PolicyVersion : 1.0.0.1
Status : Active
PolicyScope : Kernel & User
MicrosoftProvided : False
IsSigned : False

Passo seguinte

Faça backup de máquinas virtuais Azure Local com Azure Backup Server.