วิธีใช้ Azure Policy กับ Server

Azure Policy เป็นหนึ่งในเครื่องมือสำคัญของ Microsoft ที่ช่วยให้องค์กรสามารถกำหนดมาตรฐานและควบคุมการตั้งค่าของ Windows Server 2025 ได้จากศูนย์กลาง ไม่ว่าจะเป็น Server บน Azure หรือ Server ภายในองค์กรที่เชื่อมต่อผ่าน Azure Arc

ปัญหาที่หลายองค์กรพบคือ Server แต่ละเครื่องถูกตั้งค่าไม่เหมือนกัน บางเครื่องเปิด Firewall บางเครื่องปิด Firewall บางเครื่องเปิด Audit Log บางเครื่องไม่ได้เปิด ส่งผลให้เกิดช่องโหว่ด้านความปลอดภัยและทำให้การตรวจสอบ Compliance เป็นเรื่องยาก

Azure Policy ถูกออกแบบมาเพื่อแก้ปัญหานี้โดยเฉพาะ

① Azure Policy คืออะไร

Azure Policy คือระบบที่ใช้กำหนดกฎหรือมาตรฐานให้กับทรัพยากรภายใน Azure

สามารถใช้ตรวจสอบว่า

• การตั้งค่าถูกต้องหรือไม่
• ระบบเป็นไปตามมาตรฐานหรือไม่
• มีการละเมิดนโยบายหรือไม่

และสามารถแจ้งเตือนหรือบังคับใช้นโยบายได้

② Azure Policy ทำงานอย่างไร

หลักการทำงาน

Policy
→ Evaluation
→ Compliance Check
→ Report

Azure จะตรวจสอบ Server เป็นระยะ

และรายงานผลว่าปฏิบัติตามนโยบายหรือไม่

③ Azure Policy ใช้กับ Windows Server 2025 ได้อย่างไร

เมื่อ Windows Server 2025 เชื่อม Azure Arc

Azure Policy สามารถตรวจสอบ

• Configuration
• Security Setting
• Guest Configuration
• Compliance Status

ได้เหมือน Azure VM

④ สิ่งที่ต้องเตรียม

ก่อนใช้งาน

ต้องมี

• Azure Subscription
• Azure Arc
• Windows Server 2025
• Azure Policy
• Guest Configuration Extension

Server ต้องเชื่อม Azure Arc เรียบร้อยแล้ว

⑤ ตรวจสอบ Azure Arc

ตรวจสอบสถานะ

azcmagent show

ผลลัพธ์ควรเป็น

Connected

หาก Offline

Azure Policy จะไม่สามารถประเมินเครื่องได้

⑥ เปิด Azure Policy

เข้าสู่ Azure Portal

เลือก

Azure Policy

จะเข้าสู่หน้าจัดการนโยบายทั้งหมดขององค์กร

⑦ Policy Definition คืออะไร

Policy Definition

คือกฎที่ Azure ใช้ตรวจสอบ

ตัวอย่าง

• ต้องเปิด Firewall
• ต้องเปิด Defender
• ต้องใช้ Tag
• ต้องเปิด Monitoring
• ต้องเข้ารหัส Disk

Azure มี Definition สำเร็จรูปจำนวนมาก

⑧ Assignment คืออะไร

Assignment

คือการนำ Policy ไปใช้กับ

• Subscription
• Resource Group
• Server

ตัวอย่าง

Production Servers

หรือ

Windows Server 2025

⑨ ตรวจสอบ Compliance

ไปที่

Azure Policy
→ Compliance

Azure จะแสดง

Compliant
Non-Compliant

ของแต่ละ Server

ช่วยให้เห็นภาพรวมได้ทันที

⑩ ใช้ Built-In Policy

Microsoft มี Policy สำเร็จรูปจำนวนมาก

เช่น

• เปิด Microsoft Defender
• เปิด Azure Monitor
• เปิด Diagnostic Log
• เปิด Encryption
• เปิด Security Baseline

สามารถใช้งานได้ทันที

⑪ Guest Configuration คืออะไร

Guest Configuration

เป็นฟีเจอร์ที่ช่วยตรวจสอบการตั้งค่าภายใน Windows Server

เช่น

• Password Policy
• Local Group Membership
• Audit Policy
• Security Configuration

ช่วยให้ Azure มองเห็นการตั้งค่าภายในระบบปฏิบัติการ

⑫ ตัวอย่าง Policy ที่ควรใช้

เปิด Firewall

ตรวจสอบว่า Firewall เปิดอยู่หรือไม่

เปิด Defender

ตรวจสอบ Antivirus

เปิด Audit Log

ตรวจสอบ Logging

เปิด BitLocker

ตรวจสอบ Encryption

ทั้งหมดนี้ช่วยเพิ่มความปลอดภัยให้ระบบ

⑬ สร้าง Custom Policy

องค์กรสามารถสร้าง Policy เองได้

ตัวอย่าง

RAM ต้องมากกว่า 8 GB

หรือ

ห้ามปิด Service สำคัญ

เพื่อให้ตรงกับมาตรฐานภายในองค์กร

⑭ ตรวจสอบผลการประเมิน

Azure จะประเมินเป็นรอบ

และแสดงผล

• Passed
• Failed
• Not Applicable

ผ่าน Dashboard กลาง

⑮ แก้ไข Non-Compliant Server

เมื่อพบเครื่องที่ไม่ผ่าน

สามารถ

• เข้าไปแก้ไขเอง
• ใช้ Automation
• ใช้ Remediation Task

เพื่อปรับให้ตรงตามมาตรฐาน

⑯ Remediation Task คืออะไร

Remediation Task

ช่วยแก้ไขปัญหาอัตโนมัติ

ตัวอย่าง

Firewall Disabled

Azure สามารถสั่งเปิด Firewall ให้อัตโนมัติได้

ช่วยลดงาน Manual ของทีม IT

⑰ ใช้งานร่วมกับ Defender for Cloud

Azure Policy ทำงานร่วมกับ

Microsoft Defender for Cloud

ได้อย่างสมบูรณ์

ช่วยประเมิน

• Security Baseline
• Compliance
• Regulatory Requirement

ขององค์กร

⑱ ใช้งานร่วมกับ Azure Arc

Azure Arc ทำให้

Windows Server 2025 ที่อยู่ภายในองค์กร

สามารถใช้ Azure Policy ได้เหมือน Azure VM

ช่วยสร้างมาตรฐานเดียวกันทั่วทั้งองค์กร

⑲ ปัญหาที่พบบ่อย

Compliance ไม่อัปเดต

รอรอบ Evaluation ถัดไป

Guest Configuration ไม่ทำงาน

ตรวจสอบ Extension

Server ไม่ปรากฏ

ตรวจสอบ

azcmagent show

Policy Assignment ผิด Scope

ตรวจสอบ Subscription และ Resource Group

⑳ Best Practices

แนวทางที่แนะนำ

• ใช้ Azure Policy ทุกเครื่อง
• เปิด Guest Configuration
• ใช้ Security Baseline ของ Microsoft
• ตรวจสอบ Compliance รายสัปดาห์
• ใช้ Remediation Task อัตโนมัติ
• สร้าง Dashboard Compliance

แนวทางเหล่านี้ช่วยให้องค์กรรักษามาตรฐานด้าน Security และ Operation ได้อย่างต่อเนื่อง

comsiam แนะนำให้เริ่มต้นจาก Built-In Policy ของ Microsoft ก่อน เพราะครอบคลุมความต้องการด้าน Security และ Compliance ส่วนใหญ่ของ Windows Server 2025 ได้อยู่แล้ว จากนั้นจึงค่อยสร้าง Custom Policy เพิ่มตามความต้องการเฉพาะขององค์กร

㉑ สรุป

Azure Policy เป็นเครื่องมือที่ช่วยกำหนดและควบคุมมาตรฐานของ Windows Server 2025 ผ่าน Azure Arc โดยสามารถตรวจสอบ Compliance, ประเมิน Security Configuration, แจ้งเตือน และแก้ไขการตั้งค่าที่ไม่เป็นไปตามนโยบายได้จากศูนย์กลาง ช่วยให้องค์กรสามารถบริหาร Hybrid Infrastructure ได้อย่างมีมาตรฐานและปลอดภัยมากขึ้น

㉒ คำถามชวนคิด

หากองค์กรของคุณมี Server หลายร้อยเครื่อง คุณมั่นใจได้อย่างไรว่าทุกเครื่องใช้มาตรฐานด้าน Security เดียวกัน และไม่มีใครเปลี่ยนการตั้งค่าที่สำคัญโดยไม่ได้รับอนุญาต?