Définitions intégrées d’Azure Policy pour Réseau virtuel Azure

Cette page est un index des définitions de stratégie intégrées d’Azure Policy pour Azure Virtual Network. Pour obtenir des éléments intégrés supplémentaires d’Azure Policy pour d’autres services, consultez Définitions intégrées d’Azure Policy.

Le nom de chaque définition de stratégie intégrée est un lien vers la définition de la stratégie dans le portail Azure. Utilisez le lien de la colonne Version pour voir la source dans le dépôt GitHub Azure Policy.

Réseau virtuel Azure

Nom
(Portail Azure)
Description Effet(s) Version
(GitHub)
[Préversion] : L’ensemble du trafic Internet doit transiter par votre Pare-feu Azure déployé Azure Security Center a détecté que certains de vos sous-réseaux ne sont pas protégés par un pare-feu de nouvelle génération. Protégez vos sous-réseaux contre les menaces potentielles en limitant leur accès avec le pare-feu Azure ou un pare-feu de nouvelle génération pris en charge AuditIfNotExists, Désactivé 3.0.0-preview
[Préversion] : Container Registry doit utiliser un point de terminaison de service de réseau virtuel Cette stratégie audite Container Registry s’il n’est pas configuré pour utiliser un point de terminaison de service de réseau virtuel. Audit, Désactivé 1.0.0-preview
Une stratégie IPsec/IKE personnalisée doit être appliquée à toutes les connexions de passerelle de réseau virtuel Azure Cette stratégie garantit que toutes les connexions de passerelle de réseau virtuel Azure utilisent une stratégie IPsec (Internet Protocol Security)/IKE (Internet Key Exchange). Algorithmes et forces de clé pris en charge - https://aka.ms/AA62kb0 Audit, Désactivé 1.0.0
Toutes les ressources du journal de flux doivent être en état activé Auditez les ressources du journal de flux pour vérifier si l’état du journal de flux est activé. L’activation des journaux de flux permet de journaliser des informations sur la circulation du trafic IP. Il peut être utilisé pour optimiser les flux réseau, surveiller le débit, vérifier la conformité, détecter les intrusions, etc. Audit, Désactivé 1.0.1
Les applications App Service doivent utiliser un point de terminaison de service de réseau virtuel Utilisez des points de terminaison de service de réseau virtuel pour restreindre l’accès à votre application à partir des sous-réseaux sélectionnés à partir d’un réseau virtuel Azure. Pour en savoir plus sur les points de terminaison de service App Service, consultez https://aka.ms/appservice-vnet-service-endpoint. AuditIfNotExists, Désactivé 2.0.1
Auditer la configuration des journaux de flux pour chaque réseau virtuel Auditez le réseau virtuel pour vérifier si les journaux de flux sont configurés. L’activation des journaux de flux permet de journaliser des informations sur le trafic IP transitant par le réseau virtuel. Il peut être utilisé pour optimiser les flux réseau, surveiller le débit, vérifier la conformité, détecter les intrusions, etc. Audit, Désactivé 1.0.1
Azure Application Gateway doit être déployé avec Azure WAF Nécessite le déploiement de ressources Azure Application Gateway avec Azure WAF. Audit, Refuser, Désactivé 1.0.0
La stratégie de pare-feu Azure doit activer l’inspection TLS dans les règles d’application L’activation de l’inspection TLS est recommandée pour toutes les règles d’application pour détecter, alerter et atténuer les activités malveillantes dans HTTPS. Pour en savoir plus sur l’inspection TLS avec le Pare-feu Azure, consultez https://aka.ms/fw-tlsinspect Audit, Refuser, Désactivé 1.0.0
Le pare-feu Azure Premium doit configurer un certificat intermédiaire valide pour activer l’inspection TLS Configurez un certificat intermédiaire valide et activez TLS sur le Pare-feu Azure inspection TLS pour détecter, alerter et atténuer les activités malveillantes en HTTPS. Pour en savoir plus sur l’inspection TLS avec le Pare-feu Azure, consultez https://aka.ms/fw-tlsinspect Audit, Refuser, Désactivé 1.0.0
Les passerelles VPN Azure ne doivent pas utiliser la référence SKU « de base » Cette stratégie garantit que les passerelles VPN n’utilisent pas de référence SKU « de base ». Audit, Désactivé 1.0.0
L’inspection du corps de la demande doit être activée pour Azure Web Application Firewall sur Azure Application Gateway Vérifiez que l’inspection du corps de la demande est activée pour les instances Web Application Firewall associées à des instances Azure Application Gateway. Cela permet au WAF d’inspecter les propriétés dans le corps HTTP qui peuvent ne pas être évaluées dans les en-têtes HTTP, les cookies ou l’URI. Audit, Refuser, Désactivé 1.0.0
L’inspection du corps de la demande doit être activée pour Azure Web Application Firewall sur Azure Front Door Vérifiez que l’inspection du corps de la demande est activée pour les instances Web Application Firewall associées à Azure Front Door. Cela permet au WAF d’inspecter les propriétés dans le corps HTTP qui peuvent ne pas être évaluées dans les en-têtes HTTP, les cookies ou l’URI. Audit, Refuser, Désactivé 1.0.0
Azure Web Application Firewall doit être activé pour les points d’entrée Azure Front Door Déployez Azure Web Application Firewall (WAF) devant les applications web publiques pour bénéficier d’un contrôle supplémentaire du trafic entrant. Web Application Firewall (WAF) offre une protection centralisée de vos applications web contre les codes malveillants exploitant une faille de sécurité et les vulnérabilités telles que les injections de code SQL, le scripting inter-site, les exécutions de fichiers locales et à distance. Vous pouvez également restreindre l’accès à vos applications web par pays, plages d’adresses IP et autres paramètres http(s) par le biais de règles personnalisées. Audit, Refuser, Désactivé 1.0.2
Protection bot doit être activée pour WAF Azure Application Gateway Cette stratégie garantit que la protection bot est activée dans toutes les stratégies de pare-feu d’applications web (WAF) Azure Application Gateway Audit, Refuser, Désactivé 1.0.0
Protection bot doit être activée pour WAF Azure Front Door Cette stratégie garantit que la protection bot est activée dans toutes les stratégies de pare-feu d’applications web (WAF) Azure Front Door Audit, Refuser, Désactivé 1.0.0
La liste de contournement de l’IDPS (Intrusion Detection and Prevention System) doit être vide dans la stratégie de pare-feu Premium La liste de contournement de l’IDPS (Intrusion Detection and Prevention System) vous permet de ne pas filtrer le trafic vers les adresses IP, les plages et les sous-réseaux spécifiés dans cette liste. Toutefois, l’activation d’IDPS est recommandée pour tous les flux de trafic afin de mieux identifier les menaces connues. Pour en savoir plus sur les signatures d’Intrusion Detection and Prevention System (IDPS) avec le Pare-feu Azure Premium, consultez https://aka.ms/fw-idps-signature Audit, Refuser, Désactivé 1.0.0
Configurer les paramètres de diagnostic pour les groupes de sécurité réseau Azure dans l’espace de travail Log Analytics Déployez les paramètres de diagnostic dans des groupes de sécurité réseau Azure afin de diffuser les journaux de ressources vers un espace de travail Log Analytics. DeployIfNotExists, Désactivé 1.0.0
Configurer les groupes de sécurité réseau pour activer Traffic Analytics Vous pouvez activer Traffic Analytics pour tous les groupes de sécurité réseau hébergés dans une région particulière avec les paramètres fournis durant la création de la stratégie. Si Traffic Analytics est déjà activé, la stratégie ne remplace pas ses paramètres. Les journaux de flux sont également activés pour les groupes de sécurité réseau qui n’en disposent pas. Traffic Analytics est une solution cloud qui offre une visibilité de l’activité des utilisateurs et des applications dans vos réseaux cloud. DeployIfNotExists, Désactivé 1.2.0
Configurer des groupes de sécurité réseau pour utiliser un espace de travail, un compte de stockage et une stratégie de rétention de flux spécifiques pour l’analyse du trafic Si Traffic Analytics est déjà activé, la stratégie remplace ses paramètres existants par ceux fournis durant la création de la stratégie. Traffic Analytics est une solution cloud qui offre une visibilité de l’activité des utilisateurs et des applications dans vos réseaux cloud. DeployIfNotExists, Désactivé 1.2.0
Configurer un réseau virtuel pour activer le journal de flux et Traffic Analytics Traffic Analytics et les journaux de flux peuvent être activés pour tous les réseaux virtuels hébergés dans une région particulière, avec les paramètres fournis lors de la création de la stratégie. Cette stratégie ne remplace pas le paramètre actuel pour les réseaux virtuels qui ont déjà cette fonctionnalité activée. Traffic Analytics est une solution cloud qui offre une visibilité de l’activité des utilisateurs et des applications dans vos réseaux cloud. DeployIfNotExists, Désactivé 1.1.1
Configurer des réseaux virtuels pour utiliser un espace de travail, un compte de stockage et un intervalle de rétention spécifiques pour les journaux de flux et Traffic Analytics Si un réseau virtuel a déjà activé Traffic Analytics, la stratégie remplace alors ses paramètres existants par ceux fournis durant la création de la stratégie. Traffic Analytics est une solution cloud qui offre une visibilité de l’activité des utilisateurs et des applications dans vos réseaux cloud. DeployIfNotExists, Désactivé 1.1.1
Cosmos DB doit utiliser un point de terminaison de service de réseau virtuel Cette stratégie audite Cosmos DB s’il n’est pas configuré pour utiliser un point de terminaison de service de réseau virtuel. Audit, Désactivé 1.0.0
Déployer une ressource de journal de flux avec un groupe de sécurité réseau cible Configure le journal de flux pour un groupe de sécurité réseau spécifique. Il permettra à de consigner des informations sur le trafic IP circulant dans un groupe de sécurité réseau. Le journal de flux aide à identifier le trafic inconnu ou indésirable, à vérifier l’isolement réseau et la conformité avec les règles d’accès d’entreprise, à analyser les flux réseau provenant d’adresses IP et d’interfaces réseau compromises. deployIfNotExists 1.1.0
Déployer une ressource de journal de flux avec un réseau virtuel cible Configure le journal de flux pour un réseau virtuel spécifique. Cela permet de journaliser des informations sur le trafic IP transitant par un réseau virtuel. Le journal de flux aide à identifier le trafic inconnu ou indésirable, à vérifier l’isolement réseau et la conformité avec les règles d’accès d’entreprise, à analyser les flux réseau provenant d’adresses IP et d’interfaces réseau compromises. DeployIfNotExists, Désactivé 1.1.1
Déployer Network Watcher lors de la création de réseaux virtuels Cette stratégie crée une ressource Network Watcher dans des régions avec des réseaux virtuels. Vous devez vérifier l’existence d’un groupe de ressources nommé networkWatcherRG, qui sert à déployer des instances de Network Watcher. DeployIfNotExists 1.0.0
Activer la règle de limitation du débit pour se protéger contre les attaques DDoS sur Azure Front Door WAF La règle de limitation du débit du pare-feu d’applications web (WAF) Azure pour Azure Front Door contrôle le nombre de requêtes autorisées à partir d’une adresse IP cliente particulière à l’application pendant une durée de limitation du débit. Audit, Refuser, Désactivé 1.0.0
Event Hub doit utiliser un point de terminaison de service de réseau virtuel Cette stratégie audite Event Hub s’il n’est pas configuré pour utiliser un point de terminaison de service de réseau virtuel. AuditIfNotExists, Désactivé 1.0.0
La stratégie de pare-feu Premium doit activer toutes les règles de signature IDPS pour surveiller tous les flux de trafic entrant et sortant L’activation de toutes les règles de signature IDPS (Intrusion Detection and Prevention System) est recommandée pour mieux identifier les menaces connues dans les flux de trafic. Pour en savoir plus sur les signatures d’Intrusion Detection and Prevention System (IDPS) avec le Pare-feu Azure Premium, consultez https://aka.ms/fw-idps-signature Audit, Refuser, Désactivé 1.0.0
La stratégie de pare-feu Premium doit activer le système de détection et de prévention des intrusions (IDPS) Activer l’IDPS (Intrusion Detection and Prevention System) vous permet de surveiller les activités malveillantes, de consigner des informations sur ces activités, de les signaler, voire de les bloquer. Pour en savoir plus sur IDPS (Intrusion Detection and Prevention System) avec le Pare-feu Azure Premium, consultez https://aka.ms/fw-idps Audit, Refuser, Désactivé 1.0.0
Les journaux de flux doivent être configurés pour chaque groupe de sécurité réseau Auditez les groupes de sécurité réseau pour vérifier si les journaux de flux sont configurés. Activer les journaux de flux permet de consigner des informations sur le trafic IP circulant dans un groupe de sécurité réseau. Il peut être utilisé pour optimiser les flux réseau, surveiller le débit, vérifier la conformité, détecter les intrusions, etc. Audit, Désactivé 1.1.0
Les sous-réseaux de passerelle ne doivent pas être configurés avec un groupe de sécurité réseau Cette stratégie refuse un sous-réseau de passerelle configuré avec un groupe de sécurité réseau. L’attribution d’un groupe de sécurité réseau à un sous-réseau de passerelle entraîne l’arrêt du fonctionnement de la passerelle. deny 1.0.0
Key Vault doit utiliser un point de terminaison de service de réseau virtuel Cette stratégie audite Key Vault s’il n’est pas configuré pour utiliser un point de terminaison de service de réseau virtuel. Audit, Désactivé 1.0.0
Migrer WAF de la configuration WAF vers la stratégie WAF sur Application Gateway Si vous avez une configuration WAF au lieu d’une stratégie WAF, vous pouvez passer à la nouvelle stratégie WAF. À l’avenir, la stratégie de pare-feu prendra en charge les paramètres de stratégie WAF, les ensembles de règles managés, les exclusions et les groupes de règles désactivés. Audit, Refuser, Désactivé 1.0.0
Les interfaces réseau doivent désactiver le transfert IP Cette stratégie refuse les interfaces réseau qui permettaient le transfert IP. Le paramètre de transfert IP désactive la vérification par Azure de la source et de la destination d’une interface réseau. Il doit être examiné par l’équipe de sécurité réseau. deny 1.0.0
Les interfaces réseau ne doivent pas avoir d’adresses IP publiques Cette stratégie refuse les interfaces réseau configurées avec une adresse IP publique. Les adresses IP publiques permettent aux ressources Internet de communiquer avec les ressources Azure et aux ressources Azure de communiquer avec Internet. Il doit être examiné par l’équipe de sécurité réseau. deny 1.0.0
Traffic Analytics doit être activé pour les journaux de flux Network Watcher Traffic Analytics examine les journaux de flux pour fournir des informations sur le flux de trafic de votre cloud Azure. Il peut être utilisé pour visualiser l’activité réseau de vos abonnements Azure ainsi que pour identifier les points d’accès, identifier les menaces de sécurité, comprendre les modèles de flux de trafic, identifier les problèmes de configuration réseau, etc. Audit, Désactivé 1.0.1
Network Watcher doit être activé Network Watcher est un service régional qui vous permet de surveiller et de diagnostiquer l’état au niveau d’un scénario réseau dans, vers et depuis Azure. La surveillance au niveau des scénarios vous permet de diagnostiquer les problèmes avec une vue de bout en bout du réseau. Vous devez créer un groupe de ressources Network Watcher dans chaque région où un réseau virtuel est présent. Une alerte est activée dans le cas où aucun groupe de ressources Network Watcher n’est disponible dans une région donnée. AuditIfNotExists, Désactivé 3.0.0
SQL Server doit utiliser un point de terminaison de service de réseau virtuel Cette stratégie audite tout serveur SQL Server non configuré pour utiliser un point de terminaison de service de réseau virtuel. AuditIfNotExists, Désactivé 1.0.0
Les comptes de stockage doivent utiliser un point de terminaison de service de réseau virtuel Cette stratégie audite les comptes de stockage non configurés pour utiliser un point de terminaison de service de réseau virtuel. Audit, Désactivé 1.0.0
L’abonnement doit configurer le pare-feu Azure Premium pour fournir une couche de protection supplémentaire Le pare-feu Azure Premium offre une protection avancée contre les menaces qui répond aux besoins des environnements hautement sensibles et réglementés. Déployez le Pare-feu Azure Premium sur votre abonnement et assurez-vous que tout le trafic du service est protégé par le Pare-feu Azure Premium. Pour en découvrir plus sur le Pare-feu Azure Premium, visitez https://aka.ms/fw-premium AuditIfNotExists, Désactivé 1.0.0
Les machines virtuelles doivent être connectées à un réseau virtuel approuvé Cette stratégie audite les machines virtuelles connectées à un réseau virtuel non approuvé. Audit, Refuser, Désactivé 1.0.0
Les réseaux virtuels doivent être protégés par Azure DDoS Protection Protégez vos réseaux virtuels contre les attaques volumétriques et de protocole avec Azure DDoS Protection. Pour plus d’informations, consultez https://aka.ms/ddosprotectiondocs. Modifier, Audit, Désactivé 1.0.1
Les réseaux virtuels doivent utiliser la passerelle de réseau virtuel spécifiée Cette stratégie audite les réseaux virtuels si la route par défaut ne pointe pas vers la passerelle de réseau virtuel spécifiée. AuditIfNotExists, Désactivé 1.0.0
Les passerelles VPN doivent utiliser uniquement l’authentification Azure AD (Azure Active Directory) pour les utilisateurs point à site La désactivation des méthodes d’authentification locales améliore la sécurité dans la mesure où cela permet de garantir que les passerelles VPN utilisent uniquement les identités Azure Active Directory pour l’authentification. En savoir plus sur l’authentification Azure AD sur https://docs.microsoft.com/azure/vpn-gateway/openvpn-azure-ad-tenant Audit, Refuser, Désactivé 1.0.0
Le pare-feu d’applications web (WAF) doit être activé pour Application Gateway Déployez Azure Web Application Firewall (WAF) devant les applications web publiques pour bénéficier d’un contrôle supplémentaire du trafic entrant. Web Application Firewall (WAF) offre une protection centralisée de vos applications web contre les codes malveillants exploitant une faille de sécurité et les vulnérabilités telles que les injections de code SQL, le scripting inter-site, les exécutions de fichiers locales et à distance. Vous pouvez également restreindre l’accès à vos applications web par pays, plages d’adresses IP et autres paramètres http(s) par le biais de règles personnalisées. Audit, Refuser, Désactivé 2.0.0
Web Application Firewall (WAF) doit activer toutes les règles de pare-feu pour Application Gateway L’activation de toutes les règles de Web Application Firewall (WAF) renforce la sécurité de votre application et protège vos applications web contre les vulnérabilités courantes. Pour en savoir plus sur Web Application Firewall (WAF) avec Application Gateway, visitez https://aka.ms/waf-ag Audit, Refuser, Désactivé 1.0.1
Le pare-feu d’applications web (WAF) doit utiliser le mode spécifié pour Application Gateway Impose l’utilisation du mode de « détection » ou de « blocage » pour être actif sur toutes les stratégies de pare-feu d’applications web pour Application Gateway. Audit, Refuser, Désactivé 1.0.0
Le pare-feu d’applications web (WAF) doit utiliser le mode spécifié pour Azure Front Door Service Impose l’utilisation du mode de « détection » ou de « blocage » pour être actif sur toutes les stratégies de pare-feu d’applications web pour Azure Front Door Service. Audit, Refuser, Désactivé 1.0.0

Balises

Nom
(Portail Azure)
Description Effet(s) Version
(GitHub)
Ajouter une étiquette aux groupes de ressources Ajoute l’étiquette et la valeur indiquées lors de la création ou de la mise à jour d’un groupe de ressources auquel cette étiquette manque. Il est possible de corriger des groupes de ressources existants en déclenchant une tâche de correction. Si l’étiquette existe avec une valeur différente, elle n’est pas modifiée. modify 1.0.0
Ajouter une étiquette aux ressources Ajoute l’étiquette et la valeur indiquées lors de la création ou de la mise à jour d’une ressource à laquelle cette étiquette manque. Il est possible de corriger des ressources existantes en déclenchant une tâche de correction. Si l’étiquette existe avec une valeur différente, elle n’est pas modifiée. Ne modifie pas les balises sur les groupes de ressources. modify 1.0.0
Ajouter une étiquette aux abonnements Ajoute l’étiquette et la valeur spécifiées aux abonnements par le biais d’une tâche de correction. Si l’étiquette existe avec une valeur différente, elle n’est pas modifiée. Consultez https://aka.ms/azurepolicyremediation pour plus d’informations sur la correction d’une stratégie. modify 1.0.0
Ajouter ou remplacer une étiquette sur des groupes de ressources Ajoute ou remplace l’étiquette et la valeur indiquées lors de la création ou de la mise à jour d’un groupe de ressources. Il est possible de corriger des groupes de ressources existants en déclenchant une tâche de correction. modify 1.0.0
Ajouter ou remplacer une étiquette dans les ressources Ajoute ou remplace l’étiquette et la valeur indiquées lors de la création ou de la mise à jour d’une ressource. Il est possible de corriger des ressources existantes en déclenchant une tâche de correction. Ne modifie pas les balises sur les groupes de ressources. modify 1.0.0
Ajouter ou remplacer une étiquette dans les abonnements Ajoute ou remplace l’étiquette et la valeur spécifiées sur des abonnements par le biais d’une tâche de correction. Il est possible de corriger des groupes de ressources existants en déclenchant une tâche de correction. Consultez https://aka.ms/azurepolicyremediation pour plus d’informations sur la correction d’une stratégie. modify 1.0.0
Ajouter une étiquette et sa valeur à partir du groupe de ressources Ajoute l’étiquette indiquée avec sa valeur du groupe de ressources lors de la création ou de la mise à jour d’une ressource à laquelle cette étiquette manque. Ne modifie pas les étiquettes des ressources créées avant l’application de cette stratégie, tant que ces ressources ne sont pas modifiées. De nouvelles stratégies d’effet de « modification » sont disponibles pour prendre en charge la remédiation des étiquettes sur les ressources existantes (voir https://aka.ms/modifydoc). append 1.0.0
Ajouter une étiquette et sa valeur aux groupes de ressources Ajoute l’étiquette et la valeur indiquées lors de la création ou de la mise à jour d’un groupe ressource auquel cette étiquette manque. Ne modifie pas les étiquettes des groupes de ressources créés avant l’application de cette stratégie, tant que ces groupes de ressources ne sont pas modifiés. De nouvelles stratégies d’effet de « modification » sont disponibles pour prendre en charge la remédiation des étiquettes sur les ressources existantes (voir https://aka.ms/modifydoc). append 1.0.0
Ajouter une étiquette et sa valeur aux ressources Ajoute l’étiquette et la valeur indiquées lors de la création ou de la mise à jour d’une ressource à laquelle cette étiquette manque. Ne modifie pas les étiquettes des ressources créées avant l’application de cette stratégie, tant que ces ressources ne sont pas modifiées. Ne s’applique pas aux groupes de ressources. De nouvelles stratégies d’effet de « modification » sont disponibles pour prendre en charge la remédiation des étiquettes sur les ressources existantes (voir https://aka.ms/modifydoc). append 1.0.1
Hériter d’une étiquette du groupe de ressources Ajoute ou remplace l’étiquette et la valeur indiquées du groupe de ressources parent lors de la création ou de la mise à jour d’une ressource. Il est possible de corriger des ressources existantes en déclenchant une tâche de correction. modify 1.0.0
Hériter d’une étiquette du groupe de ressources en cas d’absence Ajoute l’étiquette indiquée avec sa valeur du groupe de ressources parent lors de la création ou de la mise à jour d’une ressource à laquelle cette étiquette manque. Il est possible de corriger des ressources existantes en déclenchant une tâche de correction. Si l’étiquette existe avec une valeur différente, elle n’est pas modifiée. modify 1.0.0
Hériter une étiquette de l’abonnement Ajoute ou remplace l’étiquette spécifiée et sa valeur de l’abonnement conteneur lors de la création ou de la mise à jour d’une ressource. Il est possible de corriger des ressources existantes en déclenchant une tâche de correction. modify 1.0.0
Hériter une étiquette de l’abonnement si elle est manquante Ajoute l’étiquette spécifiée avec sa valeur de l’abonnement conteneur lors de la création ou de la mise à jour d’une ressource qui n’a pas cette étiquette. Il est possible de corriger des ressources existantes en déclenchant une tâche de correction. Si l’étiquette existe avec une valeur différente, elle n’est pas modifiée. modify 1.0.0
Exiger une étiquette et sa valeur sur les groupes de ressources Applique une étiquette obligatoire avec sa valeur aux groupes de ressources. deny 1.0.0
Exiger une étiquette et sa valeur sur les ressources Applique une balise requise et sa valeur. Ne s’applique pas aux groupes de ressources. deny 1.0.1
Exiger une étiquette sur les groupes de ressources Applique l’existence d’une étiquette sur des groupes de ressources. deny 1.0.0
Exiger une étiquette sur les ressources Applique l’existence d’une étiquette. Ne s’applique pas aux groupes de ressources. deny 1.0.1
Nécessite que les ressources n’aient pas une étiquette spécifique. Refuse la création d’une ressource contenant l’étiquette donnée. Ne s’applique pas aux groupes de ressources. Audit, Refuser, Désactivé 2.0.0

Général

Nom
(Portail Azure)
Description Effet(s) Version
(GitHub)
Emplacements autorisés Cette stratégie vous permet de restreindre les emplacements que votre organisation peut spécifier lors du déploiement de ressources. Utilisez-la pour appliquer vos exigences de conformité géographique. Exclut les groupes de ressources, Microsoft.azureactivedirectory/b2cdirectories et les ressources qui utilisent la région « globale ». deny 1.0.0
Emplacements autorisés pour les groupes de ressources Cette stratégie vous permet de restreindre les emplacements où votre organisation peut créer des groupes de ressources. Utilisez-la pour appliquer vos exigences de conformité géographique. deny 1.0.0
Types de ressources autorisés Cette stratégie vous permet de spécifier les types de ressources que votre organisation peut déployer. Seuls les types de ressources prenant en charge « tags » et « location » sont affectés par cette stratégie. Pour restreindre toutes les ressources, dupliquez cette stratégie et affectez à « mode » la valeur « All ». deny 1.0.0
Vérifier que l’emplacement de la ressource correspond à l’emplacement du groupe de ressources Vérifie que l’emplacement de la ressource correspond à l’emplacement de son groupe de ressources audit 2.0.0
Auditer l’utilisation des rôles RBAC personnalisés Auditer des rôles intégrés tels que « Propriétaire, contributeur, lecteur » au lieu des rôles RBAC personnalisés, qui sont susceptibles d’engendrer des erreurs. L’utilisation de rôles personnalisés est traitée comme une exception et nécessite un contrôle rigoureux et la modélisation des menaces Audit, Désactivé 1.0.1
Configurer des abonnements pour configurer des fonctionnalités d’évaluation Cette stratégie évalue les fonctionnalités d’évaluation de l’abonnement existant. Les abonnements peuvent être corrigés pour s’inscrire à une nouvelle fonctionnalité d’évaluation. Les nouveaux abonnements ne seront pas automatiquement inscrits. AuditIfNotExists, DeployIfNotExists, Désactivé 1.0.1
Ne pas autoriser la suppression de types de ressources Cette stratégie vous permet de spécifier les types de ressources que votre organisation peut protéger d’une suppression accidentelle en bloquant les appels de suppression à l’aide d’un effet d’action de refus. DenyAction, Désactivé 1.0.1
Ne pas autoriser les ressources M365 Bloquer la création de ressources M365. Audit, Refuser, Désactivé 1.0.0
Ne pas autoriser les ressources MCPP Bloquer la création de ressources MCPP. Audit, Refuser, Désactivé 1.0.0
Exclure les ressources des coûts d’utilisation Cette stratégie vous permet d’exclure des ressources de coûts d’utilisation. Les coûts d’utilisation incluent des éléments tels que le stockage mesuré et les ressources Azure qui sont facturées en fonction de l’utilisation. Audit, Refuser, Désactivé 1.0.0
Types de ressources non autorisés Limitez les types de ressources qui peuvent être déployés dans votre environnement. La limitation des types de ressources peut réduire la complexité et la surface d’attaque de votre environnement, tout en aidant à gérer les coûts. Les résultats de conformité s’affichent uniquement pour les ressources non conformes. Audit, Refuser, Désactivé 2.0.0

Étapes suivantes