Beépített Azure Policy-definíciók az Azure SQL Database-hez és felügyelt SQL-példányhoz

A következőre vonatkozik: Azure SQL DatabaseAzure SQL Managed InstanceAzure Synapse Analytics

Ez a lap az Azure Policy beépített szabályzatdefinícióinak indexe az Azure SQL Database-hez és a felügyelt SQL-példányhoz. További beépített Azure Policy-beépített szolgáltatásokért lásd az Azure Policy beépített definícióit.

Az egyes beépített szabályzatdefiníciók neve az Azure Portal szabályzatdefiníciójára hivatkozik. A Verzió oszlopban található hivatkozással megtekintheti a forrást az Azure Policy GitHub-adattárban.

Azure SQL Database > FELÜGYELT SQL-példány

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Azure Active Directory-rendszergazdát kell kiépíteni SQL-kiszolgálókhoz	Azure Active Directory-rendszergazda üzembe helyezésének naplózása az SQL Serverhez az Azure AD-hitelesítés engedélyezéséhez. Az Azure AD-hitelesítés lehetővé teszi az adatbázis-felhasználók és más Microsoft-szolgáltatások	AuditIfNotExists, Disabled	1.0.0
Engedélyezni kell a naplózást az SQL Serveren	Az SQL Serveren végzett naplózásnak engedélyeznie kell az adatbázis-tevékenységek nyomon követését a kiszolgáló összes adatbázisában, és menteni őket egy naplóba.	AuditIfNotExists, Disabled	2.0.0
Az Azure Defender for SQL-t engedélyezni kell a nem védett Azure SQL-kiszolgálókon	SQL-kiszolgálók naplózása speciális adatbiztonság nélkül	AuditIfNotExists, Disabled	2.0.1
Az Azure Defender for SQL-t engedélyezni kell a nem védett felügyelt SQL-példányokhoz	Minden felügyelt SQL-példány naplózása speciális adatbiztonság nélkül.	AuditIfNotExists, Disabled	1.0.2
Az Azure SQL Database-nek tLS 1.2-es vagy újabb verzióját kell futtatnia	A TLS 1.2-es vagy újabb verziójának beállítása javítja a biztonságot, mivel biztosítja, hogy az Azure SQL Database csak tLS 1.2-es vagy újabb verziójú ügyfelekről érhető el. Az 1.2-nél kisebb TLS-verziók használata nem ajánlott, mivel jól dokumentált biztonsági résekkel rendelkeznek.	Naplózás, Letiltás, Megtagadás	2.0.0
Az Azure SQL Database-nek engedélyeznie kell a csak Azure Active Directory-hitelesítést	A helyi hitelesítési módszerek letiltása és a csak Az Azure Active Directory-hitelesítés engedélyezése növeli a biztonságot azáltal, hogy biztosítja, hogy az Azure SQL Database-adatbázisok kizárólag Azure Active Directory-identitásokkal érhetők el. További információ: aka.ms/adonlycreate.	Naplózás, megtagadás, letiltva	1.0.0
A felügyelt Azure SQL-példánynak engedélyeznie kell a csak Azure Active Directory-hitelesítést	A helyi hitelesítési módszerek letiltása és a csak Az Azure Active Directory-hitelesítés engedélyezése növeli a biztonságot azáltal, hogy biztosítja, hogy a felügyelt Azure SQL-példányokat kizárólag Az Azure Active Directory-identitások érhessék el. További információ: aka.ms/adonlycreate.	Naplózás, megtagadás, letiltva	1.0.0
A felügyelt Azure SQL-példányoknak le kell tiltania a nyilvános hálózati hozzáférést	Ha letiltja a nyilvános hálózati hozzáférést (nyilvános végpontot) a felügyelt Azure SQL-példányokon, azzal javítja a biztonságot, hogy azok csak a virtuális hálózatokon belülről vagy privát végpontokon keresztül érhetők el. A nyilvános hálózati hozzáféréssel kapcsolatos további információkért látogasson el https://aka.ms/mi-public-endpointide.	Naplózás, megtagadás, letiltva	1.0.0
Az Azure Defender konfigurálása felügyelt SQL-példányokon való engedélyezésre	Engedélyezze az Azure Defendert a felügyelt Azure SQL-példányokon, hogy észlelje az adatbázisok elérésére vagy kihasználására tett szokatlan és potenciálisan káros kísérleteket jelző rendellenes tevékenységeket.	DeployIfNotExists, Disabled	2.0.0
Az Azure Defender konfigurálása az SQL-kiszolgálókon való engedélyezéshez	Engedélyezze az Azure Defendert az Azure SQL Serveren, hogy észlelje az adatbázisok elérésére vagy kihasználására tett szokatlan és potenciálisan káros kísérleteket jelző rendellenes tevékenységeket.	DeployIfNotExists	2.1.0
Az Azure SQL-adatbáziskiszolgálók diagnosztikai beállításainak konfigurálása Log Analytics-munkaterületre	Naplók naplózását teszi lehetővé az Azure SQL Database-kiszolgálóhoz, és a naplókat egy Log Analytics-munkaterületre streameli, amikor a naplózást hiányzó SQL Servert létrehozták vagy frissítették	DeployIfNotExists, Disabled	1.0.2
Az Azure SQL Server konfigurálása a nyilvános hálózati hozzáférés letiltására	A nyilvános hálózati hozzáférési tulajdonság letiltása leállítja a nyilvános kapcsolatot, így az Azure SQL Server csak privát végpontról érhető el. Ez a konfiguráció letiltja a nyilvános hálózati hozzáférést az Azure SQL Server összes adatbázisához.	Módosítás, letiltva	1.0.0
Az Azure SQL Server konfigurálása privát végpontkapcsolatok engedélyezéséhez	A privát végpontkapcsolatok lehetővé teszik az Azure SQL Database-hez való privát kapcsolatot egy virtuális hálózaton belüli privát IP-címen keresztül. Ez a konfiguráció javítja a biztonsági helyzetet, és támogatja az Azure hálózati eszközeit és forgatókönyveit.	DeployIfNotExists, Disabled	1.0.0
Sql-kiszolgálók konfigurálása naplózás engedélyezésére	Annak érdekében, hogy az SQL-objektumokon végrehajtott műveletek rögzítve legyenek, az SQL-kiszolgálóknak engedélyezve kell lennie a naplózásnak. Ez néha a jogszabályi előírásoknak való megfeleléshez szükséges.	DeployIfNotExists, Disabled	3.0.0
SQL-kiszolgálók konfigurálása a Log Analytics-munkaterület naplózásának engedélyezésére	Annak érdekében, hogy az SQL-objektumokon végrehajtott műveletek rögzítve legyenek, az SQL-kiszolgálóknak engedélyezve kell lennie a naplózásnak. Ha a naplózás nincs engedélyezve, ez a szabályzat úgy konfigurálja a naplózási eseményeket, hogy a megadott Log Analytics-munkaterületre áramoljanak.	DeployIfNotExists, Disabled	1.0.0
Üzembe helyezés – Az SQL Database diagnosztikai beállításainak konfigurálása a Log Analytics-munkaterületre	Üzembe helyezi az SQL Database diagnosztikai beállításait az erőforrásnaplók Log Analytics-munkaterületre való streameléséhez, amikor a diagnosztikai beállításból hiányzó SQL Database-adatbázis létrejön vagy frissül.	DeployIfNotExists, Disabled	4.0.0
Advanced Data Security üzembe helyezése SQL-kiszolgálókon	Ez a szabályzat lehetővé teszi az Advanced Data Security használatát az SQL Serveren. Ez magában foglalja a fenyegetésészlelés és a biztonságirés-felmérés bekapcsolását. Automatikusan létrehoz egy tárfiókot az SQL Serverrel azonos régióban és erőforráscsoportban a vizsgálati eredmények tárolásához egy "sqlva" előtaggal.	DeployIfNotExists	1.3.0
Diagnosztikai Gépház üzembe helyezése az Azure SQL Database-hez az Event Hubsban	Üzembe helyezi az Azure SQL Database diagnosztikai beállításait, hogy egy regionális eseményközpontba streameljen bármely olyan Azure SQL Database-en, amelyből hiányzik ez a diagnosztikai beállítás, létrejön vagy frissítve lesz.	DeployIfNotExists	1.2.0
Az SQL DB transzparens adattitkosításának üzembe helyezése	Transzparens adattitkosítás engedélyezése SQL-adatbázisokon	DeployIfNotExists, Disabled	2.2.0
Az SQL-adatbázisok (microsoft.sql/servers/databases) kategóriacsoport szerinti naplózásának engedélyezése az Event Hubsba	Az erőforrásnaplóknak engedélyezniük kell az erőforrásokon zajló tevékenységek és események nyomon követését, valamint az esetleges változások láthatóságát és elemzését. Ez a szabályzat egy diagnosztikai beállítást helyez üzembe egy kategóriacsoport használatával, a naplók SQL-adatbázisokhoz (microsoft.sql/servers/databases) tartozó eseményközpontba való átirányításához.	DeployIfNotExists, AuditIfNotExists, Disabled	1.1.0
Az SQL-adatbázisok (microsoft.sql/servers/databases) kategóriacsoport szerinti naplózásának engedélyezése a Log Analyticsbe	Az erőforrásnaplóknak engedélyezniük kell az erőforrásokon zajló tevékenységek és események nyomon követését, valamint az esetleges változások láthatóságát és elemzését. Ez a szabályzat egy diagnosztikai beállítást helyez üzembe egy kategóriacsoport használatával, a naplók SQL-adatbázisokhoz (microsoft.sql/servers/databases) tartozó Log Analytics-munkaterületre való átirányításához.	DeployIfNotExists, AuditIfNotExists, Disabled	1.0.0
Az SQL-adatbázisok (microsoft.sql/servers/databases) kategóriacsoport szerinti naplózásának engedélyezése a Storage-ba	Az erőforrásnaplóknak engedélyezniük kell az erőforrásokon zajló tevékenységek és események nyomon követését, valamint az esetleges változások láthatóságát és elemzését. Ez a szabályzat egy diagnosztikai beállítást helyez üzembe egy kategóriacsoport használatával a naplók SQL-adatbázisok (microsoft.sql/servers/databases) tárfiókba való átirányításához.	DeployIfNotExists, AuditIfNotExists, Disabled	1.0.0
A felügyelt SQL-példányok (microsoft.sql/managedinstances) kategóriacsoport szerinti naplózásának engedélyezése az Event Hubsba	Az erőforrásnaplóknak engedélyezniük kell az erőforrásokon zajló tevékenységek és események nyomon követését, valamint az esetleges változások láthatóságát és elemzését. Ez a szabályzat egy diagnosztikai beállítást helyez üzembe egy kategóriacsoport használatával, amely naplókat irányít egy eseményközpontba felügyelt SQL-példányokhoz (microsoft.sql/managedinstances).	DeployIfNotExists, AuditIfNotExists, Disabled	1.1.0
Naplózás engedélyezése kategóriacsoportonként felügyelt SQL-példányokhoz (microsoft.sql/managedinstances) a Log Analyticsbe	Az erőforrásnaplóknak engedélyezniük kell az erőforrásokon zajló tevékenységek és események nyomon követését, valamint az esetleges változások láthatóságát és elemzését. Ez a szabályzat egy diagnosztikai beállítást helyez üzembe egy kategóriacsoport használatával, amely naplókat irányít a felügyelt SQL-példányok (microsoft.sql/managedinstances) Log Analytics-munkaterületére.	DeployIfNotExists, AuditIfNotExists, Disabled	1.0.0
Felügyelt SQL-példányok (microsoft.sql/managedinstances) kategóriacsoport szerinti naplózásának engedélyezése a Storage-ba	Az erőforrásnaplóknak engedélyezniük kell az erőforrásokon zajló tevékenységek és események nyomon követését, valamint az esetleges változások láthatóságát és elemzését. Ez a szabályzat egy diagnosztikai beállítást helyez üzembe egy kategóriacsoport használatával, amely naplókat irányít a felügyelt SQL-példányok (microsoft.sql/managedinstances) tárfiókjába.	DeployIfNotExists, AuditIfNotExists, Disabled	1.0.0
Az Azure SQL Database-ekhez engedélyezni kell a hosszú távú georedundáns biztonsági mentést	Ez a szabályzat naplóz minden olyan Azure SQL Database-t, amely hosszú távú georedundáns biztonsági mentést nem engedélyez.	AuditIfNotExists, Disabled	2.0.0
Engedélyezni kell a privát végpontkapcsolatokat az Azure SQL Database-ben	A privát végpontkapcsolatok biztonságos kommunikációt kényszerítenek ki az Azure SQL Database-hez való privát kapcsolat engedélyezésével.	Naplózás, letiltva	1.1.0
Le kell tiltani a nyilvános hálózati hozzáférést az Azure SQL Database-ben	A nyilvános hálózati hozzáférési tulajdonság letiltása növeli a biztonságot azáltal, hogy biztosítja, hogy az Azure SQL Database csak privát végpontról érhető el. Ez a konfiguráció letiltja az IP- vagy virtuális hálózatalapú tűzfalszabályoknak megfelelő összes bejelentkezést.	Naplózás, megtagadás, letiltva	1.1.0
Az SQL-naplózási beállításoknak konfigurálniuk kell a kritikus tevékenységek rögzítésére szolgáló műveletcsoportokat	Az AuditActionsAndGroups tulajdonságnak legalább SUCCESSFUL_DATABAStandard kiadás_AUTHENTICATION_GROUP, FAILED_DATABAStandard kiadás_AUTHENTICATION_GROUP BATCH_COMPLETED_GROUP kell tartalmaznia az alapos naplózás biztosítása érdekében	AuditIfNotExists, Disabled	1.0.0
Az SQL Database-nek kerülnie kell a GRS biztonsági mentési redundanciáinak használatát	Az adatbázisoknak kerülnie kell az alapértelmezett georedundáns tárolás használatát a biztonsági mentésekhez, ha az adattárolási szabályok megkövetelik, hogy az adatok egy adott régión belül maradjanak. Megjegyzés: Az Azure Policy nem lesz kényszerítve adatbázis T-SQL használatával történő létrehozásakor. Ha nincs explicit módon megadva, a georedundáns biztonsági mentési tárterülettel rendelkező adatbázis a T-SQL-en keresztül jön létre.	Megtagadás, letiltva	2.0.0
Az SQL-adatbázisok sebezhetőségi megállapításait meg kell oldani	A sebezhetőségi felmérés eredményeinek és az adatbázis biztonsági réseinek elhárítására vonatkozó javaslatok figyelése.	AuditIfNotExists, Disabled	4.0.0
A felügyelt SQL-példánynak rendelkeznie kell az 1.2 minimális TLS-verziójával	A minimális TLS-verzió 1.2-es verziójának beállítása javítja a biztonságot, mivel biztosítja, hogy a felügyelt SQL-példány csak a TLS 1.2-es verzióját használó ügyfelekről érhető el. Az 1.2-nél kisebb TLS-verziók használata nem ajánlott, mivel jól dokumentált biztonsági résekkel rendelkeznek.	Naplózás, letiltva	1.0.1
A felügyelt SQL-példányoknak kerülnie kell a GRS biztonsági mentési redundanciáinak használatát	A felügyelt példányoknak kerülnie kell az alapértelmezett georedundáns tárolás használatát a biztonsági mentésekhez, ha az adattárolási szabályok megkövetelik, hogy az adatok egy adott régión belül maradjanak. Megjegyzés: Az Azure Policy nem lesz kényszerítve adatbázis T-SQL használatával történő létrehozásakor. Ha nincs explicit módon megadva, a georedundáns biztonsági mentési tárterülettel rendelkező adatbázis a T-SQL-en keresztül jön létre.	Megtagadás, letiltva	2.0.0
A felügyelt SQL-példányoknak ügyfél által felügyelt kulcsokkal kell titkosítaniuk az inaktív adatokat	A transzparens adattitkosítás (TDE) saját kulccsal történő implementálása nagyobb átláthatóságot és ellenőrzést biztosít a TDE Protector felett, nagyobb biztonságot biztosít egy HSM által támogatott külső szolgáltatással, valamint a feladatok elkülönítésének előmozdítását. Ez a javaslat a kapcsolódó megfelelőségi követelményekkel rendelkező szervezetekre vonatkozik.	Naplózás, megtagadás, letiltva	2.0.0
Az SQL Servernek virtuális hálózati szolgáltatásvégpontot kell használnia	Ez a szabályzat naplóz minden olyan SQL Servert, amely nincs virtuális hálózati szolgáltatásvégpont használatára konfigurálva.	AuditIfNotExists, Disabled	1.0.0
Az SQL-kiszolgálóknak ügyfél által felügyelt kulcsokkal kell titkosítaniuk az inaktív adatokat	A transzparens adattitkosítás (TDE) saját kulccsal történő implementálása nagyobb átláthatóságot és ellenőrzést biztosít a TDE Protector felett, nagyobb biztonságot biztosít a HSM által támogatott külső szolgáltatásokkal, valamint a vámok elkülönítésének előmozdítását. Ez a javaslat a kapcsolódó megfelelőségi követelményekkel rendelkező szervezetekre vonatkozik.	Naplózás, megtagadás, letiltva	2.0.1
A tárfiók célhelyére történő naplózást végző SQL-kiszolgálókat 90 napos vagy annál magasabb megőrzési idővel kell konfigurálni	Incidensvizsgálati célokból javasoljuk, hogy az SQL Server naplózásának adatmegőrzését állítsa a tárfiók célhelyére legalább 90 napra. Győződjön meg arról, hogy megfelel a szükséges adatmegőrzési szabályoknak azokra a régiókra vonatkozóan, ahol éppen működik. Ez néha a jogszabályi előírásoknak való megfeleléshez szükséges.	AuditIfNotExists, Disabled	3.0.0
transzparens adattitkosítás az SQL-adatbázisokon engedélyezni kell	A transzparens adattitkosítást engedélyezni kell az inaktív adatok védelme és a megfelelőségi követelmények teljesítése érdekében	AuditIfNotExists, Disabled	2.0.0
Az Azure SQL Database virtuális hálózati tűzfalszabályát engedélyezni kell a megadott alhálózatról érkező forgalom engedélyezéséhez	A virtuális hálózatokon alapuló tűzfalszabályok lehetővé teszik egy adott alhálózatról az Azure SQL Database-be irányuló forgalmat, miközben biztosítják, hogy a forgalom az Azure határain belül maradjon.	AuditIfNotExists	1.0.0
A sebezhetőségi felmérést engedélyezni kell felügyelt SQL-példányon	Minden olyan felügyelt SQL-példány naplózása, amely nem rendelkezik engedélyezve az ismétlődő biztonságirés-felmérési vizsgálatokkal. A sebezhetőségi felmérés felderítheti, nyomon követheti és kijavíthatja a lehetséges adatbázis-biztonsági réseket.	AuditIfNotExists, Disabled	1.0.1
A sebezhetőségi felmérést engedélyezni kell az SQL-kiszolgálókon	Olyan Azure SQL-kiszolgálók naplózása, amelyeken nincs megfelelően konfigurálva a biztonságirés-felmérés. A sebezhetőségi felmérés felderítheti, nyomon követheti és kijavíthatja a lehetséges adatbázis-biztonsági réseket.	AuditIfNotExists, Disabled	3.0.0

Korlátozások

• Az Azure SQL Database-hez és a felügyelt SQL-példányok létrehozásához alkalmazható Azure Policy nem kényszeríthető ki T-SQL vagy SSMS használatakor.

További lépések

• A beépített elemek megtekintése az Azure Policy GitHub-adattárában.
• Tekintse meg az Azure szabályzatdefiníciók struktúrája szakaszt.
• A Szabályzatok hatásainak ismertetése.