Azure Policy 用の Azure セキュリティベースライン

[アーティクル]
03/25/2024

このセキュリティベースラインは、Microsoft クラウドセキュリティベンチマークバージョン 1.0 のガイダンスをAzure Policyに適用します。 Microsoft クラウドセキュリティベンチマークでは、Azure 上のクラウドソリューションをセキュリティで保護する方法に関する推奨事項が提供されます。コンテンツは、Microsoft クラウドセキュリティベンチマークと、Azure Policyに適用できる関連ガイダンスによって定義されたセキュリティコントロールによってグループ化されます。

このセキュリティベースラインとその推奨事項は、Microsoft Defender for Cloud を使用して監視できます。 Azure Policy定義は、Microsoft Defender for Cloud ポータルページの [規制コンプライアンス] セクションに一覧表示されます。

機能に関連するAzure Policy定義がある場合は、Microsoft クラウドセキュリティベンチマークのコントロールと推奨事項への準拠を測定するのに役立つ、このベースラインに一覧表示されます。一部の推奨事項では、特定のセキュリティシナリオを有効にするために有料Microsoft Defenderプランが必要になる場合があります。

注意

Azure Policyに適用されない機能は除外されています。 microsoft クラウドセキュリティベンチマークに完全にマップAzure Policy方法については、完全なAzure Policyセキュリティベースラインマッピングファイルを参照してください。

セキュリティプロファイル

セキュリティプロファイルは、Azure Policyの影響の大きい動作をまとめたものです。その結果、セキュリティに関する考慮事項が増える可能性があります。

サービス動作属性	値
製品カテゴリ	MGMT/ガバナンス
お客様は HOST/OS にアクセスできます	アクセス権なし
サービスは顧客の仮想ネットワークにデプロイできます	False
保存中の顧客コンテンツを格納します	False

ID 管理

詳細については、「 Microsoft クラウドセキュリティベンチマーク: ID 管理」を参照してください。

IM-3: アプリケーション ID を安全かつ自動的に管理する

機能

マネージド ID

説明: データプレーンアクションは、マネージド ID を使用した認証をサポートします。詳細については、こちらを参照してください。

サポートされています	既定で有効	構成の責任
True	False	Customer

機能ノート: Azure Policyは、準拠していないリソースの修復にマネージド ID を使用します。

構成ガイダンス: 各Azure Policy割り当ては、1 つのマネージド ID にのみ関連付けることができます。ただし、マネージド ID には複数のロールを割り当てることができます。構成は 2 つの手順で行われます。最初にシステム割り当てまたはユーザー割り当てマネージド ID を作成してから、必要なロールを付与します。

リファレンス: Azure Policyを使用して非準拠リソースを修復する

データの保護

詳細については、「 Microsoft クラウドセキュリティベンチマーク: データ保護」を参照してください。

DP-3: 転送中の機密データの暗号化

機能

転送中データの暗号化

説明: サービスでは、データプレーンの転送中のデータ暗号化がサポートされています。詳細については、こちらを参照してください。

サポートされています	既定で有効	構成の責任
True	True	Microsoft

機能ノート: Azure Policyは、転送中のデータに対する Microsoft の既定の暗号化を活用します。

構成ガイダンス: これは既定のデプロイで有効になっているので、追加の構成は必要ありません。

リファレンス: 二重暗号化

Microsoft Defender for Cloud による監視

Azure Policy 組み込み定義 - Microsoft.GuestConfiguration:

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
セキュリティで保護された通信プロトコルを使用するように Windows マシンを構成する必要がある	インターネット経由で通信される情報のプライバシーを保護するには、コンピューターで業界標準の暗号化プロトコルであるトランスポート層セキュリティ (TLS) の最新バージョンを使用する必要があります。 TLS は、マシン間の接続を暗号化することで、ネットワーク経由の通信をセキュリティで保護します。	AuditIfNotExists、Disabled	4.1.1

DP-4: 保存データ暗号化を既定で有効にする

機能

プラットフォームキーを使用した保存データの暗号化

説明: プラットフォームキーを使用した保存データの暗号化がサポートされており、保存中のすべての顧客コンテンツは、これらの Microsoft マネージドキーで暗号化されます。詳細については、こちらを参照してください。

サポートされています	既定で有効	構成の責任
True	True	Microsoft

機能ノート: Azure Policyは、保存データに対する Microsoft の既定の暗号化を活用します。