Inbyggda Azure Policy-definitioner för Azure Storage

  • Artikel

Den här sidan är ett index över inbyggda principdefinitioner i Azure Policy för Azure Storage. Ytterligare inbyggda Azure Policy-funktioner för andra tjänster finns i Inbyggda Definitioner för Azure Policy.

Namnet på varje inbyggd principdefinition länkar till principdefinitionen i Azure-portalen. Använd länken i kolumnen Version för att visa källan på GitHub-lagringsplatsen för Azure Policy.

Microsoft.Storage

Name
(Azure-portalen)		 beskrivning Effekter Version
(GitHub)
[Förhandsversion]: Azure Backup ska vara aktiverat för blobar i lagringskonton Skydda dina lagringskonton genom att aktivera Azure Backup. Azure Backup är en säker och kostnadseffektiv dataskyddslösning för Azure. AuditIfNotExists, inaktiverad 1.0.0-preview
[Förhandsversion]: Konfigurera säkerhetskopiering för blobar på lagringskonton med en viss tagg till ett befintligt säkerhetskopieringsvalv i samma region Framtvinga säkerhetskopiering för blobar på alla lagringskonton som innehåller en viss tagg till ett centralt säkerhetskopieringsvalv. Detta kan hjälpa dig att hantera säkerhetskopiering av blobar som finns i flera lagringskonton i stor skala. Mer information finns i https://aka.ms/AB-BlobBackupAzPolicies DeployIfNotExists, AuditIfNotExists, Inaktiverad 2.0.0-preview
[Förhandsversion]: Konfigurera blobsäkerhetskopiering för alla lagringskonton som inte innehåller en viss tagg till ett säkerhetskopieringsvalv i samma region Framtvinga säkerhetskopiering för blobar på alla lagringskonton som inte innehåller en viss tagg till ett centralt säkerhetskopieringsvalv. Detta kan hjälpa dig att hantera säkerhetskopiering av blobar som finns i flera lagringskonton i stor skala. Mer information finns i https://aka.ms/AB-BlobBackupAzPolicies DeployIfNotExists, AuditIfNotExists, Inaktiverad 2.0.0-preview
[Förhandsversion]: Offentlig åtkomst till lagringskontot bör inte tillåtas Anonym offentlig läsåtkomst till containrar och blobar i Azure Storage är ett bekvämt sätt att dela data men kan medföra säkerhetsrisker. För att förhindra dataintrång som orsakas av oönstrade anonym åtkomst rekommenderar Microsoft att du förhindrar offentlig åtkomst till ett lagringskonto om inte ditt scenario kräver det. audit, Audit, deny, Deny, disabled, Disabled 3.1.0-preview
[Förhandsversion]: Lagringskonton ska vara zonredundanta Lagringskonton kan konfigureras så att de är zonredundanta eller inte. Om ett lagringskontos SKU-namn inte slutar med "ZRS" eller om dess typ är "Lagring" är det inte zonredundant. Den här principen säkerställer att dina lagringskonton använder en zonredundant konfiguration. Granska, neka, inaktiverad 1.0.0-preview
Azure File Sync bör använda privat länk När du skapar en privat slutpunkt för den angivna Storage Sync Service-resursen kan du adressera din Storage Sync Service-resurs inifrån det privata IP-adressutrymmet i organisationens nätverk i stället för via den internettillgängliga offentliga slutpunkten. Att skapa en privat slutpunkt av sig själv inaktiverar inte den offentliga slutpunkten. AuditIfNotExists, inaktiverad 1.0.0
Konfigurera Azure File Sync med privata slutpunkter En privat slutpunkt distribueras för den angivna Storage Sync Service-resursen. På så sätt kan du adressera lagringssynkroniseringstjänstens resurs inifrån det privata IP-adressutrymmet i organisationens nätverk i stället för via den internettillgängliga offentliga slutpunkten. Förekomsten av en eller flera privata slutpunkter på egen hand inaktiverar inte den offentliga slutpunkten. DeployIfNotExists, inaktiverad 1.0.0
Konfigurera diagnostikinställningar för Blob Services till Log Analytics-arbetsytan Distribuerar diagnostikinställningarna för Blob Services för att strömma resursloggar till en Log Analytics-arbetsyta när en blobtjänst som saknar de här diagnostikinställningarna skapas eller uppdateras. DeployIfNotExists, AuditIfNotExists, Inaktiverad 4.0.0
Konfigurera diagnostikinställningar för File Services till Log Analytics-arbetsytan Distribuerar diagnostikinställningarna för File Services för att strömma resursloggar till en Log Analytics-arbetsyta när en filtjänst som saknar de här diagnostikinställningarna skapas eller uppdateras. DeployIfNotExists, AuditIfNotExists, Inaktiverad 4.0.0
Konfigurera diagnostikinställningar för Queue Services till Log Analytics-arbetsytan Distribuerar diagnostikinställningarna för Queue Services för att strömma resursloggar till en Log Analytics-arbetsyta när en kötjänst som saknar de här diagnostikinställningarna skapas eller uppdateras. Obs! Den här principen utlöses inte när lagringskontot skapas och kräver att en reparationsaktivitet skapas för att kunna uppdateras för kontot. DeployIfNotExists, AuditIfNotExists, Inaktiverad 4.0.1
Konfigurera diagnostikinställningar för lagringskonton till Log Analytics-arbetsytan Distribuerar diagnostikinställningarna för Lagringskonton för att strömma resursloggar till en Log Analytics-arbetsyta när lagringskonton som saknar de här diagnostikinställningarna skapas eller uppdateras. DeployIfNotExists, AuditIfNotExists, Inaktiverad 4.0.0
Konfigurera diagnostikinställningar för Table Services till Log Analytics-arbetsytan Distribuerar diagnostikinställningarna för Table Services för att strömma resursloggar till en Log Analytics-arbetsyta när en tabelltjänst som saknar de här diagnostikinställningarna skapas eller uppdateras. Obs! Den här principen utlöses inte när lagringskontot skapas och kräver att en reparationsaktivitet skapas för att kunna uppdateras för kontot. DeployIfNotExists, AuditIfNotExists, Inaktiverad 4.0.1
Konfigurera säker överföring av data på ett lagringskonto Säker överföring är ett alternativ som tvingar lagringskontot att endast acceptera begäranden från säkra anslutningar (HTTPS). Användning av HTTPS säkerställer autentisering mellan servern och tjänsten och skyddar data under överföring från nätverksnivåattacker som man-in-the-middle, avlyssning och sessionskapning Ändra, inaktiverad 1.0.0
Konfigurera lagringskonto för att använda en privat länkanslutning Privata slutpunkter ansluter ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Genom att mappa privata slutpunkter till ditt lagringskonto kan du minska risken för dataläckage. Läs mer om privata länkar på - https://aka.ms/azureprivatelinkoverview DeployIfNotExists, inaktiverad 1.0.0
Konfigurera lagringskonton för att inaktivera åtkomst till offentligt nätverk För att förbättra säkerheten för lagringskonton kontrollerar du att de inte exponeras för det offentliga Internet och endast kan nås från en privat slutpunkt. Inaktivera den offentliga nätverksåtkomstegenskapen enligt beskrivningen i https://aka.ms/storageaccountpublicnetworkaccess. Det här alternativet inaktiverar åtkomst från alla offentliga adressutrymmen utanför Azure IP-intervallet och nekar alla inloggningar som matchar IP- eller virtuella nätverksbaserade brandväggsregler. Detta minskar risken för dataläckage. Ändra, inaktiverad 1.0.1
Konfigurera lagringskonton för att begränsa nätverksåtkomst via nätverks-ACL kringgå konfigurationen endast. För att förbättra säkerheten för lagringskonton aktiverar du endast åtkomst via förbikoppling av nätverks-ACL. Den här principen ska användas i kombination med en privat slutpunkt för åtkomst till lagringskontot. Ändra, inaktiverad 1.0.0
Konfigurera offentlig åtkomst för lagringskontot så att den inte tillåts Anonym offentlig läsåtkomst till containrar och blobar i Azure Storage är ett bekvämt sätt att dela data men kan medföra säkerhetsrisker. För att förhindra dataintrång som orsakas av oönstrade anonym åtkomst rekommenderar Microsoft att du förhindrar offentlig åtkomst till ett lagringskonto om inte ditt scenario kräver det. Ändra, inaktiverad 1.0.0
Konfigurera lagringskontot för att aktivera blobversionshantering Du kan aktivera Blob Storage-versionshantering för att automatiskt underhålla tidigare versioner av ett objekt. När blobversionshantering är aktiverat kan du komma åt tidigare versioner av en blob för att återställa dina data om de ändras eller tas bort. Granska, neka, inaktiverad 1.0.0
Distribuera Defender för lagring (klassisk) på lagringskonton Den här principen aktiverar Defender för lagring (klassisk) på lagringskonton. DeployIfNotExists, inaktiverad 1.0.1
Geo-redundant lagring ska vara aktiverat för lagringskonton Använda geo-redundans för att skapa program med hög tillgänglighet Granskning, inaktiverad 1.0.0
HPC Cache-konton bör använda kundhanterad nyckel för kryptering Hantera kryptering i resten av Azure HPC Cache med kundhanterade nycklar. Som standard krypteras kunddata med tjänsthanterade nycklar, men kundhanterade nycklar krävs ofta för att uppfylla regelefterlevnadsstandarder. Med kundhanterade nycklar kan data krypteras med en Azure Key Vault-nyckel som skapas och ägs av dig. Du har fullständig kontroll och ansvar för nyckellivscykeln, inklusive rotation och hantering. Granska, inaktiverad, Neka 2.0.0
Ändra – Konfigurera Azure File Sync för att inaktivera åtkomst till offentligt nätverk Azure File Syncs internettillgängliga offentliga slutpunkt inaktiveras av din organisationsprincip. Du kan fortfarande komma åt Tjänsten för synkronisering av lagring via dess privata slutpunkter. Ändra, inaktiverad 1.0.0
Ändra – Konfigurera lagringskontot för att aktivera blobversionshantering Du kan aktivera Blob Storage-versionshantering för att automatiskt underhålla tidigare versioner av ett objekt. När blobversionshantering är aktiverat kan du komma åt tidigare versioner av en blob för att återställa dina data om de ändras eller tas bort. Observera att befintliga lagringskonton inte ändras för att aktivera versionshantering av Blob Storage. Endast nyligen skapade lagringskonton har Blob Storage-versionshantering aktiverat Ändra, inaktiverad 1.0.0
Åtkomst till offentligt nätverk ska inaktiveras för Azure File Sync Om du inaktiverar den offentliga slutpunkten kan du begränsa åtkomsten till din Storage Sync Service-resurs till begäranden som är avsedda för godkända privata slutpunkter i organisationens nätverk. Det finns inget som är osäkert när det gäller att tillåta begäranden till den offentliga slutpunkten, men du kanske vill inaktivera det för att uppfylla regel-, juridiska eller organisatoriska principkrav. Du kan inaktivera den offentliga slutpunkten för en lagringssynkroniseringstjänst genom att ange den inkommandeTrafficPolicy för resursen till AllowVirtualNetworksOnly. Granska, neka, inaktiverad 1.0.0
Queue Storage bör använda kundhanterad nyckel för kryptering Skydda din kölagring med större flexibilitet med hjälp av kundhanterade nycklar. När du anger en kundhanterad nyckel används nyckeln för att skydda och kontrollera åtkomsten till nyckeln som krypterar dina data. Att använda kundhanterade nycklar ger ytterligare funktioner för att styra rotationen av nyckelkrypteringsnyckeln eller radera data kryptografiskt. Granska, neka, inaktiverad 1.0.0
Säker överföring till lagringskonton ska vara aktiverad Granska kravet på säker överföring i ditt lagringskonto. Säker överföring är ett alternativ som tvingar ditt lagringskonto att endast acceptera begäranden från säkra anslutningar (HTTPS). Användning av HTTPS säkerställer autentisering mellan servern och tjänsten och skyddar data under överföring från nätverksnivåattacker som man-in-the-middle, avlyssning och sessionskapning Granska, neka, inaktiverad 2.0.0
Lagringskonto som innehåller containern med aktivitetsloggar måste krypteras med BYOK Den här principen granskar om lagringskontot som innehåller containern med aktivitetsloggar krypteras med BYOK. Principen fungerar bara om lagringskontot finns i samma prenumeration som aktivitetsloggar avsiktligt. Mer information om Azure Storage-kryptering i vila finns här https://aka.ms/azurestoragebyok. AuditIfNotExists, inaktiverad 1.0.0
Krypteringsomfång för lagringskonto bör använda kundhanterade nycklar för att kryptera vilande data Använd kundhanterade nycklar för att hantera krypteringen i resten av lagringskontots krypteringsomfång. Med kundhanterade nycklar kan data krypteras med en Nyckelvalvsnyckel i Azure som skapas och ägs av dig. Du har fullständig kontroll och ansvar för nyckellivscykeln, inklusive rotation och hantering. Läs mer om krypteringsomfång för lagringskonton på https://aka.ms/encryption-scopes-overview. Granska, neka, inaktiverad 1.0.0
Krypteringsomfång för lagringskonton bör använda dubbel kryptering för vilande data Aktivera infrastrukturkryptering för kryptering i resten av lagringskontots krypteringsomfång för ökad säkerhet. Infrastrukturkryptering säkerställer att dina data krypteras två gånger. Granska, neka, inaktiverad 1.0.0
Lagringskontonycklar bör inte ha upphört att gälla Se till att användarkontonycklarna inte har upphört att gälla när nyckelns förfalloprincip har angetts för att förbättra säkerheten för kontonycklar genom att vidta åtgärder när nycklarna har upphört att gälla. Granska, neka, inaktiverad 3.0.0
Lagringskonton bör tillåta åtkomst från betrodda Microsoft-tjänster Vissa Microsoft-tjänster som interagerar med lagringskonton fungerar från nätverk som inte kan beviljas åtkomst via nätverksregler. Tillåt att uppsättningen betrodda Microsoft-tjänster kringgå nätverksreglerna för att hjälpa den här typen av tjänst att fungera som avsett. Dessa tjänster använder sedan stark autentisering för att komma åt lagringskontot. Granska, neka, inaktiverad 1.0.0
Lagringskonton bör begränsas av tillåtna SKU:er Begränsa den uppsättning lagringskonto-SKU:er som din organisation kan distribuera. Granska, neka, inaktiverad 1.1.0
Lagringskonton ska migreras till nya Azure Resource Manager-resurser Använd nya Azure Resource Manager för dina lagringskonton för att tillhandahålla säkerhetsförbättringar som: starkare åtkomstkontroll (RBAC), bättre granskning, Azure Resource Manager-baserad distribution och styrning, åtkomst till hanterade identiteter, åtkomst till nyckelvalv för hemligheter, Azure AD-baserad autentisering och stöd för taggar och resursgrupper för enklare säkerhetshantering Granska, neka, inaktiverad 1.0.0
Lagringskonton bör inaktivera åtkomst till offentligt nätverk För att förbättra säkerheten för lagringskonton kontrollerar du att de inte exponeras för det offentliga Internet och endast kan nås från en privat slutpunkt. Inaktivera den offentliga nätverksåtkomstegenskapen enligt beskrivningen i https://aka.ms/storageaccountpublicnetworkaccess. Det här alternativet inaktiverar åtkomst från alla offentliga adressutrymmen utanför Azure IP-intervallet och nekar alla inloggningar som matchar IP- eller virtuella nätverksbaserade brandväggsregler. Detta minskar risken för dataläckage. Granska, neka, inaktiverad 1.0.1
Lagringskonton ska ha infrastrukturkryptering Aktivera infrastrukturkryptering för att säkerställa att data är säkra. När infrastrukturkryptering är aktiverat krypteras data i ett lagringskonto två gånger. Granska, neka, inaktiverad 1.0.0
Lagringskonton ska ha sas-principer (signatur för delad åtkomst) konfigurerade Se till att lagringskonton har en sas-förfalloprincip (signatur för delad åtkomst) aktiverad. Användare använder en SAS för att delegera åtkomst till resurser i Azure Storage-kontot. Och SAS-förfalloprincipen rekommenderar övre förfallogräns när en användare skapar en SAS-token. Granska, neka, inaktiverad 1.0.0
Lagringskonton bör ha den angivna lägsta TLS-versionen Konfigurera en lägsta TLS-version för säker kommunikation mellan klientprogrammet och lagringskontot. För att minimera säkerhetsrisken är den rekommenderade lägsta TLS-versionen den senaste versionen, som för närvarande är TLS 1.2. Granska, neka, inaktiverad 1.0.0
Lagringskonton bör förhindra replikering av objekt mellan klientorganisationer Granska begränsning av objektreplikering för ditt lagringskonto. Som standard kan användare konfigurera objektreplikering med ett källlagringskonto i en Azure AD-klientorganisation och ett målkonto i en annan klientorganisation. Det är ett säkerhetsproblem eftersom kundens data kan replikeras till ett lagringskonto som ägs av kunden. Genom att ange allowCrossTenantReplication till false kan objektreplikering endast konfigureras om både käll- och målkonton finns i samma Azure AD-klientorganisation. Granska, neka, inaktiverad 1.0.0
Lagringskonton bör förhindra åtkomst till delad nyckel Granska krav för Azure Active Directory (Azure AD) för att auktorisera begäranden för ditt lagringskonto. Som standard kan begäranden auktoriseras med antingen Azure Active Directory-autentiseringsuppgifter eller med hjälp av kontoåtkomstnyckeln för auktorisering av delad nyckel. Med de här två typerna av auktorisering ger Azure AD överlägsen säkerhet och enkel användning över delad nyckel och rekommenderas av Microsoft. Granska, neka, inaktiverad 2.0.0
Lagringskonton bör begränsa nätverksåtkomsten Nätverksåtkomst till lagringskonton bör begränsas. Konfigurera nätverksregler så att endast program från tillåtna nätverk kan komma åt lagringskontot. För att tillåta anslutningar från specifika Internet- eller lokala klienter kan åtkomst beviljas till trafik från specifika virtuella Azure-nätverk eller till offentliga IP-adressintervall för Internet Granska, neka, inaktiverad 1.1.1
Lagringskonton bör endast begränsa nätverksåtkomsten via nätverks-ACL:ns förbikopplingskonfiguration. För att förbättra säkerheten för lagringskonton aktiverar du endast åtkomst via förbikoppling av nätverks-ACL. Den här principen ska användas i kombination med en privat slutpunkt för åtkomst till lagringskontot. Granska, neka, inaktiverad 1.0.0
Lagringskonton bör begränsa nätverksåtkomsten med hjälp av regler för virtuella nätverk Skydda dina lagringskonton mot potentiella hot med hjälp av regler för virtuella nätverk som en önskad metod i stället för IP-baserad filtrering. Om du inaktiverar IP-baserad filtrering hindras offentliga IP-adresser från att komma åt dina lagringskonton. Granska, neka, inaktiverad 1.0.1
Lagringskonton bör använda en tjänstslutpunkt för virtuellt nätverk Den här principen granskar alla lagringskonton som inte har konfigurerats för att använda en tjänstslutpunkt för virtuellt nätverk. Granskning, inaktiverad 1.0.0
Lagringskonton bör använda kundhanterad nyckel för kryptering Skydda ditt blob- och fillagringskonto med större flexibilitet med hjälp av kundhanterade nycklar. När du anger en kundhanterad nyckel används nyckeln för att skydda och kontrollera åtkomsten till nyckeln som krypterar dina data. Att använda kundhanterade nycklar ger ytterligare funktioner för att styra rotationen av nyckelkrypteringsnyckeln eller radera data kryptografiskt. Granskning, inaktiverad 1.0.3
Lagringskonton bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till ditt lagringskonto minskas risken för dataläckage. Läs mer om privata länkar på - https://aka.ms/azureprivatelinkoverview AuditIfNotExists, inaktiverad 2.0.0
Table Storage bör använda kundhanterad nyckel för kryptering Skydda din tabelllagring med större flexibilitet med hjälp av kundhanterade nycklar. När du anger en kundhanterad nyckel används nyckeln för att skydda och kontrollera åtkomsten till nyckeln som krypterar dina data. Att använda kundhanterade nycklar ger ytterligare funktioner för att styra rotationen av nyckelkrypteringsnyckeln eller radera data kryptografiskt. Granska, neka, inaktiverad 1.0.0

Microsoft.StorageCache

Name
(Azure-portalen)		 beskrivning Effekter Version
(GitHub)
HPC Cache-konton bör använda kundhanterad nyckel för kryptering Hantera kryptering i resten av Azure HPC Cache med kundhanterade nycklar. Som standard krypteras kunddata med tjänsthanterade nycklar, men kundhanterade nycklar krävs ofta för att uppfylla regelefterlevnadsstandarder. Med kundhanterade nycklar kan data krypteras med en Azure Key Vault-nyckel som skapas och ägs av dig. Du har fullständig kontroll och ansvar för nyckellivscykeln, inklusive rotation och hantering. Granska, inaktiverad, Neka 2.0.0

Microsoft.StorageSync

Name
(Azure-portalen)		 beskrivning Effekter Version
(GitHub)
Azure File Sync bör använda privat länk När du skapar en privat slutpunkt för den angivna Storage Sync Service-resursen kan du adressera din Storage Sync Service-resurs inifrån det privata IP-adressutrymmet i organisationens nätverk i stället för via den internettillgängliga offentliga slutpunkten. Att skapa en privat slutpunkt av sig själv inaktiverar inte den offentliga slutpunkten. AuditIfNotExists, inaktiverad 1.0.0
Konfigurera Azure File Sync med privata slutpunkter En privat slutpunkt distribueras för den angivna Storage Sync Service-resursen. På så sätt kan du adressera lagringssynkroniseringstjänstens resurs inifrån det privata IP-adressutrymmet i organisationens nätverk i stället för via den internettillgängliga offentliga slutpunkten. Förekomsten av en eller flera privata slutpunkter på egen hand inaktiverar inte den offentliga slutpunkten. DeployIfNotExists, inaktiverad 1.0.0
Ändra – Konfigurera Azure File Sync för att inaktivera åtkomst till offentligt nätverk Azure File Syncs internettillgängliga offentliga slutpunkt inaktiveras av din organisationsprincip. Du kan fortfarande komma åt Tjänsten för synkronisering av lagring via dess privata slutpunkter. Ändra, inaktiverad 1.0.0
Åtkomst till offentligt nätverk ska inaktiveras för Azure File Sync Om du inaktiverar den offentliga slutpunkten kan du begränsa åtkomsten till din Storage Sync Service-resurs till begäranden som är avsedda för godkända privata slutpunkter i organisationens nätverk. Det finns inget som är osäkert när det gäller att tillåta begäranden till den offentliga slutpunkten, men du kanske vill inaktivera det för att uppfylla regel-, juridiska eller organisatoriska principkrav. Du kan inaktivera den offentliga slutpunkten för en lagringssynkroniseringstjänst genom att ange den inkommandeTrafficPolicy för resursen till AllowVirtualNetworksOnly. Granska, neka, inaktiverad 1.0.0

Microsoft.ClassicStorage

Name
(Azure-portalen)		 beskrivning Effekter Version
(GitHub)
Lagringskonton ska migreras till nya Azure Resource Manager-resurser Använd nya Azure Resource Manager för dina lagringskonton för att tillhandahålla säkerhetsförbättringar som: starkare åtkomstkontroll (RBAC), bättre granskning, Azure Resource Manager-baserad distribution och styrning, åtkomst till hanterade identiteter, åtkomst till nyckelvalv för hemligheter, Azure AD-baserad autentisering och stöd för taggar och resursgrupper för enklare säkerhetshantering Granska, neka, inaktiverad 1.0.0

Nästa steg