Azure 原則 Azure Container Registry 的內建定義
此頁面是 Azure Container Registry Azure 原則 內建原則定義的索引。 如需其他服務的其他內建 Azure 原則，請參閱 Azure 原則內建定義。
連結至 Azure 入口網站中原則定義的每個內建原則定義名稱。 使用 [版本] 資料行中的連結來查看 Azure 原則 GitHub 存放庫上的來源。
Azure Container Registry
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [預覽]：Container Registry 應該是「區域備援」 | Container Registry 可以設定為「區域備援」。 當 Container Registry 的 zoneRedundancy 屬性設定為 'Disabled' 時，表示登錄不是「區域備援」。 強制執行此原則有助於確保您的 Container Registry 已適當地設定為區域復原，降低區域中斷期間停機的風險。 | Audit, Deny, Disabled | 1.0.0-preview |
| [預覽]：Container Registry 應使用虛擬網路服務端點 | 此原則會稽核任何未設定為使用虛擬網路服務端點的 Container Registry。 | Audit, Disabled | 1.0.0-preview |
| Azure 登錄容器映像應已解決弱點 (由 Microsoft Defender 弱點管理提供支援) | 容器映像弱點評量會掃描登錄中的常見已知弱點 (CVE)，並提供每個映像的詳細弱點報告。 解決弱點可大幅改善您的安全性態勢，確保映像可安全使用再進行部署。 | AuditIfNotExists, Disabled | 1.0.1 |
| 設定容器登錄來停用匿名驗證。 | 停用登錄的匿名提取，讓未經驗證的使用者無法存取資料。 停用本機驗證方法 (例如管理員使用者、存放庫範圍存取權杖和匿名提取) 可確保容器登錄僅可要求 Azure Active Directory 身分識別進行驗證，進而改善安全性。 深入了解：https://aka.ms/acr/authentication。 | 修改、停用 | 1.0.0 |
| 設定容器登錄以停用 ARM 對象權杖驗證。 | 停用以 Azure Active Directory ARM 對象權杖向登錄進行驗證的功能。 只有 Azure Container Registry (ACR) 對象權杖才會用於驗證。 這可確保只有預定要在登錄上使用的權杖，才可用於驗證。 停用 ARM 對象權杖並不會影響管理使用者或限定範圍存取權杖的驗證。 深入了解：https://aka.ms/acr/authentication。 | 修改、停用 | 1.0.0 |
| 設定容器登錄來停用本機系統管理員帳戶。 | 停用登錄的系統管理員帳戶，讓本機系統管理員無法存取。停用本機驗證方法 (例如管理員使用者、存放庫範圍存取權杖和匿名提取) 可確保容器登錄僅可要求 Azure Active Directory 身分識別進行驗證，進而改善安全性。 深入了解：https://aka.ms/acr/authentication。 | 修改、停用 | 1.0.1 |
| 設定容器登錄以停用公用網路存取 | 停用 Azure Container Registry 資源的公用網路存取，使其無法經由公用網際網路存取。 這可降低資料洩漏風險。 若要深入了解，請參閱 https://aka.ms/acr/portal/public-network 和 https://aka.ms/acr/private-link。 | 修改、停用 | 1.0.0 |
| 設定容器登錄以停用存放庫範圍存取權杖。 | 停用登錄的存放庫範圍存取權杖，讓權杖無法存取存放庫。 停用本機驗證方法 (例如管理員使用者、存放庫範圍存取權杖和匿名提取) 可確保容器登錄僅可要求 Azure Active Directory 身分識別進行驗證，進而改善安全性。 深入了解：https://aka.ms/acr/authentication。 | 修改、停用 | 1.0.0 |
| 使用私人端點設定容器登錄 | 私人端點會將您的虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 您可將私人端點對應至進階容器登錄資源，以便降低資料外洩風險。 深入了解：https://aka.ms/privateendpoints 和 https://aka.ms/acr/private-link。 | DeployIfNotExists, Disabled | 1.0.0 |
| 容器登錄應使用客戶自控金鑰加密 | 使用客戶自控金鑰來管理登錄內容的待用加密。 根據預設，資料會使用服務管理的金鑰進行待用加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/acr/CMK。 | Audit, Deny, Disabled | 1.1.2 |
| 容器登錄應停用匿名驗證。 | 停用登錄的匿名提取，讓未經驗證的使用者無法存取資料。 停用本機驗證方法 (例如管理員使用者、存放庫範圍存取權杖和匿名提取) 可確保容器登錄僅可要求 Azure Active Directory 身分識別進行驗證，進而改善安全性。 深入了解：https://aka.ms/acr/authentication。 | Audit, Deny, Disabled | 1.0.0 |
| 容器登錄應停用 ARM 對象權杖驗證。 | 停用以 Azure Active Directory ARM 對象權杖向登錄進行驗證的功能。 只有 Azure Container Registry (ACR) 對象權杖才會用於驗證。 這可確保只有預定要在登錄上使用的權杖，才可用於驗證。 停用 ARM 對象權杖並不會影響管理使用者或限定範圍存取權杖的驗證。 深入了解：https://aka.ms/acr/authentication。 | Audit, Deny, Disabled | 1.0.0 |
| 容器登錄應停用匯出 | 停用匯出可確保登錄中的資料只能透過資料平面存取 ('docker pull')。進而改善安全性。 資料無法透過 'acr import' 或 'acr transfer' 從登錄移出。 若要停用匯出，必須停用公用網路存取。 深入了解：https://aka.ms/acr/export-policy。 | Audit, Deny, Disabled | 1.0.0 |
| 容器登錄應停用本機系統管理員帳戶。 | 停用登錄的系統管理員帳戶，讓本機系統管理員無法存取。停用本機驗證方法 (例如管理員使用者、存放庫範圍存取權杖和匿名提取) 可確保容器登錄僅可要求 Azure Active Directory 身分識別進行驗證，進而改善安全性。 深入了解：https://aka.ms/acr/authentication。 | Audit, Deny, Disabled | 1.0.1 |
| 容器登錄應已停用存放庫範圍存取權杖。 | 停用登錄的存放庫範圍存取權杖，讓權杖無法存取存放庫。 停用本機驗證方法 (例如管理員使用者、存放庫範圍存取權杖和匿名提取) 可確保容器登錄僅可要求 Azure Active Directory 身分識別進行驗證，進而改善安全性。 深入了解：https://aka.ms/acr/authentication。 | Audit, Deny, Disabled | 1.0.0 |
| 容器登錄應具有支援私人連結的 SKU | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到您的容器登錄，而不是整個服務，資料外洩風險就會降低。 深入了解：https://aka.ms/acr/private-link。 | Audit, Deny, Disabled | 1.0.0 |
| 不應允許不受限制的網路存取 | 根據預設，Azure 容器登錄會接受任何網路上的主機透過網際網路的連線。 為了保護登錄不受潛在威脅的影響，請只允許來自特定私人端點、公用 IP 位址或位址範圍的存取。 如果登錄沒有已設定的網路規則，則會出現在狀況不良的資源中。 在這裡深入了解 Azure Container Registry 網路規則：https://aka.ms/acr/privatelink、https://aka.ms/acr/portal/public-network 及 https://aka.ms/acr/vnet。 | Audit, Deny, Disabled | 2.0.0 |
| 容器登錄應該防止快取規則建立 | 停用 Azure Container Registry 的快取規則建立，以防止透過快取提取進行提取。 深入了解：https://aka.ms/acr/cache。 | Audit, Deny, Disabled | 1.0.0 |
| 容器登錄應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。藉由將私人端點對應至容器登錄而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/acr/private-link。 | Audit, Disabled | 1.0.1 |
| 針對容器登錄 (microsoft.containerregistry/registries) 啟用依類別群組記錄至事件中樞 | 應啟用資源記錄以追蹤在資源上發生的活動與事件，並讓您查看和深入解析已發生的任何變更。 此原則會使用類別群組部署診斷設定，針對容器登錄 (microsoft.containerregistry/registries) 將記錄路由傳送至事件中樞。 | DeployIfNotExists、AuditIfNotExists、Disabled | 1.2.0 |
| 針對容器登錄 (microsoft.containerregistry/registries) 啟用依類別群組記錄至 Log Analytics | 應啟用資源記錄以追蹤在資源上發生的活動與事件，並讓您查看和深入解析已發生的任何變更。 此原則會使用類別群組部署診斷設定，針對容器登錄 (microsoft.containerregistry/registries) 將記錄路由傳送至 Log Analytics 工作區。 | DeployIfNotExists、AuditIfNotExists、Disabled | 1.1.0 |
| 針對容器登錄 (microsoft.containerregistry/registries) 啟用依類別群組記錄至儲存體 | 應啟用資源記錄以追蹤在資源上發生的活動與事件，並讓您查看和深入解析已發生的任何變更。 此原則會使用類別群組部署診斷設定，針對容器登錄 (microsoft.containerregistry/registries) 將記錄路由傳送至儲存體帳戶。 | DeployIfNotExists、AuditIfNotExists、Disabled | 1.1.0 |
| 容器登錄應停用公用網路存取 | 停用公用網路存取可確保容器登錄不會在公用網際網路上公開，進而改善安全性。 建立私人端點可能會限制容器登錄資源的曝光狀況。 深入了解：https://aka.ms/acr/portal/public-network 和 https://aka.ms/acr/private-link。 | Audit, Deny, Disabled | 1.0.0 |
下一步
- 請參閱指派原則並檢閱合規性的指引。
- 請參閱 Azure 原則 GitHub 存放庫上的內建項目。
- 檢閱 Azure 原則定義結構。
- 檢閱了解原則效果。