Konfigurace Microsoft Entra ID pro splnění vysoké úrovně dopadu FedRAMP
Federal Risk and Authorization Management Program (FedRAMP) je proces posouzení a autorizace pro poskytovatele cloudových služeb (CSP). Konkrétně se jedná o proces pro poskytovatele cloudových řešení, kteří vytvářejí nabídky cloudových řešení (CSO) pro použití s federálními institucemi. Azure a Azure Government získaly prozatímní úřad pro provoz (P-ATO) na vysoké úrovni dopadu ze společné autorizační rady, nejvyššího pruhu pro akreditaci FedRAMP.
Azure poskytuje možnost splnit všechny požadavky na kontrolu pro dosažení vysokého hodnocení FedRAMP pro csO nebo jako federální agenturu. Za dokončení dalších konfigurací nebo procesů, které vyhovují předpisům, zodpovídá vaše organizace. Tato odpovědnost platí pro oba poskytovatele CSP, kteří hledají vysokou autorizaci FedRAMP pro své CSO, a federální agentury hledající úřad pro provoz (ATO).
Microsoft a FedRAMP
Microsoft podpora Azure více služeb na úrovni FedRAMP High Impact než jakýkoli jiný poskytovatel CSP. A i když tato úroveň ve veřejném cloudu Azure splňuje potřeby mnoha zákazníků státní správy USA, můžou agentury s přísnějšími požadavky spoléhat na cloud Azure Government. Azure Government poskytuje další bezpečnostní opatření, jako je například zvýšená kontrola personálu.
Microsoft musí každý rok znovu certifikovat své cloudové služby, aby se zachovala jeho autorizace. Za tímto účelem Společnost Microsoft nepřetržitě monitoruje a posuzuje bezpečnostní prvky a ukazuje, že zabezpečení svých služeb zůstává v souladu s předpisy. Další informace najdete v tématu Autorizace FedRAMP v cloudových službách Microsoftu a sestavy auditu Microsoft FedRAMP. Pokud chcete dostávat další sestavy FedRAMP, pošlete e-mail do dokumentace Azure Federal.
K autorizaci FedRAMP existuje několik cest. Stávající autorizační balíček Azure a pokyny zde můžete opakovaně použít, abyste výrazně zkrátili čas a úsilí potřebné k získání ATO nebo P-ATO.
Rozsah pokynů
Vysoký směrný plán FedRAMP se skládá z 421 kontrolních mechanismů a vylepšení kontroly z NIST 800-53 Katalog bezpečnostních prvků revize 4. V případě potřeby jsme zahrnuli objasnění informací z revize 800–53. Tato sada článků popisuje podmnožinu těchto ovládacích prvků, které souvisejí s identitou a které je nutné nakonfigurovat.
Poskytujeme podrobné pokyny, které vám pomůžou dosáhnout dodržování předpisů s ovládacími prvky, které zodpovídáte za konfiguraci v Microsoft Entra ID. Abyste plně vyřešili některé požadavky na řízení identit, možná budete muset použít jiné systémy. Další systémy můžou zahrnovat nástroj pro správu informací o zabezpečení a událostí, jako je Microsoft Sentinel. Pokud používáte služby Azure mimo ID Microsoft Entra, budete muset zvážit další ovládací prvky a můžete použít možnosti, které Azure už má k dispozici ke splnění ovládacích prvků.
Následuje seznam zdrojů FedRAMP: