Definiciones de directiva integradas de Azure Policy
Esta página es un índice de las definiciones de directiva integradas de Azure Policy.
El nombre de cada uno de los vínculos integrados a la definición de directiva en Azure Portal. Use el vínculo de la columna Origen para ver el origen en el repositorio de GitHub de Azure Policy. Los directivas integradas se agrupan por la propiedad category (categoría) de los metadatos. Para ir a una categoría específica, use Ctrl-F para la característica de búsqueda del explorador.
Azure API for FHIR
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Azure API for FHIR debe usar una clave administrada por el cliente para cifrar los datos en reposo. | Use claves administradas por el cliente para controlar el cifrado en reposo de los datos almacenados en Azure API for FHIR cuando exista un requisito normativo o de cumplimiento. Las claves administradas por el cliente también proporcionan cifrado doble, ya que agregan una segunda capa de cifrado además de la capa predeterminada que se creó mediante las claves administradas por el servicio. | auditoría, Auditoría, deshabilitado, Deshabilitado | 1.1.0 |
| Azure API for FHIR debe usar un vínculo privado. | Azure API for FHIR debe tener al menos una conexión de punto de conexión privado aprobada. Los clientes de una red virtual pueden acceder de forma segura a los recursos que tengan conexiones de punto de conexión privadas mediante vínculos privados. Para más información, visite https://aka.ms/fhir-privatelink. | Audit, Disabled | 1.0.0 |
| CORS no debe permitir que todos los dominios accedan a la API para FHIR. | El uso compartido de recursos entre orígenes (CORS) no debe permitir que todos los dominios accedan a API for FHIR. Para proteger la instancia de API for FHIR, elimine el acceso de todos los dominios y defina explícitamente los dominios que tienen permiso para conectarse. | auditoría, Auditoría, deshabilitado, Deshabilitado | 1.1.0 |
API Management
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Las API de API Management solo deben usar protocolos cifrados | Para garantizar la seguridad de los datos en tránsito, las API solo deben estar disponibles a través de protocolos cifrados, como HTTPS o WSS. Evite utilizar protocolos no seguros, como HTTP o WS. | Audit, Disabled, Deny | 2.0.2 |
| Las llamadas de API Management a las back-end de API deberían autenticarse | Las llamadas de API Management a back-ends deberían usar algún tipo de autenticación, ya sea mediante certificados o credenciales. No se aplica a back-ends de Service Fabric. | Audit, Disabled, Deny | 1.0.1 |
| Las llamadas de API Management a las back-end de API no deberían omitir la huella digital del certificado ni la validación de nombres | Para mejorar la seguridad de la API, API Management debe validar el certificado de servidor back-end para todas las llamadas API. Habilite la huella digital del certificado SSL y la validación de nombres. | Audit, Disabled, Deny | 1.0.2 |
| El punto de conexión de administración directa de API Management no debe estar habilitado | La API de REST de administración directa en Azure API Management omite los mecanismos de control de acceso, autorización y limitación basados en rol de Azure Resource Manager, lo que aumenta la vulnerabilidad del servicio. | Audit, Disabled, Deny | 1.0.2 |
| La versión mínima de API Management debería establecerse en 01-12-2019 o superior | Para evitar que los secretos de servicio se compartan con usuarios de solo lectura, la versión mínima de la API debe establecerse en 01-12-2019 o superior. | Audit, Deny, Disabled | 1.0.1 |
| Los valores con nombre del secreto de API Management deben almacenarse en Azure Key Vault | Los valores con nombre son una colección de pares de nombre y valor en cada servicio de API Management. Los valores de los secretos se pueden almacenar como texto cifrado en API Management (secretos personalizados) o mediante referencia a secretos en Azure Key Vault. Para mejorar la seguridad de API Management y secretos, haga referencia a los valores con nombre del secreto de Azure Key Vault. Azure Key Vault admite directivas pormenorizadas de administración de acceso y rotación de secretos. | Audit, Disabled, Deny | 1.0.2 |
| El servicio API Management debe usar una SKU que admita redes virtuales | Con las SKU compatibles de API Management, el servicio de implementación en una red virtual desbloquea las características avanzadas de seguridad y redes de API Management, lo que proporciona un mayor control sobre la configuración de seguridad de red. Más información en: https://aka.ms/apimvnet. | Audit, Deny, Disabled | 1.0.0 |
| Los servicios de API Management deben usar una red virtual | La implementación de Azure Virtual Network ofrece una seguridad y aislamiento mejorados, y permite colocar el servicio de API Management en una red enrutable sin conexión a Internet cuyo acceso puede controlar. Estas redes se pueden conectar a las redes locales mediante diversas tecnologías de VPN, lo que permite el acceso a los servicios de back-end dentro de la red o de forma local. El portal para desarrolladores y la puerta de enlace de API pueden configurarse para que sea accesible desde Internet o solo dentro de la red virtual. | Audit, Deny, Disabled | 1.0.2 |
| API Management debe deshabilitar el acceso de red pública a los puntos de conexión de configuración del servicio | Para mejorar la seguridad de los servicios de API Management, restrinja la conectividad a los puntos de conexión de configuración del servicio, como la API de administración directa de acceso, el punto de conexión de administración de configuración de Git o el punto de conexión de configuración de puertas de enlace autohospedadas. | AuditIfNotExists, Disabled | 1.0.1 |
| API Management debe tener deshabilitada la autenticación de nombre de usuario y contraseña | Para proteger mejor el portal para desarrolladores, debe deshabilitarse la autenticación de nombre de usuario y contraseña en API Management. Configure la autenticación de usuario mediante Azure AD o los proveedores de identidades de Azure AD B2C y deshabilite el nombre de usuario y la autenticación de contraseña predeterminados. | Audit, Disabled | 1.0.1 |
| Las suscripciones de API Management no deben tener como ámbito todas las API | Las suscripciones de API Management deben tener como ámbito un producto o una API individual en lugar de todas las API, lo que podría dar lugar a una exposición excesiva a los datos. | Audit, Disabled, Deny | 1.1.0 |
| La versión de la plataforma Azure API Management debe ser stv2 | La versión de la plataforma de proceso stv1 de Azure API Management se retirará a partir del 31 de agosto de 2024, y estas instancias deben migrarse a la plataforma de proceso de stv2 para mantener el soporte técnico. Más información en https://learn.microsoft.com/azure/api-management/breaking-changes/stv1-platform-retirement-august-2024. | Audit, Deny, Disabled | 1.0.0 |
| Configuración de servicios API Management para deshabilitar el acceso a API Management puntos de conexión de configuración de servicio público | Para mejorar la seguridad de los servicios de API Management, restrinja la conectividad a los puntos de conexión de configuración del servicio, como la API de administración directa de acceso, el punto de conexión de administración de configuración de Git o el punto de conexión de configuración de puertas de enlace autohospedadas. | DeployIfNotExists, Disabled | 1.1.0 |
| Modificar API Management para deshabilitar la autenticación de nombre de usuario y contraseña | Para proteger mejor las cuentas de usuario del portal para desarrolladores y sus credenciales, configure la autenticación de usuario a través de los proveedores de identidades de Azure AD o Azure AD B2C y deshabilite el nombre de usuario y la autenticación de contraseña predeterminados. | Modificar | 1.1.0 |
App Configuration
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| App Configuration debe deshabilitar el acceso a la red pública | Al deshabilitar el acceso a la red pública, se mejora la seguridad ya que el recurso no se expone en la red pública de Internet. En su lugar, puede limitar la exposición de los recursos mediante la creación de puntos de conexión privados. Más información en: https://aka.ms/appconfig/private-endpoint. | Audit, Deny, Disabled | 1.0.0 |
| App Configuration debe usar una clave administrada por el cliente | El uso de claves administradas por el cliente proporciona una mejor protección de los datos al permitirle administrar sus claves de cifrado. Esto suele ser necesario para satisfacer los requisitos de cumplimiento. | Audit, Deny, Disabled | 1.1.0 |
| App Configuration debe usar una SKU que admita Private Link | Cuando se usa una SKU admitida, Azure Private Link permite conectar la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados a las instancias de App Configuration en lugar de a todo el servicio, además se protege frente a riesgos de pérdida de datos. Más información en: https://aka.ms/appconfig/private-endpoint. | Audit, Deny, Disabled | 1.0.0 |
| App Configuration debe usar la replicación geográfica | Use la característica de replicación geográfica para crear réplicas en otras ubicaciones del almacén de configuración actual para mejorar la resistencia y la disponibilidad. Además, tener réplicas de varias regiones le permite distribuir mejor la carga, reducir la latencia, protegerse frente a interrupciones del centro de datos y compartimentar las cargas de trabajo distribuidas globalmente. Más información en: https://aka.ms/appconfig/geo-replication. | AuditIfNotExists, Disabled | 1.0.0 |
| App Configuration debe usar Private Link | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados a las instancias de App Configuration en lugar de a todo el servicio, además se protege frente a riesgos de pérdida de datos. Más información en: https://aka.ms/appconfig/private-endpoint. | AuditIfNotExists, Disabled | 1.0.2 |
| Los almacenes de App Configuration deben tener deshabilitados los métodos de autenticación local | Deshabilitar los métodos de autenticación local mejora la seguridad, ya que garantiza que los almacenes de App Configuration requieran identidades de Microsoft Entra exclusivamente para la autenticación. Más información en: https://go.microsoft.com/fwlink/?linkid=2161954. | Audit, Deny, Disabled | 1.0.1 |
| Configurar los almacenes de App Configuration para deshabilitar los métodos de autenticación local | Deshabilite los métodos de autenticación local para que los almacenes de App Configuration requieran identidades de Microsoft Entra exclusivamente para la autenticación. Más información en: https://go.microsoft.com/fwlink/?linkid=2161954. | Modificar, Deshabilitado | 1.0.1 |
| Configurar App Configuration para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública en App Configuration de modo que no sea accesible a través de la red pública de Internet. Esta configuración le ayudará a protegerlo contra los riesgos de pérdida de datos. En su lugar, puede limitar la exposición de los recursos mediante la creación de puntos de conexión privados. Más información en: https://aka.ms/appconfig/private-endpoint. | Modificar, Deshabilitado | 1.0.0 |
| Configurar zonas DNS privadas para puntos de conexión privados conectados a App Configuration | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada se puede vincular a la red virtual para resolver las instancias de configuración de aplicaciones. Más información en: https://aka.ms/appconfig/private-endpoint. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar puntos de conexión privados para App Configuration | Los puntos de conexión privados le permiten conectar la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a las instancias de App Configuration, se reduce el riesgo de pérdida de datos. Más información en: https://aka.ms/appconfig/private-endpoint. | DeployIfNotExists, Disabled | 1.0.0 |
Plataforma de aplicaciones
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: Auditoría de las instancias de Azure Spring Cloud en las que el seguimiento distribuido no está habilitado | Las herramientas de seguimiento distribuido de Azure Spring Cloud permiten depurar y supervisar las complejas interconexiones entre los microservicios de una aplicación. Las herramientas de seguimiento distribuido deben estar habilitadas y en un estado correcto. | Audit, Disabled | 1.0.0-preview |
| Azure Spring Cloud debe usar la inserción de red | Las instancias de Azure Spring Cloud deberían utilizar la inserción de red virtual con los fines siguientes: 1. Aislar Azure Spring Cloud de Internet. 2. Permitir que Azure Spring Cloud interactúe con sistemas en centros de datos locales o con el servicio de Azure en otras redes virtuales. 3. Permite a los clientes controlar las comunicaciones de red entrantes y salientes para Azure Spring Cloud. | Audit, Disabled, Deny | 1.2.0 |
App Service
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Las ranuras de la aplicación de App Service se deben insertar en una red virtual | Al insertar aplicaciones de App Service en una red virtual, se desbloquean las características avanzadas de redes y seguridad de App Service, y se obtiene mayor control sobre la configuración de seguridad de la red. Más información en: https://docs.microsoft.com/azure/app-service/web-sites-integrate-with-vnet. | Audit, Deny, Disabled | 1.0.0 |
| Las ranuras de aplicaciones de App Service deberían deshabilitar el acceso a la red pública | La deshabilitación del acceso a la red pública mejora la seguridad, ya que garantiza que App Service no se expone en la red pública de Internet. La creación de puntos de conexión privados permite limitar el nivel de exposición de App Service. Más información en: https://aka.ms/app-service-private-endpoint. | Audit, Disabled, Deny | 1.0.0 |
| Las ranuras de aplicaciones de App Service deberían habilitar el enrutamiento de configuración a Azure Virtual Network | De forma predeterminada, la configuración de la aplicación, como la extracción de imágenes del contenedor y el montaje de almacenamiento de contenido, no se enrutará a través de la integración de la red virtual regional. El uso de la API para establecer opciones de enrutamiento como verdaderas permite el tráfico de configuración a través de la red virtual de Azure. Esta configuración permite que se usen características, como grupos de seguridad de red y rutas definidas por el usuario, y que los puntos de conexión de servicio sean privados. Para más información, visite https://aka.ms/appservice-vnet-configuration-routing. | Audit, Deny, Disabled | 1.0.0 |
| Las ranuras de aplicaciones App Service deberían habilitar el tráfico saliente que no es RFC 1918 con Azure Virtual Network | De forma predeterminada, si se usa la integración regional de Azure Virtual Network (VNET), la aplicación solo enruta el tráfico definido en el RFC1918 a la red virtual correspondiente. El uso de la API para establecer "vnetRouteAllEnabled" en true permite todo el tráfico saliente a Azure Virtual Network. Esta configuración permite usar características, como grupos de seguridad de red y rutas definidas por el usuario, para todo el tráfico saliente desde la aplicación de App Service. | Audit, Deny, Disabled | 1.0.0 |
| Las ranuras de aplicación de App Service deben tener habilitados certificados de cliente (certificados de cliente entrantes) | Los certificados de cliente permiten que la aplicación solicite un certificado para las solicitudes entrantes. Solo los clientes que tienen un certificado válido podrán acceder a la aplicación. Esta directiva se aplica a las aplicaciones con la versión Http establecida en 1.1. | AuditIfNotExists, Disabled | 1.0.0 |
| Las ranuras de aplicación de App Service deben tener desactivados los métodos de autenticación local para las implementaciones de FTP | La deshabilitación de los métodos de autenticación local para implementación de FTP aumenta la seguridad, ya que garantiza que las ranuras de App Service exijan exclusivamente identidades de Microsoft Entra para la autenticación. Más información en: https://aka.ms/app-service-disable-basic-auth. | AuditIfNotExists, Disabled | 1.0.3 |
| Las ranuras de la aplicación App Service deben tener desactivados los métodos de autenticación local para las implementaciones del sitio SCM | La deshabilitación de los métodos de autenticación local para sitios SCM aumenta la seguridad, ya que garantiza que las ranuras de App Service exijan exclusivamente identidades de Microsoft Entra para la autenticación. Más información en: https://aka.ms/app-service-disable-basic-auth. | AuditIfNotExists, Disabled | 1.0.4 |
| Las ranuras de aplicaciones de App Service deberían tener la depuración remota desactivada | La depuración remota requiere que se abran puertos de entrada en una aplicación de App Service. Se debe desactivar la depuración remota. | AuditIfNotExists, Disabled | 1.0.1 |
| Las ranuras de aplicaciones de App Service deberían tener habilitados los registros de recursos | Audite la habilitación de los registros de recursos en la aplicación. Esto le permite volver a crear seguimientos de actividad con fines de investigación si se produce un incidente de seguridad o se pone en peligro la red. | AuditIfNotExists, Disabled | 1.0.0 |
| Las ranuras de la aplicación de App Service no deberían tener configuradas CORS para permitir que todos los recursos accedan a sus aplicaciones | El uso compartido de recursos entre orígenes (CORS) no debe permitir que todos los dominios accedan a la aplicación. Permita la interacción con la aplicación solo de los dominios requeridos. | AuditIfNotExists, Disabled | 1.0.0 |
| Las ranuras de aplicaciones de App Service solo deben ser accesibles a través de HTTPS | El uso de HTTPS garantiza la autenticación del servicio y el servidor, y protege los datos en tránsito frente a ataques de intercepción de nivel de red. | Audit, Disabled, Deny | 2.0.0 |
| Las ranuras de la aplicación de App Service deben requerir solo FTPS | Habilite el cumplimiento con FTPS para mejorar la seguridad. | AuditIfNotExists, Disabled | 1.0.0 |
| Las ranuras de aplicaciones de App Service deben utilizar un recurso compartido de archivos de Azure para su directorio de contenido | El directorio de contenido de una aplicación debe estar ubicado en un recurso compartido de archivos de Azure. Se debe proporcionar la información de la cuenta de almacenamiento para el recurso compartido de archivos antes de cualquier actividad de publicación. Para más información sobre el uso de Azure Files para hospedar contenido de App Service, vea https://go.microsoft.com/fwlink/?linkid=2151594. | Audit, Disabled | 1.0.0 |
| Las ranuras de aplicaciones de App Service deberían usar la "versión HTTP" más reciente. | A causa de errores de seguridad o para incluir funcionalidades, se publican de forma periódica versiones más recientes de HTTP. Para las aplicaciones web, use la versión más reciente de HTTP con el fin de aprovechar las correcciones de seguridad, de haberlas, o las nuevas funcionalidades de la versión más reciente. | AuditIfNotExists, Disabled | 1.0.0 |
| Las ranuras de aplicaciones de App Service deberían usar la identidad administrada | Usa una identidad administrada para la seguridad de autenticación mejorada. | AuditIfNotExists, Disabled | 1.0.0 |
| Las ranuras de aplicaciones de App Service deberían usar la versión más reciente de TLS | Se publican versiones más recientes de TLS de forma periódica debido a brechas de seguridad, para incluir más funcionalidad e incrementar la velocidad. Actualice a la última versión de TLS para las aplicaciones de App Service con el fin de aprovechar las correcciones de seguridad, en caso de haberlas, o las nuevas funcionalidades de la última versión. | AuditIfNotExists, Disabled | 1.0.0 |
| Las ranuras de las aplicaciones de App Service que usan Java deben usar una 'versión de Java' especificada. | A causa de errores de seguridad o para incluir funcionalidades, se publican de forma periódica versiones más recientes del software de Java. Para las aplicaciones de App Service, se recomienda usar la versión más reciente de Java con el fin de aprovechar las correcciones de seguridad, de haberlas, o las nuevas funcionalidades de la versión más reciente. Actualmente, esta directiva solo es válida para las aplicaciones Linux. Esta directiva requiere que especifique una versión de Java que cumpla sus requisitos. | AuditIfNotExists, Disabled | 1.0.0 |
| Las ranuras de las aplicaciones de App Service que usan PHP deben usar una 'versión de PHP' especificada. | A causa de errores de seguridad o para incluir funcionalidades, se publican de forma periódica versiones más recientes del software de PHP. Para las aplicaciones de App Service, se recomienda usar la versión más reciente de PHP con el fin de aprovechar las correcciones de seguridad, de haberlas, o las nuevas funcionalidades de la versión más reciente. Actualmente, esta directiva solo es válida para las aplicaciones Linux. Esta directiva requiere que especifique una versión de PHP que cumpla sus requisitos. | AuditIfNotExists, Disabled | 1.0.0 |
| Las ranuras de las aplicaciones de App Service que usan Python deben usar una 'versión de Python' especificada. | A causa de errores de seguridad o para incluir funcionalidades, se publican de forma periódica versiones más recientes del software de Python. Para las aplicaciones de App Service, se recomienda usar la versión más reciente de Python con el fin de aprovechar las correcciones de seguridad, de haberlas, o las nuevas funcionalidades de la versión más reciente. Actualmente, esta directiva solo es válida para las aplicaciones Linux. Esta directiva requiere que especifique una versión de Python que cumpla sus requisitos. | AuditIfNotExists, Disabled | 1.0.0 |
| Las aplicaciones de App Service se deben insertar en una red virtual | Al insertar aplicaciones de App Service en una red virtual, se desbloquean las características avanzadas de redes y seguridad de App Service, y se obtiene mayor control sobre la configuración de seguridad de la red. Más información en: https://docs.microsoft.com/azure/app-service/web-sites-integrate-with-vnet. | Audit, Deny, Disabled | 3.0.0 |
| Las aplicaciones de App Service deberían deshabilitar el acceso a la red pública | La deshabilitación del acceso a la red pública mejora la seguridad, ya que garantiza que App Service no se expone en la red pública de Internet. La creación de puntos de conexión privados permite limitar el nivel de exposición de App Service. Más información en: https://aka.ms/app-service-private-endpoint. | Audit, Disabled, Deny | 1.1.0 |
| Las aplicaciones de App Service deben habilitar el enrutamiento de configuración a Azure Virtual Network | De forma predeterminada, la configuración de la aplicación, como la extracción de imágenes del contenedor y el montaje de almacenamiento de contenido, no se enrutará a través de la integración de la red virtual regional. El uso de la API para establecer opciones de enrutamiento como verdaderas permite el tráfico de configuración a través de la red virtual de Azure. Esta configuración permite que se usen características, como grupos de seguridad de red y rutas definidas por el usuario, y que los puntos de conexión de servicio sean privados. Para más información, visite https://aka.ms/appservice-vnet-configuration-routing. | Audit, Deny, Disabled | 1.0.0 |
| Las aplicaciones de App Service deben habilitar el tráfico saliente no definido en el RFC 1918 con Azure Virtual Network | De forma predeterminada, si se usa la integración regional de Azure Virtual Network (VNET), la aplicación solo enruta el tráfico definido en el RFC1918 a la red virtual correspondiente. El uso de la API para establecer "vnetRouteAllEnabled" en true permite todo el tráfico saliente a Azure Virtual Network. Esta configuración permite usar características, como grupos de seguridad de red y rutas definidas por el usuario, para todo el tráfico saliente desde la aplicación de App Service. | Audit, Deny, Disabled | 1.0.0 |
| Las aplicaciones de App Service deben tener activada la autenticación | La autenticación de Azure App Service es una característica que puede impedir que solicitudes HTTP anónimas lleguen a la aplicación web o autenticar aquellas que tienen tokens antes de que lleguen a la aplicación web. | AuditIfNotExists, Disabled | 2.0.1 |
| Aplicaciones de App Service deben tener habilitados certificados de cliente (certificados de cliente entrantes) | Los certificados de cliente permiten que la aplicación solicite un certificado para las solicitudes entrantes. Solo los clientes que tienen un certificado válido podrán acceder a la aplicación. Esta directiva se aplica a las aplicaciones con la versión Http establecida en 1.1. | AuditIfNotExists, Disabled | 1.0.0 |
| Las aplicaciones de App Service deben tener desactivados los métodos de autenticación local para las implementaciones de FTP | La deshabilitación de los métodos de autenticación local para implementación de FTP aumenta la seguridad, ya que garantiza que App Services exija exclusivamente identidades de Microsoft Entra para la autenticación. Más información en: https://aka.ms/app-service-disable-basic-auth. | AuditIfNotExists, Disabled | 1.0.3 |
| Las aplicaciones de App Service deben tener desactivados los métodos de autenticación local para la implementación de sitios SCM | La deshabilitación de los métodos de autenticación local para sitios SCM aumenta la seguridad, ya que garantiza que App Services exija exclusivamente identidades de Microsoft Entra para la autenticación. Más información en: https://aka.ms/app-service-disable-basic-auth. | AuditIfNotExists, Disabled | 1.0.3 |
| Las aplicaciones de App Service deben tener la depuración remota desactivada | La depuración remota requiere que se abran puertos de entrada en una aplicación de App Service. Se debe desactivar la depuración remota. | AuditIfNotExists, Disabled | 2.0.0 |
| Las aplicaciones de App Service deben tener activados los registros de recursos | Audite la habilitación de los registros de recursos en la aplicación. Esto le permite volver a crear seguimientos de actividad con fines de investigación si se produce un incidente de seguridad o se pone en peligro la red. | AuditIfNotExists, Disabled | 2.0.1 |
| Las aplicaciones de App Service no deberían tener CORS configurado para permitir que todos los recursos accedan a sus aplicaciones | El uso compartido de recursos entre orígenes (CORS) no debe permitir que todos los dominios accedan a la aplicación. Permita la interacción con la aplicación solo de los dominios requeridos. | AuditIfNotExists, Disabled | 2.0.0 |
| Las aplicaciones de App Service solo deben ser accesibles a través de HTTPS | El uso de HTTPS garantiza la autenticación del servicio y el servidor, y protege los datos en tránsito frente a ataques de intercepción de nivel de red. | Audit, Disabled, Deny | 4.0.0 |
| Las aplicaciones de App Service deben requerir solo FTPS | Habilite el cumplimiento con FTPS para mejorar la seguridad. | AuditIfNotExists, Disabled | 3.0.0 |
| Las aplicaciones de App Service deben usar una SKU que admita vínculo privado | Con las SKU admitidas, Azure Private Link permite conectar la red virtual a los servicios de Azure sin ninguna dirección IP pública en el origen ni el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a las aplicaciones, se puede reducir el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/private-link. | Audit, Deny, Disabled | 4.1.0 |
| Las aplicaciones de App Service deben utilizar un recurso compartido de archivos de Azure para su directorio de contenido | El directorio de contenido de una aplicación debe estar ubicado en un recurso compartido de archivos de Azure. Se debe proporcionar la información de la cuenta de almacenamiento para el recurso compartido de archivos antes de cualquier actividad de publicación. Para más información sobre el uso de Azure Files para hospedar contenido de App Service, vea https://go.microsoft.com/fwlink/?linkid=2151594. | Audit, Disabled | 3.0.0 |
| Las aplicaciones de App Service deben utilizar la última "versión HTTP" | A causa de errores de seguridad o para incluir funcionalidades, se publican de forma periódica versiones más recientes de HTTP. Para las aplicaciones web, use la versión más reciente de HTTP con el fin de aprovechar las correcciones de seguridad, de haberlas, o las nuevas funcionalidades de la versión más reciente. | AuditIfNotExists, Disabled | 4.0.0 |
| Las aplicaciones de App Service deben usar la identidad administrada | Usa una identidad administrada para la seguridad de autenticación mejorada. | AuditIfNotExists, Disabled | 3.0.0 |
| Las aplicaciones de App Service deben utilizar un vínculo privado | Azure Private Link permite conectar las redes virtuales a los servicios de Azure sin una IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a App Service, se puede reducir el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/private-link. | AuditIfNotExists, Disabled | 1.0.1 |
| Las aplicaciones de App Service deben usar la última versión de TLS | Se publican versiones más recientes de TLS de forma periódica debido a brechas de seguridad, para incluir más funcionalidad e incrementar la velocidad. Actualice a la última versión de TLS para las aplicaciones de App Service con el fin de aprovechar las correcciones de seguridad, en caso de haberlas, o las nuevas funcionalidades de la última versión. | AuditIfNotExists, Disabled | 2.0.1 |
| Las aplicaciones de App Service que usan Java deben usar una “versión de Java” especificada | A causa de errores de seguridad o para incluir funcionalidades, se publican de forma periódica versiones más recientes del software de Java. Para las aplicaciones de App Service, se recomienda usar la versión más reciente de Java con el fin de aprovechar las correcciones de seguridad, de haberlas, o las nuevas funcionalidades de la versión más reciente. Actualmente, esta directiva solo es válida para las aplicaciones Linux. Esta directiva requiere que especifique una versión de Java que cumpla sus requisitos. | AuditIfNotExists, Disabled | 3.1.0 |
| Las aplicaciones de App Service que usan PHP deben usar una “versión de PHP” especificada | A causa de errores de seguridad o para incluir funcionalidades, se publican de forma periódica versiones más recientes del software de PHP. Para las aplicaciones de App Service, se recomienda usar la versión más reciente de PHP con el fin de aprovechar las correcciones de seguridad, de haberlas, o las nuevas funcionalidades de la versión más reciente. Actualmente, esta directiva solo es válida para las aplicaciones Linux. Esta directiva requiere que especifique una versión de PHP que cumpla sus requisitos. | AuditIfNotExists, Disabled | 3.2.0 |
| Las aplicaciones de App Service que usan Python deben usar una “versión de Python” especificada | A causa de errores de seguridad o para incluir funcionalidades, se publican de forma periódica versiones más recientes del software de Python. Para las aplicaciones de App Service, se recomienda usar la versión más reciente de Python con el fin de aprovechar las correcciones de seguridad, de haberlas, o las nuevas funcionalidades de la versión más reciente. Actualmente, esta directiva solo es válida para las aplicaciones Linux. Esta directiva requiere que especifique una versión de Python que cumpla sus requisitos. | AuditIfNotExists, Disabled | 4.1.0 |
| No se debe tener acceso a las aplicaciones de App Service Environment desde la red pública de Internet | Para asegurarse de que las aplicaciones implementadas en App Service Environment no son accesibles desde la red pública de Internet, se debe implementar App Service Environment con una dirección IP en la red virtual. Para establecer la dirección IP en una dirección IP de red virtual, es necesario implementar App Service Environment con un equilibrador de carga interno. | Audit, Deny, Disabled | 3.0.0 |
| App Service Environment se debe configurar con los conjuntos de cifrado TLS más seguros | Los dos conjuntos de cifrado más débiles y más fuertes necesarios para que App Service Environment funcione correctamente son: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 y TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256. | Audit, Disabled | 1.0.0 |
| App Service Environment se debe aprovisionar con las versiones más recientes | Solo se permite el aprovisionamiento de la versión 2 o 3 de App Service Environment. En las versiones anteriores de App Service Environment se necesita la administración manual de los recursos de Azure y tienen mayores limitaciones de escalado. | Audit, Deny, Disabled | 1.0.0 |
| App Service Environment debe tener habilitado el cifrado interno | Al establecer InternalEncryption en true, se cifra el archivo de paginación, los discos de trabajo y el tráfico de red interno entre los servidores front-end y los trabajos de una instancia de App Service Environment. Para más información, consulte https://docs.microsoft.com/azure/app-service/environment/app-service-app-service-environment-custom-settings#enable-internal-encryption. | Audit, Disabled | 1.0.1 |
| App Service Environment deben tener TLS 1.0 y 1.1 deshabilitados | TLS 1.0 y 1.1 son protocolos no actualizados que no admiten algoritmos criptográficos modernos. Deshabilitar el tráfico TLS 1.0 y 1.1 entrante ayuda a proteger las aplicaciones en una instancia de App Service Environment. | Audit, Deny, Disabled | 2.0.1 |
| Configurar las ranuras de la aplicación App Service para desactivar la autenticación local para las implementaciones de FTP | La deshabilitación de los métodos de autenticación local para implementación de FTP aumenta la seguridad, ya que garantiza que las ranuras de App Service exijan exclusivamente identidades de Microsoft Entra para la autenticación. Más información en: https://aka.ms/app-service-disable-basic-auth. | DeployIfNotExists, Disabled | 1.0.3 |
| Configure las ranuras de la aplicación App Service para desactivar la autenticación local para los sitios SCM | La deshabilitación de los métodos de autenticación local para sitios SCM aumenta la seguridad, ya que garantiza que las ranuras de App Service exijan exclusivamente identidades de Microsoft Entra para la autenticación. Más información en: https://aka.ms/app-service-disable-basic-auth. | DeployIfNotExists, Disabled | 1.0.3 |
| Configuración de ranuras de aplicaciones de App Service para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para la instancia de App Services de modo que no sea accesible desde la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://aka.ms/app-service-private-endpoint. | Modificar, Deshabilitado | 1.1.0 |
| Configurar las ranuras de aplicación de App Service para que solo sean accesibles a través de HTTPS | El uso de HTTPS garantiza la autenticación del servicio y el servidor, y protege los datos en tránsito frente a ataques de intercepción de nivel de red. | Modificar, Deshabilitado | 2.0.0 |
| Configuración de ranuras de aplicaciones de App Service para desactivar la depuración remota | La depuración remota requiere que se abran puertos de entrada en una aplicación de App Service. Se debe desactivar la depuración remota. | DeployIfNotExists, Disabled | 1.1.0 |
| Configuración de ranuras de aplicaciones de App Service para usar la versión más reciente de TLS | Se publican versiones más recientes de TLS de forma periódica debido a brechas de seguridad, para incluir más funcionalidad e incrementar la velocidad. Actualice a la última versión de TLS para las aplicaciones de App Service con el fin de aprovechar las correcciones de seguridad, en caso de haberlas, o las nuevas funcionalidades de la última versión. | DeployIfNotExists, Disabled | 1.1.0 |
| Configure las aplicaciones de App Service para desactivar la autenticación local en las implementaciones de FTP | La deshabilitación de los métodos de autenticación local para implementación de FTP aumenta la seguridad, ya que garantiza que App Services exija exclusivamente identidades de Microsoft Entra para la autenticación. Más información en: https://aka.ms/app-service-disable-basic-auth. | DeployIfNotExists, Disabled | 1.0.3 |
| Configure las aplicaciones de App Service para desactivar la autenticación local de los sitios SCM | La deshabilitación de los métodos de autenticación local para sitios SCM aumenta la seguridad, ya que garantiza que App Services exija exclusivamente identidades de Microsoft Entra para la autenticación. Más información en: https://aka.ms/app-service-disable-basic-auth. | DeployIfNotExists, Disabled | 1.0.3 |
| Configuración de aplicaciones de App Service para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para la instancia de App Services de modo que no sea accesible desde la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://aka.ms/app-service-private-endpoint. | Modificar, Deshabilitado | 1.1.0 |
| Configurar las aplicaciones de App Service para que solo sean accesibles a través de HTTPS | El uso de HTTPS garantiza la autenticación del servicio y el servidor, y protege los datos en tránsito frente a ataques de intercepción de nivel de red. | Modificar, Deshabilitado | 2.0.0 |
| Configurar las aplicaciones de App Service para desactivar la depuración remota | La depuración remota requiere que se abran puertos de entrada en una aplicación de App Service. Se debe desactivar la depuración remota. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de aplicaciones de App Service para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada vincula una red virtual a una instancia de App Service. Más información en: https://docs.microsoft.com/azure/app-service/networking/private-endpoint#dns. | DeployIfNotExists, Disabled | 1.0.1 |
| Configuración de aplicaciones de App Service para usar la versión más reciente de TLS | Se publican versiones más recientes de TLS de forma periódica debido a brechas de seguridad, para incluir más funcionalidad e incrementar la velocidad. Actualice a la última versión de TLS para las aplicaciones de App Service con el fin de aprovechar las correcciones de seguridad, en caso de haberlas, o las nuevas funcionalidades de la última versión. | DeployIfNotExists, Disabled | 1.0.1 |
| Configuración de ranuras de aplicaciones de funciones para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para sus aplicaciones de funciones de modo que no sean accesibles desde la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://aka.ms/app-service-private-endpoint. | Modificar, Deshabilitado | 1.1.0 |
| Configuración de ranuras de aplicación de funciones para que solo sean accesibles a través de HTTPS | El uso de HTTPS garantiza la autenticación del servicio y el servidor, y protege los datos en tránsito frente a ataques de intercepción de nivel de red. | Modificar, Deshabilitado | 2.0.0 |
| Configuración de ranuras de aplicaciones de funciones para desactivar la depuración remota | La depuración remota requiere puertos de entrada que se abran en una aplicación de funciones. Se debe desactivar la depuración remota. | DeployIfNotExists, Disabled | 1.1.0 |
| Configuración de ranuras de aplicaciones de funciones para usar la versión más reciente de TLS | Se publican versiones más recientes de TLS de forma periódica debido a brechas de seguridad, para incluir más funcionalidad e incrementar la velocidad. Actualice a la última versión de TLS para las aplicaciones de funciones con el fin de aprovechar las correcciones de seguridad, en caso de haberlas, o las nuevas funcionalidades de la última versión. | DeployIfNotExists, Disabled | 1.1.0 |
| Configuración de aplicaciones de funciones para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para sus aplicaciones de funciones de modo que no sean accesibles desde la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://aka.ms/app-service-private-endpoint. | Modificar, Deshabilitado | 1.1.0 |
| Configurar las aplicaciones de funciones para que solo sean accesibles a través de HTTPS | El uso de HTTPS garantiza la autenticación del servicio y el servidor, y protege los datos en tránsito frente a ataques de intercepción de nivel de red. | Modificar, Deshabilitado | 2.0.0 |
| Configuración de aplicaciones de funciones para desactivar la depuración remota | La depuración remota requiere que se abran puertos de entrada en las aplicaciones de funciones. Se debe desactivar la depuración remota. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de aplicaciones de función para usar la versión más reciente de TLS | Se publican versiones más recientes de TLS de forma periódica debido a brechas de seguridad, para incluir más funcionalidad e incrementar la velocidad. Actualice a la última versión de TLS para las aplicaciones de funciones con el fin de aprovechar las correcciones de seguridad, en caso de haberlas, o las nuevas funcionalidades de la última versión. | DeployIfNotExists, Disabled | 1.0.1 |
| Las ranuras de las aplicaciones de funciones deberían deshabilitar el acceso a la red pública | La deshabilitación del acceso a la red pública mejora la seguridad, ya que garantiza que la aplicación de funciones no se expone en la red pública de Internet. La creación de puntos de conexión privados permite limitar el nivel de exposición de una aplicación de funciones. Más información en: https://aka.ms/app-service-private-endpoint. | Audit, Disabled, Deny | 1.0.0 |
| Las ranuras de la aplicación de funciones deben tener habilitados certificados de cliente (certificados de cliente entrantes) | Los certificados de cliente permiten que la aplicación solicite un certificado para las solicitudes entrantes. Solo los clientes que tienen un certificado válido podrán acceder a la aplicación. Esta directiva se aplica a las aplicaciones con la versión Http establecida en 1.1. | AuditIfNotExists, Disabled | 1.0.0 |
| Las ranuras de aplicaciones de funciones deberían tener la depuración remota desactivada | La depuración remota requiere que se abran puertos de entrada en las aplicaciones de funciones. Se debe desactivar la depuración remota. | AuditIfNotExists, Disabled | 1.0.0 |
| Las ranuras de la aplicación de funciones no deben tener CORS configurado para permitir que todos los recursos accedan a las aplicaciones. | El uso compartido de recursos entre orígenes (CORS) no debe permitir que todos los dominios accedan a la aplicación de funciones. Permita la interacción con la aplicación de funciones solo de los dominios requeridos. | AuditIfNotExists, Disabled | 1.0.0 |
| Las ranuras de la aplicación de funciones solo deben ser accesibles a través de HTTPS V2. | El uso de HTTPS garantiza la autenticación del servicio y el servidor, y protege los datos en tránsito frente a ataques de intercepción de nivel de red. | Audit, Disabled, Deny | 2.0.0 |
| Las ranuras de aplicación de funciones solo deben requerir FTPS | Habilite el cumplimiento con FTPS para mejorar la seguridad. | AuditIfNotExists, Disabled | 1.0.0 |
| Las ranuras de la aplicación de funciones deben usar un recurso compartido de archivos de Azure para su directorio de contenido. | El directorio de contenido de una aplicación de funciones debe estar ubicado en un recurso compartido de archivos de Azure. Se debe proporcionar la información de la cuenta de almacenamiento para el recurso compartido de archivos antes de cualquier actividad de publicación. Para más información sobre el uso de Azure Files para hospedar contenido de App Service, vea https://go.microsoft.com/fwlink/?linkid=2151594. | Audit, Disabled | 1.0.0 |
| Las ranuras de aplicaciones de funciones deberían usar la "versión HTTP" más reciente | A causa de errores de seguridad o para incluir funcionalidades, se publican de forma periódica versiones más recientes de HTTP. Para las aplicaciones web, use la versión más reciente de HTTP con el fin de aprovechar las correcciones de seguridad, de haberlas, o las nuevas funcionalidades de la versión más reciente. | AuditIfNotExists, Disabled | 1.0.0 |
| Las ranuras de aplicaciones de funciones deberían usar la versión más reciente de TLS | Se publican versiones más recientes de TLS de forma periódica debido a brechas de seguridad, para incluir más funcionalidad e incrementar la velocidad. Actualice a la última versión de TLS para las aplicaciones de funciones con el fin de aprovechar las correcciones de seguridad, en caso de haberlas, o las nuevas funcionalidades de la última versión. | AuditIfNotExists, Disabled | 1.0.0 |
| Las ranuras de las aplicaciones de funciones que usan Java deben usar una 'versión de Java' especificada. | A causa de errores de seguridad o para incluir funcionalidades, se publican de forma periódica versiones más recientes del software de Java. Para las aplicaciones de funciones, se recomienda usar la versión más reciente de Java con el fin de aprovechar las correcciones de seguridad, de haberlas, o las nuevas funcionalidades de la versión más reciente. Actualmente, esta directiva solo es válida para las aplicaciones Linux. Esta directiva requiere que especifique una versión de Java que cumpla sus requisitos. | AuditIfNotExists, Disabled | 1.0.0 |
| Las ranuras de las aplicaciones de funciones que usan Python deben usar una 'versión de Python' especificada. | A causa de errores de seguridad o para incluir funcionalidades, se publican de forma periódica versiones más recientes del software de Python. Para las aplicaciones de funciones, se recomienda usar la versión más reciente de Python con el fin de aprovechar las correcciones de seguridad, de haberlas, o las nuevas funcionalidades de la versión más reciente. Actualmente, esta directiva solo es válida para las aplicaciones Linux. Esta directiva requiere que especifique una versión de Python que cumpla sus requisitos. | AuditIfNotExists, Disabled | 1.0.0 |
| Las aplicaciones de funciones deberían deshabilitar el acceso a la red pública | La deshabilitación del acceso a la red pública mejora la seguridad, ya que garantiza que la aplicación de funciones no se expone en la red pública de Internet. La creación de puntos de conexión privados permite limitar el nivel de exposición de una aplicación de funciones. Más información en: https://aka.ms/app-service-private-endpoint. | Audit, Disabled, Deny | 1.0.0 |
| Las aplicaciones de funciones deben tener habilitada la autenticación | La autenticación de Azure App Service es una característica que puede impedir que solicitudes HTTP anónimas lleguen a la aplicación de funciones o autenticar aquellas que tienen tokens antes de que lleguen a la aplicación de funciones. | AuditIfNotExists, Disabled | 3.0.0 |
| Las aplicaciones de funciones deben tener la opción "Certificados de cliente (certificados de cliente entrantes)" habilitada | Los certificados de cliente permiten que la aplicación solicite un certificado para las solicitudes entrantes. Solo los clientes que tienen un certificado válido podrán acceder a la aplicación. Esta directiva se aplica a las aplicaciones con la versión Http establecida en 1.1. | AuditIfNotExists, Disabled | 1.0.0 |
| Las aplicaciones de funciones deben tener la depuración remota desactivada | La depuración remota requiere que se abran puertos de entrada en las aplicaciones de funciones. Se debe desactivar la depuración remota. | AuditIfNotExists, Disabled | 2.0.0 |
| Las aplicaciones de funciones no deben tener CORS configurado para permitir que todos los recursos accedan a las aplicaciones | El uso compartido de recursos entre orígenes (CORS) no debe permitir que todos los dominios accedan a la aplicación de funciones. Permita la interacción con la aplicación de funciones solo de los dominios requeridos. | AuditIfNotExists, Disabled | 2.0.0 |
| Las aplicaciones de funciones solo deberían ser accesibles a través de HTTPS | El uso de HTTPS garantiza la autenticación del servicio y el servidor, y protege los datos en tránsito frente a ataques de intercepción de nivel de red. | Audit, Disabled, Deny | 5.0.0 |
| Las aplicaciones de funciones solo deben requerir FTPS | Habilite el cumplimiento con FTPS para mejorar la seguridad. | AuditIfNotExists, Disabled | 3.0.0 |
| Las aplicaciones de funciones deben usar un recurso compartido de archivos de Azure para su directorio de contenido | El directorio de contenido de una aplicación de funciones debe estar ubicado en un recurso compartido de archivos de Azure. Se debe proporcionar la información de la cuenta de almacenamiento para el recurso compartido de archivos antes de cualquier actividad de publicación. Para más información sobre el uso de Azure Files para hospedar contenido de App Service, vea https://go.microsoft.com/fwlink/?linkid=2151594. | Audit, Disabled | 3.0.0 |
| Las aplicaciones de funciones deben usar la última "versión de HTTP" | A causa de errores de seguridad o para incluir funcionalidades, se publican de forma periódica versiones más recientes de HTTP. Para las aplicaciones web, use la versión más reciente de HTTP con el fin de aprovechar las correcciones de seguridad, de haberlas, o las nuevas funcionalidades de la versión más reciente. | AuditIfNotExists, Disabled | 4.0.0 |
| Las aplicaciones de funciones deben usar la identidad administrada | Usa una identidad administrada para la seguridad de autenticación mejorada. | AuditIfNotExists, Disabled | 3.0.0 |
| Las aplicaciones de funciones deben usar la última versión de TLS | Se publican versiones más recientes de TLS de forma periódica debido a brechas de seguridad, para incluir más funcionalidad e incrementar la velocidad. Actualice a la última versión de TLS para las aplicaciones de funciones con el fin de aprovechar las correcciones de seguridad, en caso de haberlas, o las nuevas funcionalidades de la última versión. | AuditIfNotExists, Disabled | 2.0.1 |
| Las aplicaciones de funciones que usan Java deben usar una “versión de Java” especificada | A causa de errores de seguridad o para incluir funcionalidades, se publican de forma periódica versiones más recientes del software de Java. Para las aplicaciones de funciones, se recomienda usar la versión más reciente de Java con el fin de aprovechar las correcciones de seguridad, de haberlas, o las nuevas funcionalidades de la versión más reciente. Actualmente, esta directiva solo es válida para las aplicaciones Linux. Esta directiva requiere que especifique una versión de Java que cumpla sus requisitos. | AuditIfNotExists, Disabled | 3.1.0 |
| Las aplicaciones de funciones que usan Python deben usar una “versión de Python” especificada. | A causa de errores de seguridad o para incluir funcionalidades, se publican de forma periódica versiones más recientes del software de Python. Para las aplicaciones de funciones, se recomienda usar la versión más reciente de Python con el fin de aprovechar las correcciones de seguridad, de haberlas, o las nuevas funcionalidades de la versión más reciente. Actualmente, esta directiva solo es válida para las aplicaciones Linux. Esta directiva requiere que especifique una versión de Python que cumpla sus requisitos. | AuditIfNotExists, Disabled | 4.1.0 |
Atestación
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Los proveedores de Azure Attestation deben deshabilitar el acceso desde la red pública | Para reforzar la seguridad del servicio Azure Attestation, asegúrese de que no está expuesto a la red pública de Internet y que únicamente se pueda acceder a él desde un punto de conexión privado. Deshabilite la propiedad acceso desde la red pública, tal y como se describe en aka.ms/azureattestation. Esta opción deshabilita el acceso desde cualquier espacio de direcciones públicas que esté fuera del intervalo IP de Azure y deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en la IP o la red virtual. De este modo, se reducen los riesgos de pérdida de datos. | Audit, Deny, Disabled | 1.0.0 |
| Los proveedores de Azure Attestation deben usar puntos de conexión privados | Los puntos de conexión privados proporcionan una manera de conectar proveedores de Azure Attestation a los recursos de Azure sin enviar tráfico a través de la red pública de Internet. Al impedir el acceso público, los puntos de conexión privados ayudan a proteger contra el acceso anónimo no deseado. | AuditIfNotExists, Disabled | 1.0.0 |
Automanage
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: se debe habilitar una identidad administrada en las máquinas | Los recursos administrados por Automanage deben tener una identidad administrada. | Audit, Disabled | 1.0.0-preview |
| [Versión preliminar]: la asignación del perfil de configuración de Automanage debe ser Conformant | Los recursos administrados por Automanage deben tener el estado Conforme o ConformantCorrected. | AuditIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: el diagnóstico de arranque debe estar habilitado en las máquinas virtuales | Las máquinas virtuales de Azure deben tener habilitado el diagnóstico de arranque. | Audit, Disabled | 1.0.0-preview |
| Configurar las máquinas virtuales para incorporarlas a Azure Automanage | Azure Automanage inscribe, configura y supervisa las máquinas virtuales con los procedimientos recomendados, tal como se definen en Microsoft Cloud Adoption Framework para Azure. Use esta directiva para aplicar Administración automática al ámbito seleccionado. | AuditIfNotExists, DeployIfNotExists, Disabled | 2.4.0 |
| Configuración de las máquinas virtuales que se incorporarán a Azure Automanage con el perfil de configuración personalizado | Azure Automanage inscribe, configura y supervisa las máquinas virtuales con los procedimientos recomendados, tal como se definen en Microsoft Cloud Adoption Framework para Azure. Use esta directiva para aplicar Automanage con su propio perfil de configuración personalizado al ámbito seleccionado. | AuditIfNotExists, DeployIfNotExists, Disabled | 1.4.0 |
| La revisión en caliente debe estar habilitada para las máquinas virtuales de Windows Server Azure Edition | Minimice los reinicios e instale las actualizaciones rápidamente con la ayuda de la revisión en caliente. Más información en https://docs.microsoft.com/azure/automanage/automanage-hotpatch. | Audit, Deny, Disabled | 1.0.0 |
Automatización
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| La cuenta de Automation debería tener una identidad administrada | Use identidades administradas como método recomendado para autenticarse con recursos de Azure desde los runbooks. La identidad administrada para la autenticación es más segura y elimina la sobrecarga de administración asociada al uso de la cuenta de ejecución en el código de runbook. | Audit, Disabled | 1.0.0 |
| Las variables de cuenta de Automation deben cifrarse | Es importante habilitar el cifrado de recursos de variables de cuentas de Automation al almacenar datos confidenciales. | Audit, Deny, Disabled | 1.1.0 |
| Las cuentas de Automation deben deshabilitar el acceso a la red pública | Al deshabilitar el acceso a la red pública, se mejora la seguridad ya que el recurso no se expone en la red pública de Internet. En su lugar, puede limitar la exposición de los recursos de la cuenta de Automation mediante la creación de puntos de conexión privados. Más información en: https://docs.microsoft.com/azure/automation/how-to/private-link-security. | Audit, Deny, Disabled | 1.0.0 |
| La cuenta de Azure Automation debe tener el método de autenticación local deshabilitado | Deshabilitar los métodos de autenticación local mejora la seguridad al garantizar que las cuentas de Azure Automation requiera exclusivamente identidades de Azure Active Directory para la autenticación. | Audit, Deny, Disabled | 1.0.0 |
| Las cuentas de Azure Automation deben usar claves administradas por el cliente para cifrar los datos en reposo. | Use claves administradas por el cliente para administrar el cifrado en reposo de sus cuentas de Azure Automation. De manera predeterminada, los datos del cliente se cifran con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información en https://aka.ms/automation-cmk. | Audit, Deny, Disabled | 1.0.0 |
| Configurar la cuenta de Azure Automation para deshabilitar la autenticación local | Deshabilite los métodos de autenticación local para que las cuentas de Azure Automation requieran exclusivamente identidades de Azure Active Directory para la autenticación. | Modificar, Deshabilitado | 1.0.0 |
| Configurar cuentas de Azure Automation para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para la cuenta de Azure Automation de modo que no sea accesible a través de la red pública de Internet. Esta configuración le ayudará a protegerlo contra los riesgos de pérdida de datos. En su lugar, puede limitar la exposición de los recursos de la cuenta de Automation mediante la creación de puntos de conexión privados. Más información en: https://aka.ms/privateendpoints. | Modificar, Deshabilitado | 1.0.0 |
| Configurar las cuentas de Azure Automation con zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Es necesario que la zona DNS privada esté configurada correctamente para conectarse a la cuenta de Azure Automation a través de la Azure Private Link. Más información en: https://aka.ms/privatednszone. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar conexiones de punto de conexión privado en cuentas de Azure Automation | Las conexiones de punto de conexión privado permiten la comunicación segura al habilitar la conectividad privada con cuentas de Azure Automation sin necesidad de direcciones IP públicas en el origen o el destino. Obtenga más información sobre los puntos de conexión privados en Azure Automation en https://docs.microsoft.com/azure/automation/how-to/private-link-security. | DeployIfNotExists, Disabled | 1.0.0 |
| Las conexiones de punto de conexión privado en cuentas de Automation deben estar habilitadas | Las conexiones de punto de conexión privado permiten la comunicación segura al habilitar la conectividad privada con cuentas de Automation sin necesidad de direcciones IP públicas en el origen o el destino. Obtenga más información sobre los puntos de conexión privados en Azure Automation en https://docs.microsoft.com/azure/automation/how-to/private-link-security. | AuditIfNotExists, Disabled | 1.0.0 |
Azure Active Directory
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Los dominios administrados de Azure Active Directory Domain Services solo deben usar el modo TLS 1.2. | Use solo el modo TLS 1.2 para los dominios administrados. De manera predeterminada, Azure AD Domain Services permite el uso de cifrados tales como NTLM v1 y TLS v1. Aunque estos cifrados pueden ser necesarios para algunas aplicaciones heredadas, se consideran poco seguros y se pueden deshabilitar si no se necesitan. Cuando solo se habilita el modo TLS 1.2, cualquier cliente que realice una solicitud que no use TLS 1.2 producirá un error. Obtenga más información en https://docs.microsoft.com/azure/active-directory-domain-services/secure-your-domain. | Audit, Deny, Disabled | 1.1.0 |
Servicios de Azure AI
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Los recursos del Servicios de Azure AI deben tener deshabilitado el acceso a claves (deshabilitar la autenticación local) | Se recomienda deshabilitar el acceso a las claves (autenticación local) por temas de seguridad. Azure OpenAI Studio, que normalmente se usa en los entornos de desarrollo y pruebas, requiere acceso a las claves y no funcionará si dicho acceso está deshabilitado. Después de deshabilitarlo, Microsoft Entra ID se convierte en el único método de acceso, lo que permite mantener el principio de privilegios mínimos y el control pormenorizado. Más información en: https://aka.ms/AI/auth | Audit, Deny, Disabled | 1.1.0 |
| Los recursos de Servicios de Azure AI deben restringir el acceso a la red | Al restringir el acceso a la red, puede asegurarse de que solo las redes permitidas puedan acceder al servicio. Para lograr esto, se pueden configurar reglas de red de modo que solo las aplicaciones de las redes permitidas puedan acceder al servicio Azure AI. | Audit, Deny, Disabled | 3.2.0 |
| Los recursos de Servicios de Azure AI deben usar Azure Private Link | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link reduce los riesgos de pérdida de datos mediante el control de la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Más información acerca de los vínculos privados en: https://aka.ms/AzurePrivateLink/Overview | Audit, Disabled | 1.0.0 |
| Configuración de recursos de Servicios de Azure AI para deshabilitar el acceso a claves locales (deshabilitar la autenticación local) | Se recomienda deshabilitar el acceso a las claves (autenticación local) por temas de seguridad. Azure OpenAI Studio, que normalmente se usa en los entornos de desarrollo y pruebas, requiere acceso a las claves y no funcionará si dicho acceso está deshabilitado. Después de deshabilitarlo, Microsoft Entra ID se convierte en el único método de acceso, lo que permite mantener el principio de privilegios mínimos y el control pormenorizado. Más información en: https://aka.ms/AI/auth | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de recursos de Servicios de Azure AI para deshabilitar el acceso a claves locales (deshabilitar la autenticación local) | Se recomienda deshabilitar el acceso a las claves (autenticación local) por temas de seguridad. Azure OpenAI Studio, que normalmente se usa en los entornos de desarrollo y pruebas, requiere acceso a las claves y no funcionará si dicho acceso está deshabilitado. Después de deshabilitarlo, Microsoft Entra ID se convierte en el único método de acceso, lo que permite mantener el principio de privilegios mínimos y el control pormenorizado. Más información en: https://aka.ms/AI/auth | DeployIfNotExists, Disabled | 1.0.0 |
| Los registros de diagnóstico en los recursos de los servicios de Azure AI deben estar habilitados | Habilite los registros para los recursos de los servicios de Azure AI. Esto le permite volver a crear pistas de actividad con fines de investigación, cuando se produce un incidente de seguridad o la red está en peligro | AuditIfNotExists, Disabled | 1.0.0 |
Azure Arc
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: denegar la creación o modificación de licencias de actualizaciones de seguridad extendidas (ESU). | Esta directiva permite restringir la creación o modificación de licencias de ESU para máquinas Windows Server 2012 Arc. Para obtener más información sobre los precios, visite https://aka.ms/ArcWS2012ESUPricing | Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: habilite la licencia de actualizaciones de seguridad extendidas (ESUs) para mantener las máquinas Windows 2012 protegidas después de que finalice su ciclo de vida de soporte técnico (versión preliminar). | Habilite la licencia de actualizaciones de seguridad extendidas (ESU) para mantener protegidas las máquinas Windows 2012 incluso después de que haya finalizado su ciclo de vida de soporte técnico. Para obtener información sobre cómo preparar la entrega de actualizaciones de seguridad extendidas para Windows Server 2012 a través de AzureArc, visite https://learn.microsoft.com/en-us/azure/azure-arc/servers/prepare-extended-security-updates. Para obtener más información sobre los precios, visite https://aka.ms/ArcWS2012ESUPricing | DeployIfNotExists, Disabled | 1.0.0-preview |
| Los ámbitos de Private Link para Azure Arc deben configurarse con un punto de conexión privado | Azure Private Link permite conectar las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a ámbitos de Private Link para Azure Arc, se reducen los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/arc/privatelink. | Audit, Disabled | 1.0.0 |
| Los ámbitos de Private Link para Azure Arc deben deshabilitar el acceso a la red pública | Deshabilitar el acceso a la red pública mejora la seguridad al garantizar que los recursos de Azure Arc no se pueden conectar a través de la red pública de Internet. La creación de puntos de conexión privados puede limitar la exposición de los recursos de Azure Arc. Más información en: https://aka.ms/arc/privatelink. | Audit, Deny, Disabled | 1.0.0 |
| Los clústeres de Kubernetes habilitados para Azure Arc deben configurarse con un ámbito de Private Link de Azure Arc | Azure Private Link permite conectar las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar servidores habilitados para Azure Arc a un ámbito de Private Link para Azure Arc configurado con un punto de conexión privado, se reducen los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/arc/privatelink. | Audit, Deny, Disabled | 1.0.0 |
| Los servidores habilitados para Azure Arc deben configurarse con un ámbito de Private Link para Azure Arc | Azure Private Link permite conectar las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar servidores habilitados para Azure Arc a un ámbito de Private Link para Azure Arc configurado con un punto de conexión privado, se reducen los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/arc/privatelink. | Audit, Deny, Disabled | 1.0.0 |
| Configurar los ámbitos de Private Link de Azure Arc para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para el ámbito de Private Link para Azure Arc a fin de que los recursos de Azure Arc asociados no se puedan conectar a servicios de Azure Arc a través de la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://aka.ms/arc/privatelink. | Modificar, Deshabilitado | 1.0.0 |
| Configuración de ámbitos de Private Link de Azure Arc para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada se vincula a la red virtual para resolverse en ámbitos de Private Link de Azure Arc. Más información en: https://aka.ms/arc/privatelink. | DeployIfNotExists, Disabled | 1.2.0 |
| Configurar los ámbitos de Private Link de Azure Arc con puntos de conexión privados | Los puntos de conexión privados conectan las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a ámbitos de Private Link para Azure Arc, puede reducir los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/arc/privatelink. | DeployIfNotExists, Disabled | 2.0.0 |
| Configurar clústeres de Kubernetes habilitados para Azure Arc para usar un ámbito de Private Link de Azure Arc | Azure Private Link permite conectar las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar servidores habilitados para Azure Arc a un ámbito de Private Link para Azure Arc configurado con un punto de conexión privado, se reducen los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/arc/privatelink. | Modificar, Deshabilitado | 1.0.0 |
| Configuración de servidores habilitados para Azure Arc para usar un ámbito de Private Link de Azure Arc | Azure Private Link permite conectar las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar servidores habilitados para Azure Arc a un ámbito de Private Link para Azure Arc configurado con un punto de conexión privado, se reducen los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/arc/privatelink. | Modificar, Deshabilitado | 1.0.0 |
Explorador de datos de Azure
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Se deben deshabilitar todas las Administración de base de datos en Azure Data Explorer | Deshabilite todos los roles de administrador de base de datos para restringir la concesión de un rol de usuario administrativo o con privilegios elevados. | Audit, Deny, Disabled | 1.0.0 |
| El clúster Azure Data Explorer debe utilizar un vínculo privado | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a los clúster de Azure Data Explorer, se reduce el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://learn.microsoft.com/en-us/azure/data-explorer/security-network-private-endpoint. | Audit, Disabled | 1.0.0 |
| El cifrado en reposo de Azure Data Explorer debe usar una clave administrada por el cliente | Al habilitar el cifrado en reposo con una clave administrada por el cliente en el clúster de Azure Data Explorer, se proporciona un mayor control sobre la clave que usa el cifrado en reposo. Esta característica se suele aplicar a los clientes con requisitos de cumplimiento especiales y requiere un almacén de claves para administrar las claves. | Audit, Deny, Disabled | 1.0.0 |
| Azure Data Explorer debe usar una SKU que admita vínculo privado | Con las SKU admitidas, Azure Private Link permite conectar la red virtual a los servicios de Azure sin ninguna dirección IP pública en el origen ni el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a las aplicaciones, se puede reducir el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/private-link. | Audit, Deny, Disabled | 1.0.0 |
| Configuración de clústeres de Azure Data Explorer con puntos de conexión privados | Los puntos de conexión privados conectan las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a Azure Data Explorer, se puede reducir el riesgo de pérdida de datos. Obtenga más información en: [ServiceSpecificAKA.ms]. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar Azure Data Explorer para deshabilitar el acceso a la red pública | Al deshabilitar la propiedad de acceso a la red pública se cierra la conectividad pública, de modo que solo se puede tener acceso a Azure Data Explorer desde un punto de conexión privado. Esta configuración deshabilita el acceso a la red pública para todos los clústeres de Azure Data Explorer . | Modificar, Deshabilitado | 1.0.0 |
| El cifrado de disco debe estar habilitado en Azure Data Explorer | La habilitación del cifrado de disco ayuda a custodiar y proteger sus datos con el fin de satisfacer los compromisos de cumplimiento y seguridad de la organización. | Audit, Deny, Disabled | 2.0.0 |
| El cifrado doble debe estar habilitado en Azure Data Explorer | La habilitación del cifrado doble ayuda a custodiar y proteger sus datos con el fin de satisfacer los compromisos de cumplimiento y seguridad de la organización. Cuando está habilitado el cifrado doble, los datos de las cuentas de almacenamiento se cifran dos veces, una vez en el nivel de servicio y otra en el nivel de infraestructura, con dos algoritmos de cifrado y dos claves diferentes. | Audit, Deny, Disabled | 2.0.0 |
| Debe deshabilitarse el acceso a la red pública en Azure Data Explorer | Al deshabilitar la propiedad de acceso a la red pública, se mejora la seguridad al garantizar que solo se pueda acceder a la instancia de Azure Data Explorer desde un punto de conexión privado. Esta configuración deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en IP o redes virtuales. | Audit, Deny, Disabled | 1.0.0 |
| La inserción de red virtual debe estar habilitada para Azure Data Explorer | Proteja el perímetro de la red con la inserción de red virtual, que le permite aplicar reglas de grupo de seguridad de red, conectarse de forma local y proteger los orígenes de la conexión de datos con puntos de conexión de servicio. | Audit, Deny, Disabled | 1.0.0 |
Azure Databricks
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Los clústeres de Azure Databricks deben deshabilitar la IP pública | Deshabilitar la IP pública de los clústeres en áreas de trabajo de Azure Databricks mejora la seguridad al garantizar que los clústeres no estén expuestos en la red pública de Internet. Más información en: https://learn.microsoft.com/azure/databricks/security/secure-cluster-connectivity. | Audit, Deny, Disabled | 1.0.1 |
| Las áreas de trabajo de Azure Databricks deben estar en una red virtual | Azure Virtual Network brinda seguridad y aislamiento mejorados para las áreas de trabajo de Azure Databricks, así como subredes, directivas de control de acceso y otras características para restringir aún más el acceso. Más información en: https://docs.microsoft.com/azure/databricks/administration-guide/cloud-configurations/azure/vnet-inject. | Audit, Deny, Disabled | 1.0.2 |
| Los áreas de trabajo de Azure Databricks deben ser SKU Premium que admitan funciones como vínculo privado, clave administrada por el cliente para cifrado | Permitir solo el área de trabajo de Databricks con SKU Premium que su organización puede implementar para admitir características como Private Link, clave administrada por el cliente para el cifrado. Más información en: https://aka.ms/adbpe. | Audit, Deny, Disabled | 1.0.1 |
| Azure Databricks Workspaces debería deshabilitar el acceso a la red pública | Al deshabilitar el acceso a la red pública, se mejora la seguridad ya que el recurso no se expone en la red pública de Internet. En su lugar, puede controlar la exposición de los recursos creando puntos de conexión privados. Más información en: https://learn.microsoft.com/azure/databricks/administration-guide/cloud-configurations/azure/private-link. | Audit, Deny, Disabled | 1.0.1 |
| Las áreas de trabajo de Azure Databricks deben usar un vínculo privado | Azure Private Link permite conectar las redes virtuales a los servicios de Azure sin una IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a las áreas de trabajo de Azure Databricks, puede reducir el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/adbpe. | Audit, Disabled | 1.0.2 |
| Configurar el área de trabajo de Azure Databricks para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada se vincula a la red virtual para resolver las área de trabajo de Azure Databricks. Más información en: https://aka.ms/adbpe. | DeployIfNotExists, Disabled | 1.0.1 |
| Configurar las áreas de trabajo de Azure Databricks con puntos de conexión privados | Los puntos de conexión privados conectan las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a las áreas de trabajo de Azure Databricks, puede reducir el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/adbpe. | DeployIfNotExists, Disabled | 1.0.2 |
| Configuración de los valores de diagnóstico del área de trabajo de Azure Databricks para el área de trabajo de Log Analytics | Implementa la configuración de diagnóstico de las áreas de trabajo de Azure Databricks para transmitir registros de recursos a un área de trabajo de Log Analytics cuando se cree o actualice cualquier área de trabajo de Azure Databricks a la que le falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 1.0.1 |
| Los registros de recursos en las áreas de trabajo de Azure Databricks deben estar habilitados | Los registros de recursos habilitan que se vuelvan a crear seguimientos de actividad con fines de investigación en caso de que se produzcan incidentes de seguridad o riesgos para la red. | AuditIfNotExists, Disabled | 1.0.1 |
Azure Edge Hardware Center
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Los dispositivos de Azure Edge Hardware Center deben tener habilitada la compatibilidad con el cifrado doble. | Asegúrese de que los dispositivos solicitados desde Azure Edge Hardware Center tienen habilitada la compatibilidad con el cifrado doble para proteger los datos en reposo en el dispositivo. Esta opción agrega una segunda capa de cifrado de datos. | Audit, Deny, Disabled | 2.0.0 |
Azure Load Testing
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: las pruebas de carga que usan Azure Load Testing solo se deben ejecutar en puntos de conexión privados desde dentro de una red virtual. | Las instancias de Azure Load Testing deberían utilizar la inserción de red virtual con los fines siguientes: 1. Aísle los motores de Azure Load Testing a una red virtual. 2. Permita que los motores de Azure Load Testing interactúen con sistemas en centros de datos locales o con el servicio de Azure en otras redes virtuales. 3. Permita a los clientes controlar las comunicaciones de red entrantes y salientes para los motores de Azure Load Testing. | Audit, Deny, Disabled | 1.0.0-preview |
| El recurso de Azure Load Testing debería usar claves administradas por el cliente para cifrar datos en reposo | Utiliza claves administradas por el cliente (CMK) para administrar el cifrado en reposo del recurso Azure Load Testing. De forma predeterminada, el cifrado se realiza mediante claves administradas por el servicio, las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada y propiedad del usuario. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información en https://docs.microsoft.com/azure/load-testing/how-to-configure-customer-managed-keys?tabs=portal. | Audit, Deny, Disabled | 1.0.0 |
Azure Purview
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Las cuentas de Azure Purview deben usar un vínculo privado | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados a las cuentas de Azure Purview en lugar de a todo el servicio, también estará protegido frente a riesgos de pérdida de datos. Más información en: https://aka.ms/purview-private-link. | Audit, Disabled | 1.0.0 |
Azure Stack Edge
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Los dispositivos Azure Stack Edge deben usar cifrado doble | Para proteger los datos en reposo del dispositivo, asegúrese de que tienen cifrado doble, se controla el acceso a ellos y, una vez desactivado el dispositivo, se borran de los discos de datos de forma segura. El cifrado doble consiste en dos capas de cifrado: XTS-AES de BitLocker de 256 bits en los volúmenes de datos y cifrado integrado en los discos duros. Más información en la documentación de información general sobre seguridad del dispositivo Stark Edge en cuestión. | audit, Audit, deny, Deny, disabled, Disabled | 1.1.0 |
Administrador de actualizaciones de Azure
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: Establezca los requisitos previos para programar actualizaciones periódicas en máquinas virtuales de Azure. | Esta directiva establecerá los requisitos previos necesarios para programar actualizaciones periódicas en Azure Update Manager mediante la configuración de la orquestación de revisiones en "Programaciones administradas por el cliente". Este cambio establecerá automáticamente el modo de revisión en "AutomaticByPlatform" y habilitará "BypassPlatformSafetyChecksOnUserSchedule" en "True" en máquinas virtuales de Azure. El requisito previo no es aplicable a los servidores habilitados para Arc. Obtener más información: https://learn.microsoft.com/en-us/azure/update-manager/dynamic-scope-overview?tabs=avms#prerequisites | DeployIfNotExists, Disabled | 1.1.0-preview |
| Configurar la comprobación periódica de las actualizaciones del sistema faltantes en servidores habilitados para Azure Arc | Configure la evaluación automática (cada 24 horas) de actualizaciones del sistema operativo en servidores habilitados para Azure Arc. Puede controlar el ámbito de asignación según la suscripción, el grupo de recursos, la ubicación o la etiqueta de la máquina. Más información al respecto en Windows:https://aka.ms/computevm-windowspatchassessmentmode, en Linux: https://aka.ms/computevm-linuxpatchassessmentmode. | modify | 2.3.0 |
| Configuración de la comprobación periódica de las actualizaciones del sistema que faltan en máquinas virtuales de Azure | Configure la evaluación automática (cada 24 horas) para las actualizaciones del sistema operativo en máquinas virtuales nativas de Azure. Puede controlar el ámbito de asignación según la suscripción, el grupo de recursos, la ubicación o la etiqueta de la máquina. Más información al respecto en Windows:https://aka.ms/computevm-windowspatchassessmentmode, en Linux: https://aka.ms/computevm-linuxpatchassessmentmode. | modify | 4.8.0 |
| Las máquinas deben configurarse para que se compruebe periódicamente si faltan actualizaciones del sistema | Para asegurarse de que las evaluaciones periódicas de las actualizaciones del sistema que faltan se desencadenan automáticamente cada 24 horas, la propiedad AssessmentMode debe establecerse en "AutomaticByPlatform". Más información sobre la propiedad AssessmentMode para Windows: https://aka.ms/computevm-windowspatchassessmentmode, para Linux: https://aka.ms/computevm-linuxpatchassessmentmode. | Audit, Deny, Disabled | 3.7.0 |
| Programación de actualizaciones periódicas mediante el Administrador de actualizaciones de Azure | Puede usar el Administrador de actualizaciones de Azure en Azure para guardar programaciones de implementación periódicas para instalar actualizaciones del sistema operativo en las máquinas Windows Server y Linux en Azure, en entornos locales y en otros entornos de nube conectados mediante servidores habilitados para Azure Arc. Esta directiva también cambiará el modo de revisión de la máquina virtual de Azure a «AutomaticByPlatform». Más información: https://aka.ms/umc-scheduled-patching | DeployIfNotExists, Disabled | 3.12.0 |
Backup
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: La extensión de Azure Backup debe instalarse en clústeres de AKS | Asegúrese de instalar la protección de la extensión de copia de seguridad en los clústeres de AKS para usar Azure Backup. Azure Backup para AKS es una solución de protección de datos segura y nativa de nube para clústeres de AKS | AuditIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: Azure Backup debe estar habilitado para los clústeres de AKS | Asegúrese de proteger los clústeres de AKS habilitando Azure Backup. Azure Backup para AKS es una solución de protección de datos segura y nativa de nube para clústeres de AKS. | AuditIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: Azure Backup debe estar habilitado para blobs en cuentas de almacenamiento | Para garantizar la protección de las cuentas de almacenamiento, habilite Azure Backup. Azure Backup es una solución de protección de datos segura y rentable para Azure. | AuditIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: Azure Backup debe estar habilitado para Managed Disks | Para garantizar la protección de Managed Disks, habilite Azure Backup. Azure Backup es una solución de protección de datos segura y rentable para Azure. | AuditIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: Los almacenes de Azure Backup deben usar claves administradas por el cliente para cifrar los datos de copia de seguridad. También es una opción para aplicar el cifrado de infraestructura. | Esta directiva sigue el "efecto" si la configuración de cifrado está habilitada para almacenes de Backup en el ámbito. Además, es la opción para comprobar si el almacén de Backup también tiene habilitado el cifrado de infraestructura. Obtenga más información en https://aka.ms/az-backup-vault-encryption-at-rest-with-cmk. Ten en cuenta que cuando se usa el efecto "Denegar", tendría que habilitar la configuración de cifrado en los almacenes de Backup existentes para permitir que otras operaciones de actualización del almacén pasen. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: los almacenes de Azure Recovery Services deben deshabilitar el acceso a la red pública | La deshabilitación del acceso a la red pública mejora la seguridad, ya que garantiza que el almacén de Recovery Services no se expone en la red pública de Internet. La creación de puntos de conexión privados puede limitar la exposición del almacén de Recovery Services. Más información en: https://aka.ms/AB-PublicNetworkAccess-Deny. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: los almacenes de Azure Recovery Services deben usar claves administradas por el cliente para cifrar los datos de copia de seguridad | Use claves administradas por el cliente para administrar el cifrado en reposo de los datos de copia de seguridad. De manera predeterminada, los datos del cliente se cifran con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información en https://aka.ms/AB-CmkEncryption. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: los almacenes de Azure Recovery Services deben usar Private Link para la copia de seguridad | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a Azure Recovery Services almacenes, se reduce el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/AB-PrivateEndpoints. | Audit, Disabled | 2.0.0-preview |
| [Versión preliminar]: Configuración de los almacenes de Azure Recovery Services para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para el almacén de servicios de recuperación para que no sea accesible a través de Internet de acceso público. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://aka.ms/AB-PublicNetworkAccess-Deny. | Modificar, Deshabilitado | 1.0.0-preview |
| [Versión preliminar]: configurar copia de seguridad para Azure Disks (Managed Disks) con una etiqueta dada a una bóveda de copia de seguridad existente en la misma región | Imponga la copia de seguridad de todos los discos Azure (Managed Disks) que contengan una etiqueta determinada en una bóveda de copia de seguridad central. Más información en https://aka.ms/AB-DiskBackupAzPolicies. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: configurar copia de seguridad para Azure Disks (Managed Disks) sin una etiqueta determinada en una bóveda de copia de seguridad existente en la misma región | Imponga la copia de seguridad de todos los discos Azure (Managed Disks) que no contengan una etiqueta determinada en una bóveda de copia de seguridad central. Más información en https://aka.ms/AB-DiskBackupAzPolicies. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: Configurar la copia de seguridad de cuentas de almacenamiento de blobs con una etiqueta determinada en un almacén de copia de seguridad existente en la misma región | Permite aplicar la copia de seguridad de blobs en todas las cuentas de almacenamiento que contienen una etiqueta determinada en un almacén central de copia de seguridad. Esto puede ayudarle a administrar la copia de seguridad de blobs contenidos en varias cuentas de almacenamiento a gran escala. Para obtener más detalles, consulte https://aka.ms/AB-BlobBackupAzPolicies. | DeployIfNotExists, AuditIfNotExists, Disabled | 2.0.0-preview |
| [Versión preliminar]: Configurar la copia de seguridad de blobs para todas las cuentas de almacenamiento que no contienen una etiqueta determinada en un almacén de copia de seguridad de la misma región | Permite aplicar la copia de seguridad de blobs en todas las cuentas de almacenamiento que no contienen una etiqueta determinada en un almacén central de copia de seguridad. Esto puede ayudarle a administrar la copia de seguridad de blobs contenidos en varias cuentas de almacenamiento a gran escala. Para obtener más detalles, consulte https://aka.ms/AB-BlobBackupAzPolicies. | DeployIfNotExists, AuditIfNotExists, Disabled | 2.0.0-preview |
| [Versión preliminar]: Configure almacenes de Recovery Services para usar zonas DNS privadas para las copias de seguridad | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada crea un vínculo a la red virtual para resolverse en el almacén de Recovery Services. Más información en: https://aka.ms/AB-PrivateEndpoints. | DeployIfNotExists, Disabled | 1.0.1-preview |
| [Versión preliminar]: Configuración de almacenes de Recovery Services para usar puntos de conexión privados para copias de seguridad | Los puntos de conexión privados conectan las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a almacenes de Recovery Services, se puede reducir el riesgo de pérdida de datos. Tenga en cuenta que los almacenes deben cumplir determinados requisitos previos para poder optar a la configuración del punto de conexión privado. Más información en: https://go.microsoft.com/fwlink/?linkid=2187162. | DeployIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: Deshabilitar la restauración entre suscripciones para almacenes de Azure Recovery Services | Deshabilite o restaure permanentemente la suscripción cruzada para el almacén de Recovery Services, de forma que los destinos de restauración no puedan estar en una suscripción diferente de la suscripción del almacén. Más información en: https://aka.ms/csrenhancements. | Modificar, Deshabilitado | 1.1.0-preview |
| [Versión preliminar]: Deshabilitar la restauración entre suscripciones para almacenes de Backup | Deshabilite o deshabilite permanentemente la restauración entre suscripciones para el almacén de Backup, de forma que los destinos de restauración no puedan estar en una suscripción diferente de la suscripción del almacén. Más información en: https://aka.ms/csrstatechange. | Modificar, Deshabilitado | 1.1.0-preview |
| [Versión preliminar]: no permita la creación de almacenes de Recovery Services de redundancia de almacenamiento elegida. | Los almacenes de Recovery Services se pueden crear con cualquiera de las tres opciones de redundancia de almacenamiento actuales, es decir, almacenamiento con redundancia local, almacenamiento con redundancia de zona y almacenamiento con redundancia geográfica. Si las directivas de la organización requieren que bloquee la creación de almacenes que pertenecen a un tipo de redundancia determinado, puede lograr lo mismo mediante esta directiva de Azure. | Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: la inmutabilidad debe estar habilitada para almacenes de copia de seguridad | Esta directiva audita si la propiedad de almacenes inmutables está habilitada para almacenes de Backup en el ámbito. Esto ayuda a proteger los datos de copia de seguridad de ser eliminados antes de su expiración prevista. Obtenga más información en https://aka.ms/AB-ImmutableVaults. | Audit, Disabled | 1.0.1-preview |
| [Versión preliminar]: la inmutabilidad debe estar habilitada para almacenes de Recovery Services | Esta directiva audita si la propiedad de almacenes inmutables está habilitada para almacenes de Recovery Services en el ámbito. Esto ayuda a proteger los datos de copia de seguridad de ser eliminados antes de su expiración prevista. Obtenga más información en https://aka.ms/AB-ImmutableVaults. | Audit, Disabled | 1.0.1-preview |
| [Versión preliminar]: instale la extensión Azure Backup en clústeres de AKS (clúster administrado) con una etiqueta determinada. | La instalación de la extensión de Azure Backup es un requisito previo para proteger sus clústeres de AKS. Imponer la instalación de la extensión de copia de seguridad en todos los clústeres de AKS que contengan una etiqueta determinada. Hacer esto puede ayudarle a administrar la copia de seguridad de los clústeres de AKS a escala. | AuditIfNotExists, DeployIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: instale Azure Backup Extension en clústeres de AKS (clúster administrado) sin una etiqueta determinada. | La instalación de la extensión de Azure Backup es un requisito previo para proteger sus clústeres de AKS. Forzar la instalación de la extensión de copia de seguridad en todos los clústeres de AKS sin un valor de etiqueta determinado. Hacer esto puede ayudarle a administrar la copia de seguridad de los clústeres de AKS a escala. | AuditIfNotExists, DeployIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: La autorización multiusuario (MUA) debe estar habilitada para los almacenes de Backup. | Esta directiva audita si la autorización multiusuario (MUA) está habilitada para los almacenes de Backup. La MUA ayuda a proteger los almacenes de Backup agregando una capa adicional de protección a operaciones críticas. Para obtener más información, visite https://aka.ms/mua-for-bv. | Audit, Disabled | 1.0.0-preview |
| [versión preliminar]: La autorización multiusuario (MUA) debe estar habilitada para almacenes de Recovery Services. | Esta directiva audita si la autorización multiusuario (MUA) está habilitada para almacenes de Recovery Services. MUA ayuda a proteger los almacenes de Recovery Services agregando una capa adicional de protección a operaciones críticas. Para obtener más información, visite https://aka.ms/MUAforRSV. | Audit, Disabled | 1.0.0-preview |
| [Versión preliminar]: la eliminación temporal debe estar habilitada para almacenes de Recovery Services. | Esta directiva audita si la eliminación temporal está habilitada para almacenes de Recovery Services en el ámbito. La eliminación temporal puede ayudarle a recuperar sus datos incluso después de que se hayan eliminado. Obtenga más información en https://aka.ms/AB-SoftDelete. | Audit, Disabled | 1.0.0-preview |
| [Versión preliminar]: la eliminación temporal debe estar habilitada para almacenes de Backup | Esta directiva audita si la eliminación temporal está habilitada para almacenes de Backup en el ámbito. La eliminación temporal puede ayudarle a recuperar sus datos después de que se hayan eliminado. Más información en https://aka.ms/AB-SoftDelete. | Audit, Disabled | 1.0.0-preview |
| Azure Backup debe estar habilitado para Virtual Machines. | Asegúrese que Azure Virtual Machines está protegido; para ello, habilite Azure Backup. Azure Backup es una solución de protección de datos segura y rentable para Azure. | AuditIfNotExists, Disabled | 3.0.0 |
| Configurar la copia de seguridad en las máquinas virtuales con una etiqueta específica en un nuevo almacén de Recovery Services con una directiva predeterminada | Aplique la copia de seguridad de todas las máquinas virtuales mediante la implementación de un almacén de Recovery Services en la misma ubicación y grupo de recursos que la máquina virtual. Esto resulta útil cuando se asignan grupos de recursos independientes a distintos equipos de aplicación de la organización y es necesario administrar sus propias copias de seguridad y restauraciones. Opcionalmente, puede incluir máquinas virtuales que contengan una etiqueta específica para controlar el ámbito de la asignación. Vea https://aka.ms/AzureVMAppCentricBackupIncludeTag. | auditIfNotExists, AuditIfNotExists, deployIfNotExists, DeployIfNotExists, disabled, Disabled | 9.3.0 |
| Configurar la copia de seguridad en las máquinas virtuales con una etiqueta específica en un almacén de Recovery Services existente en la misma ubicación | Aplique la copia de seguridad de todas las máquinas virtuales; para ello, realice una copia de seguridad en un almacén de Recovery Services central que se encuentre en la misma ubicación y suscripción que la máquina virtual. Esto resulta útil cuando hay un equipo central en la organización que administra las copias de seguridad de todos los recursos de una suscripción. Opcionalmente, puede incluir máquinas virtuales que contengan una etiqueta específica para controlar el ámbito de la asignación. Vea https://aka.ms/AzureVMCentralBackupIncludeTag. | auditIfNotExists, AuditIfNotExists, deployIfNotExists, DeployIfNotExists, disabled, Disabled | 9.3.0 |
| Configurar la copia de seguridad en las máquinas virtuales sin una etiqueta específica en un nuevo almacén de Recovery Services con una directiva predeterminada | Aplique la copia de seguridad de todas las máquinas virtuales mediante la implementación de un almacén de Recovery Services en la misma ubicación y grupo de recursos que la máquina virtual. Esto resulta útil cuando se asignan grupos de recursos independientes a distintos equipos de aplicación de la organización y es necesario administrar sus propias copias de seguridad y restauraciones. Opcionalmente, puede excluir las máquinas virtuales que contengan una etiqueta específica para controlar el ámbito de la asignación. Vea https://aka.ms/AzureVMAppCentricBackupExcludeTag. | auditIfNotExists, AuditIfNotExists, deployIfNotExists, DeployIfNotExists, disabled, Disabled | 9.3.0 |
| Configurar la copia de seguridad en las máquinas virtuales sin una etiqueta específica en un almacén de Recovery Services existente en la misma ubicación | Aplique la copia de seguridad de todas las máquinas virtuales; para ello, realice una copia de seguridad en un almacén de Recovery Services central que se encuentre en la misma ubicación y suscripción que la máquina virtual. Esto resulta útil cuando hay un equipo central en la organización que administra las copias de seguridad de todos los recursos de una suscripción. Opcionalmente, puede excluir las máquinas virtuales que contengan una etiqueta específica para controlar el ámbito de la asignación. Vea https://aka.ms/AzureVMCentralBackupExcludeTag. | auditIfNotExists, AuditIfNotExists, deployIfNotExists, DeployIfNotExists, disabled, Disabled | 9.3.0 |
| Implementar la Configuración de diagnóstico para el almacén de Recovery Services para el área de trabajo de Log Analytics con categorías específicas de recursos. | Permite implementar la Configuración de diagnóstico para el almacén de Recovery Services a fin de transmitir en secuencias al área de trabajo de Log Analytics para categorías específicas de recursos. Si alguna de las categorías específicas de recursos no está habilitada, se crea una nueva opción de configuración de diagnóstico. | deployIfNotExists | 1.0.2 |
Batch
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| La cuenta de Azure Batch debe usar claves administradas por el cliente para cifrar los datos | Use claves administradas por el cliente para administrar el cifrado en reposo de los datos de la cuenta de Batch. De manera predeterminada, los datos del cliente se cifran con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información en https://aka.ms/Batch-CMK. | Audit, Deny, Disabled | 1.0.1 |
| Los grupos de Azure Batch deben tener habilitado el cifrado de disco | Habilitar el cifrado de disco de Azure Batch garantiza que los datos siempre se cifran en reposo en el nodo de ejecución de Azure Batch. Obtenga más información acerca del cifrado de disco en Batch en https://docs.microsoft.com/azure/batch/disk-encryption. | Audit, Disabled, Deny | 1.0.0 |
| Las cuentas de Batch deben tener deshabilitados los métodos de autenticación local | La deshabilitación de métodos de autenticación local mejora la seguridad, ya que garantiza que las cuentas de Batch requieran identidades de Azure Active Directory exclusivamente para la autenticación. Más información en: https://aka.ms/batch/auth. | Audit, Deny, Disabled | 1.0.0 |
| Configuración de cuentas de Batch para deshabilitar la autenticación local | Deshabilite los métodos de autenticación de ubicación para que sus cuentas de Batch requieran identidades de Azure Active Directory exclusivamente para la autenticación. Más información en: https://aka.ms/batch/auth. | Modificar, Deshabilitado | 1.0.0 |
| Configurar las cuentas de Batch para desactivar el acceso a la red pública | Al deshabilitar el acceso a la red pública en una cuenta de Batch, se mejora la seguridad al garantizar que solo se pueda acceder a la cuenta de Batch desde un punto de conexión privado. Obtenga más información sobre cómo deshabilitar el acceso a la red pública en https://docs.microsoft.com/azure/batch/private-connectivity. | Modificar, Deshabilitado | 1.0.0 |
| Configurar las cuentas de Batch con puntos de conexión privados | Los puntos de conexión privados conectan la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a su cuenta de Batch, se puede reducir el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://docs.microsoft.com/azure/batch/private-connectivity. | DeployIfNotExists, Disabled | 1.0.0 |
| Implementación: configurar las zonas DNS privadas de los puntos de conexión privados que se conectan a las cuentas de Batch | Los registros de DNS privado permiten conexiones privadas a puntos de conexión privados. Las conexiones de punto de conexión privado permiten la comunicación segura al habilitar la conectividad privada con cuentas de Batch sin necesidad de direcciones IP públicas en el origen o el destino. Para obtener más información sobre los puntos de conexión y las zonas DNS privados en Batch, vea https://docs.microsoft.com/azure/batch/private-connectivity. | DeployIfNotExists, Disabled | 1.0.0 |
| Las reglas de alerta de métricas deben configurarse en las cuentas de Batch | Permite auditar la configuración de reglas de alertas de métricas en una cuenta de Batch para habilitar la métrica requerida. | AuditIfNotExists, Disabled | 1.0.0 |
| Las conexiones de punto de conexión privado en cuentas de Batch deben estar habilitadas | Las conexiones de punto de conexión privado permiten la comunicación segura al habilitar la conectividad privada con cuentas de Batch sin necesidad de direcciones IP públicas en el origen o el destino. Más información sobre los puntos de conexión privados en Batch en https://docs.microsoft.com/azure/batch/private-connectivity. | AuditIfNotExists, Disabled | 1.0.0 |
| El acceso a redes públicas debe estar deshabilitado para las cuentas de Batch | Al deshabilitar el acceso a la red pública en una cuenta de Batch, se mejora la seguridad al garantizar que solo se pueda acceder a la cuenta de Batch desde un punto de conexión privado. Obtenga más información sobre cómo deshabilitar el acceso a la red pública en https://docs.microsoft.com/azure/batch/private-connectivity. | Audit, Deny, Disabled | 1.0.0 |
| Los registros de recursos de las cuentas de Batch deben estar habilitados. | Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red. | AuditIfNotExists, Disabled | 5.0.0 |
Servicio de bots
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| El punto de conexión de Bot Service debe ser un URI de HTTPS válido | Los datos se pueden alterar durante la transmisión. Hay protocolos que proporcionan cifrado para solucionar problemas de uso indebido y manipulación. Para asegurarse de que los bots se comunican solo por canales cifrados, establezca el punto de conexión en un URI de HTTPS válido. Esto garantiza que se usa el protocolo HTTPS para cifrar los datos en tránsito; además, suele ser un requisito de cumplimiento de los estándares normativos o del sector. Visite: https://docs.microsoft.com/azure/bot-service/bot-builder-security-guidelines. | auditoría, Auditoría, denegar, Denegar, deshabilitado, Deshabilitado | 1.1.0 |
| Bot Service se debe cifrar con una clave administrada por el cliente | Azure Bot Service cifra automáticamente el recurso para proteger sus datos y satisfacer los compromisos de cumplimiento y seguridad de la organización. De forma predeterminada, se usan claves de cifrado administradas por Microsoft. Para una mayor flexibilidad en la administración de claves o el control del acceso a su suscripción, seleccione claves administradas por el cliente, también conocidas como Bring your own key (BYOK). Más información acerca del cifrado de Azure Bot Service: https://docs.microsoft.com/azure/bot-service/bot-service-encryption. | audit, Audit, deny, Deny, disabled, Disabled | 1.1.0 |
| Bot Service debe tener el modo aislado habilitado | Los bots deben establecerse en el modo "solo aislado". Este valor configura los canales de Bot Service que requieren que se deshabilite el tráfico a través de la red pública de Internet. | auditoría, Auditoría, denegar, Denegar, deshabilitado, Deshabilitado | 2.1.0 |
| Bot Service debe tener deshabilitados los métodos de autenticación local | Deshabilitar los métodos de autenticación local mejora la seguridad al garantizar que un bot use exclusivamente AAD para la autenticación. | Audit, Deny, Disabled | 1.0.0 |
| Bot Service debe tener deshabilitado el acceso a la red pública | Los bots deben establecerse en el modo "solo aislado". Este valor configura los canales de Bot Service que requieren que se deshabilite el tráfico a través de la red pública de Internet. | Audit, Deny, Disabled | 1.0.0 |
| Los recursos de BotService deben usar private link | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados al recurso de BotService, se reduce el riesgo de pérdida de datos. | Audit, Disabled | 1.0.0 |
| Configuración de los recursos de BotService para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Se vincula una zona DNS privada a la red virtual para resolver los recursos relacionados con BotService. Más información en: https://aka.ms/privatednszone. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar recursos de BotService con puntos de conexión privados | Los puntos de conexión privados conectan la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados al recurso de BotService, puede reducir el riesgo de pérdida de datos. | DeployIfNotExists, Disabled | 1.0.0 |
Cache
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Azure Cache for Redis Enterprise debe usar claves administradas por el cliente para cifrar los datos de disco | Use claves administradas por el cliente (CMK) para administrar el cifrado en reposo de los datos en disco. De manera predeterminada, los datos del cliente se cifran con claves administradas por la plataforma (PMK), pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información en https://aka.ms/RedisCMK. | Audit, Deny, Disabled | 1.0.0 |
| Azure Cache for Redis Enterprise debe usar un vínculo privado | Los puntos de conexión privados le permiten conectar la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a las instancias de Azure Cache for Redis Enterprise, se reduce el riesgo de pérdida de datos. Más información en: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link. | AuditIfNotExists, Disabled | 1.0.0 |
| Azure Cache for Redis debe deshabilitar el acceso a la red pública | Al deshabilitar el acceso a la red pública, se mejora la seguridad, ya que garantiza que Azure Cache for Redis no se expone en la red pública de Internet. En su lugar, puede limitar la exposición de Azure Cache for Redis mediante la creación de puntos de conexión privados. Más información en: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link. | Audit, Deny, Disabled | 1.0.0 |
| Azure Cache for Redis no debería usar claves de acceso para la autenticación | No usar métodos de autenticación locales como las claves de acceso y usar alternativas más seguras como Microsoft Entra ID (recomendado) mejora la seguridad de su Azure Cache for Redis. Más información en aka.ms/redis/disableAccessKeyAuthentication | Audit, Deny, Disabled | 1.0.0 |
| Azure Cache for Redis debe usar Private Link | Los puntos de conexión privados le permiten conectar la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a las instancias de Azure Cache for Redis, se reduce el riesgo de pérdida de datos. Más información en: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link. | AuditIfNotExists, Disabled | 1.0.0 |
| Configurar Azure Cache for Redis para usar en zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Se puede vincular una zona DNS privada a la red virtual para que se resuelva en Azure Cache for Redis Enterprise. Más información en: https://aka.ms/privatednszone. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de Azure Cache for Redis Enterprise con puntos de conexión privados | Los puntos de conexión privados le permiten conectar la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a los recursos de Azure Cache for Redis Enterprise, se puede reducir el riesgo de pérdida de datos. Más información en: https://aka.ms/redis/privateendpoint. | DeployIfNotExists, Disabled | 1.1.0 |
| Configurar Azure Cache for Redis para deshabilitar puertos que no son SSL | Habilite conexiones solo de SSL a Azure Cache for Redis. El uso de conexiones seguras garantiza la autenticación entre el servidor y el servicio, y protege los datos en tránsito de ataques de nivel de red, como "man in-the-middle", interceptación y secuestro de sesión | Modificar, Deshabilitado | 1.0.0 |
| Configurar Azure Cache for Redis para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para el recurso de Azure Cache for Redis de modo que no sea accesible a través de la red pública de Internet. Esto ayuda a proteger la memoria caché frente a los riesgos de pérdida de datos. | Modificar, Deshabilitado | 1.0.0 |
| Configurar Azure Cache for Redis para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Se puede vincular una zona DNS privada a la red virtual para que se resuelva en Azure Cache for Redis. Más información en: https://aka.ms/privatednszone. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de Azure Cache for Redis con puntos de conexión privados | Los puntos de conexión privados le permiten conectar la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a los recursos de Azure Cache for Redis, se puede reducir el riesgo de pérdida de datos. Más información en: https://aka.ms/redis/privateendpoint. | DeployIfNotExists, Disabled | 1.0.0 |
| Solo se deben habilitar las conexiones seguras a la instancia de Azure Cache for Redis. | Permite auditar la habilitación solo de conexiones a Azure Cache for Redis a través de SSL. El uso de conexiones seguras garantiza la autenticación entre el servidor y el servicio, y protege los datos en tránsito de ataques de nivel de red, como "man in-the-middle", interceptación y secuestro de sesión | Audit, Deny, Disabled | 1.0.0 |
CDN
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Los perfiles de Azure Front Door deben usar el nivel Premium que admite reglas de WAF administradas y Private Link | Azure Front Door Premium admite reglas de WAF administradas de Azure y vínculo privado a orígenes de Azure admitidos. | Audit, Deny, Disabled | 1.0.0 |
| Azure Front Door Estándar y Premium deben ejecutar la versión mínima de TLS 1.2 | La configuración de la versión mínima de TLS a 1.2 mejora la seguridad asegurando el acceso a sus dominios personalizados desde clientes que utilizan TLS 1.2 o más reciente. No se recomienda usar versiones de TLS inferiores a 1.2, ya que son débiles y no admiten algoritmos criptográficos modernos. | Audit, Deny, Disabled | 1.0.0 |
| Protección de la conectividad privada entre Azure Front Door Premium y de Azure Storage Blob o Azure App Service | Private Link garantiza la conectividad privada entre AFD Premium y Azure Storage Blob o Azure App Service a través de la red troncal de Azure, sin que Azure Storage Blob ni Azure App Service estén expuestos públicamente a Internet. | Audit, Disabled | 1.0.0 |
ChangeTrackingAndInventory
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: Configuración de máquinas habilitadas para Arc en Linux para asociarse a un regla de recopilación de datos para ChangeTracking e Inventario | Implemente la asociación para vincular máquinas habilitadas para Arc en Linux a la regla de recopilación de datos especificada para habilitar Seguimiento de cambios e inventario. La lista de ubicaciones se actualiza con el tiempo a medida que aumenta la compatibilidad. | DeployIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: configuración de máquinas habilitadas para Arc en Linux para instalar AMA para seguimiento de cambios e inventario | Automatice la implementación de la extensión del agente de Azure Monitor en las máquinas habilitadas para Arc en Linux a fin de habilitar el Seguimiento de cambios e inventario. Esta directiva instalará la extensión si se admite la región. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 1.3.0-preview |
| [Versión preliminar]: Configuración de Linux Virtual Machines para asociarse a una regla de recopilación de datos para ChangeTracking e Inventario | Implemente la asociación para vincular máquinas virtuales Linux a la regla de recopilación de datos especificada para habilitar ChangeTracking e Inventario. La lista de ubicaciones e imágenes del sistema operativo se actualiza con el tiempo a medida que aumenta la compatibilidad. | DeployIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: Configuración de las VM Linux para instalar AMA para ChangeTracking e Inventario con una identidad administrada asignada por el usuario | Automatice la implementación de la extensión del agente de Azure Monitor en las máquinas virtuales Linux para permitir ChangeTracking e Inventario. Esta directiva instalará la extensión y la configurará para usar la identidad administrada asignada por el usuario especificada si se admite el sistema operativo y la región, y omita la instalación en caso contrario. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 1.5.0-preview |
| [Versión preliminar]: Configuración de VMSS Linux para asociarse a una regla de recopilación de datos para ChangeTracking e Inventario | Implemente la asociación para vincular conjuntos de escalado de máquinas virtuales Linux a la regla de recopilación de datos especificada para permitir ChangeTracking e Inventario. La lista de ubicaciones e imágenes del sistema operativo se actualiza con el tiempo a medida que aumenta la compatibilidad. | DeployIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: Configuración de VMSS de Linux para instalar AMA para ChangeTracking e Inventario con una identidad administrada asignada por el usuario | Automatice la implementación de la extensión del agente de Azure Monitor en los conjuntos de escalado de máquinas virtuales Linux para permitir ChangeTracking e Inventario. Esta directiva instalará la extensión y la configurará para usar la identidad administrada asignada por el usuario especificada si se admite el sistema operativo y la región, y omita la instalación en caso contrario. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 1.4.0-preview |
| [Versión preliminar]: Configuración de máquinas habilitadas para Arc en Windows para asociarlas a una regla de recopilación de datos para el Seguimiento de cambios e inventario | Implemente la asociación para vincular máquinas habilitadas para Arc en Windows a la regla de recopilación de datos especificada para habilitar el Seguimiento de cambios e inventario. La lista de ubicaciones se actualiza con el tiempo a medida que aumenta la compatibilidad. | DeployIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: Configuración de máquinas habilitadas para Arc en Windows para instalar AMA para el Seguimiento de cambios e inventario | Automatice la implementación de la extensión del agente de Azure Monitor en las máquinas habilitadas para Arc en Windows a fin de habilitar el Seguimiento de cambios e inventario. Esta directiva instalará la extensión si se admite el sistema operativo y la región y la identidad administrada asignada por el sistema está habilitada, y omitirá la instalación en caso contrario. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: Configurar Windows Virtual Machines para asociarlas a una regla de recopilación de datos para ChangeTracking e Inventario | Implemente la asociación para vincular máquinas virtuales Windows a la regla de recopilación de datos especificada para habilitar ChangeTracking e Inventario. La lista de ubicaciones e imágenes del sistema operativo se actualiza con el tiempo a medida que aumenta la compatibilidad. | DeployIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: Configuración de máquinas virtuales Windows para instalar AMA para ChangeTracking e Inventario con una identidad administrada asignada por el usuario | Automatice la implementación de la extensión del agente de Azure Monitor en las máquinas virtuales Windows para permitir ChangeTracking e Inventario. Esta directiva instalará la extensión y la configurará para usar la identidad administrada asignada por el usuario especificada si se admite el sistema operativo y la región, y omita la instalación en caso contrario. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 1.1.0-preview |
| [Versión preliminar]: Configurar VMSS de Windows para asociarse a una regla de recopilación de datos para ChangeTracking e Inventario | Implemente la asociación para vincular conjuntos de escalado de máquinas virtuales Windows a la regla de recopilación de datos especificada para habilitar ChangeTracking e Inventario. La lista de ubicaciones e imágenes del sistema operativo se actualiza con el tiempo a medida que aumenta la compatibilidad. | DeployIfNotExists, Disabled | 1.0.0-preview |
| Configuración de VMSS de Windows para instalar AMA para ChangeTracking e Inventario con una identidad administrada asignada por el usuario | Automatice la implementación de la extensión del agente de Azure Monitor en los conjuntos de escalado de máquinas virtuales Windows para permitir ChangeTracking e Inventario. Esta directiva instalará la extensión y la configurará para usar la identidad administrada asignada por el usuario especificada si se admite el sistema operativo y la región, y omita la instalación en caso contrario. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 1.1.0-preview |
Cognitive Services
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Los recursos de los Servicios de Azure AI deberían cifrar los datos en reposo con una clave administrada por el cliente (CMK) | El uso de claves administradas por el cliente para cifrar los datos en reposo proporciona más control sobre el ciclo de vida de las claves, incluida la rotación y la administración. Esto es especialmente relevante para las organizaciones con requisitos de cumplimiento relacionados. Esto no se evalúa de forma predeterminada y solo se debe aplicar cuando lo requieran los requisitos de directivas restrictivas o de cumplimiento. Si no está habilitado, los datos se cifrarán mediante claves administradas por la plataforma. Para implementar esto, actualice el parámetro "Effect" en la directiva de seguridad para el ámbito aplicable. | Audit, Deny, Disabled | 2.2.0 |
| Las cuentas de Cognitive Services deben usar una identidad administrada | La asignación de una identidad administrada a su cuenta de Cognitive Services ayuda a garantizar una autenticación segura. Esta cuenta de Cognitive Services usa esta identidad para comunicarse con otros servicios de Azure, como Azure Key Vault, de forma segura sin tener que administrar ninguna credencial. | Audit, Deny, Disabled | 1.0.0 |
| Las cuentas de Cognitive Services deben usar un almacenamiento propiedad del cliente | Use el almacenamiento de propiedad del cliente para controlar los datos almacenados en reposo en Cognitive Services. Para más información sobre el almacenamiento de propiedad del cliente, visite https://aka.ms/cogsvc-cmk. | Audit, Deny, Disabled | 2.0.0 |
| Configurar las cuentas de Cognitive Services para deshabilitar los métodos de autenticación local | Deshabilite los métodos de autenticación local para que las cuentas de Cognitive Services requieran identidades de Azure Active Directory exclusivamente para la autenticación. Más información en: https://aka.ms/cs/auth. | Modificar, Deshabilitado | 1.0.0 |
| Configurar las cuentas de Cognitive Services para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para el recurso de Cognitive Services de modo que no sea accesible a través de la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://go.microsoft.com/fwlink/?linkid=2129800. | Deshabilitado, Modificar | 3.0.0 |
| Configurar las cuentas de Cognitive Services para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada se vincula a la red virtual para resolverse en las cuentas de Cognitive Services. Más información en: https://go.microsoft.com/fwlink/?linkid=2110097. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar las cuentas de Cognitive Services con puntos de conexión privados | Los puntos de conexión privados conectan las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a Cognitive Services, reducirá la posibilidad de pérdida de datos. Más información sobre los vínculos privados en https://go.microsoft.com/fwlink/?linkid=2129800. | DeployIfNotExists, Disabled | 3.0.0 |
Comunicación
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| El recurso de servicio de comunicación debe usar una identidad gestionada | La asignación de una identidad administrada al recurso de Communication Service ayuda a garantizar la autenticación segura. Este recurso de Communication Service usa esta identidad para comunicarse con otros servicios de Azure, como Azure Storage, de forma segura sin tener que administrar credenciales. | Audit, Deny, Disabled | 1.0.0 |
| El recurso de Communication Service debe usar permitir la ubicación de datos enumerados | Cree un recurso de Communication Service solo desde una ubicación de datos permitida. Esta ubicación de datos determina dónde se almacenarán los datos del recurso de servicio de comunicación en reposo, asegurándose de que su preferido permite ubicaciones de datos de la lista, ya que esto no se puede cambiar después de la creación de recursos. | Audit, Deny, Disabled | 1.0.0 |
Proceso
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| SKU de tamaño de máquina virtual permitidas | Esta directiva permite especificar un conjunto de SKU de tamaño de máquina virtual que la organización puede implementar. | Denegar | 1.0.1 |
| Auditoría de máquinas virtuales sin la recuperación ante desastres configurada | Audita las máquinas virtuales que no tienen configurada la recuperación ante desastres. Para más información acerca de la recuperación ante desastres, visite https://aka.ms/asr-doc. | auditIfNotExists | 1.0.0 |
| Auditar las máquinas virtuales que no utilizan discos administrados | Esta directiva audita las máquinas virtuales que no utilizan discos administrados. | auditoría | 1.0.0 |
| Configuración de la recuperación ante desastres en máquinas virtuales habilitando la replicación mediante Azure Site Recovery | Las máquinas virtuales sin configuraciones de recuperación ante desastres pueden verse afectadas por interrupciones. Si la máquina virtual aún no tiene configurada la recuperación ante desastres, esta se iniciará al habilitar la replicación mediante configuraciones predeterminadas para facilitar la continuidad empresarial. Opcionalmente, puede incluir o excluir máquinas virtuales que contengan una etiqueta especificada para controlar el ámbito de la asignación. Para más información acerca de la recuperación ante desastres, visite https://aka.ms/asr-doc. | DeployIfNotExists, Disabled | 2.1.0 |
| Configurar los recursos de acceso al disco para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada crea un vínculo a la red virtual para resolverse en el disco administrado. Más información en: https://aka.ms/disksprivatelinksdoc. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar recursos de acceso al disco con puntos de conexión privados | Los puntos de conexión privados conectan las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignación puntos de conexión privados a los recursos de acceso al disco, podrá reducir el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/disksprivatelinksdoc. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar discos administrados para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para el recurso de disco administrado para que no sea accesible a través de Internet de acceso público. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://aka.ms/disksprivatelinksdoc. | Modificar, Deshabilitado | 2.0.0 |
| Implementar la extensión IaaSAntimalware predeterminada de Microsoft para Windows Server | Esta directiva implementa una extensión de Microsoft IaaSAntimalware con una configuración predeterminada cuando una VM no está configurada con la extensión de antimalware. | deployIfNotExists | 1.1.0 |
| Los recursos de acceso al disco deben usar un vínculo privado | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a diskAccesses, se reduce el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/disksprivatelinksdoc. | AuditIfNotExists, Disabled | 1.0.0 |
| Los discos administrados deben tener un cifrado doble con las claves administradas por el cliente y la plataforma | Los clientes con datos confidenciales de alto nivel de seguridad que están preocupados por el riesgo asociado a cualquier algoritmo de cifrado, implementación o clave en peligro concretos pueden optar por una capa adicional de cifrado con un algoritmo o modo de cifrado diferente en el nivel de infraestructura mediante claves de cifrado administradas por la plataforma. Los conjuntos de cifrado de disco son necesarios para usar el cifrado doble. Obtenga más información en https://aka.ms/disks-doubleEncryption. | Audit, Deny, Disabled | 1.0.0 |
| Los discos administrados deben deshabilitar el acceso a la red pública | Deshabilitar el acceso a la red pública mejora la seguridad al garantizar que un disco administrado no esté expuesto en Internet de acceso público. La creación de puntos de conexión privados permite limitar el nivel de exposición de los discos administrados. Más información en: https://aka.ms/disksprivatelinksdoc. | Audit, Disabled | 2.0.0 |
| Los discos administrados deben usar un conjunto específico de conjuntos de cifrado de disco para el cifrado de claves administradas por el cliente | Requerir un conjunto específico de los conjuntos de cifrado de disco para usarlo con Managed Disks le ofrece control sobre las claves usadas para el cifrado en reposo. Puede seleccionar los conjuntos cifrados permitidos y todos los demás se rechazan cuando se conectan a un disco. Obtenga más información en https://aka.ms/disks-cmk. | Audit, Deny, Disabled | 2.0.0 |
| Microsoft Antimalware para Azure debe estar configurado para actualizar automáticamente las firmas de protección. | Esta directiva audita cualquier máquina virtual de Windows que no esté configurada con la actualización automática de firmas de protección de Microsoft Antimalware. | AuditIfNotExists, Disabled | 1.0.0 |
| La extensión IaaSAntimalware de Microsoft debe implementarse en servidores Windows. | Esta directiva audita cualquier VM de Windows Server sin la extensión IaaSAntimalware de Microsoft implementada. | AuditIfNotExists, Disabled | 1.1.0 |
| Solo deben instalarse las extensiones de máquina virtual aprobadas | Esta directiva rige las extensiones de máquina virtual que no están aprobadas. | Audit, Deny, Disabled | 1.0.0 |
| El SO y los discos de datos deben cifrarse con una clave administrada por el cliente | Use claves administradas por el cliente para administrar el cifrado en reposo del contenido de Managed Disks. De manera predeterminada, los datos se cifran en reposo con claves administradas por la plataforma, pero las claves administradas por el cliente suelen ser necesarias para cumplir los estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información en https://aka.ms/disks-cmk. | Audit, Deny, Disabled | 3.0.0 |
| Proteja los datos con requisitos de autenticación al exportar o cargar en un disco o instantánea. | Cuando se usa la dirección URL de exportación o carga, el sistema comprueba si el usuario tiene una identidad en Azure Active Directory y posee los permisos necesarios para exportar o cargar los datos. Consulte aka.ms/DisksAzureADAuth. | Modificar, Deshabilitado | 1.0.0 |
| Exigir la aplicación automática de revisiones de imágenes del sistema operativo en Virtual Machine Scale Sets | Esta directiva requiere que se habilite la aplicación automática de revisiones de imagen de sistema operativo en Virtual Machine Scale Sets para que se apliquen mensualmente las revisiones de seguridad más recientes con el fin de que las máquinas virtuales estén siempre protegidas. | deny | 1.0.0 |
| Las máquinas virtuales y los conjuntos de escalado de máquinas virtuales deben tener habilitado el cifrado en el host | Use el cifrado en el host para obtener el cifrado de un extremo a otro para la máquina virtual y los datos del conjunto de escalado de máquinas virtuales. El cifrado en el host permite el cifrado en reposo para las memorias caché de disco temporal y de sistema operativo y de datos. Los discos temporales y los discos de SO efímeros se cifran con claves administradas por la plataforma cuando se habilita el cifrado en el host. Las memorias caché del disco de datos y de sistema operativo se cifran en reposo con claves administradas por el cliente o por la plataforma, según el tipo de cifrado seleccionado en el disco. Obtenga más información en https://aka.ms/vm-hbe. | Audit, Deny, Disabled | 1.0.0 |
| Se deben migrar las máquinas virtuales a nuevos recursos de Azure Resource Manager | Use el nuevo Azure Resource Manager para las máquinas virtuales a fin de proporcionar mejoras de seguridad como las siguientes: mayor control de acceso (RBAC), mejor auditoría, gobernanza e implementación basados en Azure Resource Manager, acceso a identidades administradas, acceso a secretos de Key Vault, autenticación basada en Azure AD y compatibilidad con etiquetas y grupos de recursos para facilitar la administración de seguridad. | Audit, Deny, Disabled | 1.0.0 |
Aplicaciones de contenedor
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| La autenticación debe estar habilitada en Container Apps | La autenticación de Container Apps es una característica que puede impedir que las solicitudes HTTP anónimas lleguen a una instancia de Container Apps o autenticar aquellas que tienen tokens antes de que lleguen a dicha instancia. | AuditIfNotExists, Disabled | 1.0.1 |
| Los entornos de una instancia de Container Apps deben usar la inserción de red | Los entornos de Container Apps deben usar la inserción de red virtual para: 1. Aislar Container Apps de la red pública de Internet 2. Habilitar la integración de red con recursos locales o en otras redes virtuales de Azure 3. Lograr un control más granular sobre el tráfico de red que fluye hacia y desde el entorno. | Audit, Disabled, Deny | 1.0.2 |
| La instancia de Container Apps se debe configurar con el montaje del volumen | Aplique el uso de montajes de volúmenes para Container Apps a fin de garantizar la disponibilidad de la capacidad de almacenamiento persistente. | Audit, Deny, Disabled | 1.0.1 |
| El entorno de Container Apps debe deshabilitar el acceso desde la red pública | Deshabilite el acceso desde la red pública a fin de mejorar la seguridad mediante la exposición del entorno de Container Apps a través de un equilibrador de carga interno. Esto quita la necesidad de una IP pública y evita el acceso a través de Internet a todas las instancias de Container Apps dentro del entorno. | Audit, Deny, Disabled | 1.1.0 |
| Container Apps debe deshabilitar el acceso desde la red externa | Deshabilite el acceso desde la red externa a Container Apps mediante la aplicación de la entrada solo interna. Esto garantizará que la comunicación entrante de Container Apps se limite solo a los autores de llamadas dentro del entorno de Container Apps. | Audit, Deny, Disabled | 1.0.1 |
| Container Apps solo debería ser accesible a través de HTTPS | El uso de HTTPS garantiza la autenticación del servicio y el servidor, y protege los datos en tránsito frente a ataques de intercepción de nivel de red. Al deshabilitar "allowInsecure", se producirá el redireccionamiento automático de las solicitudes de conexiones HTTP a HTTPS para las instancias de Container Apps. | Audit, Deny, Disabled | 1.0.1 |
| Container Apps debe tener habilitada la identidad administrada | La aplicación de la identidad administrada garantiza que Container Apps pueda autenticarse de manera segura en cualquier recurso que admita la autenticación de Azure AD. | Audit, Deny, Disabled | 1.0.1 |
Instancia de contenedor
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| El grupo de contenedores de la instancia de Azure Container Instances se debe implementar en una red virtual | Proteja la comunicación entre los contenedores con redes virtuales de Azure. Cuando se especifica una red virtual, los recursos de la red virtual pueden comunicarse entre sí de forma segura y privada. | Audit, Disabled, Deny | 2.0.0 |
| El grupo de contenedores de la instancia de Azure Container Instances debe usar una clave administrada por el cliente para el cifrado | Proteja los contenedores con mayor flexibilidad mediante el uso de claves administradas por el cliente. Cuando se especifica una clave administrada por el cliente, esa clave se usa para proteger y controlar el acceso a la clave que cifra los datos. El uso de claves administradas por el cliente proporciona funcionalidades adicionales para controlar la rotación de la clave de cifrado de claves o para borrar datos mediante criptografía. | Audit, Disabled, Deny | 1.0.0 |
| Configurar los ajustes de diagnóstico para los grupos de contenedores en el área de trabajo Log Analytics | Implementa la configuración de diagnóstico de la instancia de contenedor para transmitir registros de recursos a un área de trabajo de Log Analytics cuando se crea o actualiza cualquier instancia de contenedor a la que falte esta configuración de diagnóstico. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
Azure Container Instances
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Configuración de diagnósticos para el grupo de contenedores en el área de trabajo de Log Analytics | Anexa el workspaceId y workspaceKey especificados de Log Analytics cuando se crea o actualiza cualquier grupo de contenedores que falte en estos campos. No modifica los campos de los grupos de contenedores creados antes de que se aplique esta directiva hasta que se cambien esos grupos de recursos. | Anexar, deshabilitar | 1.0.0 |
Container Registry
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Configure los registros de contenedor para deshabilitar la autenticación anónima. | Deshabilite la extracción anónima del registro para que el usuario no autenticado no pueda acceder a los datos. Al deshabilitar los métodos de autenticación local, como el usuario administrador, los tokens de acceso de ámbito de repositorio y la extracción anónima, se mejora la seguridad al garantizar que los registros de contenedor requieren exclusivamente identidades de Azure Active Directory para la autenticación. Más información en: https://aka.ms/acr/authentication. | Modificar, Deshabilitado | 1.0.0 |
| Configure los registros de contenedor para deshabilitar la autenticación de token de audiencia de ARM. | Deshabilite los tokens de audiencia de ARM de Azure Active Directory para la autenticación en el registro. Solo se usarán tokens de audiencia de Azure Container Registry (ACR) para la autenticación. Esto garantizará que solo se puedan usar tokens destinados al uso en el registro para la autenticación. Deshabilitar los tokens de audiencia de ARM no afecta a la autenticación de los tokens de acceso de usuario administrador o de ámbito. Más información en: https://aka.ms/acr/authentication. | Modificar, Deshabilitado | 1.0.0 |
| Configure los registros de contenedor para deshabilitar la cuenta de administrador local. | Deshabilite la cuenta de administración de su registro para que el administrador local no pueda acceder a ella. Al deshabilitar los métodos de autenticación local, como el usuario administrador, los tokens de acceso de ámbito de repositorio y la extracción anónima, se mejora la seguridad al garantizar que los registros de contenedor requieren exclusivamente las identidades de Azure Active Directory para la autenticación. Más información en: https://aka.ms/acr/authentication. | Modificar, Deshabilitado | 1.0.1 |
| Configurar las instancias de Container Registry para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para el recurso de Container Registry de modo que no sea accesible a través de la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en https://aka.ms/acr/portal/public-network y https://aka.ms/acr/private-link. | Modificar, Deshabilitado | 1.0.0 |
| Configure los registros de contenedor para deshabilitar el token de acceso de ámbito de repositorio. | Deshabilite los tokens de acceso de ámbito de repositorio para el registro para que los tokens no puedan acceder a los repositorios. Al deshabilitar los métodos de autenticación local, como el usuario administrador, los tokens de acceso de ámbito de repositorio y la extracción anónima, se mejora la seguridad al garantizar que los registros de contenedor requieren exclusivamente identidades de Azure Active Directory para la autenticación. Más información en: https://aka.ms/acr/authentication. | Modificar, Deshabilitado | 1.0.0 |
| Configuración de las instancias de Container Registry para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada se vincula a la red virtual para resolverse en la instancia de Container Registry. Más información en https://aka.ms/privatednszone y https://aka.ms/acr/private-link. | DeployIfNotExists, Disabled | 1.0.1 |
| Configurar las instancias de Container Registry con puntos de conexión privados | Los puntos de conexión privados conectan la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a los recursos del registro de contenedor prémium, puede reducir los riesgos de pérdida de datos. Más información en https://aka.ms/privateendpoints y https://aka.ms/acr/private-link. | DeployIfNotExists, Disabled | 1.0.0 |
| Los registros de contenedor deben cifrarse con una clave administrada por el cliente | Use claves administradas por el cliente para administrar el cifrado en reposo del contenido de los registros. De manera predeterminada, los datos se cifran en reposo con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información en https://aka.ms/acr/CMK. | Audit, Deny, Disabled | 1.1.2 |
| Los registros de contenedor deben tener deshabilitada la autenticación anónima. | Deshabilite la extracción anónima del registro para que los usuarios no autenticados no puedan acceder a los datos. Al deshabilitar los métodos de autenticación local, como el usuario administrador, los tokens de acceso de ámbito de repositorio y la extracción anónima, se mejora la seguridad al garantizar que los registros de contenedor requieren exclusivamente identidades de Azure Active Directory para la autenticación. Más información en: https://aka.ms/acr/authentication. | Audit, Deny, Disabled | 1.0.0 |
| Los registros de contenedor deberían tener deshabilitada la autenticación de token de audiencia de ARM. | Deshabilite los tokens de audiencia de ARM de Azure Active Directory para la autenticación en el registro. Solo se usarán tokens de audiencia de Azure Container Registry (ACR) para la autenticación. Esto garantizará que solo se puedan usar tokens destinados al uso en el registro para la autenticación. Deshabilitar los tokens de audiencia de ARM no afecta a la autenticación de los tokens de acceso de usuario administrador o de ámbito. Más información en: https://aka.ms/acr/authentication. | Audit, Deny, Disabled | 1.0.0 |
| Los registros de contenedor deben tener las exportaciones deshabilitadas | Deshabilitar las exportaciones mejora la seguridad al garantizar que se accede a los datos de un registro únicamente a través del plano de datos ("docker pull"). Los datos no se pueden mover fuera del registro a través de "acr import" o a través de "acr transfer". Para deshabilitar las exportaciones, se debe deshabilitar el acceso a la red pública. Más información en: https://aka.ms/acr/export-policy. | Audit, Deny, Disabled | 1.0.0 |
| Los registros de contenedor deben tener deshabilitada la cuenta de administrador local. | Deshabilite la cuenta de administración de su registro para que el administrador local no pueda acceder a ella. Al deshabilitar los métodos de autenticación local, como el usuario administrador, los tokens de acceso de ámbito de repositorio y la extracción anónima, se mejora la seguridad al garantizar que los registros de contenedor requieren exclusivamente las identidades de Azure Active Directory para la autenticación. Más información en: https://aka.ms/acr/authentication. | Audit, Deny, Disabled | 1.0.1 |
| Los registros de contenedor deben tener deshabilitado el token de acceso de ámbito de repositorio. | Deshabilite los tokens de acceso de ámbito de repositorio para el registro para que los tokens no puedan acceder a los repositorios. Al deshabilitar los métodos de autenticación local, como el usuario administrador, los tokens de acceso de ámbito de repositorio y la extracción anónima, se mejora la seguridad al garantizar que los registros de contenedor requieren exclusivamente identidades de Azure Active Directory para la autenticación. Más información en: https://aka.ms/acr/authentication. | Audit, Deny, Disabled | 1.0.0 |
| Las instancias de Container Registry deben tener SKU que admitan vínculos privados | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados a los registros de contenedor en lugar de a todo el servicio, se reducen los riesgos de pérdida de datos. Más información en: https://aka.ms/acr/private-link. | Audit, Deny, Disabled | 1.0.0 |
| Las instancias de Container Registry no deben permitir el acceso de red sin restricciones | De manera predeterminada, las instancias de Azure Container Registry aceptan conexiones a través de Internet de hosts de cualquier red. Para proteger sus registros de posibles amenazas, permita el acceso solo desde determinados puntos de conexión privados, direcciones IP públicas o intervalos de direcciones. Si su registro no tiene reglas de red configuradas, aparecerá en los recursos no incorrectos. Más información sobre las reglas de red de Container Registry aquí: https://aka.ms/acr/privatelink,https://aka.ms/acr/portal/public-network y https://aka.ms/acr/vnet. | Audit, Deny, Disabled | 2.0.0 |
| Los registros de contenedor deben impedir la creación de reglas de caché | Deshabilitar la creación de reglas de caché para Azure Container Registry para evitar que se extraiga a través de las extracciones de caché. Más información en: https://aka.ms/acr/cache. | Audit, Deny, Disabled | 1.0.0 |
| Las instancias de Container Registry deben usar Private Link | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link controla la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a las instancias de Container Registry en lugar de a todo el servicio, además se protege frente a riesgos de pérdida de datos. Más información en: https://aka.ms/acr/private-link. | Audit, Disabled | 1.0.1 |
| El acceso a la red pública debe estar deshabilitado en las instancias de Container Registry | Al deshabilitar el acceso a la red pública, se mejora la seguridad, ya que los registros de contenedor no se exponen en la red pública de Internet. La creación de puntos de conexión privados puede limitar la exposición de los recursos del registro de contenedor. Más información en https://aka.ms/acr/portal/public-network y https://aka.ms/acr/private-link. | Audit, Deny, Disabled | 1.0.0 |
Cosmos DB
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Las cuentas de Azure Cosmos DB deben tener reglas de firewall. | Se deben definir reglas de firewall en las cuentas de Azure Cosmos DB para evitar el tráfico desde orígenes no autorizados. Las cuentas que tienen al menos una regla de IP definida con el filtro de red virtual habilitado se consideran compatibles. Las cuentas que deshabilitan el acceso público también se consideran compatibles. | Audit, Deny, Disabled | 2.1.0 |
| Las cuentas de Azure Cosmos DB no deben permitir el tráfico desde todos los centros de datos de Azure | Deshabilite la regla del firewall IP, "0.0.0.0", que permite todo el tráfico desde cualquier centro de datos Azure. Más información en https://aka.ms/cosmosdb-firewall. | Audit, Deny, Disabled | 1.0.0 |
| Las cuentas de Azure Cosmos DB no deben superar el número máximo de días permitido desde la última regeneración de la clave de cuenta. | Vuelva a generar las claves en el tiempo especificado para mantener los datos más protegidos. | Audit, Disabled | 1.0.0 |
| Las cuentas de Azure Cosmos DB deben usar claves administradas por el cliente para cifrar los datos en reposo | Use claves administradas por el cliente para administrar el cifrado en reposo de la instancia de Azure Cosmos DB. De manera predeterminada, los datos se cifran en reposo con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información en https://aka.ms/cosmosdb-cmk. | audit, Audit, deny, Deny, disabled, Disabled | 1.1.0 |
| Ubicaciones permitidas de Azure Cosmos DB | Esta directiva permite restringir las ubicaciones que la organización puede especificar al implementar recursos de Azure Cosmos DB. Úsela para aplicar los requisitos de cumplimiento de replicación geográfica. | [parameters('policyEffect')] | 1.1.0 |
| Se debe deshabilitar el acceso de escritura de metadatos basado en la clave de Azure Cosmos DB | Esta directiva permite asegurarse de que se deshabilita el acceso de escritura de metadatos basado en la clave en todas las cuentas de Azure Cosmos DB. | append | 1.0.0 |
| Azure Cosmos DB debe deshabilitar el acceso a la red pública | Al deshabilitar el acceso a la red pública, se mejora la seguridad, ya que la cuenta de CosmosDB no se expone en la red pública de Internet. La creación de puntos de conexión privados puede limitar la exposición de la cuenta de CosmosDB. Más información en: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints#blocking-public-network-access-during-account-creation. | Audit, Deny, Disabled | 1.0.0 |
| El rendimiento de Azure Cosmos DB debe ser limitado | Esta directiva le permite restringir el rendimiento máximo que puede especificar la organización al crear contenedores y bases de datos de Azure Cosmos DB mediante el proveedor de recursos. Bloquea la creación de recursos de escalabilidad automática. | auditoría, Auditoría, denegar, Denegar, deshabilitado, Deshabilitado | 1.1.0 |
| Configuración de cuentas de base de datos Cosmos DB para deshabilitar la autenticación local | Deshabilite los métodos de autenticación local para que las cuentas de base de datos de Cosmos DB exijan exclusivamente identidades de Azure Active Directory para la autenticación. Más información en: https://docs.microsoft.com/azure/cosmos-db/how-to-setup-rbac#disable-local-auth. | Modificar, Deshabilitado | 1.1.0 |
| Configurar las cuentas de CosmosDB para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para el recurso de CosmosDB de modo que no sea accesible a través de la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints#blocking-public-network-access-during-account-creation. | Modificar, Deshabilitado | 1.0.1 |
| Configurar las cuentas de CosmosDB para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada vincula a la red virtual para resolver la cuenta de CosmosDB. Más información en: https://aka.ms/privatednszone. | DeployIfNotExists, Disabled | 2.0.0 |
| Configurar las cuentas de CosmosDB con puntos de conexión privados | Los puntos de conexión privados conectan la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a su cuenta de CosmosDB, se puede reducir el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints. | DeployIfNotExists, Disabled | 1.0.0 |
| Las cuentas de la base de datos Cosmos DB deben tener deshabilitados los métodos de autenticación local | La deshabilitación de los métodos de autenticación local mejora la seguridad, ya que garantiza que las cuentas de base de datos de Cosmos DB exijan exclusivamente identidades de Azure Active Directory para la autenticación. Más información en: https://docs.microsoft.com/azure/cosmos-db/how-to-setup-rbac#disable-local-auth. | Audit, Deny, Disabled | 1.1.0 |
| Las cuentas de CosmosDB deben usar Private Link | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a su cuenta de CosmosDB, se reduce el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints. | Audit, Disabled | 1.0.0 |
| Implementar Advanced Threat Protection para cuentas de Cosmos DB | Esta directiva habilita Advanced Threat Protection en las cuentas de Cosmos DB. | DeployIfNotExists, Disabled | 1.0.0 |
Proveedor personalizado
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Implementación de asociaciones para proveedores personalizados | Implementa un recurso de asociación que asocia los tipos de recursos seleccionados con el proveedor personalizado especificado. Esta implementación de directiva no admite los tipos de recursos anidados. | deployIfNotExists | 1.0.0 |
Data Box
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Los trabajos de Azure Data Box deben habilitar el cifrado doble para los datos en reposo en el dispositivo | Habilite una segunda capa de cifrado basado en software para los datos en reposo en el dispositivo. El dispositivo ya está protegido mediante el Estándar de cifrado avanzado de 256 bits para datos en reposo. Esta opción agrega una segunda capa de cifrado de datos. | Audit, Deny, Disabled | 1.0.0 |
| Los trabajos de Azure Data Box deben usar una clave administrada por el cliente para cifrar la contraseña de desbloqueo del dispositivo | Use una clave administrada por el cliente para controlar el cifrado de la contraseña de desbloqueo del dispositivo para Azure Data Box. Las claves administradas por el cliente también ayudan a administrar el acceso a la contraseña de desbloqueo del dispositivo por parte del servicio Data Box para preparar el dispositivo y copiar los datos de forma automatizada. Los datos del propio dispositivo ya están cifrados en reposo con el Estándar de cifrado avanzado cifrado de 256 bits y la contraseña de desbloqueo del dispositivo se cifra de forma predeterminada con una clave administrada por Microsoft. | Audit, Deny, Disabled | 1.0.0 |
Data Factory
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: las canalizaciones de Azure Data Factory solo deben comunicarse con dominios permitidos | Para evitar la filtración de tokens y datos, establezca los dominios con los que debe permitirse que Azure Data Factory se comunique. Nota: Mientras se encuentre en versión preliminar pública, no se notifica el cumplimiento de esta directiva y, para que la directiva se aplique a Data Factory, habilite la funcionalidad de reglas de salida en ADF Studio. Para más información, visite https://aka.ms/data-exfiltration-policy. | Deny, Disabled | 1.0.0-preview |
| Las instancias de Azure Data Factory deben cifrarse con una clave administrada por el cliente. | Utilice claves administradas por el cliente (CMK) para administrar el cifrado en reposo de los datos de Azure Data Factory. De manera predeterminada, los datos del cliente se cifran con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información en https://aka.ms/adf-cmk. | Audit, Deny, Disabled | 1.0.1 |
| El entorno de ejecución de integración de Azure Data Factory debe tener un límite según el número de núcleos. | Para administrar los recursos y los costos, limite el número de núcleos de un entorno de ejecución de integración. | Audit, Deny, Disabled | 1.0.0 |
| El tipo de recurso de servicio vinculado de Azure Data Factory debe estar en la lista de permitidos. | Defina la lista de permitidos de los tipos de servicios vinculados de Azure Data Factory. Restringir los tipos de recursos permitidos permite controlar el límite del movimiento de datos. Por ejemplo, restrinja un ámbito para que solo permita el almacenamiento de blobs con Data Lake Storage Gen1 y Gen2 análisis o un ámbito para permitir solo el acceso de SQL y Kusto para las consultas en tiempo real. | Audit, Deny, Disabled | 1.1.0 |
| Los servicios vinculados de Azure Data Factory deben usar Key Vault para almacenar secretos. | Para asegurarse de que los secretos (como las cadenas de conexión) se administran de forma segura, pida a los usuarios que proporcionen los secretos con una instancia de Azure Key Vault en lugar de especificarlos en los servicios vinculados. | Audit, Deny, Disabled | 1.0.0 |
| Los servicios vinculados de Azure Data Factory deben usar la autenticación de identidad administrada asignada por el sistema cuando se admita. | El uso de la identidad administrada asignada por el sistema al comunicarse con almacenes de datos mediante los servicios vinculados evita el uso de credenciales menos seguras, como contraseñas o cadenas de conexión. | Audit, Deny, Disabled | 2.1.0 |
| Azure Data Factory debe usar un repositorio de Git para el control de código fuente. | Configure solo la factoría de datos de desarrollo con la integración de Git. Los cambios en la prueba y producción deben implementarse a través de CI/CD y NO deben tener la integración de Git. NO aplique esta directiva en las factorías de datos de QA/prueba/producción. | Audit, Deny, Disabled | 1.0.1 |
| Azure Data Factory debe usar Private Link | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados a Azure Data Factory, se reducen los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://docs.microsoft.com/azure/data-factory/data-factory-private-link. | AuditIfNotExists, Disabled | 1.0.0 |
| Configurar factorías de datos para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para la instancia de Data Factory de modo que no sea accesible desde la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://docs.microsoft.com/azure/data-factory/data-factory-private-link. | Modificar, Deshabilitado | 1.0.0 |
| Configurar las zonas DNS privadas para los puntos de conexión privados que se conectan a Azure Data Factory | Los registros de DNS privado permiten conexiones privadas a puntos de conexión privados. Las conexiones de los puntos de conexión privados permiten la comunicación segura al habilitar la conectividad privada con la instancia de Azure Data Factory sin necesidad de direcciones IP públicas en el origen o el destino. Para más información sobre los puntos de conexión privados y las zonas DNS en Azure Data Factory, consulte https://docs.microsoft.com/azure/data-factory/data-factory-private-link. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar los puntos de conexión privados para factorías de datos | Los puntos de conexión privados conectan la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a la instancia de Azure Data Factory, se reduce el riesgo de pérdida de datos. Más información en: https://docs.microsoft.com/azure/data-factory/data-factory-private-link. | DeployIfNotExists, Disabled | 1.1.0 |
| Debe deshabilitarse el acceso a redes públicas en Azure Data Factory. | Al deshabilitar la propiedad de acceso a la red pública, se mejora la seguridad al garantizar que solo se pueda acceder a la instancia de Azure Data Factory desde un punto de conexión privado. | Audit, Deny, Disabled | 1.0.0 |
| Los entornos de ejecución de integración de SQL Server Integration Services en Azure Data Factory deben unirse a una red virtual | La implementación de Azure Virtual Network proporciona seguridad y aislamiento mejorados para los entornos de ejecución de integración de SQL Server Integration Services en Azure Data Factory, así como subredes, directivas de control de acceso y otras características para restringir aún más el acceso. | Audit, Deny, Disabled | 2.3.0 |
Data Lake
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Requerir cifrado en cuentas de Data Lake Store. | Esta directiva garantiza que el cifrado está habilitado en todas las cuentas de Data Lake Store. | deny | 1.0.0 |
| Los registros de recursos de Azure Data Lake Store deben estar habilitados. | Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red. | AuditIfNotExists, Disabled | 5.0.0 |
| Los registros de recursos de Data Lake Analytics deben estar habilitados | Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red. | AuditIfNotExists, Disabled | 5.0.0 |
Virtualización de escritorios
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Los grupos de hosts de Azure Virtual Desktop deben deshabilitar el acceso a la red pública | Deshabilitar el acceso a la red pública mejora la seguridad y mantiene los datos seguros al garantizar que el acceso al servicio Azure Virtual Desktop no esté expuesto a la red pública de Internet. Más información en: https://aka.ms/avdprivatelink. | Audit, Deny, Disabled | 1.0.0 |
| Los grupos de hosts de Azure Virtual Desktop deben deshabilitar el acceso a la red pública solo en los host de sesión | Deshabilitar el acceso a la red pública para los hosts de sesión del grupo de hosts de Azure Virtual Desktop, pero permitir el acceso público a los usuarios finales mejora la seguridad limitando la exposición a la red pública de Internet. Más información en: https://aka.ms/avdprivatelink. | Audit, Deny, Disabled | 1.0.0 |
| El servicio Azure Virtual Desktop debe usar vínculo privado | El uso de Azure Private Link con los recursos de Azure Virtual Desktop puede mejorar la seguridad y mantener los datos seguros. Más información sobre los vínculos privados en https://aka.ms/avdprivatelink. | Audit, Disabled | 1.0.0 |
| Las áreas de trabajo de Azure Virtual Desktop deben deshabilitar el acceso a la red pública | Deshabilitar el acceso a la red pública para el recurso del área de trabajo de Azure Virtual Desktop impide que la fuente sea accesible a través de la red pública de Internet. Permitir solo el acceso a la red privada mejora la seguridad y mantiene los datos seguros. Más información en: https://aka.ms/avdprivatelink. | Audit, Deny, Disabled | 1.0.0 |
| Configurar los recursos del grupo de hosts de Azure Virtual Desktop para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada se vincula a la red virtual para resolver los recursos de Azure Virtual Desktop. Más información en: https://aka.ms/privatednszone. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar los grupos de hosts de Azure Virtual Desktop para deshabilitar el acceso a la red pública | Deshabilitar el acceso de red pública para los hosts de sesión y los usuarios finales en el recurso de grupo de hosts de Azure Virtual Desktop para que no sea accesible a través de la red pública de Internet. Esto mejora la seguridad y mantiene tus datos a salvo. Más información en: https://aka.ms/avdprivatelink. | Modificar, Deshabilitado | 1.0.0 |
| Configurar los grupos de hosts de Azure Virtual Desktop para deshabilitar el acceso a la red pública solo para los host de sesión | Deshabilitar el acceso a la red pública para los hosts de sesión del grupo de hosts de Azure Virtual Desktop, pero permita el acceso público a los usuarios finales. Esto permite a los usuarios seguir accediendo al servicio AVD, a la vez que se garantiza que el host de sesión solo sea accesible a través de rutas privadas. Más información en: https://aka.ms/avdprivatelink. | Modificar, Deshabilitado | 1.0.0 |
| Configurar grupos de hosts de Azure Virtual Desktop con puntos de conexión privados | Los puntos de conexión privados conectan la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Mediante la asignación de puntos de conexión privados a los recursos de Azure Virtual Desktop, puede mejorar la seguridad y mantener los datos seguros. Más información en: https://aka.ms/avdprivatelink. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar los recursos del área de trabajo de Azure Virtual Desktop para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada se vincula a la red virtual para resolver los recursos de Azure Virtual Desktop. Más información en: https://aka.ms/privatednszone. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar las áreas de trabajo de Azure Virtual Desktop para deshabilitar el acceso a la red pública | Deshabilitar el acceso a la red pública para el recurso del área de trabajo de Azure Virtual Desktop para que la fuente no sea accesible a través de la red pública de Internet. Esto mejora la seguridad y mantiene tus datos a salvo. Más información en: https://aka.ms/avdprivatelink. | Modificar, Deshabilitado | 1.0.0 |
| Configurar las áreas de trabajo de Azure Virtual Desktop con puntos de conexión privados | Los puntos de conexión privados conectan la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Mediante la asignación de puntos de conexión privados a los recursos de Azure Virtual Desktop, puede mejorar la seguridad y mantener los datos seguros. Más información en: https://aka.ms/avdprivatelink. | DeployIfNotExists, Disabled | 1.0.0 |
DevCenter
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: Los grupos de Microsoft Dev Box no deben usar redes hospedadas de Microsoft. | No permite el uso de redes hospedadas de Microsoft al crear recursos de grupo. | Audit, Deny, Disabled | 1.0.0-preview |
DevOpsInfrastructure
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: los grupos de DevOps administrados de Microsoft deben proporcionarse con un recurso de subred válido para configurarse con una red virtual propia. | No permite crear recursos de grupo si no se proporciona un recurso de subred válido. | Audit, Deny, Disabled | 1.0.0-preview |
ElasticSan
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| ElasticSan debe deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública de ElasticSan para que no sea accesible a través de la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. | Audit, Deny, Disabled | 1.0.0 |
| El grupo de volúmenes de ElasticSan debe usar claves administradas por el cliente para cifrar los datos en reposo | Use claves administradas por el cliente para administrar el cifrado en reposo de VolumeGroup. De manera predeterminada, los datos del cliente se cifran con claves administradas por la plataforma, pero las CMK suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault que haya creado y sea de su propiedad, con control total y responsabilidad, incluida la rotación y la administración. | Audit, Disabled | 1.0.0 |
| El grupo de volúmenes de ElasticSan debe usar puntos de conexión privados | Los puntos de conexión privados permiten al administrador conectar redes virtuales a servicios de Azure sin una dirección IP pública en el origen o destino. Mediante la asignación de puntos de conexión privados al grupo de volúmenes, el administrador puede reducir los riesgos de pérdida de dato. | Audit, Disabled | 1.0.0 |
Event Grid
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Los dominios de Azure Event Grid deben deshabilitar el acceso a la red pública | Al deshabilitar el acceso a la red pública, se mejora la seguridad ya que el recurso no se expone en la red pública de Internet. En su lugar, puede limitar la exposición de los recursos mediante la creación de puntos de conexión privados. Más información en: https://aka.ms/privateendpoints. | Audit, Deny, Disabled | 1.0.0 |
| Los dominios de Azure Event Grid deben tener deshabilitados los métodos de autenticación local | La deshabilitación de los métodos de autenticación local mejora la seguridad, ya que garantiza que los dominios de Azure Event Grid requieran exclusivamente identidades de Azure Active Directory para la autenticación. Más información en: https://aka.ms/aeg-disablelocalauth. | Audit, Deny, Disabled | 1.0.0 |
| Los dominios de Azure Event Grid deben usar Private Link | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados al dominio de Event Grid en lugar de a todo el servicio, también estará protegido frente a riesgos de pérdida de datos. Más información en: https://aka.ms/privateendpoints. | Audit, Disabled | 1.0.2 |
| El agente MQTT del espacio de nombres de Azure Event Grid debe usar el vínculo privado | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados al espacio de nombres de Event Grid en lugar de a todo el servicio, también estará protegido frente a riesgos de pérdida de datos. Más información en: https://aka.ms/aeg-ns-privateendpoints. | Audit, Disabled | 1.0.0 |
| El agente de temas del espacio de nombres de Azure Event Grid debe usar el vínculo privado | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados al espacio de nombres de Event Grid en lugar de a todo el servicio, también estará protegido frente a riesgos de pérdida de datos. Más información en: https://aka.ms/aeg-ns-privateendpoints. | Audit, Disabled | 1.0.0 |
| Los espacios de nombres de Azure Event Grid deben deshabilitar el acceso a la red pública | Al deshabilitar el acceso a la red pública, se mejora la seguridad ya que el recurso no se expone en la red pública de Internet. En su lugar, puede limitar la exposición de los recursos mediante la creación de puntos de conexión privados. Más información en: https://aka.ms/aeg-ns-privateendpoints. | Audit, Deny, Disabled | 1.0.0 |
| Los espacios de nombres de partner de Azure Event Grid deben tener deshabilitados los métodos de autenticación local | La deshabilitación de los métodos de autenticación local mejora la seguridad, ya que garantiza que los espacios de nombres de partner de Azure Event Grid requieran exclusivamente identidades de Azure Active Directory para la autenticación. Más información en: https://aka.ms/aeg-disablelocalauth. | Audit, Deny, Disabled | 1.0.0 |
| Los temas de Azure Event Grid deben deshabilitar el acceso a la red pública | Al deshabilitar el acceso a la red pública, se mejora la seguridad ya que el recurso no se expone en la red pública de Internet. En su lugar, puede limitar la exposición de los recursos mediante la creación de puntos de conexión privados. Más información en: https://aka.ms/privateendpoints. | Audit, Deny, Disabled | 1.0.0 |
| Los temas de Azure Event Grid deben tener deshabilitados los métodos de autenticación local | La deshabilitación de los métodos de autenticación local mejora la seguridad, ya que garantiza que los temas de Azure Event Grid requieran exclusivamente identidades de Azure Active Directory para la autenticación. Más información en: https://aka.ms/aeg-disablelocalauth. | Audit, Deny, Disabled | 1.0.0 |
| Los temas de Azure Event Grid deben usar Private Link | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados al tema de Event Grid en lugar de a todo el servicio, estará además protegido frente a riesgos de pérdida de datos. Más información en: https://aka.ms/privateendpoints. | Audit, Disabled | 1.0.2 |
| Configurar dominios de Azure Event Grid para deshabilitar la autenticación local | Deshabilite los métodos de autenticación local para que los dominios de Azure Event Grid requieran exclusivamente identidades de Azure Active Directory para la autenticación. Más información en: https://aka.ms/aeg-disablelocalauth. | Modificar, Deshabilitado | 1.0.0 |
| Configuración del agente MQTT del espacio de nombres de Azure Event Grid con puntos de conexión privados | Los puntos de conexión privados le permiten conectar la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Mediante la asignación de puntos de conexión privados a los recursos, estarán protegidos frente a los riesgos de pérdida de datos. Más información en: https://aka.ms/aeg-ns-privateendpoints. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de espacios de nombres de Azure Event Grid con puntos de conexión privados | Los puntos de conexión privados le permiten conectar la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Mediante la asignación de puntos de conexión privados a los recursos, estarán protegidos frente a los riesgos de pérdida de datos. Más información en: https://aka.ms/aeg-ns-privateendpoints. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar espacios de nombres de partner de Azure Event Grid para deshabilitar la autenticación local | Deshabilite los métodos de autenticación local para que los espacios de nombres de partner de Azure Event Grid requieran exclusivamente identidades de Azure Active Directory para la autenticación. Más información en: https://aka.ms/aeg-disablelocalauth. | Modificar, Deshabilitado | 1.0.0 |
| Configurar temas de Azure Event Grid para deshabilitar la autenticación local | Deshabilite los métodos de autenticación local para que los temas de Azure Event Grid requieran exclusivamente identidades de Azure Active Directory para la autenticación. Más información en: https://aka.ms/aeg-disablelocalauth. | Modificar, Deshabilitado | 1.0.0 |
| Implementación: configurar los dominios de Azure Event Grid para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Más información en: https://aka.ms/privatednszone. | deployIfNotExists, DeployIfNotExists, Disabled | 1.1.0 |
| Implementación: configurar los dominios de Azure Event Grid con puntos de conexión privados | Los puntos de conexión privados le permiten conectar la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Mediante la asignación de puntos de conexión privados a los recursos, estarán protegidos frente a los riesgos de pérdida de datos. Más información en: https://aka.ms/privateendpoints. | DeployIfNotExists, Disabled | 1.0.0 |
| Implementación: configurar los temas de Azure Event Grid para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Más información en: https://aka.ms/privatednszone. | deployIfNotExists, DeployIfNotExists, Disabled | 1.1.0 |
| Implementación: configurar los temas de Azure Event Grid con puntos de conexión privados | Los puntos de conexión privados le permiten conectar la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Mediante la asignación de puntos de conexión privados a los recursos, estarán protegidos frente a los riesgos de pérdida de datos. Más información en: https://aka.ms/privateendpoints. | DeployIfNotExists, Disabled | 1.0.0 |
| Modificación: configurar los dominios de Azure Event Grid para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública en el recurso de Azure Event Grid de modo que no sea accesible a través de la red pública de Internet. Esto le ayudará a protegerlo contra los riesgos de pérdida de datos. En su lugar, puede limitar la exposición de los recursos mediante la creación de puntos de conexión privados. Más información en: https://aka.ms/privateendpoints. | Modificar, Deshabilitado | 1.0.0 |
| Modificación: configurar los temas de Azure Event Grid para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública en el recurso de Azure Event Grid de modo que no sea accesible a través de la red pública de Internet. Esto le ayudará a protegerlo contra los riesgos de pérdida de datos. En su lugar, puede limitar la exposición de los recursos mediante la creación de puntos de conexión privados. Más información en: https://aka.ms/privateendpoints. | Modificar, Deshabilitado | 1.0.0 |
Centro de eventos
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Todas las reglas de autorización, excepto RootManageSharedAccessKey, se deben eliminar del espacio de nombres del centro de eventos | Los clientes del Centro de eventos no deben usar una directiva de acceso de nivel de espacio de nombres que proporciona acceso a todas las colas y temas de un espacio de nombres. Para alinearse con el modelo de seguridad con privilegios mínimos, debe crear directivas de acceso en las entidades para que las colas y los temas proporcionen acceso solo a la entidad específica. | Audit, Deny, Disabled | 1.0.1 |
| Las reglas de autorización de la instancia del centro de eventos deben definirse. | Permite auditar la existencia de reglas de autorización en entidades de Event Hub para conceder acceso con privilegios mínimos. | AuditIfNotExists, Disabled | 1.0.0 |
| Los espacios de nombres de Azure Event Hub deben tener los métodos de autenticación local deshabilitados | La deshabilitación de los métodos de autenticación local mejora la seguridad, ya que garantiza que los espacios de nombres de Azure Event Hub requieran exclusivamente identidades de Microsoft Entra ID para la autenticación. Más información en: https://aka.ms/disablelocalauth-eh. | Audit, Deny, Disabled | 1.0.1 |
| Configuración de los espacios de nombres de Azure Event Hub para deshabilitar la autenticación local | Deshabilite los métodos de autenticación local para que los espacios de nombres de Azure Event Hub requieran exclusivamente identidades de Microsoft Entra ID para la autenticación. Más información en: https://aka.ms/disablelocalauth-eh. | Modificar, Deshabilitado | 1.0.1 |
| Configurar los espacios de nombres del centro de eventos para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada vincula a la red virtual para resolver los espacios de nombres del centro de eventos. Más información en: https://docs.microsoft.com/azure/event-hubs/private-link-service. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar los espacios de nombres del centro de eventos con puntos de conexión privados | Los puntos de conexión privados conectan la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Mediante la asignación de puntos de conexión privados a los espacios de nombres del centro de eventos, puede reducir los riesgos de pérdida de datos. Más información en: https://docs.microsoft.com/azure/event-hubs/private-link-service. | DeployIfNotExists, Disabled | 1.0.0 |
| Los espacios de nombres del Centro de eventos deberían deshabilitar el acceso a la red pública | El Centro de eventos de Azure debe tener deshabilitado el acceso a la red pública. Al deshabilitar el acceso a la red pública, se mejora la seguridad ya que el recurso no se expone en la red pública de Internet. En su lugar, puede limitar la exposición de los recursos mediante la creación de puntos de conexión privados. Más información en: https://docs.microsoft.com/azure/event-hubs/private-link-service | Audit, Deny, Disabled | 1.0.0 |
| Los espacios de nombres del centro de eventos deben tener habilitado el cifrado doble | La habilitación del cifrado doble ayuda a custodiar y proteger sus datos con el fin de satisfacer los compromisos de cumplimiento y seguridad de la organización. Cuando está habilitado el cifrado doble, los datos de las cuentas de almacenamiento se cifran dos veces, una vez en el nivel de servicio y otra en el nivel de infraestructura, con dos algoritmos de cifrado y dos claves diferentes. | Audit, Deny, Disabled | 1.0.0 |
| Los espacios de nombres deben usar una clave administrada por el cliente para el cifrado | Azure Event Hubs admite la opción de cifrado de datos en reposo con claves administradas por Microsoft (predeterminada) o claves administradas por el cliente. La selección del cifrado de datos mediante claves administradas por el cliente le permite asignar, rotar, deshabilitar y revocar el acceso a las claves que el centro de eventos usará para cifrar los datos en el espacio de nombres. Tenga en cuenta que el centro de eventos solo admite el cifrado con claves administradas por el cliente para los espacios de nombres en clústeres dedicados. | Audit, Disabled | 1.0.0 |
| Los espacios de nombres del centro de eventos deben usar Private Link | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados a los espacios de nombres del centro de eventos, se reducen los riesgos de pérdida de datos. Más información en: https://docs.microsoft.com/azure/event-hubs/private-link-service. | AuditIfNotExists, Disabled | 1.0.0 |
| Los registros de recursos de la instancia de Event Hubs deben estar habilitados. | Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red. | AuditIfNotExists, Disabled | 5.0.0 |
Fluid Relay
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Fluid Relay debe usar claves administradas por el cliente para cifrar los datos en reposo | Use claves administradas por el cliente para administrar el cifrado en reposo del servidor Fluid Relay. De manera predeterminada, los datos del cliente se cifran con claves administradas por el servicio, pero las CMK suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault que haya creado y sea de su propiedad, con control total y responsabilidad, incluida la rotación y la administración. Obtenga más información en https://docs.microsoft.com/azure/azure-fluid-relay/concepts/customer-managed-keys. | Audit, Disabled | 1.0.0 |
General
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Ubicaciones permitidas | Esta directiva permite restringir las ubicaciones que la organización puede especificar al implementar los recursos. Úsela para aplicar los requisitos de cumplimiento de replicación geográfica. Excluye los grupos de recursos, Microsoft.AzureActiveDirectory/b2cDirectories, y recursos que usan la región "global". | deny | 1.0.0 |
| Ubicaciones permitidas para grupos de recursos | Esta directiva permite restringir las ubicaciones en las que la organización puede crear grupos de recursos. Úsela para aplicar los requisitos de cumplimiento de replicación geográfica. | deny | 1.0.0 |
| Tipos de recursos permitidos | Esta directiva le permite especificar los tipos de recursos que puede implementar su organización. La directiva solo se aplicará a los tipos de recursos que admitan los valores "tags" y "location". Para restringir todos los recursos, duplique esta directiva y cambie el valor de "mode" a "All". | deny | 1.0.0 |
| La ubicación del recurso de auditoría coincide con la del grupo de recursos | Auditoría cuya ubicación de recursos coincide con la ubicación de su grupo de recursos. | auditoría | 2.0.0 |
| Auditar el uso de roles RBAC personalizados | Permite auditar roles integrados, como "propietario, colaborador, lector" en lugar de roles RBAC personalizados, que son propensos a errores de auditoría. El uso de roles personalizados se trata como una excepción y requiere una revisión rigurosa y el modelado de amenazas. | Audit, Disabled | 1.0.1 |
| Configuración de suscripciones para configurar características en versión preliminar | Esta directiva evalúa las características en versión preliminar de la suscripción existente. Las suscripciones se pueden corregir para registrarse en una nueva característica en versión preliminar. Las nuevas suscripciones no se registrarán automáticamente. | AuditIfNotExists, DeployIfNotExists, Disabled | 1.0.1 |
| No permitir la eliminación de tipos de recursos | Esta directiva permite especificar los tipos de recursos que la organización puede proteger frente a la eliminación accidental con el bloqueo de las llamadas de eliminación mediante el efecto de acción de denegación. | DenyAction, Disabled | 1.0.1 |
| No permitir recursos de M365 | Bloquee la creación de recursos de M365. | Audit, Deny, Disabled | 1.0.0 |
| No permitir recursos de MCPP | Bloquee la creación de recursos de MCPP. | Audit, Deny, Disabled | 1.0.0 |
| Excluir recursos de costos de uso | Esta directiva le permite excluir los recursos de costos de uso. Los costos de uso incluyen elementos como el almacenamiento medido y los recursos de Azure que se facturan en función del uso. | Audit, Deny, Disabled | 1.0.0 |
| Tipos de recursos no permitidos | Restrinja qué tipos de recursos se pueden implementar en el entorno. Limitar los tipos de recursos puede reducir la complejidad y la superficie expuesta a ataques de su entorno a la vez que también ayuda a administrar los costos. Los resultados de cumplimiento solo se muestran para los recursos no compatibles. | Audit, Deny, Disabled | 2.0.0 |
Configuración de invitado
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: Agregar una identidad administrada asignada por el usuario para habilitar las asignaciones de configuración de invitado en máquinas virtuales | Esta directiva agrega una identidad administrada asignada por el usuario a las máquinas virtuales hospedadas en Azure que son compatibles con la configuración de invitado. Una identidad administrada asignada por el usuario es un requisito previo para todas las asignaciones de configuración de invitado y debe agregarse a los equipos antes de usar las definiciones de directiva de la configuración de invitado. Para más información sobre la configuración de invitado, visite https://aka.ms/gcpol. | AuditIfNotExists, DeployIfNotExists, Disabled | 2.1.0-preview |
| [Versión preliminar]: Configuración de Windows Server para deshabilitar los usuarios locales | Crea una asignación de configuración de invitado para configurar la deshabilitación de usuarios locales en Windows Server. Esto garantiza que solo la cuenta de AAD (Azure Active Directory) o una lista de usuarios permitidos explícitamente en esta directiva accedan a los servidores de Windows, lo que mejora la posición de seguridad general. | DeployIfNotExists, Disabled | 1.2.0-preview |
| [Versión preliminar]: las actualizaciones de seguridad extendidas deben instalarse en las máquinas Windows Server 2012 Arc. | Las máquinas de Windows Server 2012 Arc deben haber instalado todas las actualizaciones de seguridad extendidas publicadas por Microsoft. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más información, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: las máquinas Linux deben cumplir los requisitos de línea base de seguridad de Azure para hosts de Docker | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. La máquina no está configurada correctamente para una de las recomendaciones de la base de referencia de seguridad de Azure para los hosts de Docker. | AuditIfNotExists, Disabled | 1.2.0-preview |
| [Versión preliminar]: Las máquinas Linux deben cumplir los requisitos de cumplimiento de STIG del proceso de Azure | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si no están configuradas correctamente para una de las recomendaciones de los requisitos de cumplimiento de STIG para el proceso de Azure. DISA (Agencia de sistemas de información de defensa) proporciona guías técnicas STIG (Guía de implementación técnica de seguridad) para proteger el sistema operativo de proceso según lo requiera el Departamento de Defensa (DoD). Para más detalles, consulte https://public.cyber.mil/stigs/. | AuditIfNotExists, Disabled | 1.2.0-preview |
| [Versión preliminar]: Las máquinas Linux con OMI instalado deben tener la versión 1.6.8-1 o posterior | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Debido a una corrección de seguridad incluida en la versión 1.6.8-1 del paquete de OMI para Linux, todas las máquinas deben actualizarse a la versión más reciente. Para resolver el problema, actualice las aplicaciones o los paquetes que usan OMI. Para obtener más información, vea https://aka.ms/omiguidance. | AuditIfNotExists, Disabled | 1.2.0-preview |
| [Versión preliminar]: Nexus Compute Machines debe cumplir la línea base de seguridad | Usa el agente de configuración de invitado de Azure Policy para la auditoría. Esta directiva garantiza que las máquinas se adhieren a la línea de base de seguridad de proceso Nexus, que incluye varias recomendaciones diseñadas para fortificar máquinas frente a una serie de vulnerabilidades y configuraciones no seguras (solo Linux). | AuditIfNotExists, Disabled | 1.1.0-preview |
| [Versión preliminar]: Las máquinas Windows deben cumplir los requisitos de cumplimiento de STIG para el proceso de Azure | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si no están configuradas correctamente para una de las recomendaciones de los requisitos de cumplimiento de la STIG para el proceso de Azure. DISA (Agencia de sistemas de información de defensa) proporciona guías técnicas STIG (Guía de implementación técnica de seguridad) para proteger el sistema operativo de proceso según lo requiera el Departamento de Defensa (DoD). Para más detalles, consulte https://public.cyber.mil/stigs/. | AuditIfNotExists, Disabled | 1.0.0-preview |
| Agregar una identidad administrada asignada por el sistema para habilitar las asignaciones de configuración de invitado en máquinas virtuales sin identidades | Esta directiva agrega una identidad administrada asignada por el sistema a las máquinas virtuales hospedadas en Azure que son compatibles con la configuración de invitado pero no tienen identidades administradas. Una identidad administrada asignada por el sistema es un requisito previo para todas las asignaciones de configuración de invitado y debe agregarse a los equipos antes de usar las definiciones de directiva de la configuración de invitado. Para más información sobre la configuración de invitado, visite https://aka.ms/gcpol. | modify | 4.1.0 |
| Agregar una identidad administrada asignada por el sistema para habilitar las asignaciones de configuración de invitado en máquinas virtuales con una identidad asignada por el usuario | Esta directiva agrega una identidad administrada asignada por el sistema a las máquinas virtuales hospedadas en Azure que son compatibles con la configuración de invitado y que tienen al menos una identidad asignada por el usuario, pero no tienen ninguna identidad administrada asignada por el sistema. Una identidad administrada asignada por el sistema es un requisito previo para todas las asignaciones de configuración de invitado y debe agregarse a los equipos antes de usar las definiciones de directiva de la configuración de invitado. Para más información sobre la configuración de invitado, visite https://aka.ms/gcpol. | modify | 4.1.0 |
| Auditar las máquinas Linux que permitan conexiones remotas desde cuentas sin contraseña | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si las máquinas Linux permiten la conexión remota de cuentas sin contraseña. | AuditIfNotExists, Disabled | 3.1.0 |
| Auditar las máquinas Linux que no tengan los permisos del archivo de contraseñas establecidos en 0644 | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si las máquinas Linux no tienen los permisos del archivo de contraseñas establecidos en 0644. | AuditIfNotExists, Disabled | 3.1.0 |
| Auditar las máquinas Linux que no tienen instaladas las aplicaciones especificadas | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si el recurso INSPEC de Chef indica que uno o varios de los paquetes proporcionados por el parámetro no están instalados. | AuditIfNotExists, Disabled | 4.2.0 |
| Auditar las máquinas Linux que tengan cuentas sin contraseña | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si las máquinas Linux tienen cuentas sin contraseña. | AuditIfNotExists, Disabled | 3.1.0 |
| Auditar las máquinas Linux que tienen instaladas las aplicaciones especificadas | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si el recurso INSPEC de Chef indica que uno o varios de los paquetes proporcionados por el parámetro están instalados. | AuditIfNotExists, Disabled | 4.2.0 |
| Auditoría de la posición de seguridad de SSH para Linux (con tecnología de OSConfig) | Esta directiva audita la configuración de seguridad del servidor SSH en máquinas Linux (máquinas virtuales de Azure y máquinas habilitadas para Arc). Para obtener más información, incluidos los requisitos previos, la configuración en el ámbito, los valores predeterminados y la personalización, consulte https://aka.ms/SshPostureControlOverview | AuditIfNotExists, Disabled | 1.0.1 |
| Auditar las máquinas Windows que no tengan ninguno de los miembros especificados en el grupo de administradores | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si el grupo de administradores locales no contiene uno o más miembros de los que se enumeran en el parámetro de la directiva. | auditIfNotExists | 2.0.0 |
| Auditar la conectividad de red de máquinas Windows | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si el estado de una conexión de red con una IP y un puerto TCP no coincide con el parámetro de la directiva. | auditIfNotExists | 2.0.0 |
| Auditar las máquinas Windows en las que la configuración de DSC no sea compatible | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si el comando de Windows PowerShell Get-DSCConfigurationStatus devuelve que la configuración de DSC de la máquina no es compatible. | auditIfNotExists | 3.0.0 |
| Auditar las máquinas Windows en las que el agente de Log Analytics no esté conectado como se esperaba | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si el agente no está instalado o si está instalado, pero el objeto COM AgentConfigManager.MgmtSvcCfg devuelve que está registrado en un área de trabajo distinta del identificador especificado en el parámetro de la directiva. | auditIfNotExists | 2.0.0 |
| Auditar las máquinas Windows en que los servicios especificados no estén instalados y en ejecución | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si el resultado del comando de Windows PowerShell Get-Service no incluye el nombre del servicio con el estado de coincidencia tal y como se especifica en el parámetro de la directiva. | auditIfNotExists | 3.0.0 |
| Auditar las máquinas Windows donde no esté habilitado Serial Console de Windows | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si la máquina no tiene instalado el software de la consola serie o si el número de puerto de EMS o la velocidad en baudios no están configurados con los mismos valores que los parámetros de la directiva. | auditIfNotExists | 3.0.0 |
| Auditar las máquinas de Windows que permiten volver a usar las contraseñas después del número especificado de contraseñas únicas | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son conformes si las máquinas de Windows permiten volver a usar las contraseñas después del número especificado de contraseñas únicas. El valor predeterminado para contraseñas únicas es 24 | AuditIfNotExists, Disabled | 2.1.0 |
| Auditar las máquinas Windows que no estén unidas al dominio especificado | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si el valor de la propiedad de dominio en la clase WMI win32_computersystem no coincide con el valor del parámetro de directiva. | auditIfNotExists | 2.0.0 |
| Auditar las máquinas Windows que no estén establecidas en la zona horaria especificada | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si el valor de la propiedad StandardName en la clase WMI Win32_TimeZone no coincide con la zona horaria seleccionada para el parámetro de directiva. | auditIfNotExists | 3.0.0 |
| Auditar las máquinas Windows que contengan certificados que expirarán en el plazo de días especificado | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si los certificados del almacén especificado tienen una fecha de expiración fuera del intervalo durante el número de días dado como parámetro. La directiva también proporciona la opción de comprobar únicamente los certificados específicos o de excluir determinados certificados y de si se debe informar de los certificados expirados. | auditIfNotExists | 2.0.0 |
| Auditar las máquinas Windows que no contengan los certificados especificados en la raíz de confianza | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si el almacén de certificados raíz de confianza de la máquina (Cert:\LocalMachine\Root) no contiene uno o varios de los certificados enumerados por el parámetro de directiva. | auditIfNotExists | 3.0.0 |
| Auditar las máquinas de Windows que no tengan la antigüedad máxima de la contraseña establecida en el número de días especificado | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son conformes si las máquinas de Windows no tienen la antigüedad máxima de contraseña establecida con el número de días especificado. El valor predeterminado para la antigüedad máxima de la contraseña es de 70 días | AuditIfNotExists, Disabled | 2.1.0 |
| Auditar las máquinas de Windows que no tengan la antigüedad mínima de la contraseña establecida en el número de días especificado | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son conformes si las máquinas de Windows no tienen la antigüedad mínima de contraseña establecida con el número de días especificado. El valor predeterminado para la antigüedad mínima de la contraseña es de 1 día | AuditIfNotExists, Disabled | 2.1.0 |
| Auditar las máquinas Windows que no tengan habilitada la configuración de complejidad de la contraseña | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si las máquinas Windows no tienen habilitada la configuración de complejidad de la contraseña. | AuditIfNotExists, Disabled | 2.0.0 |
| Realizar una auditoría de las máquinas Windows que no tengan instalada la directiva de ejecución específica de Windows PowerShell | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si el comando Get-ExecutionPolicy de Windows PowerShell devuelve un valor distinto al seleccionado en el parámetro de directiva. | AuditIfNotExists, Disabled | 3.0.0 |
| Realizar una auditoría de las máquinas Windows que no tengan instalados los módulos específicos de Windows PowerShell | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son conformes si un módulo no está disponible en la ubicación especificada por la variable de entorno PSModulePath. | AuditIfNotExists, Disabled | 3.0.0 |
| Auditar las máquinas Windows que no restrinjan la longitud mínima de las contraseñas a un número específico de caracteres | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son conformes si las máquinas de Windows no restringen la longitud mínima de caracteres de la contraseña. El valor predeterminado para la longitud mínima de la contraseña es de 14 caracteres | AuditIfNotExists, Disabled | 2.1.0 |
| Auditar las máquinas Windows que no almacenen contraseñas mediante cifrado reversible | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si las máquinas Windows no almacenan las contraseñas con cifrado reversible. | AuditIfNotExists, Disabled | 2.0.0 |
| Auditar las máquinas Windows que no tienen instaladas las aplicaciones especificadas | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si el nombre de la aplicación no se encuentra en ninguna de las siguientes rutas de acceso del registro: HKLM:SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall, HKLM:SOFTWARE\Wow6432node\Microsoft\Windows\CurrentVersion\Uninstall, HKCU:Software\Microsoft\Windows\CurrentVersion\Uninstall. | auditIfNotExists | 2.0.0 |
| Auditar las máquinas Windows que tengan cuentas adicionales en el grupo de administradores | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si el grupo de administradores locales contiene miembros que no se enumeran en el parámetro de la directiva. | auditIfNotExists | 2.0.0 |
| Auditar las máquinas Windows que no se reiniciaron en el plazo de días especificado | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si la propiedad de WMI LastBootUpTime en la clase Win32_Operatingsystem está fuera del intervalo de días proporcionado por el parámetro de la directiva. | auditIfNotExists | 2.0.0 |
| Auditar las máquinas Windows que tienen instaladas las aplicaciones especificadas | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si el nombre de la aplicación se encuentra en cualquiera de las siguientes rutas de acceso del registro: HKLM:SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall, HKLM:SOFTWARE\Wow6432node\Microsoft\Windows\CurrentVersion\Uninstall, HKCU:Software\Microsoft\Windows\CurrentVersion\Uninstall. | auditIfNotExists | 2.0.0 |
| Auditar las máquinas Windows que tengan los miembros especificados en el grupo de administradores | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si el grupo de administradores locales contiene uno o varios de los miembros enumerados en el parámetro de la directiva. | auditIfNotExists | 2.0.0 |
| Auditar las VM Windows con un reinicio pendiente | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si la máquina está pendiente de reinicio por alguno de los siguientes motivos: servicio basado en componentes, Windows Update, cambio de nombre de archivo pendiente, cambio de nombre de máquina pendiente o reinicio de Configuration Manager pendiente. Cada detección tiene una ruta de acceso del registro única. | auditIfNotExists | 2.0.0 |
| La autenticación en máquinas Linux debe requerir claves SSH. | Aunque el propio SSH proporciona una conexión cifrada, el uso de contraseñas con SSH deja la máquina virtual vulnerable a ataques por fuerza bruta. La opción más segura para autenticarse en una máquina virtual Linux de Azure mediante SSH es con un par de claves pública y privada, también conocido como claves SSH. Más información: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed. | AuditIfNotExists, Disabled | 3.2.0 |
| Configuración de Linux Server para deshabilitar los usuarios locales. | Crea una asignación de configuración de invitado para configurar la deshabilitación de los usuarios locales en un servidor Linux. Esto garantiza que solo la cuenta de AAD (Azure Active Directory) o una lista de usuarios con permiso explícito de esta directiva puedan acceder a los servidores Linux, lo que mejora la posición de seguridad general. | DeployIfNotExists, Disabled | 1.3.0-preview |
| Configuración de protocolos de comunicación segura (TLS 1.1 o TLS 1.2) en máquinas Windows | Crea una asignación de configuración de invitado para configurar la versión de protocolo seguro especificada (TLS 1.1 o TLS 1.2) en una máquina Windows. | DeployIfNotExists, Disabled | 1.0.1 |
| Configuración de la posición de seguridad de SSH para Linux (con tecnología de OSConfig) | Esta directiva audita y configura la configuración de seguridad del servidor SSH en máquinas Linux (máquinas virtuales de Azure y máquinas habilitadas para Arc). Para obtener más información, incluidos los requisitos previos, la configuración en el ámbito, los valores predeterminados y la personalización, consulte https://aka.ms/SshPostureControlOverview | DeployIfNotExists, Disabled | 1.0.1 |
| Configure la zona horaria en las máquinas de Windows. | Esta directiva crea una asignación de configuración de invitado para establecer la zona horaria especificada en Windows Virtual Machines. | deployIfNotExists | 2.1.0 |
| Implementar la extensión de configuración de invitado de Linux para permitir las asignaciones de configuración de invitado en máquinas virtuales Linux | Esta directiva implementa la extensión de configuración de invitado de Linux en las máquinas virtuales Linux hospedadas en Azure que son compatibles con la configuración de invitado. La extensión de configuración de invitado de Linux es un requisito previo para todas las asignaciones de configuración de invitado de Linux y debe implementarse en las máquinas antes de usar cualquier definición de directiva de configuración de invitado de Linux. Para más información sobre la configuración de invitado, visite https://aka.ms/gcpol. | deployIfNotExists | 3.1.0 |
| Implementar la extensión de configuración de invitado de Windows para permitir las asignaciones de configuración de invitado en máquinas virtuales Windows | Esta directiva implementa la extensión de configuración de invitado de Windows en las máquinas virtuales Windows hospedadas en Azure que son compatibles con la configuración de invitado. La extensión de configuración de invitado de Windows es un requisito previo para todas las asignaciones de configuración de invitado de Windows y debe implementarse en las máquinas antes de usar cualquier definición de directiva de configuración de invitado de Windows. Para más información sobre la configuración de invitado, visite https://aka.ms/gcpol. | deployIfNotExists | 1.2.0 |
| Las máquinas Linux deben cumplir los requisitos de la base de referencia de seguridad de procesos de Azure | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si la máquina no está configurada correctamente para una de las recomendaciones de la base de referencia de seguridad de procesos de Azure. | AuditIfNotExists, Disabled | 2.2.0 |
| Las máquinas Linux solo deben tener cuentas locales permitidas | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Administrar cuentas de usuario mediante Azure Active Directory es un procedimiento recomendado para la administración de identidades. Reducir las cuentas de máquinas locales ayuda a evitar la proliferación de identidades administradas fuera de un sistema central. Las máquinas no son compatibles si existen cuentas de usuario locales que están habilitadas y no aparecen en el parámetro de directiva. | AuditIfNotExists, Disabled | 2.2.0 |
| Las máquinas virtuales de Linux deben habilitar Azure Disk Encryption o EncryptionAtHost. | Aunque el sistema operativo y los discos de datos de una máquina virtual están cifrados en reposo de forma predeterminada mediante claves administradas por la plataforma, los discos de recursos (discos temporales), las memorias caché de datos y los datos que fluyen entre los recursos de proceso y almacenamiento no se cifran. Use Azure Disk Encryption o EncryptionAtHost para ponerle remedio. Visite https://aka.ms/diskencryptioncomparison para comparar las ofertas de cifrado. Esta directiva requiere que se implementen dos requisitos previos en el ámbito de asignación de directiva. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 1.2.1 |
| Los métodos de autenticación local deben deshabilitarse en máquinas Linux | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si los servidores Linux no tienen deshabilitados los métodos de autenticación local. Esto es para validar que solo la cuenta de AAD (Azure Active Directory) o una lista de usuarios con permiso explícito de esta directiva puedan acceder a los servidores Linux, lo que mejora la posición de seguridad general. | AuditIfNotExists, Disabled | 1.2.0-preview |
| Los métodos de autenticación local deben deshabilitarse en servidores Windows Server | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si los servidores Windows no tienen deshabilitados los métodos de autenticación local. Esto es para validar que solo la cuenta de AAD (Azure Active Directory) o una lista de usuarios con permiso explícito de esta directiva puedan acceder a las instancias de Windows Server, lo que mejora la posición de seguridad general. | AuditIfNotExists, Disabled | 1.0.0-preview |
| Los puntos de conexión privados para las asignaciones de configuración de invitado deben habilitarse. | Las conexiones de punto de conexión privado aplican una comunicación segura, ya que habilitan la conectividad privada con la configuración de invitado para las máquinas virtuales. Las máquinas virtuales serán no compatibles a menos que tengan la etiqueta "EnablePrivateNetworkGC". Esta etiqueta exige una comunicación segura mediante conectividad privada con la configuración de invitado para Virtual Machines. La conectividad privada limita el acceso al tráfico procedente solo de redes conocidas e impide el acceso del resto de direcciones IP, incluidas las de Azure. | Audit, Deny, Disabled | 1.1.0 |
| La Protección contra vulnerabilidades de seguridad de Windows Defender debe estar habilitada en las máquinas. | La protección contra vulnerabilidades de seguridad de Windows Defender utiliza el agente de configuración de invitado de Azure Policy. La protección contra vulnerabilidades de seguridad tiene cuatro componentes diseñados para bloquear dispositivos en una amplia variedad de vectores de ataque y comportamientos de bloque utilizados habitualmente en ataques de malware, al tiempo que permiten a las empresas equilibrar los requisitos de productividad y riesgo de seguridad (solo Windows). | AuditIfNotExists, Disabled | 2.0.0 |
| Las máquinas Windows deben configurarse para usar protocolos de comunicación seguros | Para proteger la privacidad de la información que se comunica a través de Internet, las máquinas deben usar la versión más reciente del protocolo criptográfico estándar del sector, Seguridad de la capa de transporte (TLS). TLS protege las comunicaciones que se realizan a través de una red para cifrar una conexión entre máquinas. | AuditIfNotExists, Disabled | 4.1.1 |
| Las máquinas Windows deben configurar Windows Defender para que actualice las firmas de protección en un plazo de un día | Para proporcionar una protección adecuada frente al malware recién publicado, las firmas de protección de Windows Defender deben actualizarse periódicamente para que abarquen el malware recién publicado. Esta directiva no se aplica a los servidores conectados a Arc y requiere que se hayan implementado los requisitos previos de configuración de invitado en el ámbito de asignación de directivas. Para más información sobre la configuración de invitado, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 1.0.1 |
| Las máquinas Windows deben habilitar la protección en tiempo real de Windows Defender | Las máquinas Windows deben habilitar la protección en tiempo real en Windows Defender para proporcionar una protección adecuada frente al malware recién publicado. Esta directiva no está disponible para los servidores conectados a Arc y requiere que se hayan implementado los requisitos previos de configuración de invitado en el ámbito de asignación de directivas. Para más información sobre la configuración de invitado, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 1.0.1 |
| Las máquinas Windows deben cumplir los requisitos de "Plantillas administrativas - Panel de control" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Plantillas administrativas - Panel de control" para la personalización de entrada y para evitar que se habiliten pantallas de bloqueo. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Plantillas administrativas - MSS (heredado)" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Plantillas administrativas - MSS (heredado)" para el inicio de sesión automático, el protector de pantalla, el comportamiento de la red, el archivo DLL seguro y el registro de eventos. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Plantillas administrativas - Red" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Plantillas administrativas - Red" para los inicios de sesión de invitado, las conexiones simultáneas, el puente de red, ICS y la resolución de nombres de multidifusión. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Plantillas administrativas - Sistema" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Plantillas administrativas - Sistema" para la configuración que determina la experiencia administrativa y la asistencia remota. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Opciones de seguridad - Cuentas" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Opciones de seguridad - Cuentas" para limitar el uso de contraseñas en blanco por parte de cuentas locales y el estado de la cuenta de invitado. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Opciones de seguridad - Auditoría" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Opciones de seguridad - Auditar" para aplicar la subcategoría de la directiva de auditoría y apagar si no es posible registrar las auditorías de seguridad. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Opciones de seguridad - Dispositivos" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Opciones de seguridad - Dispositivos" para desacoplar sin iniciar sesión, instalar controladores de impresión, así como formatear o expulsar medios. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Opciones de seguridad - Inicio de sesión interactivo" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Opciones de seguridad - Inicio de sesión interactivo" para mostrar el último nombre de usuario y solicitar el uso de Ctrl-Alt-Supr. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Opciones de seguridad - Cliente de redes de Microsoft" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Opciones de seguridad - Cliente de redes de Microsoft" para el cliente/servidor de red de Microsoft y SMB v1. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Opciones de seguridad - Servidor de red Microsoft" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Opciones de seguridad - Servidor de red Microsoft" para deshabilitar el servidor SMB v1. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Opciones de seguridad - Acceso a la red" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Opciones de seguridad - Acceso a la red" para incluir el acceso de usuarios anónimos, cuentas locales y acceso remoto al Registro. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Opciones de seguridad - Seguridad de red" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Opciones de seguridad - Seguridad de la red" para incluir el comportamiento del sistema local, PKU2U, LAN Manager, el cliente LDAP y el portal de autoservicio (SSP) de NTLM. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Opciones de seguridad - Consola de recuperación" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Opciones de seguridad - Consola de recuperación" para permitir la copia de disquetes y el acceso a todas las unidades y carpetas. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Opciones de seguridad - Apagar" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Opciones de seguridad - Apagar" para permitir el apagado sin iniciar sesión y borrar el archivo de paginación de la memoria virtual. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos para "Opciones de seguridad - Objetos del sistema" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Opciones de seguridad - Objetos del sistema" sin distinción de mayúsculas y minúsculas para los subsistemas que no son de Windows y los permisos de objetos internos del sistema. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Opciones de seguridad - Configuración del sistema" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Opciones de seguridad - Configuración del sistema" para las reglas de certificado en archivos ejecutables del SRP y los subsistemas opcionales. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Opciones de seguridad - Control de cuentas de usuario" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Opciones de seguridad - Control de cuentas de usuario" para el modo de administradores, el comportamiento de la petición de elevación y la virtualización de errores de escritura de archivos y del registro. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Configuración de seguridad - Directivas de cuenta" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Configuración de seguridad - Directivas de cuenta" para el historial de contraseñas, la antigüedad, la longitud, la complejidad y el almacenamiento de contraseñas mediante cifrado reversible. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Configuración de seguridad - Directivas de cuenta" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Configuración de seguridad - Directivas de cuenta" para auditar la validación de credenciales y otros eventos de inicio de sesión de cuenta. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Directivas de auditoría del sistema - Administración de cuentas" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Directivas de auditoría del sistema - Administración de cuentas" para auditar la aplicación, la seguridad y la administración de grupos de usuarios, así como otros eventos de administración. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Directivas de auditoría del sistema - Seguimiento detallado" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Directivas de auditoría del sistema - Seguimiento detallado" para auditar la API de protección de datos, la creación o terminación de procesos, los eventos de RPC y la actividad PNP. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Directivas de auditoría del sistema - Iniciar sesión/Cerrar sesión" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Directivas de auditoría del sistema - Iniciar sesión/Cerrar sesión" para auditar IPSec, la directiva de red, las notificaciones, el bloqueo de cuentas, la pertenencia a grupos y los eventos de inicio o cierre de sesión. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Directivas de auditoría del sistema - Acceso a objetos" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Directivas de auditoría del sistema - Acceso a objetos" para auditar los sistemas de archivo, registro, SAM, almacenamiento, filtrado, kernel y de otro tipo. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Directivas de auditoría del sistema - Cambio en directivas" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Directivas de auditoría del sistema - Cambio en directivas" para auditar los cambios en las directivas de auditoría del sistema. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Directivas de auditoría del sistema - Uso de privilegios" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Directivas de auditoría del sistema - Uso de privilegios" para auditar el uso no confidencial y de otros privilegios. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Directivas de auditoría del sistema - Sistema" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Directivas de auditoría del sistema - Sistema" para auditar el controlador IPsec, la integridad del sistema, la extensión del sistema, el cambio de estado y otros eventos del sistema. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Asignación de derechos de usuario" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Asignación de derechos de usuario" para permitir el inicio de sesión local, el protocolo RDP, el acceso desde la red y muchas otras actividades de usuario. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Componentes de Windows" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Componentes de Windows" para la autenticación básica, el tráfico no cifrado, las cuentas de Microsoft, la telemetría, Cortana y otros comportamientos de Windows. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de "Propiedades de Firewall de Windows" | Las máquinas Windows deben tener la configuración de directiva de grupo especificada en la categoría "Propiedades de Firewall de Windows" para el estado del firewall, las conexiones, la administración de reglas y las notificaciones. Esta directiva requiere que los requisitos previos de configuración de invitado se hayan implementado en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas Windows deben cumplir los requisitos de línea base de seguridad de proceso de Azure. | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Las máquinas no son compatibles si la máquina no está configurada correctamente para una de las recomendaciones de la base de referencia de seguridad de procesos de Azure. | AuditIfNotExists, Disabled | 2.0.0 |
| Las máquinas Windows solo deben tener cuentas locales permitidas | Requiere que los requisitos previos se implementen en el ámbito de asignación de directivas. Para más detalles, visite https://aka.ms/gcpol. Esta definición no se admite en Windows Server 2012 o 2012 R2. Administrar cuentas de usuario mediante Azure Active Directory es un procedimiento recomendado para la administración de identidades. Reducir las cuentas de máquinas locales ayuda a evitar la proliferación de identidades administradas fuera de un sistema central. Las máquinas no son compatibles si existen cuentas de usuario locales que están habilitadas y no aparecen en el parámetro de directiva. | AuditIfNotExists, Disabled | 2.0.0 |
| Las máquinas virtuales Windows deben habilitar Azure Disk Encryption o EncryptionAtHost. | Aunque el sistema operativo y los discos de datos de una máquina virtual están cifrados en reposo de forma predeterminada mediante claves administradas por la plataforma, los discos de recursos (discos temporales), las memorias caché de datos y los datos que fluyen entre los recursos de proceso y almacenamiento no se cifran. Use Azure Disk Encryption o EncryptionAtHost para ponerle remedio. Visite https://aka.ms/diskencryptioncomparison para comparar las ofertas de cifrado. Esta directiva requiere que se implementen dos requisitos previos en el ámbito de asignación de directiva. Para más detalles, visite https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 1.1.1 |
HDInsight
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Los clústeres de Azure HDInsight deben insertarse en una red virtual | Al insertar clústeres de Azure HDInsight en una red virtual, se desbloquean las características avanzadas de redes y seguridad de HDInsight y se proporciona control sobre la configuración de seguridad de la red. | Audit, Disabled, Deny | 1.0.0 |
| Los clústeres de Azure HDInsight deben usar claves administradas por el cliente para cifrar los datos en reposo | Utilice claves administradas por el cliente para administrar el cifrado en reposo de los clústeres de Azure HDInsight. De manera predeterminada, los datos del cliente se cifran con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información en https://aka.ms/hdi.cmk. | Audit, Deny, Disabled | 1.0.1 |
| Los clústeres de Azure HDInsight deben usar el cifrado en el host para cifrar los datos en reposo. | La habilitación del cifrado en el host ayuda a custodiar y proteger sus datos con el fin de satisfacer los compromisos de cumplimiento y seguridad de la organización. Cuando se habilita el cifrado en el host, los datos almacenados en el host de máquina virtual se cifran en reposo y se transmiten cifrados al servido Storage. | Audit, Deny, Disabled | 1.0.0 |
| Los clústeres de Azure HDInsight deben usar el cifrado en tránsito para cifrar la comunicación entre los nodos del clúster de Azure HDInsight. | Los datos se pueden alterar durante la transmisión entre los nodos de clúster de Azure HDInsight. Al habilitar el cifrado en tránsito se solucionan los problemas de uso indebido y manipulación durante esta transmisión. | Audit, Deny, Disabled | 1.0.0 |
| Azure HDInsight debe usar un vínculo privado. | Azure Private Link permite conectar las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados a los clústeres de Azure HDInsight, se pueden reducir los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/hdi.pl. | AuditIfNotExists, Disabled | 1.0.0 |
| Configuración de clústeres de Azure HDInsight para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada se vincula a la red virtual para resolverse en clústeres de Azure HDInsight. Más información en: https://aka.ms/hdi.pl. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de los clústeres de Azure HDInsight con puntos de conexión privados | Los puntos de conexión privados conectan las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. Mediante la asignación de puntos de conexión privados a los clústeres de Azure HDInsight, se pueden reducir los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/hdi.pl. | DeployIfNotExists, Disabled | 1.0.0 |
Health Bot
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Azure Health Bot debe usar claves administradas por el cliente para cifrar los datos en reposo | Use claves administradas por el cliente (CMK) para administrar el cifrado en reposo de los datos de los bots de mantenimiento. De manera predeterminada, los datos se cifran en reposo con claves administradas por el servicio, pero las CMK suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las CMK permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Más información en https://docs.microsoft.com/azure/health-bot/cmk. | Audit, Disabled | 1.0.0 |
Área de trabajo de Health Data Services
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| El área de trabajo de Azure Health Data Services debería usar Private Link | El área de trabajo de Health Data Services debe tener al menos una conexión de punto de conexión privado aprobada. Los clientes de una red virtual pueden acceder de forma segura a los recursos que tengan conexiones de punto de conexión privadas mediante vínculos privados. Para más información, visite https://aka.ms/healthcareapisprivatelink. | Audit, Disabled | 1.0.0 |
Servicio de desidentificación de estado
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| El servicio de desidentificación de Azure Health Data Services debe deshabilitar el acceso a la red pública | Al deshabilitar el acceso a la red pública, se mejora la seguridad ya que el recurso no se expone en la red pública de Internet. En su lugar, puede limitar la exposición de los recursos mediante la creación de puntos de conexión privados. | Audit, Disabled | 1.0.0 |
| El servicio de desidentificación de Azure Health Data Services debe usar Private Link | El servicio de desidentificación de Azure Health Data Services debe tener al menos una conexión de punto de conexión privado aprobada. Los clientes de una red virtual pueden acceder de forma segura a los recursos que tengan conexiones de punto de conexión privadas mediante vínculos privados. | Audit, Disabled | 1.0.0 |
Healthcare API
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| CORS no debe permitir que todos los dominios accedan a la API para FHIR. | El uso compartido de recursos entre orígenes (CORS) no debe permitir que todos los dominios accedan al servicio FHIR. Para proteger el servicio FHIR, elimine el acceso de todos los dominios y defina explícitamente los dominios que tienen permiso para conectarse. | auditoría, Auditoría, deshabilitado, Deshabilitado | 1.1.0 |
| El servicio DICOM debe usar una clave administrada por el cliente para cifrar los datos en reposo | Use una clave administrada por el cliente para controlar el cifrado en reposo de los datos almacenados en el servicio DICOM de Azure Health Data Services cuando exista un requisito normativo o de cumplimiento. Las claves administradas por el cliente también proporcionan cifrado doble, ya que agregan una segunda capa de cifrado además de la capa predeterminada que se creó mediante las claves administradas por el servicio. | Audit, Disabled | 1.0.0 |
| El servicio FHIR debe usar una clave administrada por el cliente para cifrar los datos en reposo | Use una clave administrada por el cliente para controlar el cifrado en reposo de los datos almacenados en el servicio FHIR de Azure Health Data Services cuando exista un requisito normativo o de cumplimiento. Las claves administradas por el cliente también proporcionan cifrado doble, ya que agregan una segunda capa de cifrado además de la capa predeterminada que se creó mediante las claves administradas por el servicio. | Audit, Disabled | 1.0.0 |
Internet de las cosas
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: Azure IoT Hub debe usar una clave administrada por el cliente para cifrar los datos en reposo | El cifrado de datos en reposo en IoT Hub con clave administrada por el cliente agrega una segunda capa de cifrado sobre las claves administradas por el servicio predeterminadas, permite que el cliente controle las claves, las directivas de rotación personalizadas y la capacidad para administrar el acceso a los datos a través del control de acceso de claves. Las claves administradas por el cliente deben configurarse durante la creación de IoT Hub. Para más información sobre cómo configurar las claves administradas por el cliente, vea https://aka.ms/iotcmk. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: los datos del servicio de aprovisionamiento de dispositivos de IoT Hub se deben cifrar con claves administradas por el cliente (CMK) | Use claves administradas por el cliente para administrar el cifrado en reposo del servicio de aprovisionamiento de dispositivos de IoT Hub. Los datos se cifran automáticamente en reposo con claves administradas por el servicio, pero las claves administradas por el cliente (CMK) suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las CMK permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Más información sobre el cifrado de CMK en https://aka.ms/dps/CMK. | Audit, Deny, Disabled | 1.0.0-preview |
| Las cuentas de Azure Device Update deben usar claves administradas por el cliente para cifrar los datos en reposo. | El cifrado de datos en reposo en Azure Device Update con clave administrada por el cliente agrega una segunda capa de cifrado sobre las claves administradas por el servicio predeterminadas y permite que el cliente controle las claves, las directivas de rotación personalizadas y la capacidad para administrar el acceso a los datos mediante el control de acceso de claves. Más información en: https://learn.microsoft.com/azure/iot-hub-device-update/device-update-data-encryption. | Audit, Deny, Disabled | 1.0.0 |
| Las cuentas de Azure Device Update for IoT Hub deben usar Private Link | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a cuentas de Azure Device Update IoT Hub, se reducen los riesgos de pérdida de datos. | AuditIfNotExists, Disabled | 1.0.0 |
| Azure IoT Hub debe tener deshabilitados los métodos de autenticación local para las API de servicio | La deshabilitación de los métodos de autenticación local mejora la seguridad, ya que garantiza que Azure IoT Hub exija exclusivamente identidades de Azure Active Directory para la autenticación de la API de servicio. Más información en: https://aka.ms/iothubdisablelocalauth. | Audit, Deny, Disabled | 1.0.0 |
| Configuración de cuentas de Azure Device Update for IoT Hub para deshabilitar el acceso desde la red pública | Al deshabilitar la propiedad de acceso desde la red pública, se mejora la seguridad, ya que se garantiza que solo se puede acceder a Device Update for IoT Hub desde un punto de conexión privado. Esta directiva deshabilita el acceso desde la red pública en recursos de Device Update for IoT Hub. | Modificar, Deshabilitado | 1.0.0 |
| Configuración de cuentas de Azure Device Update for IoT Hub para utilizar zonas DNS privadas | DNS privado de Azure proporciona un servicio DNS confiable y seguro para administrar y resolver los nombres de dominio en una red virtual sin necesidad de agregar una solución DNS personalizada. Puede usar las zonas DNS privadas para reemplazar la resolución de DNS por el uso de sus propios nombres de dominio personalizados para un punto de conexión privado. Esta directiva implementa una zona DNS privada para puntos de conexión privados de Device Update for IoT Hub. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de cuentas de Azure Device Update for IoT Hub con punto de conexión privado | Un punto de conexión privado es una dirección IP privada asignada en una red virtual propiedad del cliente a través de la cual se puede acceder a un recurso de Azure. Esta directiva implementa un punto de conexión privado para la instancia de Device Update for IoT Hub a fin de permitir que los servicios que operan en la red virtual llegue a este recurso sin necesidad de enviar el tráfico al punto de conexión público de Device Update for IoT Hub. | DeployIfNotExists, Disabled | 1.1.0 |
| Configuración de Azure IoT Hub para deshabilitar la autenticación local | Deshabilite los métodos de autenticación local para que Azure IoT Hub exija exclusivamente identidades de Azure Active Directory para la autenticación. Más información en: https://aka.ms/iothubdisablelocalauth. | Modificar, Deshabilitado | 1.0.0 |
| Configurar instancias de aprovisionamiento de dispositivos de IoT Hub para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada vincula a la red virtual para resolver una instancia de servicio de aprovisionamiento de dispositivos de IoT Hub. Más información en: https://aka.ms/iotdpsvnet. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar las instancias del servicios de aprovisionamiento de dispositivos de IoT Hub para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para su instancia de aprovisionamiento de dispositivos de IoT Hub para que no sea accesible a través de la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://aka.ms/iotdpsvnet. | Modificar, Deshabilitado | 1.0.0 |
| Configurar instancias del servicio de aprovisionamiento de dispositivos de IoT Hub con puntos de conexión privados | Los puntos de conexión privados conectan la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Mediante la asignación de puntos de conexión privados al servicio de aprovisionamiento de dispositivos de IoT Hub, puede reducir los riesgos de pérdida de datos. Obtenga más información sobre los vínculos privados en https://aka.ms/iotdpsvnet. | DeployIfNotExists, Disabled | 1.0.0 |
| Implementación: configurar instancias de Azure IoT Hub para usar zonas DNS privadas | DNS privado de Azure proporciona un servicio DNS confiable y seguro para administrar y resolver los nombres de dominio en una red virtual sin necesidad de agregar una solución DNS personalizada. Puede usar las zonas DNS privadas para reemplazar la resolución de DNS por el uso de sus propios nombres de dominio personalizados para un punto de conexión privado. Esta directiva implementa una zona DNS privada para puntos de conexión privados de IoT Hub. | deployIfNotExists, DeployIfNotExists, disabled, Disabled | 1.1.0 |
| Implementación: configurar instancias de Azure IoT Hub con puntos de conexión privados | Un punto de conexión privado es una dirección IP privada asignada en una red virtual propiedad del cliente a través de la cual se puede acceder a un recurso de Azure. Esta directiva implementa un punto de conexión privado para su IoT Hub, a fin de permitir que los servicios que operan en la red virtual puedan llegar a IoT Hub sin necesidad de enviar el tráfico al punto de conexión público de IoT Hub. | DeployIfNotExists, Disabled | 1.0.0 |
| Implementar: configurar IoT Central para usar zonas DNS privadas | DNS privado de Azure proporciona un servicio DNS confiable y seguro para administrar y resolver los nombres de dominio en una red virtual sin necesidad de agregar una solución DNS personalizada. Puede usar las zonas DNS privadas para reemplazar la resolución de DNS por el uso de sus propios nombres de dominio personalizados para un punto de conexión privado. Esta directiva implementa una zona DNS privada para puntos de conexión privados de IoT Central. | DeployIfNotExists, Disabled | 1.0.0 |
| Implementar: Configurar instancias de IoT Central con puntos de conexión privados | Un punto de conexión privado es una dirección IP privada asignada en una red virtual propiedad del cliente a través de la cual se puede acceder a un recurso de Azure. Esta directiva implementa un punto de conexión privado para su IoT Central, a fin de permitir que los servicios que operan en la red virtual puedan llegar a IoT Central sin necesidad de enviar el tráfico al punto de conexión público de IoT Central. | DeployIfNotExists, Disabled | 1.0.0 |
| IoT Central debe usar Private Link | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados a su aplicación IoT Central en lugar de a todo el servicio, reducirá los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/iotcentral-network-security-using-pe. | Audit, Deny, Disabled | 1.0.0 |
| Las instancias del servicio de aprovisionamiento de dispositivos de IoT Hub deben deshabilitar el acceso a la red pública | Al deshabilitar el acceso a la red pública, se mejora la seguridad, ya que se garantiza que la instancia del servicio de aprovisionamiento de dispositivos de IoT Hub no se expone en la red pública de Internet. La creación de puntos de conexión privados puede limitar la exposición de las instancias de aprovisionamiento de dispositivos de IoT Hub. Más información en: https://aka.ms/iotdpsvnet. | Audit, Deny, Disabled | 1.0.0 |
| Las instancias del servicio de aprovisionamiento de dispositivos de IoT Hub deben usar Private Link | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados al servicio de aprovisionamiento de dispositivos de IoT Hub, se reducen los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/iotdpsvnet. | Audit, Disabled | 1.0.0 |
| Modificación: configurar instancias de Azure IoT Hub para deshabilitar el acceso a la red pública | Al deshabilitar la propiedad de acceso a la red pública, se mejora la seguridad, ya que se garantiza que solo se puede acceder a Azure IoT Hub desde un punto de conexión privado. Esta directiva deshabilita el acceso a la red pública en recursos de IoT Hub. | Modificar, Deshabilitado | 1.0.0 |
| Modificar: configurar IoT Central para deshabilitar el acceso a la red pública | Al deshabilitar la propiedad de acceso a la red pública, se mejora la seguridad, ya que se garantiza que solo se puede acceder a IoT Central desde un punto de conexión privado. Esta directiva deshabilita el acceso a la red pública en recursos de IoT Hub. | Modificar, Deshabilitado | 1.0.0 |
| El punto de conexión privado debe estar habilitado para IoT Hub | Las conexiones de punto de conexión privado aplican una comunicación segura mediante la habilitación de la conectividad privada con IoT Hub. Configure una conexión de punto de conexión privado para permitir el acceso al tráfico que solo proviene de redes conocidas y evitar el acceso desde todas las demás direcciones IP, incluido desde Azure. | Audit, Disabled | 1.0.0 |
| El acceso desde la red pública para cuentas de Azure Device Update for IoT Hub se debe deshabilitar | Al deshabilitar la propiedad de acceso desde la red pública, se mejora la seguridad, ya que se garantiza que solo se puede acceder a las cuentas de Azure Device Update for IoT Hub desde un punto de conexión privado. | Audit, Deny, Disabled | 1.0.0 |
| Debe deshabilitarse el acceso a la red pública en Azure IoT Hub | Al deshabilitar la propiedad de acceso a la red pública, se mejora la seguridad, ya que se garantiza que solo se puede acceder a Azure IoT Hub desde un punto de conexión privado. | Audit, Deny, Disabled | 1.0.0 |
| El acceso a las redes públicas debe estar deshabilitado para IoT Central | Para reforzar la seguridad de IoT Central, asegúrese de que no está expuesto a la red pública de Internet y que únicamente se pueda acceder a él desde un punto de conexión privado. Deshabilite la propiedad acceso a la red pública, tal y como se describe en https://aka.ms/iotcentral-restrict-public-access. Esta opción deshabilita el acceso desde cualquier espacio de direcciones públicas que esté fuera del intervalo IP de Azure y deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en la IP o la red virtual. De este modo, se reducen los riesgos de pérdida de datos. | Audit, Deny, Disabled | 1.0.0 |
| Los registros de recursos de IoT Hub deben estar habilitados. | Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red. | AuditIfNotExists, Disabled | 3.1.0 |
Key Vault
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: Las claves HSM administradas de Azure Key Vault deben tener una fecha de expiración | Para usar esta directiva en versión preliminar, primero debe seguir estas instrucciones en https://aka.ms/mhsmgovernance. Las claves criptográficas deben tener una fecha de expiración definida y no ser permanentes. Las claves que no expiran proporcionan a los posibles atacantes más tiempo para hacerse con ellas. Por ello, se recomienda como práctica de seguridad establecer fechas de expiración en las claves criptográficas. | Audit, Deny, Disabled | 1.0.1-preview |
| [Versión preliminar]: Las claves HSM administradas de Azure Key Vault deben tener más de la cantidad especificada de días antes de la expiración | Para usar esta directiva en versión preliminar, primero debe seguir estas instrucciones en https://aka.ms/mhsmgovernance. Si una clave está demasiado cerca de la expiración, un retraso de la organización para rotar la clave puede producir una interrupción. Las claves se deben rotar cuando falta un número especificado de días antes de la expiración, para proporcionar el tiempo suficiente para reaccionar ante un error. | Audit, Deny, Disabled | 1.0.1-preview |
| [Versión preliminar]: Las claves HSM administradas de Azure Key Vault que utilizan criptografía de curva elíptica deben tener los nombres de curva especificados | Para usar esta directiva en versión preliminar, primero debe seguir estas instrucciones en https://aka.ms/mhsmgovernance. Las claves respaldadas por la criptografía de curva elíptica pueden tener distintos nombres de curva. Algunas aplicaciones solo son compatibles con las claves de curva elíptica específicas. Aplique los tipos de claves de curva elíptica que se pueden crear en el entorno. | Audit, Deny, Disabled | 1.0.1-preview |
| [Versión preliminar]: Las claves HSM administradas de Azure Key Vault que utilizan criptografía RSA deben tener un tamaño de clave mínimo especificado | Para usar esta directiva en versión preliminar, primero debe seguir estas instrucciones en https://aka.ms/mhsmgovernance. Establezca el tamaño mínimo permitido de la clave para usarlo con los almacenes de claves. Tenga en cuenta que no es seguro usar claves RSA con tamaños de clave pequeños, ya que no cumplen muchos requisitos de certificación del sector. | Audit, Deny, Disabled | 1.0.1-preview |
| [Versión preliminar]: HSM administrado de Azure Key Vault debe deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para HSM administrado de Azure Key Vault de modo que no sea accesible mediante la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://docs.microsoft.com/azure/key-vault/managed-hsm/private-link#allow-trusted-services-to-access-managed-hsm. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: HSM administrado de Azure Key Vault debe usar un vínculo privado | Private Link proporciona una manera de conectar HSM administrado de Azure Key Vault a los recursos de Azure sin enviar tráfico a través de la red pública de Internet. Un vínculo privado proporciona varios niveles de protección contra la filtración de datos. Más información en: https://docs.microsoft.com/azure/key-vault/managed-hsm/private-link | Audit, Disabled | 1.0.0-preview |
| [versión preliminar]: Una de las entidades de certificación no integradas especificadas debe emitir certificados | Administre los requisitos de cumplimiento de la organización especificando entidades de certificación personalizadas o internas que pueden emitir certificados en el almacén de claves. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: configuración del HSM administrado de Azure Key Vault para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para HSM administrado de Azure Key Vault de modo que no sea accesible mediante la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://docs.microsoft.com/azure/key-vault/managed-hsm/private-link#allow-trusted-services-to-access-managed-hsm. | Modificar, Deshabilitado | 2.0.0-preview |
| [Versión preliminar]: configuración de HSM administrado de Azure Key Vault con puntos de conexión privados | Los puntos de conexión privados conectan las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a HSM administrado de Azure Key Vault, puede reducir los riesgos de pérdida de datos. Más información en: https://docs.microsoft.com/azure/key-vault/managed-hsm/private-link. | DeployIfNotExists, Disabled | 1.0.0-preview |
| El HSM administrado de Azure Key Vault debe tener habilitada la protección contra purgas. | La eliminación malintencionada de un HSM administrado de Azure Key Vault puede provocar una pérdida de datos permanente. Un usuario malintencionado de la organización puede eliminar y purgar HSM administrados de Azure Key Vault. La protección contra purgas le protege frente a ataques internos mediante la aplicación de un período de retención obligatorio para HSM administrados de Azure Key Vault eliminados temporalmente. Ningún usuario de su organización o Microsoft podrá purgar HSM administrados de Azure Key Vault durante el período de retención de eliminación temporal. | Audit, Deny, Disabled | 1.0.0 |
| Azure Key Vault debe deshabilitar el acceso de red público. | Deshabilite el acceso de red público para el almacén de claves de modo que no sea accesible mediante la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://aka.ms/akvprivatelink. | Audit, Deny, Disabled | 1.1.0 |
| Azure Key Vault debe tener el firewall habilitado | Habilite el firewall del almacén de claves para que el almacén de claves no sea accesible de forma predeterminada a ninguna dirección IP pública. De manera opcional, puede configurar intervalos IP específicos para limitar el acceso a esas redes. Más información en: https://docs.microsoft.com/azure/key-vault/general/network-security | Audit, Deny, Disabled | 3.2.1 |
| Azure Key Vault debe usar el modelo de permisos RBAC | Habilite el modelo de permisos de RBAC en Key Vaults. Más información en: https://learn.microsoft.com/en-us/azure/key-vault/general/rbac-migration | Audit, Deny, Disabled | 1.0.1 |
| Las instancias de Azure Key Vault deben usar un vínculo privado | Azure Private Link permite conectar las redes virtuales a los servicios de Azure sin una IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados al almacén de claves, se puede reducir el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/akvprivatelink. | [parameters('audit_effect')] | 1.2.1 |
| Los certificados debe emitirlos la entidad de certificación integrada que se haya especificado | Administre los requisitos de cumplimiento de su organización. Para ello, especifique las entidades de certificación integradas de Azure que pueden emitir certificados en el almacén de claves, como DigiCert o GlobalSign. | audit, Audit, deny, Deny, disabled, Disabled | 2.1.0 |
| Los certificados debe emitirlos la entidad de certificación no integrada que se haya especificado | Administre los requisitos de cumplimiento de su organización. Para ello, especifique una entidad de certificación interna o personalizada que pueda emitir certificados en el almacén de claves. | audit, Audit, deny, Deny, disabled, Disabled | 2.1.1 |
| Los certificados deben disponer de los desencadenadores de acciones de duración que se hayan especificado | Administre los requisitos de cumplimiento de su organización. Para ello, especifique si se desencadenará una acción de duración del certificado cuando se alcance un porcentaje determinado de duración o un número determinado de días antes de la expiración. | audit, Audit, deny, Deny, disabled, Disabled | 2.1.0 |
| Los certificados deben tener el periodo de máximo de validez que se haya especificado | Administre los requisitos de cumplimiento de su organización. Para ello, especifique la cantidad máxima de tiempo que un certificado puede ser válido en el almacén de claves. | audit, Audit, deny, Deny, disabled, Disabled | 2.2.1 |
| Los certificados no deben expirar en el transcurso del número de días que se haya especificado | Administre los certificados que expirarán en el transcurso del número de días que se haya especificado para asegurarse de que su organización disponga de tiempo suficiente para la rotación del certificado antes de la expiración. | audit, Audit, deny, Deny, disabled, Disabled | 2.1.1 |
| Los certificados deben utilizar tipos de clave admitidos | Administre los requisitos de cumplimiento de su organización. Para ello, restrinja los tipos de clave admitidos para los certificados. | audit, Audit, deny, Deny, disabled, Disabled | 2.1.0 |
| Los certificados que usan la criptografía de curva elíptica deben tener nombres de curva admitidos | Administre los nombres de curva elíptica permitidos para los certificados ECC guardados en el almacén de claves. Dispone de más información en https://aka.ms/akvpolicy. | audit, Audit, deny, Deny, disabled, Disabled | 2.1.0 |
| Los certificados que usan la criptografía RSA deben tener el tamaño de clave mínimo que se haya especificado | Administre los requisitos de cumplimiento de su organización. Para ello, especifique un tamaño mínimo de clave para los certificados RSA guardados en el almacén de claves. | audit, Audit, deny, Deny, disabled, Disabled | 2.1.0 |
| Configurar instancias de Azure Key Vault para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada vincula a la red virtual para resolver en el almacén de claves. Más información en: https://aka.ms/akvprivatelink. | DeployIfNotExists, Disabled | 1.0.1 |
| Configurar instancias de Azure Key Vault con puntos de conexión privados | Los puntos de conexión privados conectan las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados al almacén de claves, se puede reducir el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/akvprivatelink. | DeployIfNotExists, Disabled | 1.0.1 |
| Configurar almacenes de claves para habilitar el firewall | Habilite el firewall del almacén de claves para que el almacén de claves no sea accesible de forma predeterminada a ninguna dirección IP pública. A continuación, puede configurar intervalos IP específicos para limitar el acceso a esas redes. Más información en: https://docs.microsoft.com/azure/key-vault/general/network-security | Modificar, Deshabilitado | 1.1.1 |
| Implementación: configurar las opciones de diagnóstico de Azure Key Vault en el área de trabajo de Log Analytics | Implementa la configuración de diagnóstico de Azure Key Vault para transmitir los registros de recursos a un área de trabajo de Log Analytics cuando se crea o actualiza cualquier instancia de Key Vault a la que le falta esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 2.0.1 |
| Implementar: realizar la configuración de diagnóstico en un centro de eventos para que se habilite en el HSM administrado de Azure Key Vault | Permite implementar la configuración de diagnóstico en el HSM administrado de Azure Key Vault para que se transmita a un centro de eventos regional cuando se cree o actualice cualquier HSM administrado de Azure Key Vault en el que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 1.0.0 |
| Implementar la configuración de diagnóstico para Key Vault en el Centro de eventos | Implementa la configuración de diagnóstico para que Key Vault se transmita a un Centro de eventos regional cuando se cree o actualice cualquier instancia de Key Vault a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 3.0.1 |
| Las claves de Key Vault deben tener una fecha de expiración | Las claves criptográficas deben tener una fecha de expiración definida y no ser permanentes. Las claves que no expiran proporcionan a los posibles atacantes más tiempo para hacerse con ellas. Por ello, se recomienda como práctica de seguridad establecer fechas de expiración en las claves criptográficas. | Audit, Deny, Disabled | 1.0.2 |
| Los secretos de Key Vault deben tener una fecha de expiración | Los secretos deben tener una fecha de expiración definida y no ser permanentes. Los secretos que no expiran proporcionan a un posible atacante más tiempo para ponerlos en peligro. Por ello, se recomienda como práctica de seguridad establecer fechas de expiración en los secretos. | Audit, Deny, Disabled | 1.0.2 |
| Los almacenes de claves deben tener habilitada la protección contra eliminación | La eliminación malintencionada de un almacén de claves puede provocar una pérdida de datos permanente. Puede evitar la pérdida permanente de datos habilitando la protección de purga y la eliminación temporal. La protección contra purgas le protege frente a ataques internos mediante la aplicación de un período de retención obligatorio para almacenes de claves eliminados temporalmente. Ningún usuario de su organización o Microsoft podrá purgar los almacenes de claves durante el período de retención de eliminación temporal. Tenga en cuenta que los almacenes de claves creados después del 1 de septiembre de 2019 tienen habilitada la eliminación temporal de manera predeterminada. | Audit, Deny, Disabled | 2.1.0 |
| Los almacenes de claves deben tener habilitada la eliminación temporal | Si se elimina un almacén de claves que no tenga habilitada la eliminación temporal, se eliminarán permanentemente todos los secretos, claves y certificados almacenados en ese almacén de claves. La eliminación accidental de un almacén de claves puede provocar una pérdida de datos permanente. La eliminación temporal permite recuperar un almacén de claves eliminado accidentalmente durante un período de retención configurable. | Audit, Deny, Disabled | 3.0.0 |
| Las claves deben estar respaldadas por un módulo de seguridad de hardware (HSM) | Un HSM es un módulo de seguridad de hardware que almacena claves. Un HSM proporciona una capa física de protección para las claves criptográficas. La clave criptográfica no puede salir de un HSM físico que proporciona un mayor nivel de seguridad que una clave de software. | Audit, Deny, Disabled | 1.0.1 |
| Las claves deben ser del tipo criptográfico especificado, RSA o EC | Algunas aplicaciones requieren el uso de claves respaldadas por un tipo criptográfico específico. Aplique un tipo de clave criptográfica (ya sea RSA o EC) determinado en su entorno. | Audit, Deny, Disabled | 1.0.1 |
| Las claves deben tener una directiva de rotación que garantice que su rotación esté programada en el número de días especificado después de la creación. | Especifique el número máximo de días después de la creación de claves hasta que se deba rotar para administrar los requisitos de cumplimiento de la organización. | Audit, Disabled | 1.0.0 |
| Las claves deben tener más días que los especificados en la expiración | Si una clave está demasiado cerca de la expiración, un retraso de la organización para rotar la clave puede producir una interrupción. Las claves se deben rotar cuando falta un número especificado de días antes de la expiración, para proporcionar el tiempo suficiente para reaccionar ante un error. | Audit, Deny, Disabled | 1.0.1 |
| Las claves deben tener un período de validez máximo especificado | Administre los requisitos de cumplimiento de su organización. Para ello, especifique la cantidad máxima de tiempo en días que una clave puede ser válido en el almacén de claves. | Audit, Deny, Disabled | 1.0.1 |
| Las claves no deben estar activas durante más tiempo que el número especificado de días | Especifique el número de días que debe estar activa una clave. Las claves que se usan durante un período de tiempo prolongado aumentan la probabilidad de que un atacante pueda ponerlas en peligro. Por ello, se recomienda como práctica de seguridad que las claves no estén activas durante más de dos años. | Audit, Deny, Disabled | 1.0.1 |
| Las claves que usan criptografía de curva elíptica deben tener especificados los nombres de curva | Las claves respaldadas por la criptografía de curva elíptica pueden tener distintos nombres de curva. Algunas aplicaciones solo son compatibles con las claves de curva elíptica específicas. Aplique los tipos de claves de curva elíptica que se pueden crear en el entorno. | Audit, Deny, Disabled | 1.0.1 |
| Las claves que usan la criptografía RSA deben tener el tamaño de clave mínimo que se haya especificado | Establezca el tamaño mínimo permitido de la clave para usarlo con los almacenes de claves. Tenga en cuenta que no es seguro usar claves RSA con tamaños de clave pequeños, ya que no cumplen muchos requisitos de certificación del sector. | Audit, Deny, Disabled | 1.0.1 |
| Los registros de recursos del HSM administrado de Azure Key Vault deben estar habilitados. | Para volver a crear seguimientos de actividad con fines de investigación cuando se produce un incidente de seguridad o cuando la red se ve comprometida, es posible que desee realizar auditorías habilitando los registros de recursos en HSM administrados. Siga las instrucciones que encontrará aquí: https://docs.microsoft.com/azure/key-vault/managed-hsm/logging. | AuditIfNotExists, Disabled | 1.1.0 |
| Los registros de recursos de Key Vault deben estar habilitados | Habilitación de la auditoría de los registros de recursos. De esta forma, puede volver a crear seguimientos de actividad con fines de investigación en caso de incidentes de seguridad o riesgos para la red. | AuditIfNotExists, Disabled | 5.0.0 |
| Los secretos deben tener establecido el tipo de contenido | Una etiqueta de tipo de contenido le permitirá identificar si un secreto es una contraseña, una cadena de conexión, etc. Los distintos secretos tienen diferentes requisitos de rotación. La etiqueta de tipo de contenido debe establecerse en secretos. | Audit, Deny, Disabled | 1.0.1 |
| Los secretos deben tener más días que los especificados en la expiración | Si un secreto está demasiado cerca de la expiración, un retraso de la organización para rotar el secreto puede producir una interrupción. Los secretos se deben rotar cuando falta un número especificado de días antes de la expiración, para proporcionar el tiempo suficiente para reaccionar ante un error. | Audit, Deny, Disabled | 1.0.1 |
| Los secretos deben tener un período de validez máximo especificado | Administre los requisitos de cumplimiento de su organización. Para ello, especifique la cantidad máxima de tiempo en días que un secreto puede ser válido en el almacén de claves. | Audit, Deny, Disabled | 1.0.1 |
| Los secretos no deben estar activos durante más tiempo que el número especificado de días | Si los secretos se crearon con una fecha de activación establecida en el futuro, debe asegurarse de que esos secretos no hayan estado activos durante más tiempo del especificado. | Audit, Deny, Disabled | 1.0.1 |
Kubernetes
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: [Integridad de la imagen] Los clústeres de Kubernetes solo deben usar imágenes firmadas por notación | Utilice imágenes firmadas por notación para asegurarse de que provengan de fuentes confiables y no se modifiquen maliciosamente. Para más información, visite https://aka.ms/aks/image-integrity | Audit, Disabled | 1.1.0-preview |
| [Versión preliminar]: Los clústeres de Kubernetes con Azure Arc habilitado deben tener instalada la extensión de Microsoft Defender for Cloud | La extensión Microsoft Defender for Cloud para Azure Arc proporciona protección contra amenazas para los clústeres de Kubernetes habilitados para Arc. La extensión recopila datos de todos los nodos del clúster y los envía al back-end de Azure Defender para Kubernetes en la nube para su posterior análisis. Puede encontrar más información en https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc. | AuditIfNotExists, Disabled | 6.0.0 (preliminar) |
| [Versión preliminar]: No se pueden editar nodos individuales | No se pueden editar nodos individuales. Los usuarios no deben editar nodos individuales. Edite los grupos de nodos. La modificación de nodos individuales puede provocar configuraciones incoherentes, desafíos operativos y posibles riesgos de seguridad. | Audit, Deny, Disabled | 1.3.0-preview |
| [Versión preliminar]: Configurar clústeres de Kubernetes con Azure Arc habilitado para instalar la extensión de Microsoft Defender for Cloud | La extensión Microsoft Defender for Cloud para Azure Arc proporciona protección contra amenazas para los clústeres de Kubernetes habilitados para Arc. La extensión recopila datos de todos los nodos del clúster y los envía al back-end de Azure Defender para Kubernetes en la nube para su posterior análisis. Puede encontrar más información en https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc. | DeployIfNotExists, Disabled | 7.3.0-preview |
| [Versión preliminar]: Implementar integridad de imagen en AKS | Implemente la integridad de la imagen y los clústeres de Azure Kubernetes de complementos de directiva. Para más información, visite https://aka.ms/aks/image-integrity | DeployIfNotExists, Disabled | 1.0.5-preview |
| [Vista previa]: Las imágenes de contenedor de clúster de Kubernetes deben incluir la tecla para colgar y descolgar preStop | Requiere que las imágenes de contenedor incluyan un enlace preStop para finalizar correctamente los procesos durante los apagados del pod. | Audit, Deny, Disabled | 1.1.0-preview |
| [Vista previa]: Las imágenes de contenedor del clúster de Kubernetes no deberían incluir la etiqueta de imagen más reciente | Requiere que las imágenes de contenedor no usen la etiqueta más reciente de Kubernetes; se trata de un procedimiento recomendado para garantizar la reproducibilidad, evitar actualizaciones no deseadas y facilitar la depuración y reversiones mediante imágenes de contenedor explícitas y con versión. | Audit, Deny, Disabled | 1.1.0-preview |
| [Versión preliminar]: los contenedores de clúster de Kubernetes solo deben extraer imágenes cuando haya secretos de extracción de imágenes presentes | Restricción de extracciones de imágenes de los contenedores para exigir la presencia de ImagePullSecrets, que garantiza el acceso seguro y autorizado a las imágenes de un clúster de Kubernetes | Audit, Deny, Disabled | 1.2.0-preview |
| [Versión preliminar]: los servicios de clúster de Kubernetes deben usar selectores únicos | Asegúrese de que los servicios en un espacio de nombres tengan selectores únicos. Un selector de servicio único garantiza que cada servicio en un espacio de nombres sea identificable de forma única en función de criterios específicos. Esta directiva sincroniza los recursos de entrada en OPA mediante Gatekeeper. Antes de aplicarla, compruebe que no se superará la capacidad de memoria de pods de Gatekeeper. Los parámetros se aplican a espacios de nombres específicos, pero sincroniza todos los recursos de ese tipo en todos los espacios de nombres. Actualmente está en versión preliminar para Kubernetes Service (AKS). | Audit, Deny, Disabled | 1.2.0-preview |
| [Versión preliminar]: el clúster de Kubernetes debe implementar presupuestos de interrupciones de pods precisos | Evita los presupuestos defectuosos de interrupción de pods, lo que garantiza un número mínimo de pods operativos. Consulta la documentación oficial de Kubernetes para más información. Se basa en la replicación de datos de Gatekeeper y sincroniza todos los recursos de entrada con ese ámbito en OPA. Antes de aplicar esta directiva, asegúrate de que los recursos de entrada sincronizados no restringen la capacidad de memoria. Aunque los parámetros evalúan espacios de nombres específicos, se sincronizarán todos los recursos de ese tipo entre espacios de nombres. Nota: Actualmente está en versión preliminar para Kubernetes Service (AKS). | Audit, Deny, Disabled | 1.3.0-preview |
| [Versión preliminar]: Los clústeres de Kubernetes deben restringir la creación del tipo de recurso especificado | Dado el tipo de recurso de Kubernetes no se debe implementar en un determinado espacio de nombres. | Audit, Deny, Disabled | 2.3.0-preview |
| [Versión preliminar]: Conjunto de reglas antiafinidad imprescindible | Esta directiva garantiza que los pods estén programados en distintos nodos del clúster. Al aplicar reglas de antiafinidad, la disponibilidad se mantiene incluso si uno de los nodos deja de estar disponible. Los pods seguirán ejecutándose en otros nodos, lo que mejorará la resistencia. | Audit, Deny, Disabled | 1.2.0-preview |
| [versión preliminar]: Mutar el contenedor de K8s para quitar todas las funcionalidades | Mutar securityContext.capabilities.drop para agregar "ALL". Esto quita todas las funcionalidades de los contenedores de linux k8s | Mutar, Deshabilitado | 1.1.0-preview |
| [versión preliminar]: Mutar el contenedor de Init de K8s para quitar todas las funcionalidades | Mutar securityContext.capabilities.drop para agregar "ALL". Esto quita todas las funcionalidades de los contenedores de inicialización de linux k8s. | Mutar, Deshabilitado | 1.1.0-preview |
| [Versión preliminar]: Sin etiquetas específicas AKS | Impide que los clientes apliquen etiquetas específicas de AKS. AKS usa etiquetas precedidas por kubernetes.azure.com para indicar componentes que son propiedad de AKS. El cliente no debe usar estas etiquetas. |
Audit, Deny, Disabled | 1.2.0-preview |
| [Versión preliminar]: impide que los contenedores se ejecuten como raíz estableciendo runAsNotRoot en true. | Si se establece runAsNotRoot en true, se aumenta la seguridad evitando que los contenedores se ejecuten como raíz. | Mutar, Deshabilitado | 1.0.0-preview |
| [Versión preliminar]: impide que los contenedores de inicialización se ejecuten como raíz estableciendo runAsNotRoot en true. | Si se establece runAsNotRoot en true, se aumenta la seguridad evitando que los contenedores se ejecuten como raíz. | Mutar, Deshabilitado | 1.0.0-preview |
| [Versión preliminar]: imprime un mensaje si se ha aplicado una mutación | Busca las anotaciones de mutación aplicadas y muestra un mensaje si existe una anotación. | Audit, Disabled | 1.1.0-preview |
| [Versión preliminar]: Marcas del grupo del sistema reservado | Restringe la intolerancia CriticalAddonsOnly solo al grupo del sistema. AKS usa la intolerancia CriticalAddonsOnly para mantener los pods del cliente alejados del grupo de sistemas. Garantiza una separación clara entre los componentes de AKS y los pods del cliente, al igual que evita que los pods del cliente se expulsen si no toleran la intolerancia CriticalAddonsOnly. | Audit, Deny, Disabled | 1.2.0-preview |
| [Vista previa]: Restringe la etiqueta CriticalAddonsOnly solo al grupo del sistema. | Para evitar la expulsión de aplicaciones de usuario de grupos de usuarios y mantener la separación de problemas entre los grupos de usuarios y del sistema, la intolerancia "CriticalAddonsOnly" no se debe aplicar a grupos de usuarios. | Mutar, Deshabilitado | 1.2.0-preview |
| [Versión preliminar]: establece automountServiceAccountToken en la especificación de pod en los contenedores en false. | Establecer automountServiceAccountToken en false aumenta la seguridad evitando el montaje automático predeterminado de tokens de cuenta de servicio. | Mutar, Deshabilitado | 1.1.0-preview |
| [Versión preliminar]: establece los campos securityContext.runAsUser del contenedor del clúster de Kubernetes en 1000, un id. de usuario no raíz | Reduce la superficie expuesta a ataques introducida al escalar privilegios como usuario raíz en presencia de vulnerabilidades de seguridad. | Mutar, Deshabilitado | 1.0.0-preview |
| [Vista previa]: Establece los límites de CPU de los contenedores de clúster de Kubernetes en valores predeterminados en caso de que no estén presentes. | Establecimiento de límites de CPU de contenedor para evitar ataques de agotamiento de recursos en un clúster de Kubernetes. | Mutar, Deshabilitado | 1.2.0-preview |
| [Vista previa]: Establece los límites de la memoria de los contenedores de clúster de Kubernetes en valores predeterminados en caso de que no estén presentes. | Establecimiento de límites de memoria de contenedor para evitar ataques de agotamiento de recursos en un clúster de Kubernetes. | Mutar, Deshabilitado | 1.2.0-preview |
| [Versión preliminar]: establece el tipo de perfil de modo de computación segura de los contenedores de clúster de Kubernetes en RuntimeDefault si no está presente. | Establece el tipo de perfil de modo de computación segura para los contenedores a fin de evitar llamadas del sistema no autorizadas y potencialmente dañinas para el kernel desde el espacio de usuario. | Mutar, Deshabilitado | 1.1.0-preview |
| [Versión preliminar]: establece los campos securityContext.runAsUser de los contenedores de inicialización del clúster de Kubernetes en 1000, un id. de usuario no raíz | Reduce la superficie expuesta a ataques introducida al escalar privilegios como usuario raíz en presencia de vulnerabilidades de seguridad. | Mutar, Deshabilitado | 1.0.0-preview |
| [Versión preliminar]: establece el tipo de perfil de modo de computación segura de los contenedores de inicialización del clúster de Kubernetes en RuntimeDefault si no está presente. | Establece el tipo de perfil de modo de computación segura para los contenedores de inicialización a fin de evitar llamadas del sistema no autorizadas y potencialmente dañinas para el kernel desde el espacio de usuario. | Mutar, Deshabilitado | 1.1.0-preview |
| [Versión preliminar]: establece los campos securityContext.runAsUser de pod del clúster de Kubernetes en 1000, un id. de usuario no raíz | Reduce la superficie expuesta a ataques introducida al escalar privilegios como usuario raíz en presencia de vulnerabilidades de seguridad. | Mutar, Deshabilitado | 1.0.0-preview |
| [Vista previa]: Establece los pods maxUnavailable en 1 para los recursos PodDisruptionBudget | Establecer el valor máximo de pods no disponibles en 1 garantiza que la aplicación o el servicio estén disponibles durante una interrupción | Mutar, Deshabilitado | 1.2.0-preview |
| [Versión preliminar]: establece la elevación de privilegios en la especificación de pod en contenedores de inicialización en false. | Establecer la elevación de privilegios en contenedores de inicialización en false aumenta la seguridad al impedir que los contenedores permitan la elevación de privilegios; por ejemplo, mediante el modo de archivo set-user-ID o set-group-ID. | Mutar, Deshabilitado | 1.1.0-preview |
| [Versión preliminar]: establece la elevación de privilegios en la especificación de pod en false. | Establecer la elevación de privilegios en false aumenta la seguridad al impedir que los contenedores permitan la elevación de privilegios; por ejemplo, mediante el modo de archivo set-user-ID o set-group-ID. | Mutar, Deshabilitado | 1.1.0-preview |
| [Vista previa]: Establece readOnlyRootFileSystem en true en la especificación del pod en los contenedores de inicialización si no se establece. | Al establecer readOnlyRootFileSystem en true, aumenta la seguridad al evitar que los contenedores escriban en el sistema de archivos raíz. Esto solo funciona para contenedores de Linux. | Mutar, Deshabilitado | 1.2.0-preview |
| [Vista previa]: Establece readOnlyRootFileSystem en true en la especificación del pod si no se establece. | Al establecer readOnlyRootFileSystem en true, aumenta la seguridad al evitar que los contenedores escriban en el sistema de archivos raíz | Mutar, Deshabilitado | 1.2.0-preview |
| Los clústeres de Kubernetes habilitados para Azure Arc deben tener instalada la extensión de Azure Policy | La extensión Azure Policy para Azure Arc proporciona medidas de seguridad y cumplimiento a escala en los clústeres de Kubernetes habilitados para Arc de forma centralizada y coherente. Obtenga más información en https://aka.ms/akspolicydoc. | AuditIfNotExists, Disabled | 1.1.0 |
| Los clústeres de Kubernetes habilitados para Azure Arc deben tener la extensión de Open Service Mesh instalada | La extensión Open Service Mesh proporciona todas las capacidades de malla de servicio estándar para la seguridad, la administración del tráfico y la capacidad de observación de los servicios de aplicación. Más información aquí: https://aka.ms/arc-osm-doc | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Los clústeres de Kubernetes habilitados para Azure Arc deben tener instalada la extensión de Strimzi Kafka | La extensión Strimzi Kafka proporciona a los operadores la instalación de Kafka para crear canalizaciones de datos en tiempo real y aplicaciones de streaming con funcionalidades de seguridad y observabilidad. Más información aquí: https://aka.ms/arc-strimzikafka-doc. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Los clústeres de Azure Kubernetes deben deshabilitar SSH | Deshabilitar SSH le ofrece la capacidad de proteger el clúster y reducir la superficie expuesta a ataques. Para más información, visite: aka.ms/aks/disablessh | Audit, Disabled | 1.0.0 |
| Los clústeres de Azure Kubernetes deben habilitar Container Storage Interface (CSI) | La interfaz de almacenamiento de contenedores (CSI) es un estándar para exponer sistemas de almacenamiento de archivos y bloques arbitrarios a cargas de trabajo en contenedores en Azure Kubernetes Service. Para obtener más información, https://aka.ms/aks-csi-driver | Audit, Disabled | 1.0.0 |
| Los clústeres de Azure Kubernetes deben habilitar el Servicio de administración de claves (KMS) | Use el Servicio de administración de claves (KMS) para cifrar los datos secretos en reposo en etcd con el fin de proteger el clúster de Kubernetes. Más información en: https://aka.ms/aks/kmsetcdencryption. | Audit, Disabled | 1.0.0 |
| Los clústeres de Azure Kubernetes deben usar Azure CNI | Azure CNI es un requisito previo para algunas características de Azure Kubernetes Service, incluidas las directivas de red de Azure, los grupos de nodos de Windows y el complemento de nodos virtuales. Más información en: https://aka.ms/aks-azure-cni | Audit, Disabled | 1.0.1 |
| Los clústeres de Azure Kubernetes Service deben deshabilitar la invocación de comandos | Deshabilitar la invocación de comandos puede mejorar la seguridad, puesto que evita la omisión del acceso restringido a la red o el control de acceso basado en roles de Kubernetes | Audit, Disabled | 1.0.1 |
| Los clústeres de Azure Kubernetes Service deben habilitar la actualización automática del sistema operativo del clúster | La actualización automática del clúster de AKS puede asegurarse de que los clústeres estén actualizados y no pierda las características o revisiones más recientes de AKS y Kubernetes ascendentes. Más información en: https://learn.microsoft.com/en-us/azure/aks/auto-upgrade-cluster. | Audit, Disabled | 1.0.0 |
| Los clústeres de Azure Kubernetes Service deben habilitar Image Cleaner | Image Cleaner realiza la identificación y eliminación automáticas de imágenes vulnerables y sin usar, lo que mitiga el riesgo de imágenes obsoletas y reduce el tiempo necesario para limpiarlas. Más información en: https://aka.ms/aks/image-cleaner. | Audit, Disabled | 1.0.0 |
| Los clústeres de Azure Kubernetes Service deben habilitar la integración de Microsoft Entra ID | La integración de Microsoft Entra ID administrada por AKS puede administrar el acceso a los clústeres mediante la configuración del control de acceso basado en roles de Kubernetes (RBAC de Kubernetes) en función de la identidad de un usuario o la pertenencia a grupos de directorios. Más información en: https://aka.ms/aks-managed-aad. | Audit, Disabled | 1.0.2 |
| Los clústeres de Azure Kubernetes Service deben habilitar la actualización automática del sistema operativo del nodo | La actualización automática del sistema operativo del nodo de AKS controla las actualizaciones de seguridad del sistema operativo de nivel de nodo. Más información en: https://learn.microsoft.com/en-us/azure/aks/auto-upgrade-node-image. | Audit, Disabled | 1.0.0 |
| Los clústeres de Azure Kubernetes Service deben habilitar la identidad de carga de trabajo | La identidad de carga de trabajo permite asignar una identidad única a cada pod de Kubernetes y asociarla a recursos protegidos de Azure AD, como Azure Key Vault, lo que permite el acceso seguro a estos recursos desde el pod. Más información en: https://aka.ms/aks/wi. | Audit, Disabled | 1.0.0 |
| Los clústeres de Azure Kubernetes Service deberían tener habilitado el perfil de Defender | Microsoft Defender para Contenedores proporciona funcionalidades de seguridad de Kubernetes nativas de la nube, como protección del entorno, protección de cargas de trabajo y protección en tiempo de ejecución. Al habilitar SecurityProfile.AzureDefender en el clúster de Azure Kubernetes Service, se implementa un agente en el clúster para recopilar datos de eventos de seguridad. Más información sobre Microsoft Defender para registros de contenedor en https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks | Audit, Disabled | 2.0.1 |
| Los clústeres de Azure Kubernetes Service deben tener los métodos de autenticación local deshabilitados | La deshabilitación de los métodos de autenticación local mejora la seguridad, ya que garantiza que los clústeres de Azure Kubernetes Service deben exigir exclusivamente identidades de Azure Active Directory para la autenticación. Más información en: https://aka.ms/aks-disable-local-accounts. | Audit, Deny, Disabled | 1.0.1 |
| Los clústeres de Azure Kubernetes Service deben usar identidades administradas | Use identidades administradas para encapsular entidades de servicio, simplificar la administración de clústeres y evitar la complejidad necesaria para las entidades de servicio administradas. Más información en: https://aka.ms/aks-update-managed-identities | Audit, Disabled | 1.0.1 |
| Los clústeres privados de Azure Kubernetes Service deben estar habilitados | Habilite la característica de clúster privado para el clúster de Azure Kubernetes Service a fin de asegurarse de que el tráfico de red entre el servidor de API y los grupos de nodos permanece solo en la red privada. Este es un requisito común de muchos estándares de cumplimiento normativo y del sector. | Audit, Deny, Disabled | 1.0.1 |
| El complemento Azure Policy para Kubernetes Service (AKS) debería estar instalado y habilitado en sus clústeres | El complemento Azure Policy para Kubernetes Service (AKS) amplía Gatekeeper v3, un webhook del controlador de admisión de Open Policy Agent (OPA), para aplicar imposiciones y medidas de seguridad a escala en los clústeres de forma centralizada y coherente. | Audit, Disabled | 1.0.2 |
| Los sistemas operativos y los discos de datos de los clústeres de Azure Kubernetes Service deben cifrarse mediante claves administradas por el cliente | El cifrado de los sistemas operativos y los discos de datos mediante claves administradas por el cliente proporciona más control y mayor flexibilidad para la administración de claves. Este es un requisito común de muchos estándares de cumplimiento normativo y del sector. | Audit, Deny, Disabled | 1.0.1 |
| Configurar clústeres de Kubernetes habilitados para Azure Arc para instalar la extensión de Azure Policy | Implemente la extensión de Azure Policy para Azure Arc a fin de proporcionar cumplimientos a escala y proteger los clústeres de Kubernetes habilitados para Arc de forma centralizada y coherente. Obtenga más información en https://aka.ms/akspolicydoc. | DeployIfNotExists, Disabled | 1.1.0 |
| Configurar clústeres de Azure Kubernetes Service para habilitar el perfil de Defender | Microsoft Defender para Contenedores proporciona funcionalidades de seguridad de Kubernetes nativas de la nube, como protección del entorno, protección de cargas de trabajo y protección en tiempo de ejecución. Al habilitar SecurityProfile.Defender en el clúster de Azure Kubernetes Service, se implementa un agente en el clúster para recopilar datos de eventos de seguridad. Obtenga más información sobre Microsoft Defender for Containers: https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks. | DeployIfNotExists, Disabled | 4.3.0 |
| Configurar la instalación de la extensión Flux en el clúster de Kubernetes | Instalar la extensión Flux en el clúster de Kubernetes para habilitar la implementación de "fluxconfigurations" en el clúster | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar clústeres de Kubernetes con la configuración de Flux v2 mediante el origen y los secretos del cubo en KeyVault | Implemente un objeto "fluxConfiguration" en los clústeres de Kubernetes para garantizar que los clústeres obtienen su origen de verdad para las cargas de trabajo y las configuraciones del cubo definido. Esta definición requiere un objeto SecretKey de cubo almacenado en Key Vault. Para obtener instrucciones, visite https://aka.ms/GitOpsFlux2Policy. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar clústeres de Kubernetes con la configuración de Flux v2 mediante el repositorio GIT y el certificado de entidad de certificación de HTTPS | Implemente un objeto "fluxConfiguration" en los clústeres de Kubernetes para garantizar que los clústeres obtienen su origen de verdad para las cargas de trabajo y las configuraciones del repositorio de Git definido. Esta definición requiere un certificado de entidad de certificación HTTPS. Para obtener instrucciones, visite https://aka.ms/GitOpsFlux2Policy. | DeployIfNotExists, Disabled | 1.0.1 |
| Configurar clústeres de Kubernetes con la configuración de Flux v2 mediante el repositorio GIT y los secretos HTTPS | Implemente un objeto "fluxConfiguration" en los clústeres de Kubernetes para garantizar que los clústeres obtienen su origen de verdad para las cargas de trabajo y las configuraciones del repositorio de Git definido. Esta definición requiere un secreto de clave privada HTTPS almacenada en Key Vault. Para obtener instrucciones, visite https://aka.ms/GitOpsFlux2Policy. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar clústeres de Kubernetes con la configuración de Flux v2 mediante el repositorio GIT y los secretos locales | Implemente un objeto "fluxConfiguration" en los clústeres de Kubernetes para garantizar que los clústeres obtienen su origen de verdad para las cargas de trabajo y las configuraciones del repositorio de Git definido. Esta definición requiere secretos de autenticación locales almacenados en el clúster de Kubernetes. Para obtener instrucciones, visite https://aka.ms/GitOpsFlux2Policy. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar clústeres de Kubernetes con la configuración de Flux v2 mediante el repositorio GIT y los secretos SSH | Implemente un objeto "fluxConfiguration" en los clústeres de Kubernetes para garantizar que los clústeres obtienen su origen de verdad para las cargas de trabajo y las configuraciones del repositorio de Git definido. Esta definición requiere un secreto de clave privada SSH almacenado en Key Vault. Para obtener instrucciones, visite https://aka.ms/GitOpsFlux2Policy. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar clústeres de Kubernetes con la configuración de Flux v2 mediante el repositorio GIT público | Implemente un objeto "fluxConfiguration" en los clústeres de Kubernetes para garantizar que los clústeres obtienen su origen de verdad para las cargas de trabajo y las configuraciones del repositorio de Git definido. Esta definición no requiere ningún secreto. Para obtener instrucciones, visite https://aka.ms/GitOpsFlux2Policy. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar clústeres de Kubernetes con el origen de cubo de Flux v2 especificado mediante secretos locales | Implemente un objeto "fluxConfiguration" en los clústeres de Kubernetes para garantizar que los clústeres obtienen su origen de verdad para las cargas de trabajo y las configuraciones del cubo definido. Esta definición requiere secretos de autenticación locales almacenados en el clúster de Kubernetes. Para obtener instrucciones, visite https://aka.ms/GitOpsFlux2Policy. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar clústeres de Kubernetes con la configuración de GitOps especificada con secretos HTTPS | Implemente un objeto "sourceControlConfiguration" en los clústeres de Kubernetes para garantizar que los clústeres obtienen su origen de verdad para las cargas de trabajo y las configuraciones del repositorio Git definido. Esta definición requiere que los secretos de usuario y clave de HTTPS estén almacenados en Key Vault. Para obtener instrucciones, visite https://aka.ms/K8sGitOpsPolicy. | auditIfNotExists, AuditIfNotExists, deployIfNotExists, DeployIfNotExists, disabled, Disabled | 1.1.0 |
| Configurar clústeres de Kubernetes con la configuración de GitOps especificada sin secretos | Implemente un objeto "sourceControlConfiguration" en los clústeres de Kubernetes para garantizar que los clústeres obtienen su origen de verdad para las cargas de trabajo y las configuraciones del repositorio Git definido. Esta definición no requiere ningún secreto. Para obtener instrucciones, visite https://aka.ms/K8sGitOpsPolicy. | auditIfNotExists, AuditIfNotExists, deployIfNotExists, DeployIfNotExists, disabled, Disabled | 1.1.0 |
| Configurar clústeres de Kubernetes con la configuración de GitOps especificada con secretos SSH | Implemente un objeto "sourceControlConfiguration" en los clústeres de Kubernetes para garantizar que los clústeres obtienen su origen de verdad para las cargas de trabajo y las configuraciones del repositorio Git definido. Esta definición requiere un secreto de clave privada SSH en Key Vault. Para obtener instrucciones, visite https://aka.ms/K8sGitOpsPolicy. | auditIfNotExists, AuditIfNotExists, deployIfNotExists, DeployIfNotExists, disabled, Disabled | 1.1.0 |
| Configurar clústeres de Azure Kubernetes Service integrados de Microsoft Entra ID con el acceso de grupo de administración necesario | Asegúrese de mejorar la seguridad del clúster mediante un control centralizado del acceso de administrador a los clústeres de AKS integrados de Microsoft Entra ID. | DeployIfNotExists, Disabled | 2.1.0 |
| Configurar la actualización automática del sistema operativo de nodo en el clúster de Azure Kubernetes | Usar la actualización automática del sistema operativo de nodo para controlar las actualizaciones de seguridad del sistema operativo de nivel de nodo de los clústeres de Azure Kubernetes Service (AKS). Para más información, visite https://learn.microsoft.com/en-us/azure/aks/auto-upgrade-node-image. | DeployIfNotExists, Disabled | 1.0.1 |
| Implementación: configure las opciones de diagnóstico de Azure Kubernetes Service en el área de trabajo de Log Analytics | Implementa la configuración de diagnóstico de Azure Kubernetes Service para transmitir los registros de recursos a un área de trabajo de Log Analytics. | DeployIfNotExists, Disabled | 3.0.0 |
| Implementación del complemento de Azure Policy en los clústeres de Azure Kubernetes Service | Use el complemento de Azure Policy para administrar e informar sobre el estado de cumplimiento de los clústeres de Azure Kubernetes Service (AKS). Para obtener más información, vea https://aka.ms/akspolicydoc. | DeployIfNotExists, Disabled | 4.1.0 |
| Implementar Image Cleaner en Azure Kubernetes Service | Implementar Image Cleaner en clústeres de Azure Kubernetes. Para más información, visite https://aka.ms/aks/image-cleaner | DeployIfNotExists, Disabled | 1.0.4 |
| Implemente el mantenimiento planificado para programar y controlar las actualizaciones del clúster de Azure Kubernetes Service (AKS) | El mantenimiento planeado permite programar ventanas de mantenimiento semanales para realizar actualizaciones y minimizar el impacto en la carga de trabajo. Una vez se programen, las actualizaciones ocurren solo durante la ventana que se seleccionó. Más información en: https://aka.ms/aks/planned-maintenance | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Deshabilitar la invocación de comandos en los clústeres de Azure Kubernetes Service | Si deshabilita la invocación de comandos, puede mejorar la seguridad al rechazar el acceso de invoke-command al clúster | DeployIfNotExists, Disabled | 1.2.0 |
| Asegúrese de que los contenedores de clúster tienen configurados sondeos de comprobación o ejecución | Esta directiva exige que todos los pods tengan configurados sondeos de preparación o ejecución. Los sondeos pueden ser cualquiera de tipo tcpSocket, httpGet y exec. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para instrucciones sobre el uso de esta directiva, visite https://aka.ms/kubepolicydoc. | Audit, Deny, Disabled | 3.3.0 |
| Asegurarse de que los límites de los recursos de memoria y CPU del contenedor no superan los límites especificados en el clúster de Kubernetes | Aplique límites de recursos de CPU y memoria de contenedor en un clúster de Kubernetes para evitar los ataques de agotamiento de recursos. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 9.3.0 |
| Los contenedores del clúster de Kubernetes no deben compartir el identificador de proceso del host ni el espacio de nombres IPC del host | No permita que los contenedores de pods compartan el espacio de nombres de id. de proceso de host ni el espacio de nombres de IPC de host en un clúster de Kubernetes. Esta recomendación forma parte de las versiones 5.2.2 y 5.2.3 de CIS, diseñadas para mejorar la seguridad de los entornos de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 5.2.0 |
| Los contenedores de clúster de Kubernetes no deben usar interfaces sysctl prohibidas | Los contenedores no deben usar interfaces sysctl prohibidas en los clústeres de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 7.2.0 |
| Los contenedores de clúster de Kubernetes solo deben usar perfiles de AppArmor permitidos | Los contenedores solo deben usar perfiles de AppArmor permitidos en un clúster de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 6.2.0 |
| Los contenedores de clúster de Kubernetes solo deben usar funcionalidades permitidas | Restrinja las funcionalidades para reducir la superficie de contenedores expuesta a ataques en un clúster de Kubernetes. Esta recomendación forma parte de las versiones 5.2.8 y 5.2.9 de CIS, diseñadas para mejorar la seguridad de los entornos de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 6.2.0 |
| Asegurarse de que solo se admiten las imágenes de contenedor permitidas en el clúster de Kubernetes | Use imágenes de registros de confianza para reducir el riesgo de exposición del clúster de Kubernetes a vulnerabilidades desconocidas, problemas de seguridad e imágenes malintencionadas. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 9.3.0 |
| Los contenedores de clúster de Kubernetes solo deben usar el tipo ProcMountType permitido | Los contenedores de pods solo pueden usar tipos ProcMountType permitidos en los clústeres de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 8.2.0 |
| Los contenedores de clúster de Kubernetes solo deben usar la directiva de extracción permitida | Restrinja la directiva de extracción de los contenedores para exigir que los contenedores solo usen imágenes permitidas en implementaciones. | Audit, Deny, Disabled | 3.2.0 |
| Los contenedores de clúster de Kubernetes solo deben usar perfiles de seccomp permitidos | Los contenedores de pods solo pueden usar perfiles de seccomp permitidos en los clústeres de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 7.2.0 |
| Los contenedores del clúster de Kubernetes deben ejecutarse con un sistema de archivos raíz de solo lectura | Ejecute contenedores con un sistema de archivos raíz de solo lectura para protegerlos de los cambios en tiempo de ejecución con la incorporación de archivos binarios malintencionados a la ruta de acceso en un clúster de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 6.3.0 |
| Los volúmenes FlexVolume del pod de clúster de Kubernetes solo deben usar controladores permitidos | Los volúmenes FlexVolume del pod solo deben usar controladores permitidos en los clústeres de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 5.2.0 |
| Los volúmenes hostPath del pod del clúster de Kubernetes solo deben usar rutas de host permitidas | Limite los montajes de volumen hostPath del pod a las rutas de acceso de host permitidas en un clúster de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y Kubernetes habilitado para Azure Arc. Para más información, consulte https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 6.2.0 |
| Los contenedores y pods de clúster de Kubernetes solo deben ejecutarse con identificadores de usuario y grupo aprobados | Controle los id. de usuario, grupo principal, grupo adicional y grupo de sistema de archivos que los pods y los contenedores pueden usar para ejecutarse en un clúster de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 6.2.0 |
| Los pods y contenedores de los clústeres de Kubernetes solo deben usar opciones de SELinux permitidas | Los pods y contenedores solo deben usar opciones de SELinux permitidas en los clústeres de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 7.2.0 |
| Los pods del clúster de Kubernetes solo pueden usar tipos de volumen permitidos | Los pods solo pueden usar tipos de volúmenes permitidos en los clústeres de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 5.2.0 |
| Los pods del clúster de Kubernetes solo pueden usar redes de host e intervalos de puerto permitidos | Restringe el acceso de los pods a la red del host y el intervalo de puertos de host permitidos en un clúster de Kubernetes. Esta recomendación forma parte de la versión 5.2.4 de CIS, diseñada para mejorar la seguridad de los entornos de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 6.2.0 |
| Los pods del clúster de Kubernetes deben usar etiquetas especificadas | Use las etiquetas especificadas para identificar los pods en un clúster de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 7.2.0 |
| Los servicios de clúster de Kubernetes solo deben escuchar en los puertos permitidos | Restrinja los servicios para que escuchen solo en puertos permitidos para proteger el acceso al clúster de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 8.2.0 |
| Los servicios de clúster de Kubernetes solo deben usar direcciones IP externas permitidas | Use direcciones IP externas permitidas para evitar un ataque potencial (CVE-2020-8554) en un clúster de Kubernetes. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 5.2.0 |
| No permitir contenedores con privilegios en el clúster de Kubernetes | No permita la creación de contenedores con privilegios en un clúster de Kubernetes. Esta recomendación forma parte de la versión 5.2.1 de CIS, diseñada para mejorar la seguridad de los entornos de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 9.2.0 |
| El clúster de Kubernetes no debe usar pods desnudos | Bloquee el uso de pods desnudos. Los pods desnudos no se volverán a programar en caso de error de nodo. Los pods deben administrarse mediante Deployment, Replicset, DaemonSet o Jobs | Audit, Deny, Disabled | 2.3.0 |
| Los contenedores de Windows del clúster de Kubernetes no deben sobreasignar la CPU y la memoria | Las solicitudes de recursos de contenedores de Windows deben ser menores o iguales que el límite de recursos o no estar especificados para evitar sobreasignaciones. Si la memoria de Windows está sobreaprovisionada, procesará las páginas en el disco, lo que puede ralentizar el rendimiento, en lugar de terminar el contenedor con memoria insuficiente. | Audit, Deny, Disabled | 2.2.0 |
| Los contenedores de Windows del clúster de Kubernetes no deben ejecutarse como ContainerAdministrator | Evite el uso de ContainerAdministrator como usuario para ejecutar los procesos de contenedor para pods o contenedores de Windows. Esta recomendación está pensada para mejorar la seguridad de los nodos Windows. Para obtener más información, consulta https://kubernetes.io/docs/concepts/windows/intro/. | Audit, Deny, Disabled | 1.2.0 |
| Los contenedores de Windows del clúster de Kubernetes solo deben ejecutarse con un grupo de usuarios de dominio y usuario aprobado | Controle el usuario que los contenedores y pods de Windows pueden usar para ejecutarse en un clúster de Kubernetes. Esta recomendación forma parte de las directivas de seguridad de los pods sobre los nodos de Windows, que están pensadas para mejorar la seguridad de los entornos de Kubernetes. | Audit, Deny, Disabled | 2.2.0 |
| Los pods de Windows del clúster de Kubernetes no deben ejecutar contenedores de HostProcess | Impedir el acceso privilegiado al nodo de Windows. Esta recomendación está pensada para mejorar la seguridad de los nodos Windows. Para obtener más información, consulta https://kubernetes.io/docs/concepts/windows/intro/. | Audit, Deny, Disabled | 1.0.0 |
| Los clústeres de Kubernetes solo deben ser accesibles a través de HTTPS | El uso de HTTPS garantiza la autenticación y protege los datos en tránsito frente a ataques de intercepción de nivel de red. Esta capacidad está disponible actualmente con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para más información, visite https://aka.ms/kubepolicydoc | audit, Audit, deny, Deny, disabled, Disabled | 8.2.0 |
| Los clústeres de Kubernetes deben deshabilitar las credenciales de la API de montaje automático | Deshabilite las credenciales de la API de montaje automático para evitar que un recurso de pod de riesgo ejecute comandos de la API en clústeres de Kubernetes. Para más información, consulte https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 4.2.0 |
| Los clústeres de Kubernetes deben asegurarse de que el rol de administrador del clúster solo se usa cuando sea necesario | El rol "administrador de clústeres" proporciona potencias de gran alcance sobre el entorno y solo se debe usar cuando sea necesario y cuando sea necesario. | Audit, Disabled | 1.1.0 |
| Los clústeres de Kubernetes deben minimizar el uso de caracteres comodín en el rol y en el rol de clúster | El uso de caracteres comodín ("*") puede ser un riesgo de seguridad porque concede permisos amplios que pueden no ser necesarios para un rol específico. Si un rol tiene demasiados permisos, podría ser abusado por un atacante o un usuario comprometido para obtener acceso no autorizado a los recursos del clúster. | Audit, Disabled | 1.1.0 |
| Los clústeres de Kubernetes no deben permitir la elevación de privilegios del contenedor | No permita que los contenedores se ejecuten con elevación de privilegios en la raíz en un clúster de Kubernetes. Esta recomendación forma parte de la versión 5.2.5 de CIS, diseñada para mejorar la seguridad de los entornos de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 7.2.0 |
| Los clústeres de Kubernetes no deben permitir permisos de edición de puntos de conexión de ClusterRole/System:aggregate-to-edit | ClusterRole/system:aggregate-to-edit no debe permitir permisos de edición de puntos de conexión debido a CVE-2021-25740, los permisos Endpoint & EndpointSlice permiten el reenvío entre espacios de nombres, https://github.com/kubernetes/kubernetes/issues/103675. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | Audit, Disabled | 3.2.0 |
| Los clústeres de Kubernetes no deben conceder funcionalidades de seguridad CAP_SYS_ADMIN. | Para reducir la superficie expuesta a ataques de sus contenedores, restrinja las funcionalidades CAP_SYS_ADMIN de Linux. Para más información, consulte https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 5.1.0 |
| Los clústeres de Kubernetes no deben usar funcionalidades de seguridad específicas | Evite las funcionalidades de seguridad específicas en los clústeres de Kubernetes para impedir los privilegios no concedidos en el recurso de pod. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 5.2.0 |
| Los clústeres de Kubernetes no deben usar el espacio de nombres predeterminado | Evite el uso del espacio de nombres predeterminado en los clústeres de Kubernetes para proteger del acceso no autorizado a los tipos de recurso ConfigMap, Pod, Secret, Service y ServiceAccount. Para más información, consulte https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 4.2.0 |
| Los clústeres de Kubernetes deben usar el controlador StorageClass de Container Storage Interface (CSI) | La interfaz de almacenamiento de contenedores (CSI) es un estándar para exponer sistemas de almacenamiento de archivos y bloques arbitrarios a cargas de trabajo en contenedores en Kubernetes. El aprovisionador en árbol StorageClass debería estar en desuso desde la versión 1.21 de AKS. Para obtener más información, https://aka.ms/aks-csi-driver | Audit, Deny, Disabled | 2.3.0 |
| Los clústeres de Kubernetes deben usar equilibradores de carga internos | Use equilibradores de carga internos para que un servicio de Kubernetes sea accesible solo para las aplicaciones que se ejecutan en la misma red virtual que el clúster de Kubernetes. Para obtener más información, vea https://aka.ms/kubepolicydoc. | audit, Audit, deny, Deny, disabled, Disabled | 8.2.0 |
| Los recursos Kubernetes deben tener las anotaciones necesarias | Asegúrese de que las anotaciones necesarias están asociadas en un tipo de recurso de Kubernetes determinado para mejorar la administración de recursos en los recursos de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc. | Audit, Deny, Disabled | 3.2.0 |
| Los registros de recursos de Azure Kubernetes Service se deben habilitar | Los registros de recursos de Azure Kubernetes Service pueden ayudar a volver a crear trazos de actividad al investigar incidentes de seguridad. Habilite esta opción para asegurarse de que los registros existirán cuando sea necesario | AuditIfNotExists, Disabled | 1.0.0 |
| Los discos temporales y la memoria caché de los grupos de nodos agente en los clústeres de Azure Kubernetes Service deben cifrarse en el host | Para mejorar la seguridad de los datos, los datos almacenados en el host de las máquinas virtuales de los nodos de Azure Kubernetes Service deben cifrarse en reposo. Este es un requisito común de muchos estándares de cumplimiento normativo y del sector. | Audit, Deny, Disabled | 1.0.1 |
Lab Services
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Lab Services debe habilitar todas las opciones para el apagado automático | Esta directiva proporciona ayuda con la administración de costos, pues obliga a que todas las opciones de apagado automático estén habilitadas para un laboratorio. | Audit, Deny, Disabled | 1.1.0 |
| Lab Services no debe permitir máquinas virtuales de plantilla para laboratorios | Esta directiva impide la creación y personalización de máquinas virtuales de plantilla para laboratorios administrados a través de Lab Services. | Audit, Deny, Disabled | 1.1.0 |
| Lab Services debe requerir un usuario que no sea administrador para los laboratorios | Esta directiva requiere que se creen cuentas de usuario que no sean de administrador para los laboratorios administrados a través de lab-services. | Audit, Deny, Disabled | 1.1.0 |
| Lab Services debe restringir los tamaños de SKU de máquina virtual permitidos | Esta directiva le permite restringir determinadas SKU de máquina virtual de proceso para laboratorios administrados a través de Lab Services. Esto restringirá determinados tamaños de máquina virtual. | Audit, Deny, Disabled | 1.1.0 |
Lighthouse
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Permite administrar los id. de inquilino que se incorporarán mediante Azure Lighthouse | La restricción de las delegaciones de Azure Lighthouse a inquilinos de administración concretos aumenta la seguridad, ya que limita los usuarios que pueden administrar los recursos de Azure. | deny | 1.0.1 |
| Auditar la delegación de ámbitos a un inquilino de administración. | Audita la delegación de los ámbitos a un inquilino de administración a través de Azure Lighthouse. | Audit, Disabled | 1.0.0 |
Logic Apps
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| El Entorno del servicio de integración de Logic Apps se debe cifrar con claves administradas por el cliente. | Realice la implementación en el Entorno del servicio de integración para administrar el cifrado en reposo de los datos de Logic Apps con claves administradas por el cliente. De manera predeterminada, los datos del cliente se cifran con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. | Audit, Deny, Disabled | 1.0.0 |
| Logic Apps debe implementarse en el Entorno del servicio de integración. | La implementación de Logic Apps en el Entorno del servicio de integración en una red virtual desbloquea las características avanzadas de redes y seguridad de Logic Apps y proporciona un mayor control sobre la configuración de la red. Más información en: https://aka.ms/integration-service-environment. La implementación en el Entorno del servicio de integración también permite el cifrado con claves administradas por el cliente, que proporciona protección de datos mejorada al permitirle administrar sus claves de cifrado. Esto suele ser necesario para satisfacer los requisitos de cumplimiento. | Audit, Deny, Disabled | 1.0.0 |
| Los registros de recursos de Logic Apps deben estar habilitados | Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red. | AuditIfNotExists, Disabled | 5.1.0 |
Machine Learning
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: Las implementaciones de Azure Machine Learning solo deben usar modelos de Registro aprobados | Restringir la implementación de modelos del Registro para controlar los modelos creados externamente que se usan en la organización | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: las implementaciones del registro de modelos de Azure Machine Learning están restringidas, excepto para el registro permitido | Implemente solo los modelos del registro en el registro permitido y que no estén restringidos. | Deny, Disabled | 1.0.0-preview |
| La instancia de proceso de Azure Machine Learning debe tener un apagado por inactividad. | Al tener una programación de apagado por inactividad, se reduce el coste al cerrar los procesos que están inactivos después de un período de actividad predeterminado. | Audit, Deny, Disabled | 1.0.0 |
| Las instancias de proceso de Azure Machine Learning se deben volver a crear para obtener las actualizaciones de software más recientes | Asegúrese de que las instancias de proceso de Azure Machine Learning se ejecutan en el sistema operativo disponible más reciente. La seguridad se ha mejorado y se han reducido las vulnerabilidades mediante la ejecución con las revisiones de seguridad más recientes. Para más información, visite https://aka.ms/azureml-ci-updates/. | [parameters('effects')] | 1.0.3 |
| Los procesos de Azure Machine Learning deben estar en una red virtual | Las instancias de Azure Virtual Network aportan mayor seguridad y aislamiento a sus instancias y clústeres de proceso de Azure Machine Learning, así como a subredes, directivas de control de acceso y otras características para restringir aún más el acceso. Cuando se configura un proceso con una red virtual, no es posible acceder a ella públicamente; solamente se podrá acceder a ella desde máquinas virtuales y aplicaciones dentro de la red virtual. | Audit, Disabled | 1.0.1 |
| Los procesos de Azure Machine Learning deberían tener deshabilitados los métodos de autenticación local | Deshabilitar los métodos de autenticación local mejora la seguridad ya que garantiza que los procesos de Machine Learning requieran identidades de Azure Active Directory exclusivamente para la autenticación. Más información en: https://aka.ms/azure-ml-aad-policy. | Audit, Deny, Disabled | 2.1.0 |
| Las áreas de trabajo de Azure Machine Learning deben cifrarse con una clave administrada por el cliente. | Administre el cifrado en reposo de los datos del área de trabajo de Azure Machine Learning con claves administradas por el cliente. De manera predeterminada, los datos del cliente se cifran con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información en https://aka.ms/azureml-workspaces-cmk. | Audit, Deny, Disabled | 1.1.0 |
| Las áreas de trabajo de Azure Machine Learning deberían deshabilitar el acceso a la red pública | Al deshabilitar el acceso a la red pública, se mejora la seguridad, ya que se garantiza que el área de trabajo de Machine Learning no se exponga en la red pública de Internet. Se puede controlar la exposición de las áreas de trabajo mediante la creación de puntos de conexión privados. Obtenga más información en: https://learn.microsoft.com/azure/machine-learning/how-to-configure-private-link?view=azureml-api-2&tabs=azure-portal. | Audit, Deny, Disabled | 2.0.1 |
| Las áreas de trabajo de Azure Machine Learning deben habilitar V1LegacyMode para admitir la compatibilidad con versiones anteriores de aislamiento de red | Azure ML realiza una transición a una nueva plataforma de API V2 en Azure Resource Manager y puede controlar la versión de la plataforma de API mediante el parámetro V1LegacyMode. La habilitación del parámetro V1LegacyMode le permitirá mantener las áreas de trabajo en el mismo aislamiento de red que V1, aunque no tendrá el uso de las nuevas características V2. Se recomienda activar el modo heredado V1 solo cuando desee mantener los datos del plano de control de AzureML dentro de las redes privadas. Más información en: https://aka.ms/V1LegacyMode. | Audit, Deny, Disabled | 1.0.0 |
| Las áreas de trabajo de Azure Machine Learning deben usar un vínculo privado. | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados a áreas de trabajo de Azure Machine Learning, se reducen los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link. | Audit, Disabled | 1.0.0 |
| Las áreas de trabajo de Azure Machine Learning deben usar la identidad administrada asignada por el usuario | Administre el acceso al área de trabajo de Azure Machine Learning y a los recursos asociados, Azure Container Registry, KeyVault, Storage y App Insights mediante la identidad administrada asignada por el usuario. De forma predeterminada, el área de trabajo de Azure Machine Learning usa la identidad administrada asignada por el sistema para acceder a los recursos asociados. La identidad administrada asignada por el usuario le permite crear la identidad como recurso de Azure y mantener el ciclo de vida de esa identidad. Obtenga más información en https://docs.microsoft.com/azure/machine-learning/how-to-use-managed-identities?tabs=python. | Audit, Deny, Disabled | 1.0.0 |
| Configurar los procesos de Azure Machine Learning para deshabilitar los métodos de autenticación local | Deshabilite los métodos de autenticación de ubicación para que los procesos de Machine Learning requieran identidades de Azure Active Directory exclusivamente para la autenticación. Más información en: https://aka.ms/azure-ml-aad-policy. | Modificar, Deshabilitado | 2.1.0 |
| Configuración del área de trabajo de Azure Machine Learning para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada se vincula a la red virtual para resolver las áreas de trabajo de Azure Machine Learning. Más información en: https://docs.microsoft.com/azure/machine-learning/how-to-network-security-overview. | DeployIfNotExists, Disabled | 1.1.0 |
| Configuración de las áreas de trabajo de Azure Machine Learning para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública de las áreas de trabajo de Azure Machine Learning para que estas no sean accesibles a través de la red pública de Internet. Esto ayuda a proteger las áreas de trabajo frente a riesgos de pérdida de datos. Se puede controlar la exposición de las áreas de trabajo mediante la creación de puntos de conexión privados. Obtenga más información en: https://learn.microsoft.com/azure/machine-learning/how-to-configure-private-link?view=azureml-api-2&tabs=azure-portal. | Modificar, Deshabilitado | 1.0.3 |
| Configuración de áreas de trabajo de Azure Machine Learning con puntos de conexión privados | Los puntos de conexión privados conectan la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Mediante la asignación de puntos de conexión privados a su área de trabajo de Azure Machine Learning, puede reducir los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de la configuración de diagnóstico del área de trabajo de Azure Machine Learning en el área de trabajo de Log Analytics | Implementa la configuración de diagnóstico del área de trabajo de Azure Machine Learning para que transmita los registros de recursos a un área de trabajo de Log Analytics cuando se cree o actualice cualquier área de trabajo de Azure Machine Learning a la que le falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 1.0.1 |
| Los registros de recursos del área de trabajo de Azure Machine Learning deben estar habilitados | Los registros de recursos habilitan que se vuelvan a crear seguimientos de actividad con fines de investigación en caso de que se produzcan incidentes de seguridad o riesgos para la red. | AuditIfNotExists, Disabled | 1.0.1 |
Aplicación administrada
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| La definición de aplicación para la aplicación administrada debe usar la cuenta de almacenamiento proporcionada por el cliente. | Use su propia cuenta de almacenamiento para controlar los datos de definición de la aplicación cuando se trate de un requisito de cumplimiento normativo. Puede optar por almacenar la definición de aplicación administrada en la cuenta de almacenamiento que ha proporcionado durante la creación para que pueda administrar totalmente su ubicación y acceso para cumplir con los requisitos de cumplimiento normativo. | audit, Audit, deny, Deny, disabled, Disabled | 1.1.0 |
| Implementación de asociaciones para aplicaciones administradas | Implementa un recurso de asociación que asocia los tipos de recursos seleccionados con la aplicación administrada especificada. Esta implementación de directiva no admite los tipos de recursos anidados. | deployIfNotExists | 1.0.0 |
Managed Grafana
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Las áreas de trabajo de Azure Managed Grafana deben deshabilitar la configuración de correo electrónico | Deshabilita la configuración SMTP del punto de contacto de correo electrónico para las alertas en el área de trabajo de Grafana. | Audit, Deny, Disabled | 1.0.0 |
| Las áreas de trabajo de Azure Managed Grafana deben deshabilitar la actualización de Grafana Enterprise | Deshabilita la actualización de Grafana Enterprise en el área de trabajo de Grafana. | Audit, Deny, Disabled | 1.0.0 |
| Las áreas de trabajo de Azure Managed Grafana deberían deshabilitar el acceso a la red pública | Deshabilitar el acceso a la red pública mejora la seguridad, ya que garantiza que el área de trabajo de Azure Managed Grafana no esté expuesto en la Internet pública. La creación de puntos de conexión privados puede limitar la exposición de sus áreas de trabajo. | Audit, Deny, Disabled | 1.0.0 |
| Las áreas de trabajo de Azure Managed Grafana deben deshabilitar la cuenta de servicio | Deshabilita las claves de API y la cuenta de servicio para las cargas de trabajo automatizadas en el área de trabajo de Grafana. | Audit, Deny, Disabled | 1.0.0 |
| Las áreas de trabajo de Azure Managed Grafana deben usar Private Link | Azure Private Link permite conectar las redes virtuales a los servicios de Azure sin una IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a Managed Grafana, se puede reducir el riesgo de pérdida de datos. | Audit, Disabled | 1.0.1 |
| Configurar las áreas de trabajo de Azure Managed Grafana para deshabilitar el acceso a la red pública | Deshabilitar el acceso a la red pública para su área de trabajo Azure Managed Grafana para que no sea accesible a través de la Internet pública. Esto puede reducir los riesgos de pérdida de datos. | Modificar, Deshabilitado | 1.0.0 |
| Configurar las áreas de trabajo de Azure Managed Grafana para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada se vincula a la red virtual para resolver las áreas de trabajo de Azure Managed Grafana. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar áreas de trabajo de Azure Managed Grafana con puntos de conexión privados | Los puntos de conexión privados conectan las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a Azure Managed Grafana, puede reducir los riesgos de pérdida de datos. | DeployIfNotExists, Disabled | 1.0.1 |
Identidad administrada
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: las credenciales federadas de identidad administrada de Azure Kubernetes deben proceder de fuentes de confianza | Esta directiva limita la federación con clústeres de Azure Kubernetes solo a clústeres de inquilinos aprobados, regiones aprobadas y una lista de excepciones específica de clústeres adicionales. | Audit, Disabled, Deny | 1.0.0-preview |
| [Versión preliminar]: las credenciales Federadas de identidad administrada de GitHub deben ser de propietarios de repositorios de confianza | Esta directiva limita la federación con repositorios de GitHub solo a los propietarios de repositorio aprobados. | Audit, Disabled, Deny | 1.0.1-preview |
| [Versión preliminar]: las credenciales federadas de identidad administrada deben ser de los tipos de emisores permitidos | Esta directiva limita si las identidades administradas pueden usar credenciales federadas, qué tipos de emisor comunes se permiten y proporciona una lista de excepciones de emisor permitidas. | Audit, Disabled, Deny | 1.0.0-preview |
| [Versión preliminar]: Asignación de identidad administrada integrada asignada por el usuario a Virtual Machine Scale Sets | Cree y asigne una identidad administrada asignada por el usuario integrada o asigne una identidad administrada asignada por el usuario creada previamente a gran escala a los conjuntos de escalado de máquinas virtuales. Para documentación más detallada, visite aka.ms/managedidentitypolicy. | AuditIfNotExists, DeployIfNotExists, Disabled | 1.1.0-preview |
| [Versión preliminar]: Asignar una identidad administrada integrada asignada por el usuario a Virtual Machines | Cree y asigne una identidad administrada asignada por el usuario integrada o asigne una identidad administrada asignada por el usuario creada previamente a gran escala a máquinas virtuales. Para documentación más detallada, visite aka.ms/managedidentitypolicy. | AuditIfNotExists, DeployIfNotExists, Disabled | 1.1.0-preview |
Maps
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| CORS no debe permitir que todos los recursos accedan a la cuenta de mapa. | El uso compartido de recursos entre orígenes (CORS) no debe permitir que todos los dominios accedan a la cuenta de mapa. Permita la interacción con la cuenta de mapa solo de los dominios requeridos. | Disabled, Audit, Deny | 1.0.0 |
Media Services
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Las cuentas de Azure Media Services deben desactivar el acceso a la red pública | Al deshabilitar el acceso a la red pública, se mejora la seguridad, ya que los recursos de Media Services no se exponen en la red pública de Internet. La creación de puntos de conexión privados puede limitar la exposición de los recursos de Media Services. Más información en: https://aka.ms/mediaservicesprivatelinkdocs. | Audit, Deny, Disabled | 1.0.0 |
| Las cuentas de Azure Media Services deben usar una API que admita Private Link | Las cuentas de Media Services se deben crear con una API que admita vínculo privado. | Audit, Deny, Disabled | 1.0.0 |
| Se deben bloquear las cuentas de Azure Media Services que permitan el acceso a la v2 API heredada | La API v2 (heredada) de Media Services permite solicitudes que no se pueden administrar mediante Azure Policy. Los recursos de Media Services creados mediante la API 2020-05-01 o posterior bloquean el acceso a la API v2 heredada. | Audit, Deny, Disabled | 1.0.0 |
| Las directivas de clave de contenido de Azure Media Services deben usar la autenticación por tokens | Las directivas de clave de contenido definen las condiciones que se deben cumplir para acceder a las claves de contenido. Una restricción de token garantiza que solo los usuarios que tengan tokens válidos de un servicio de autenticación puedan acceder a las claves de contenido, por ejemplo, Microsoft Entra ID. | Audit, Deny, Disabled | 1.0.1 |
| Los trabajos de Azure Media Services con entradas HTTPS deben limitar los URI de entrada a patrones de URI permitidos | Restrinja las entradas HTTPS que usan los trabajos de Media Services a puntos de conexión conocidos. Las entradas de los puntos de conexión HTTPS se pueden deshabilitar completamente estableciendo una lista vacía de patrones de entrada de trabajos permitidos. Cuando las entradas del trabajo especifican un elemento "baseUri", los patrones se comparan con este valor; cuando no se establece "baseUri", el patrón se compara con la propiedad "files". | Deny, Disabled | 1.0.1 |
| Azure Media Services debe usar claves administradas por el cliente para cifrar los datos en reposo | Use claves administradas por el cliente para administrar el cifrado en reposo de las cuentas de Media Services. De manera predeterminada, los datos del cliente se cifran con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información en https://aka.ms/mediaservicescmkdocs. | Audit, Deny, Disabled | 1.0.0 |
| Azure Media Services debe usar un vínculo privado | Azure Private Link permite conectar las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a Media Services, se puede reducir el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/mediaservicesprivatelinkdocs. | AuditIfNotExists, Disabled | 1.0.0 |
| Configuración de Azure Media Services para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada se vincula a la red virtual para resolverse en las cuentas de Media Services. Más información en: https://aka.ms/mediaservicesprivatelinkdocs. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de Azure Media Services con puntos de conexión privados | Los puntos de conexión privados conectan las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a Media Services, se puede reducir el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/mediaservicesprivatelinkdocs. | DeployIfNotExists, Disabled | 1.0.0 |
Migrate
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Configurar los recursos de Azure Migrate para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada se vincula a la red virtual para resolver el proyecto de Azure Migrate. Más información en: https://aka.ms/privatednszone. | DeployIfNotExists, Disabled | 1.0.0 |
Red móvil
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Configurar el acceso de diagnóstico del plano de control de Packet Core para usar el tipo de autenticación Microsoft EntraID | El tipo de autenticación debe ser Microsoft EntraID para el acceso de diagnóstico principal de paquetes a través de las API locales. | Modificar, Deshabilitado | 1.0.0 |
| El acceso de diagnóstico del plano de control de Packet Core solo debe usar el tipo de autenticación Microsoft EntraID | El tipo de autenticación debe ser Microsoft EntraID para el acceso de diagnóstico principal de paquetes a través de las API locales. | Audit, Deny, Disabled | 1.0.0 |
| El grupo SIM debe usar claves administradas por el cliente para cifrar los datos en reposo | Usa claves administradas por el cliente para administrar el cifrado en reposo de los secretos SIM de un grupo SIM. Las claves administradas por el cliente suelen ser necesarias para cumplir los estándares de cumplimiento normativo y permiten cifrar los datos con una clave de Azure Key Vault creada por ti y de tu propiedad. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. | Audit, Deny, Disabled | 1.0.0 |
Supervisión
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: configuración de máquinas Linux habilitadas para Azure Arc con agentes de Log Analytics conectados al área de trabajo predeterminada de Log Analytics | Proteja sus máquinas Linux habilitadas para Azure Arc con las funcionalidades de Microsoft Defender for Cloud mediante la instalación de agentes de Log Analytics que envían datos a un área de trabajo predeterminada de Log Analytics creada por Microsoft Defender for Cloud. | DeployIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: configuración de máquinas Windows habilitadas para Azure Arc con agentes de Log Analytics conectados al área de trabajo predeterminada de Log Analytics | Proteja sus máquinas Windows habilitadas para Azure Arc con las funcionalidades de Microsoft Defender for Cloud mediante la instalación de agentes de Log Analytics que envían datos a un área de trabajo predeterminada de Log Analytics creada por Microsoft Defender for Cloud. | DeployIfNotExists, Disabled | 1.1.0-preview |
| [Versión preliminar]: configuración de la identidad administrada asignada por el sistema para habilitar las asignaciones de Azure Monitor en máquinas virtuales | Configure una identidad administrada asignada por el sistema en las máquinas virtuales hospedadas en Azure compatibles con Azure Monitor que no tengan una identidad administrada asignada por el sistema. Una identidad administrada asignada por el sistema es un requisito previo para todas las asignaciones de Azure Monitor y debe agregarse a las máquinas antes de usar cualquier extensión de Azure Monitor. Las máquinas virtuales de destino deben estar en una ubicación admitida. | Modificar, Deshabilitado | 6.0.0 (preliminar) |
| [Versión preliminar]: la extensión de Log Analytics debe estar habilitada en las imágenes de máquina virtual enumeradas | Notifica que las máquinas virtuales no son compatibles si la imagen de máquina virtual no está en la lista definida y la extensión no está instalada. | AuditIfNotExists, Disabled | 2.0.1-preview |
| [Vista previa]: La extensión de Log Analytics debe estar instalada en las máquinas Linux de Azure Arc | Esta directiva audita las máquinas Linux de Azure Arc si la extensión de Log Analytics no está instalada. | AuditIfNotExists, Disabled | 1.0.1-preview |
| [Vista previa]: La extensión de Log Analytics debe estar instalada en las máquinas Windows de Azure Arc | Esta directiva audita las máquinas Windows de Azure Arc si la extensión de Log Analytics no está instalada. | AuditIfNotExists, Disabled | 1.0.1-preview |
| [Versión preliminar]: el agente de recopilación de datos de tráfico de red debe instalarse en máquinas virtuales Linux | Security Center usa Microsoft Dependency Agent para recopilar datos del tráfico de red de sus máquinas virtuales de Azure y así poder habilitar características avanzadas de protección de red, como la visualización del tráfico en el mapa de red, las recomendaciones de refuerzo de la red y las amenazas de red específicas. | AuditIfNotExists, Disabled | 1.0.2-preview |
| [Versión preliminar]: el agente de recopilación de datos de tráfico de red debe instalarse en las máquinas virtuales Windows | Security Center usa Microsoft Dependency Agent para recopilar datos del tráfico de red de sus máquinas virtuales de Azure y así poder habilitar características avanzadas de protección de red, como la visualización del tráfico en el mapa de red, las recomendaciones de refuerzo de la red y las amenazas de red específicas. | AuditIfNotExists, Disabled | 1.0.2-preview |
| El registro de actividad debe conservarse durante al menos un año | Esta directiva audita el registro de actividad si la retención no se estableció en 365 días o en siempre (días de retención establecidos en 0). | AuditIfNotExists, Disabled | 1.0.0 |
| Debe existir una alerta de registro de actividad para operaciones administrativas específicas | Esta directiva audita operaciones administrativas específicas sin alertas de registro de actividad configuradas. | AuditIfNotExists, Disabled | 1.0.0 |
| Debe existir una alerta de registro de actividad para las operaciones específicas de la directiva | Esta directiva audita las operaciones específicas de la directiva sin alertas de registro de actividad configuradas. | AuditIfNotExists, Disabled | 3.0.0 |
| Debe existir una alerta de registro de actividad para las operaciones específicas de seguridad | Esta directiva audita las operaciones específicas de seguridad sin alertas de registro de actividad configuradas. | AuditIfNotExists, Disabled | 1.0.0 |
| Los componentes de Application Insights deberían bloquear la ingesta y consulta de registros desde redes públicas | Mejore la seguridad de Application Insights mediante el bloqueo de la ingesta y consulta de registros de redes públicas. Solo las redes conectadas a un vínculo privado podrán ingerir y consultar los registros de este componente. Obtenga más información en https://aka.ms/AzMonPrivateLink#configure-application-insights. | audit, Audit, deny, Deny, disabled, Disabled | 1.1.0 |
| Los componentes de Application Insights deberían bloquear la ingesta no basada en Azure Active Directory. | La aplicación de la ingesta de registros para requerir la autenticación de Azure Active Directory evita los registros no autenticados de un atacante, que podrían provocar un estado incorrecto, alertas falsas y almacenamiento de registros incorrectos en el sistema. | Deny, Audit, Disabled | 1.0.0 |
| Los componentes de Application Insights con Private Link habilitado deberían usar sus propias cuentas de almacenamiento para el generador de perfiles y el depurador. | Para admitir directivas de claves administradas por el cliente y vínculos privados, cree su propia cuenta de almacenamiento para el generador de perfiles y el depurador. Puede encontrar más información en https://docs.microsoft.com/azure/azure-monitor/app/profiler-bring-your-own-storage | Deny, Audit, Disabled | 1.0.0 |
| Audite la configuración de diagnóstico para los tipos de recursos seleccionados. | Audite la configuración de diagnóstico para los tipos de recursos seleccionados. Asegúrese de seleccionar solo los tipos de recursos que admiten la configuración de diagnóstico. | AuditIfNotExists | 2.0.1 |
| Azure Application Gateway debe tener habilitados los registros de recursos | Habilite los registros de recursos para Azure Application Gateway (más el WAF) y transmítalos a un área de trabajo de Log Analytics. Obtenga visibilidad detallada sobre el tráfico web entrante y las acciones realizadas para mitigar los ataques. | AuditIfNotExists, Disabled | 1.0.0 |
| Azure Front Door debe tener habilitados los registros de recursos | Habilite los registros de recursos para Azure Front Door (más el WAF) y transmítalos a un área de trabajo de Log Analytics. Obtenga visibilidad detallada sobre el tráfico web entrante y las acciones realizadas para mitigar los ataques. | AuditIfNotExists, Disabled | 1.0.0 |
| Azure Front Door Estándar o Premium (más el WAF) debe tener habilitados los registros de recursos | Habilite los registros de recursos para Azure Front Door Estándar o Premium (más el WAF) y transmítalos a un área de trabajo de Log Analytics. Obtenga visibilidad detallada sobre el tráfico web entrante y las acciones realizadas para mitigar los ataques. | AuditIfNotExists, Disabled | 1.0.0 |
| Las alertas de búsqueda de registros de Azure sobre las áreas de trabajo de Log Analytics deben usar claves administradas por el cliente | Asegúrese de que las alertas de búsqueda de registros de Azure estén implementando claves administradas por el cliente. Para ello, almacene el texto de la consulta mediante la cuenta de almacenamiento que el cliente había proporcionado para el área de trabajo de Log Analytics consultada. Para más información, visite https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview. | Audit, Disabled, Deny | 1.0.0 |
| El perfil de registro de Azure Monitor debe recopilar los registros de las categorías "write", "delete" y "action" | Esta directiva garantiza que un perfil de registro recopile registros para las categorías "write", "delete" y "action". | AuditIfNotExists, Disabled | 1.0.0 |
| Los clústeres de registros de Azure Monitor se deben crear con el cifrado de infraestructura habilitado (cifrado doble) | Para asegurarse de que el cifrado de datos seguro está habilitado en el nivel de servicio y en el nivel de infraestructura con dos algoritmos de cifrado diferentes y dos claves diferentes, use un clúster dedicado Azure Monitor. Esta opción está habilitada de forma predeterminada cuando se admite en la región; consulte https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview. | audit, Audit, deny, Deny, disabled, Disabled | 1.1.0 |
| Los clústeres de registros de Azure Monitor se deben cifrar con una clave administrada por el cliente | Cree un clúster de registros de Azure Monitor con cifrado de claves administradas por el cliente. De manera predeterminada, los datos de registro se cifran con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para satisfacer el cumplimiento normativo. La clave administrada por el cliente en Azure Monitor proporciona un mayor control sobre el acceso a los datos; consulte https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys. | audit, Audit, deny, Deny, disabled, Disabled | 1.1.0 |
| Los registros de Azure Monitor para Application Insights deben vincularse a un área de trabajo de Log Analytics | Vincule el componente de Application Insights a un área de trabajo de Log Analytics para el cifrado de los registros. Las claves administradas por el cliente suelen ser necesarias para satisfacer el cumplimiento normativo y para tener un mayor control sobre el acceso a los datos en Azure Monitor. La vinculación del componente a un área de trabajo de Log Analytics habilitada con una clave administrada por el cliente garantiza que los registros de Application Insights satisfacen este requisito de cumplimiento; consulte https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys. | audit, Audit, deny, Deny, disabled, Disabled | 1.1.0 |
| El ámbito de Private Link de Azure Monitor debe bloquear el acceso a recursos que no sean de vínculos privados | Azure Private Link permite conectar las redes virtuales a los recursos de Azure a través de un punto de conexión privado a un ámbito de Private Link de Azure Monitor (AMPLS). Los modos de acceso de Private Link se establecen en AMPLS para controlar si las solicitudes de ingesta y consulta de las redes pueden llegar a todos los recursos o solo a los recursos de Private Link (para evitar la filtración de datos). Más información sobre los vínculos privados en https://docs.microsoft.com/azure/azure-monitor/logs/private-link-security#private-link-access-modes-private-only-vs-open. | Audit, Deny, Disabled | 1.0.0 |
| El ámbito de Private Link de Azure Monitor debe usar un vínculo privado | Azure Private Link permite conectar las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados al ámbito de Private Link de Azure Monitor, se pueden reducir los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://docs.microsoft.com/azure/azure-monitor/logs/private-link-security. | AuditIfNotExists, Disabled | 1.0.0 |
| Azure Monitor debe recopilar los registros de actividad de todas las regiones | Esta directiva audita el perfil de registro de Azure Monitor que no exporta actividades de todas las regiones admitidas de Azure, incluida la global. | AuditIfNotExists, Disabled | 2.0.0 |
| Se debe implementar la solución "Security and Audit" de Azure Monitor | Esta directiva garantiza que se implementa Security and Audit. | AuditIfNotExists, Disabled | 1.0.0 |
| Las suscripciones a Azure deben tener un perfil de registro para el registro de actividad | Esta directiva garantiza que un perfil de registro esté habilitado para la exportación de registros de actividad. Audita si no hay ningún perfil de registro creado para exportar los registros a una cuenta de almacenamiento o a un centro de eventos. | AuditIfNotExists, Disabled | 1.0.0 |
| Configurar registros de actividad de Azure para transmitirlos al área de trabajo especificada de Log Analytics | Implementa la configuración de diagnóstico de actividad de Azure para hacer streaming en los registros de auditoría de suscripciones de suscripción a un área de trabajo de Log Analytics para supervisar los eventos en el nivel de suscripción. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de los componentes de Azure Application Insights para deshabilitar el acceso de la red pública para la ingesta y consulta de registros | Deshabilite el acceso de redes públicas para la ingesta y consulta de registros de componentes a fin de mejorar la seguridad. Solo las redes conectadas a un vínculo privado podrán ingerir y consultar los registros de esta área de trabajo. Obtenga más información en https://aka.ms/AzMonPrivateLink#configure-application-insights. | Modificar, Deshabilitado | 1.1.0 |
| Configuración de áreas de trabajo de Azure Log Analytics para deshabilitar el acceso de la red pública para la ingesta y consulta de registros | Mejore la seguridad del área de trabajo mediante el bloqueo de la ingesta y consulta de registros de redes públicas. Solo las redes conectadas a un vínculo privado podrán ingerir y consultar los registros de esta área de trabajo. Obtenga más información en https://aka.ms/AzMonPrivateLink#configure-log-analytics. | Modificar, Deshabilitado | 1.1.0 |
| Configurar el ámbito de Private Link de Azure Monitor para bloquear el acceso a recursos que no sean de vínculos privados | Azure Private Link permite conectar las redes virtuales a los recursos de Azure a través de un punto de conexión privado a un ámbito de Private Link de Azure Monitor (AMPLS). Los modos de acceso de Private Link se establecen en AMPLS para controlar si las solicitudes de ingesta y consulta de las redes pueden llegar a todos los recursos o solo a los recursos de Private Link (para evitar la filtración de datos). Más información sobre los vínculos privados en https://docs.microsoft.com/azure/azure-monitor/logs/private-link-security#private-link-access-modes-private-only-vs-open. | Modificar, Deshabilitado | 1.0.0 |
| Configuración de su ámbito de Private Link de Azure Monitor para utilizar las zonas de DNS privado | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada se vincula a la red virtual para resolver el ámbito de Private Link de Azure Monitor. Más información en: https://docs.microsoft.com/azure/azure-monitor/logs/private-link-security#connect-to-a-private-endpoint. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de los ámbitos de Private Link de Azure Monitor con puntos de conexión privados | Los puntos de conexión privados conectan las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. Mediante la asignación de puntos de conexión privados a los ámbitos de Private Link de Azure Monitor, se pueden reducir los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://docs.microsoft.com/azure/azure-monitor/logs/private-link-security. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar Dependency Agent en servidores Linux con Azure Arc habilitado | Habilite la información de las VM en servidores y máquinas conectadas a Azure a través de servidores habilitados para Arc mediante la instalación de la extensión Dependency Agent para máquinas virtuales. La información de las VM usa Dependency Agent para recopilar métricas de red y datos detectados sobre los procesos que se ejecutan en la máquina y las dependencias de procesos externos. Más información: https://aka.ms/vminsightsdocs. | DeployIfNotExists, Disabled | 2.1.0 |
| Configurar Dependency Agent en servidores de Linux habilitados con Azure Arc con la configuración del agente de Azure Monitor | Habilite la información de las máquinas virtuales en servidores y máquinas conectadas a Azure a través de servidores habilitados con Arc habilitado mediante la instalación de la extensión de máquina virtual de Dependency Agent con la configuración del agente de Azure Monitor. La información de las VM usa Dependency Agent para recopilar métricas de red y datos detectados sobre los procesos que se ejecutan en la máquina y las dependencias de procesos externos. Más información: https://aka.ms/vminsightsdocs. | DeployIfNotExists, Disabled | 1.2.0 |
| Configurar el agente de dependencias en servidores Windows con Microsoft Azure Arc habilitados | Habilite la información de las VM en servidores y máquinas conectadas a Azure a través de servidores habilitados para Arc mediante la instalación de la extensión Dependency Agent para máquinas virtuales. La información de las VM usa Dependency Agent para recopilar métricas de red y datos detectados sobre los procesos que se ejecutan en la máquina y las dependencias de procesos externos. Más información: https://aka.ms/vminsightsdocs. | DeployIfNotExists, Disabled | 2.1.0 |
| Configurar Dependency Agent en servidores de Windows habilitados con Azure Arc con la configuración del agente de Azure Monitor | Habilite la información de las máquinas virtuales en servidores y máquinas conectadas a Azure a través de servidores habilitados con Arc habilitado mediante la instalación de la extensión de máquina virtual de Dependency Agent con la configuración del agente de Azure Monitor. La información de las VM usa Dependency Agent para recopilar métricas de red y datos detectados sobre los procesos que se ejecutan en la máquina y las dependencias de procesos externos. Más información: https://aka.ms/vminsightsdocs. | DeployIfNotExists, Disabled | 1.2.0 |
| Configuración de máquinas habilitadas para Arc en Linux para asociarlas a una regla de recopilación de datos o a un punto de conexión de recopilación de datos | Implemente la asociación para vincular máquinas habilitadas para Arc en Linux a la regla de recopilación de datos especificada o al punto de conexión de recopilación de datos especificado. La lista de ubicaciones se actualiza con el tiempo a medida que aumenta la compatibilidad. | DeployIfNotExists, Disabled | 2.2.1 |
| Configuración de máquinas habilitadas para Linux Arc para ejecutar el agente de Azure Monitor | Automatice la implementación de la extensión del agente de Azure Monitor en las máquinas habilitadas para Linux Arc a fin de recopilar datos de telemetría del sistema operativo invitado. Esta directiva instalará la extensión si se admite la región. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 2.4.0 |
| Configuración de máquinas Linux para asociarlas a una regla de recopilación de datos o a un punto de conexión de recopilación de datos | Implemente la asociación para vincular máquinas virtuales Linux, conjuntos de escalado de máquinas virtuales y máquinas habilitadas para Arc a la regla de recopilación de datos especificada o al punto de conexión de recopilación de datos especificado. La lista de ubicaciones e imágenes del sistema operativo se actualiza con el tiempo a medida que aumenta la compatibilidad. | DeployIfNotExists, Disabled | 6.5.1 |
| Configurar Virtual Machine Scale Sets de Linux para asociarlo a una regla de recopilación de datos o a un punto de conexión de recopilación de datos | Implemente la asociación para vincular conjuntos de escalado de máquinas virtuales Linux a la regla de recopilación de datos especificada o al punto de conexión de recopilación de datos especificado. La lista de ubicaciones e imágenes del sistema operativo se actualiza con el tiempo a medida que aumenta la compatibilidad. | DeployIfNotExists, Disabled | 4.4.1 |
| Configuración de conjuntos de escalado de máquinas virtuales Linux para ejecutar el agente de Azure Monitor con autenticación basada en identidades administradas asignada por el sistema | Automatice la implementación del agente de Azure Monitor en los conjuntos de escalado de sus máquinas virtuales Linux para recopilar datos de telemetría del sistema operativo invitado. Esta directiva instalará la extensión si se admite el sistema operativo y la región y la identidad administrada asignada por el sistema está habilitada, y omitirá la instalación en caso contrario. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 3.6.0 |
| Configuración de conjuntos de escalado de máquinas virtuales Linux para ejecutar el agente de Azure Monitor con autenticación basada en identidades administradas asignada por el usuario | Automatice la implementación del agente de Azure Monitor en los conjuntos de escalado de sus máquinas virtuales Linux para recopilar datos de telemetría del sistema operativo invitado. Esta directiva instalará la extensión y la configurará para usar la identidad administrada asignada por el usuario especificada si se admite el sistema operativo y la región, y omita la instalación en caso contrario. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 3.8.0 |
| Configurar Linux Virtual Machines para asociarse a una regla de recopilación de datos o a un punto de conexión de recopilación de datos | Implemente la asociación para vincular máquinas virtuales Linux a la regla de recopilación de datos especificada o al punto de conexión de recopilación de datos especificado. La lista de ubicaciones e imágenes del sistema operativo se actualiza con el tiempo a medida que aumenta la compatibilidad. | DeployIfNotExists, Disabled | 4.4.1 |
| Configuración de máquinas virtuales Linux para ejecutar el agente de Azure Monitor con autenticación basada en identidad administrada asignada por el sistema | Automatice la implementación del agente de Azure Monitor en las máquinas virtuales Linux para recopilar datos de telemetría del sistema operativo invitado. Esta directiva instalará la extensión si se admite el sistema operativo y la región y la identidad administrada asignada por el sistema está habilitada, y omitirá la instalación en caso contrario. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 3.6.0 |
| Configuración de máquinas virtuales Linux para ejecutar el agente de Azure Monitor con autenticación basada en identidades administradas asignada por el usuario | Automatice la implementación del agente de Azure Monitor en las máquinas virtuales Linux para recopilar datos de telemetría del sistema operativo invitado. Esta directiva instalará la extensión y la configurará para usar la identidad administrada asignada por el usuario especificada si se admite el sistema operativo y la región, y omita la instalación en caso contrario. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 3.8.0 |
| Configurar la extensión de Log Analytics en servidores Linux con Azure Arc habilitado. Consulte el aviso de desuso a continuación | Habilite la información de las máquinas virtuales en servidores y máquinas conectados a Azure mediante servidores habilitados para Arc instalando la extensión de Log Analytics para máquinas virtuales. La información de las VM usa el agente de Log Analytics para recopilar los datos de rendimiento del sistema operativo invitado, y proporciona información sobre su rendimiento. Más información: https://aka.ms/vminsightsdocs. Aviso de desuso: los agentes de Log Analytics están en ruta de desuso y dejarán de tener soporte técnico el 31 de agosto de 2024. Debe migrar al "agente de Azure Monitor" de reemplazo antes de esa fecha | DeployIfNotExists, Disabled | 2.1.1 |
| Configurar la extensión de Log Analytics en servidores Windows con Azure Arc habilitado | Habilite la información de las máquinas virtuales en servidores y máquinas conectados a Azure mediante servidores habilitados para Arc instalando la extensión de Log Analytics para máquinas virtuales. La información de las VM usa el agente de Log Analytics para recopilar los datos de rendimiento del sistema operativo invitado, y proporciona información sobre su rendimiento. Más información: https://aka.ms/vminsightsdocs. Aviso de desuso: los agentes de Log Analytics están en ruta de desuso y dejarán de tener soporte técnico el 31 de agosto de 2024. Debe migrar al "agente de Azure Monitor" de reemplazo antes de esa fecha. | DeployIfNotExists, Disabled | 2.1.1 |
| Configuración del área de trabajo de Log Analytics y la cuenta de Automation para centralizar los registros y la supervisión | Implemente un grupo de recursos que contenga el área de trabajo de Log Analytics y la cuenta de automatización vinculada para centralizar los registros y la supervisión. La cuenta de Automation es un requisito previo para soluciones como Actualizaciones y Change Tracking. | DeployIfNotExists, AuditIfNotExists, Disabled | 2.0.0 |
| Configurar las máquinas Windows Arc para asociarlas a una regla de recopilación de datos o a un punto de conexión de recopilación de datos | Implemente la asociación para vincular máquinas habilitadas para Arc en Windows a la regla de recopilación de datos especificada o al punto de conexión de recopilación de datos especificado. La lista de ubicaciones se actualiza con el tiempo a medida que aumenta la compatibilidad. | DeployIfNotExists, Disabled | 2.2.1 |
| Configuración de máquinas habilitadas de Windows Arc para ejecutar el Agente de Azure Monitor | Automatice la implementación de la extensión del agente de Azure Monitor en las máquinas habilitadas para Windows Arc a fin de recopilar datos de telemetría del sistema operativo invitado. Esta directiva instalará la extensión si se admite el sistema operativo y la región y la identidad administrada asignada por el sistema está habilitada, y omitirá la instalación en caso contrario. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 2.4.0 |
| Configuración de máquinas Windows para asociarlas a una regla de recopilación de datos o a un punto de conexión de recopilación de datos | Implemente la asociación para vincular máquinas virtuales Windows, conjuntos de escalado de máquinas virtuales y máquinas habilitadas para Arc a la regla de recopilación de datos especificada o al punto de conexión de recopilación de datos especificado. La lista de ubicaciones e imágenes del sistema operativo se actualiza con el tiempo a medida que aumenta la compatibilidad. | DeployIfNotExists, Disabled | 4.5.1 |
| Configurar Virtual Machine Scale Sets de Windows para asociarlo a una regla de recopilación de datos o a un punto de conexión de recopilación de datos | Implemente la asociación para vincular conjuntos de escalado de máquinas virtuales Windows a la regla de recopilación de datos especificada o al punto de conexión de recopilación de datos especificado. La lista de ubicaciones e imágenes del sistema operativo se actualiza con el tiempo a medida que aumenta la compatibilidad. | DeployIfNotExists, Disabled | 3.3.1 |
| Configuración de los conjuntos de escalado de máquinas virtuales de Windows para ejecutar el agente de Azure Monitor mediante una identidad administrada asignada por el sistema | Automatice la implementación del agente de Azure Monitor en los conjuntos de escalado de máquinas virtuales Windows para recopilar datos de telemetría del sistema operativo invitado. Esta directiva instalará la extensión si se admite el sistema operativo y la región y la identidad administrada asignada por el sistema está habilitada, y omitirá la instalación en caso contrario. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 3.4.0 |
| Configuración de los conjuntos de escalado de máquinas virtuales de Windows para ejecutar el agente de Azure Monitor con autenticación basada en identidades administradas asignadas por el usuario | Automatice la implementación del agente de Azure Monitor en los conjuntos de escalado de máquinas virtuales Windows para recopilar datos de telemetría del sistema operativo invitado. Esta directiva instalará la extensión y la configurará para usar la identidad administrada asignada por el usuario especificada si se admite el sistema operativo y la región, y omita la instalación en caso contrario. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 1.6.0 |
| Configurar Windows Virtual Machines para asociarse a una regla de recopilación de datos o a un punto de conexión de recopilación de datos | Implemente la asociación para vincular máquinas virtuales Windows a la regla de recopilación de datos especificada o al punto de conexión de recopilación de datos especificado. La lista de ubicaciones e imágenes del sistema operativo se actualiza con el tiempo a medida que aumenta la compatibilidad. | DeployIfNotExists, Disabled | 3.3.1 |
| Configuración de Windows Virtual Machines para ejecutar el agente de Azure Monitor mediante una identidad administrada asignada por el sistema | Automatice la implementación del agente de Azure Monitor en las máquinas virtuales Windows para recopilar datos de telemetría del sistema operativo invitado. Esta directiva instalará la extensión si se admite el sistema operativo y la región y la identidad administrada asignada por el sistema está habilitada, y omitirá la instalación en caso contrario. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 4.4.0 |
| Configuración de Windows Virtual Machines para ejecutar el agente de Azure Monitor con autenticación basada en identidades administradas asignadas por el usuario | Automatice la implementación del agente de Azure Monitor en las máquinas virtuales Windows para recopilar datos de telemetría del sistema operativo invitado. Esta directiva instalará la extensión y la configurará para usar la identidad administrada asignada por el usuario especificada si se admite el sistema operativo y la región, y omita la instalación en caso contrario. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 1.6.0 |
| Auditar la implementación de Dependency Agent: imagen de VM (SO) no mostrada | Informa que las máquinas virtuales no son compatibles si la imagen de la máquina virtual no está en la lista definida y el agente no está instalado. La lista de imágenes de sistema operativo se actualiza con el tiempo a medida que se actualiza la compatibilidad. | AuditIfNotExists, Disabled | 2.0.0 |
| Auditar la implementación de Dependency Agent en los conjuntos de escalado de máquinas virtuales: imagen de VM (SO) no mostrada | Notifica que los conjuntos de escalado de máquinas virtuales no son compatibles si la imagen de VM (SO) no está en la lista definida y el agente no está instalado. La lista de imágenes de SO se actualizará con el tiempo a medida que se actualice la compatibilidad. La lista de imágenes de sistema operativo se actualiza con el tiempo a medida que se actualiza la compatibilidad. | AuditIfNotExists, Disabled | 2.0.0 |
| Implementación: configurar Dependency Agent para habilitarlo en los conjuntos de escalado de máquinas virtuales Windows | Permite implementar Dependency Agent en conjuntos de escalado de máquinas virtuales Windows si la imagen de la máquina virtual está en la lista definida y el agente no está instalado. Si establece upgradePolicy del conjunto de escalado en Manual, debe aplicar la extensión a todas las máquinas virtuales del conjunto mediante su actualización. | DeployIfNotExists, Disabled | 3.2.0 |
| Implementación: configurar Dependency Agent para habilitarlo en máquinas virtuales Windows | Permite implementar Dependency Agent en máquinas virtuales Windows si la imagen de la máquina virtual está en la lista definida y el agente no está instalado. | DeployIfNotExists, Disabled | 3.2.0 |
| Implementar: realizar la configuración de diagnóstico en un área de trabajo de Log Analytics para que se habilite en el HSM administrado de Azure Key Vault | Permite implementar la configuración de diagnóstico en un HSM administrado de Azure Key Vault para que la transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier HSM administrado de Azure Key Vault en el que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 1.0.0 |
| Implementación: configuración de la extensión de Log Analytics para habilitarla en los conjuntos de escalado de máquinas virtuales Windows | Implemente la extensión de Log Analytics en conjuntos de escalado de máquinas virtuales Windows si la imagen de la máquina virtual está en la lista definida y la extensión no está instalada. Si establece upgradePolicy del conjunto de escalado en Manual, debe aplicar la extensión a todas las máquinas virtuales del conjunto mediante su actualización. Aviso de desuso: los agentes de Log Analytics están en ruta de desuso y dejarán de tener soporte técnico el 31 de agosto de 2024. Debe migrar al "agente de Azure Monitor" de reemplazo antes de esa fecha. | DeployIfNotExists, Disabled | 3.1.0 |
| Implementación: configuración de la extensión de Log Analytics para habilitarla en máquinas virtuales Windows | Implemente la extensión de Log Analytics en máquinas virtuales Windows si la imagen de la máquina virtual está en la lista definida y la extensión no está instalada. Aviso de desuso: los agentes de Log Analytics están en ruta de desuso y dejarán de tener soporte técnico el 31 de agosto de 2024. Debe migrar al "agente de Azure Monitor" de reemplazo antes de esa fecha. | DeployIfNotExists, Disabled | 3.1.0 |
| Implementación de Dependency Agent para conjuntos de escalado de máquinas virtuales Linux | Implemente Dependency Agent para conjuntos de escalado de máquinas virtuales Linux si la imagen (SO) de la máquina virtual está en la lista definida y el agente no está instalado. Nota: Si establece upgradePolicy del conjunto de escalado en Manual, debe aplicar la extensión a todas las máquinas virtuales del conjunto mediante una llamada a la actualización. En la CLI, se usaría az vmss update-instances. | deployIfNotExists | 5.1.0 |
| Implementación de Dependency Agent para conjuntos de escalado de máquinas virtuales Linux con la configuración del agente de Azure Monitor | Permite implementar Dependency Agent para conjuntos de escalado de máquinas virtuales de Linux con la configuración del agente de Azure Monitor si la imagen de la máquina virtual (SO) está en la lista definida y el agente no está instalado. Nota: Si establece upgradePolicy del conjunto de escalado en Manual, debe aplicar la extensión a todas las máquinas virtuales del conjunto mediante una llamada a la actualización. En la CLI, se usaría az vmss update-instances. | DeployIfNotExists, Disabled | 3.2.0 |
| Implementación de Dependency Agent para máquinas virtuales Linux | Permite implementar Dependency Agent para las máquinas virtuales Linux si la imagen de VM (SO) está en la lista definida y el agente no está instalado. | deployIfNotExists | 5.1.0 |
| Implementación de Dependency Agent para máquinas virtuales de Linux con la configuración del agente de Azure Monitor | Permite implementar Dependency Agent para máquinas virtuales de Linux con la configuración del agente de Azure Monitor si la imagen de la máquina virtual (SO) está en la lista definida y el agente no está instalado. | DeployIfNotExists, Disabled | 3.2.0 |
| Implementación de Dependency Agent para habilitarlo en los conjuntos de escalado de máquinas virtuales Windows con la configuración del agente de Azure Monitor | Permite implementar Dependency Agent en máquinas virtuales de Windows con la configuración del agente de Azure Monitor si la imagen de la máquina virtual está en la lista definida y el agente no está instalado. Si establece upgradePolicy del conjunto de escalado en Manual, debe aplicar la extensión a todas las máquinas virtuales del conjunto mediante su actualización. | DeployIfNotExists, Disabled | 1.3.0 |
| Implementación de Dependency Agent para habilitarlo en las máquinas virtuales Windows con la configuración del agente de Azure Monitor | Permite implementar Dependency Agent en máquinas virtuales de Windows con la configuración del agente de Azure Monitor si la imagen de la máquina virtual está en la lista definida y el agente no está instalado. | DeployIfNotExists, Disabled | 1.3.0 |
| Implementar la configuración de diagnóstico para una cuenta de Batch en un centro de eventos | Implementa la configuración de diagnóstico para que la cuenta de Batch se transmita a un centro de eventos regional cuando se cree o actualice cualquier cuenta de Batch a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 2.0.0 |
| Implementar la configuración de diagnóstico para una cuenta de Batch en un área de trabajo de Log Analytics | Implementa la configuración de diagnóstico para que la cuenta de Batch se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier cuenta de Batch a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 1.1.0 |
| Implementar la configuración de diagnóstico de Data Lake Analytics en un centro de eventos | Implementa la configuración de diagnóstico para que la instancia de Data Lake Analytics se transmita a un centro de eventos regional cuando se cree o actualice cualquier instancia de Data Lake Analytics a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 2.0.0 |
| Implementar la configuración de diagnóstico de Data Lake Analytics en un área de trabajo de Log Analytics | Implementa la configuración de diagnóstico para que la instancia de Data Lake Analytics se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier instancia de Data Lake Analytics a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 1.0.0 |
| Implementar la configuración de diagnóstico de Data Lake Storage Gen1 en un centro de eventos | Implementa la configuración de diagnóstico para que la instancia de Data Lake Storage Gen1 se transmita a un centro de eventos regional cuando se cree o actualice cualquier instancia de Data Lake Storage Gen1 a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 2.0.0 |
| Implementar la configuración de diagnóstico de Data Lake Storage Gen1 en un área de trabajo de Log Analytics | Implementa la configuración de diagnóstico para que la instancia de Data Lake Storage Gen1 se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier instancia de Data Lake Storage Gen1 a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 1.0.0 |
| Implementar la configuración de diagnóstico para Event Hubs en un centro de eventos | Implementa la configuración de diagnóstico para que Event Hubs se transmita a un centro de eventos regional cuando se cree o actualice cualquier instancia de Event Hubs a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 2.1.0 |
| Implementar la configuración de diagnóstico para Event Hubs en un área de trabajo de Log Analytics | Implementa la configuración de diagnóstico para que Event Hubs se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier instancia de Event Hubs a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 2.0.0 |
| Implementar la configuración de diagnóstico para Key Vault en un área de trabajo de Log Analytics | Implementa la configuración de diagnóstico para que Key Vault se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier instancia de Key Vault a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 3.0.0 |
| Implementar la configuración de diagnóstico para Logic Apps en un centro de eventos | Implementa la configuración de diagnóstico para que Logic Apps se transmita a un centro de eventos regional cuando se cree o actualice cualquier instancia de Logic Apps a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 2.0.0 |
| Implementar la configuración de diagnóstico de Logic Apps en el área de trabajo de Log Analytics | Implementa la configuración de diagnóstico para que Logic Apps se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier instancia de Logic Apps a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 1.0.0 |
| Implementar la configuración de diagnóstico para grupos de seguridad de red | Esta directiva implementa automáticamente la configuración de diagnóstico en los grupos de seguridad de red. Se creará automáticamente una cuenta de almacenamiento con el nombre "{ParámetroPrefijoAlmacenamiento}{UbicaciónDeNSG}". | deployIfNotExists | 2.0.1 |
| Implementar la configuración de diagnóstico de los servicios de búsqueda en el centro de eventos | Implementa la configuración de diagnóstico para que Search Services se transmita a un Centro de eventos regional cuando se cree o actualice cualquier instancia de Search Services a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 2.0.0 |
| Implementar la configuración de diagnóstico de los servicios de búsqueda en el área de trabajo de Log Analytics | Implementa la configuración de diagnóstico para que Search Services se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier instancia de Search Services a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 1.0.0 |
| Implementar la configuración de diagnóstico de Service Bus en el Centro de eventos | Implementa la configuración de diagnóstico para que Service Bus se transmita a un Centro de eventos regional cuando se cree o actualice cualquier instancia de Service Bus a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 2.0.0 |
| Implementar la configuración de diagnóstico de Service Bus en el área de trabajo de Log Analytics | Implementa la configuración de diagnóstico para que Service Bus se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier instancia de Service Bus a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 2.1.0 |
| Implementar la configuración de diagnóstico de Stream Analytics en el Centro de eventos | Implementa la configuración de diagnóstico para que Stream Analytics se transmita a un Centro de eventos regional cuando se cree o actualice cualquier instancia de Stream Analytics a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 2.0.0 |
| Implementar la configuración de diagnóstico de Stream Analytics en el área de trabajo de Log Analytics | Implementa la configuración de diagnóstico para que Stream Analytics se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier instancia de Stream Analytics a la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 1.0.0 |
| Implementación de la extensión de Log Analytics para conjuntos de escalado de máquinas virtuales Linux. Consulte el aviso de desuso a continuación | Implemente la extensión de Log Analytics en conjuntos de escalado de máquinas virtuales Linux si la imagen (SO) de la máquina virtual está en la lista definida y la extensión no está instalada. Nota: Si establece upgradePolicy del conjunto de escalado en Manual, debe aplicar la extensión a todas las máquinas virtuales del conjunto mediante una llamada a la actualización. En la CLI, se usaría az vmss update-instances. Aviso de desuso: El agente de Log Analytics no se admitirá a partir del 31 de agosto de 2024. Debe migrar al "agente de Azure Monitor" de reemplazo antes de esa fecha | deployIfNotExists | 3.0.0 |
| Implementación de la extensión de Log Analytics para máquinas virtuales Linux. Consulte el aviso de desuso a continuación | Implemente la extensión de Log Analytics en máquinas virtuales Linux si la imagen (SO) de la máquina virtual está en la lista definida y la extensión no está instalada. Aviso de desuso: los agentes de Log Analytics están en ruta de desuso y dejarán de tener soporte técnico el 31 de agosto de 2024. Debe migrar al "agente de Azure Monitor" de reemplazo antes de esa fecha | deployIfNotExists | 3.0.0 |
| Habilitar el registro mediante un grupo de categorías para grupos hospedados 1ES (microsoft.cloudtest/hostedpools) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para grupos hospedados 1ES (microsoft.cloudtest/hostedpools). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para grupos hospedados 1ES (microsoft.cloudtest/hostedpools) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para grupos hospedados 1ES (microsoft.cloudtest/hostedpools). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para grupos hospedados 1ES (microsoft.cloudtest/hostedpools) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para grupos hospedados 1ES (microsoft.cloudtest/hostedpools). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Analysis Services (microsoft.analysisservices/servers) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Analysis Services (microsoft.analysisservices/servers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Analysis Services (microsoft.analysisservices/servers) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Analysis Services (microsoft.analysisservices/servers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Analysis Services (microsoft.analysisservices/servers) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Analysis Services (microsoft.analysisservices/servers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para grupos de Apache Spark (microsoft.synapse/workspaces/bigdatapools) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para grupos de Apache Spark (microsoft.synapse/workspaces/bigdatapools). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para grupos de Apache Spark (microsoft.synapse/workspaces/bigdatapools) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para grupos de Apache Spark (microsoft.synapse/workspaces/bigdatapools). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para grupos de Apache Spark (microsoft.synapse/workspaces/bigdatapools) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para grupos de Apache Spark (microsoft.synapse/workspaces/bigdatapools). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para servicios de API Management (microsoft.apimanagement/service) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para los servicios de API Management (microsoft.apimanagement/service). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para servicios de API Management (microsoft.apimanagement/service) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para los servicios de API Management (microsoft.apimanagement/service). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para servicios de API Management (microsoft.apimanagement/service) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para los servicios de API Management (microsoft.apimanagement/service). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para App Configuration (microsoft.appconfiguration/configurationstores) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para App Configuration (microsoft.appconfiguration/configurationstores). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para App Configuration (microsoft.appconfiguration/configurationstores) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para App Configuration (microsoft.appconfiguration/configurationstores). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para App Configuration (microsoft.appconfiguration/configurationstores) en Azure Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para App Configuration (microsoft.appconfiguration/configurationstores). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para App Service (microsoft.web/sites) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para App Service (microsoft.web/sites). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para App Service Environment (microsoft.web/hostingenvironments) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para App Service Environment (microsoft.web/hostingenvironments). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para App Service Environment (microsoft.web/hostingenvironments) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para App Service Environment (microsoft.web/hostingenvironments). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para App Service Environment (microsoft.web/hostingenvironments) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para App Service Environment (microsoft.web/hostingenvironments). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para puertas de enlace de aplicación (microsoft.network/applicationgateways) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para puertas de enlace de aplicación (microsoft.network/applicationgateways). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para puertas de enlace de aplicación (microsoft.network/applicationgateways) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para puertas de enlace de aplicación (microsoft.network/applicationgateways). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para puertas de enlace de aplicación (microsoft.network/applicationgateways) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para puertas de enlace de aplicación (microsoft.network/applicationgateways). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para el grupo de aplicaciones (microsoft.desktopvirtualization/applicationgroups) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para el grupo de aplicaciones de Azure Virtual Desktop (microsoft.desktopvirtualization/applicationgroups). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para los grupos de aplicaciones (microsoft.desktopvirtualization/applicationgroups) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para grupos de aplicaciones (microsoft.desktopvirtualization/applicationgroups). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para los grupos de aplicaciones (microsoft.desktopvirtualization/applicationgroups) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para grupos de aplicaciones (microsoft.desktopvirtualization/applicationgroups). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para los grupos de aplicaciones (microsoft.desktopvirtualization/applicationgroups) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para grupos de aplicaciones (microsoft.desktopvirtualization/applicationgroups). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Application Insights (microsoft.insights/components) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Application Insights (microsoft.insights/components). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Application Insights (microsoft.insights/components) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Application Insights (microsoft.insights/components). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Application Insights (Microsoft.Insights/components) en Log Analytics (Virtual Enclaves) | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Application Insights (Microsoft.Insights/components). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.1 |
| Habilitar el registro mediante un grupo de categorías para Application Insights (microsoft.insights/components) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Application Insights (microsoft.insights/components). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para proveedores de atestación (microsoft.attestation/attestationproviders) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para proveedores de atestación (microsoft.attestation/attestationproviders). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para proveedores de atestación (microsoft.attestation/attestationproviders) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para proveedores de atestación (microsoft.attestation/attestationproviders). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para proveedores de atestación (microsoft.attestation/attestationproviders) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para proveedores de atestación (microsoft.attestation/attestationproviders). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para cuentas de Automation (microsoft.automation/automationaccounts) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para cuentas de Automation (microsoft.automation/automationaccounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para cuentas de Automation (microsoft.automation/automationaccounts) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para cuentas de Automation (microsoft.automation/automationaccounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para cuentas de Automation (microsoft.automation/automationaccounts) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para cuentas de Automation (microsoft.automation/automationaccounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para nubes privadas de AVS (microsoft.avs/privateclouds) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para nubes privadas de AVS (microsoft.avs/privateclouds). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para nubes privadas de AVS (microsoft.avs/privateclouds) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para nubes privadas de AVS (microsoft.avs/privateclouds). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para nubes privadas de AVS (microsoft.avs/privateclouds) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para nubes privadas de AVS (microsoft.avs/privateclouds). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitar el registro mediante un grupo de categorías para Azure AD Domain Services (microsoft.aad/domainservices) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Azure AD Domain Services (microsoft.aad/domainservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure AD Domain Services (microsoft.aad/domainservices) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Azure AD Domain Services (microsoft.aad/domainservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure AD Domain Services (microsoft.aad/domainservices) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Azure AD Domain Services (microsoft.aad/domainservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure API for FHIR (microsoft.healthcareapis/services) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Azure API for FHIR (microsoft.healthcareapis/services). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure API for FHIR (microsoft.healthcareapis/services) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Azure API for FHIR (microsoft.healthcareapis/services). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure API for FHIR (microsoft.healthcareapis/services) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Azure API for FHIR (microsoft.healthcareapis/services). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para Azure Cache for Redis (microsoft.cache/redis) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Azure Cache for Redis (microsoft.cache/redis). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para Azure Cache for Redis (microsoft.cache/redis) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Azure Cache for Redis (microsoft.cache/redis). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para Azure Cache for Redis (microsoft.cache/redis) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Azure Cache for Redis (microsoft.cache/redis). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para Azure Cosmos DB (microsoft.documentdb/databaseaccounts) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Azure Cosmos DB (microsoft.documentdb/databaseaccounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para cuentas de Azure Cosmos DB (microsoft.documentdb/databaseaccounts) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para cuentas de Azure Cosmos DB (microsoft.documentdb/databaseaccounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para cuentas de Azure Cosmos DB (microsoft.documentdb/databaseaccounts) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para cuentas de Azure Cosmos DB (microsoft.documentdb/databaseaccounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para cuentas de Azure Cosmos DB (microsoft.documentdb/databaseaccounts) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para cuentas de Azure Cosmos DB (microsoft.documentdb/databaseaccounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para clústeres de Azure Data Explorer (microsoft.kusto/clusters) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para clústeres de Azure Data Explorer (microsoft.kusto/clusters). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para clústeres de Azure Data Explorer (microsoft.kusto/clusters) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Azure Data Explores (microsoft.kusto/clusters). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para clústeres de Azure Data Explorer (microsoft.kusto/clusters) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para clústeres de Azure Data Explorer (microsoft.kusto/clusters). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para servidores de Azure Database for MariaDB (microsoft.dbformariadb/servers) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para servidores de Azure Database for MariaDB (microsoft.dbformariadb/servers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para servidores de Azure Database for MariaDB (microsoft.dbformariadb/servers) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para servidores de Azure Database for MariaDB (microsoft.dbformariadb/servers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para servidores de Azure Database for MariaDB (microsoft.dbformariadb/servers) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para servidores de Azure Database for MariaDB (microsoft.dbformariadb/servers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para servidores de Azure Database for MySQL (microsoft.dbformysql/servers) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para servidores de Azure Database for MySQL (microsoft.dbformysql/servers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para servidores de Azure Database for MySQL (microsoft.dbformysql/servers) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para servidores de Azure Database for MySQL (microsoft.dbformysql/servers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para servidores de Azure Database for MySQL (microsoft.dbformysql/servers) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para servidores de Azure Database for MySQL (microsoft.dbformysql/servers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Databricks Services (microsoft.databricks/workspaces) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Azure Databricks Services (microsoft.databricks/workspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Databricks Services (microsoft.databricks/workspaces) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Azure Databricks Services (microsoft.databricks/workspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Databricks Services (microsoft.databricks/workspaces) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Azure Databricks Services (microsoft.databricks/workspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Digital Twins (microsoft.digitaltwins/digitaltwinsinstances) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Azure Digital Twins (microsoft.digitaltwins/digitaltwinsinstances). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Digital Twins (microsoft.digitaltwins/digitaltwinsinstances) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Azure Digital Twins (microsoft.digitaltwins/digitaltwinsinstances). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Digital Twins (microsoft.digitaltwins/digitaltwinsinstances) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Azure Digital Twins (microsoft.digitaltwins/digitaltwinsinstances). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para Azure FarmBeats (microsoft.agfoodplatform/farmbeats) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Azure FarmBeats (microsoft.agfoodplatform/farmbeats). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para Azure FarmBeats (microsoft.agfoodplatform/farmbeats) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Azure FarmBeats (microsoft.agfoodplatform/farmbeats). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para Azure FarmBeats (microsoft.agfoodplatform/farmbeats) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Azure FarmBeats (microsoft.agfoodplatform/farmbeats). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Load Testing (microsoft.loadtestservice/loadtests) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Azure Load Testing (microsoft.loadtestservice/loadtests). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Load Testing (microsoft.loadtestservice/loadtests) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Azure Load Testing (microsoft.loadtestservice/loadtests). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Load Testing (microsoft.loadtestservice/loadtests) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Azure Load Testing (microsoft.loadtestservice/loadtests). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para Azure Machine Learning (microsoft.machinelearningservices/workspaces) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Azure Machine Learning (microsoft.machinelearningservices/workspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para Azure Machine Learning (microsoft.machinelearningservices/workspaces) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Azure Machine Learning (microsoft.machinelearningservices/workspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para Azure Machine Learning (microsoft.machinelearningservices/workspaces) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Azure Machine Learning (microsoft.machinelearningservices/workspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Managed Grafana (microsoft.dashboard/grafana) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Azure Managed Grafana (microsoft.dashboard/grafana). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Managed Grafana (microsoft.dashboard/grafana) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Azure Managed Grafana (microsoft.dashboard/grafana). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Managed Grafana (microsoft.dashboard/grafana) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Azure Managed Grafana (microsoft.dashboard/grafana). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Spring Apps (microsoft.appplatform/spring) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Azure Spring Apps (microsoft.appplatform/spring). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Spring Apps (microsoft.appplatform/spring) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Azure Spring Apps (microsoft.appplatform/spring). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Spring Apps (microsoft.appplatform/spring) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Azure Spring Apps (microsoft.appplatform/spring). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Synapse Analytics (microsoft.synapse/workspaces) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Azure Synapse Analytics (microsoft.synapse/workspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Synapse Analytics (microsoft.synapse/workspaces) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Azure Synapse Analytics (microsoft.synapse/workspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Synapse Analytics (microsoft.synapse/workspaces) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Azure Synapse Analytics (microsoft.synapse/workspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Video Indexer (microsoft.videoindexer/accounts) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Azure Video Indexer (microsoft.videoindexer/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Video Indexer (microsoft.videoindexer/accounts) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Azure Video Indexer (microsoft.videoindexer/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Azure Video Indexer (microsoft.videoindexer/accounts) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Azure Video Indexer (microsoft.videoindexer/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para almacenes de Backup (microsoft.dataprotection/backupvaults) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para almacenes de Backup (microsoft.dataprotection/backupvaults). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para almacenes de Backup (microsoft.dataprotection/backupvaults) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para almacenes de Backup (microsoft.dataprotection/backupvaults). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para almacenes de Backup (microsoft.dataprotection/backupvaults) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para almacenes de Backup (microsoft.dataprotection/backupvaults). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para Bastions (microsoft.network/bastionhosts) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Bastions (microsoft.network/bastionhosts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para Bastions (microsoft.network/bastionhosts) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Bastions (microsoft.network/bastionhosts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para Bastions (microsoft.network/bastionhosts) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Bastions (microsoft.network/bastionhosts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitar el registro mediante un grupo de categorías para cuentas de Batch (microsoft.batch/batchaccounts) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para cuentas de Batch (microsoft.batch/batchaccounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para cuentas de Batch (microsoft.batch/batchaccounts) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para cuentas de Batch (microsoft.batch/batchaccounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para cuentas de Batch (microsoft.batch/batchaccounts) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para cuentas de Batch (microsoft.batch/batchaccounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Bot Services (microsoft.botservice/botservices) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Bot Service (microsoft.botservice/botservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Bot Services (microsoft.botservice/botservices) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Bot Service (microsoft.botservice/botservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Bot Services (microsoft.botservice/botservices) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Bot Service (microsoft.botservice/botservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para cachés (microsoft.cache/redisenterprise/databases) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para cachés (microsoft.cache/redisenterprise/databases). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para cachés (microsoft.cache/redisenterprise/databases) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para cachés (microsoft.cache/redisenterprise/databases). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para cachés (microsoft.cache/redisenterprise/databases) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para cachés (microsoft.cache/redisenterprise/databases). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para experimentos de caos (microsoft.chaos/experiments) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para experimentos de caos (microsoft.chaos/experiments). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para experimentos de caos (microsoft.chaos/experiments) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para experimentos de caos (microsoft.chaos/experiments). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para experimentos de caos (microsoft.chaos/experiments) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para experimentos de caos (microsoft.chaos/experiments). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para cuentas de firma de código (microsoft.codesigning/codesigningaccounts) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para cuentas de firma de código (microsoft.codesigning/codesigningaccounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para cuentas de firma de código (microsoft.codesigning/codesigningaccounts) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para cuentas de firma de código (microsoft.codesigning/codesigningaccounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para cuentas de firma de código (microsoft.codesigning/codesigningaccounts) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para cuentas de firma de código (microsoft.codesigning/codesigningaccounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para Cognitive Services (microsoft.cognitiveservices/accounts) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Cognitive Services (microsoft.cognitiveservices/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para Cognitive Services (microsoft.cognitiveservices/accounts) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Cognitive Services (microsoft.cognitiveservices/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para Cognitive Services (microsoft.cognitiveservices/accounts) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Cognitive Services (microsoft.cognitiveservices/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitar el registro mediante un grupo de categorías para Communication Services (microsoft.communication/communicationservices) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Communication Services (microsoft.communication/communicationservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Communication Services (microsoft.communication/communicationservices) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Communication Services (microsoft.communication/communicationservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Communication Services (microsoft.communication/communicationservices) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Communication Services (microsoft.communication/communicationservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para recursos de caché conectada (microsoft.connectedcache/ispcustomers) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para recursos de caché conectada (microsoft.connectedcache/ispcustomers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para recursos de caché conectada (microsoft.connectedcache/ispcustomers) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para recursos de caché conectada (microsoft.connectedcache/ispcustomers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para recursos de caché conectada (microsoft.connectedcache/ispcustomers) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para recursos de caché conectada (microsoft.connectedcache/ispcustomers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para entornos de Container Apps (microsoft.app/managedenvironments) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para entornos de Container Apps (microsoft.app/managedenvironments). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para entornos de Container Apps (microsoft.app/managedenvironments) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para entornos de Container Apps (microsoft.app/managedenvironments). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para entornos de Container Apps (microsoft.app/managedenvironments) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para entornos de Container Apps (microsoft.app/managedenvironments). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para instancias de contenedor (microsoft.containerinstance/containergroups) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para las instancias de contenedor (microsoft.containerinstance/containergroups). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para instancias de contenedor (microsoft.containerinstance/containergroups) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a área de trabajo de Log Analytics para las instancias de contenedor (microsoft.containerinstance/containergroups). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para instancias de contenedor (microsoft.containerinstance/containergroups) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para las instancias de contenedor (microsoft.containerinstance/containergroups). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para los registros de contenedor (microsoft.containerregistry/registries) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para los registros de contenedor (microsoft.containerregistry/registries). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para los registros de contenedor (microsoft.containerregistry/registries) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para los registros de contenedor (microsoft.containerregistry/registries). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para los registros de contenedor (microsoft.containerregistry/registries) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para los registros de contenedor (microsoft.containerregistry/registries). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitar el registro mediante un grupo de categorías para las reglas de recopilación de datos (microsoft.insights/datacollectionrules) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para las reglas de recopilación de datos (microsoft.insights/datacollectionrules). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para las reglas de recopilación de datos (microsoft.insights/datacollectionrules) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para las reglas de recopilación de datos (microsoft.insights/datacollectionrules). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para las reglas de recopilación de datos (microsoft.insights/datacollectionrules) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para las reglas de recopilación de datos (microsoft.insights/datacollectionrules). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para factorías de datos (V2) (microsoft.datafactory/factorys) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para factorías de datos (V2) (microsoft.datafactory/factorys). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para factorías de datos (V2) (microsoft.datafactory/factorys) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para factorías de datos (V2) (microsoft.datafactory/factorys). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para factorías de datos (V2) (microsoft.datafactory/factorys) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para factorías de datos (V2) (microsoft.datafactory/factorys). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Data Lake Analytics (microsoft.datalakeanalytics/accounts) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Data Lake Analytics (microsoft.datalakeanalytics/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Data Lake Analytics (microsoft.datalakeanalytics/accounts) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Data Lake Analytics (microsoft.datalakeanalytics/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Data Lake Analytics (microsoft.datalakeanalytics/accounts) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Data Lake Analytics (microsoft.datalakeanalytics/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Data Lake Storage Gen1 (microsoft.datalakestore/accounts) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Data Lake Storage Gen1 (microsoft.datalakestore/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Data Lake Storage Gen1 (microsoft.datalakestore/accounts) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Data Lake Storage Gen1 (microsoft.datalakestore/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Data Lake Storage Gen1 (microsoft.datalakestore/accounts) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Data Lake Storage Gen1 (microsoft.datalakestore/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para recursos compartidos de datos (microsoft.datashare/accounts) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para recursos compartidos de datos (microsoft.datashare/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para recursos compartidos de datos (microsoft.datashare/accounts) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para recursos compartidos de datos (microsoft.datashare/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para recursos compartidos de datos (microsoft.datashare/accounts) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para recursos compartidos de datos (microsoft.datashare/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para grupos de SQL dedicados (microsoft.synapse/workspaces/sqlpools) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para grupos de SQL dedicados (microsoft.synapse/workspaces/sqlpools). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para grupos de SQL dedicados (microsoft.synapse/workspaces/sqlpools) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para grupos de SQL dedicados (microsoft.synapse/workspaces/sqlpools). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para grupos de SQL dedicados (microsoft.synapse/workspaces/sqlpools) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para grupos de SQL dedicados (microsoft.synapse/workspaces/sqlpools). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para centros de desarrollo (microsoft.devcenter/devcenters) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para centros de desarrollo (microsoft.devcenter/devcenters). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para centros de desarrollo (microsoft.devcenter/devcenters) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para centros de desarrollo (microsoft.devcenter/devcenters). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para centros de desarrollo (microsoft.devcenter/devcenters) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para centros de desarrollo (microsoft.devcenter/devcenters). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para el servicio DICOM (microsoft.healthcareapis/workspaces/dicomservices) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para el servicio DICOM (microsoft.healthcareapis/workspaces/dicomservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para el servicio DICOM (microsoft.healthcareapis/workspaces/dicomservices) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para el servicio DICOM (microsoft.healthcareapis/workspaces/dicomservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para el servicio DICOM (microsoft.healthcareapis/workspaces/dicomservices) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para el servicio DICOM (microsoft.healthcareapis/workspaces/dicomservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para puntos de conexión (microsoft.cdn/profiles/endpoints) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para puntos de conexión (microsoft.cdn/profiles/endpoints). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para puntos de conexión (microsoft.cdn/profiles/endpoints) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para puntos de conexión (microsoft.cdn/profiles/endpoints). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para puntos de conexión (microsoft.cdn/profiles/endpoints) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para puntos de conexión (microsoft.cdn/profiles/endpoints). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para dominios de Event Grid (microsoft.eventgrid/domains) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para los dominios de Event Grid (microsoft.eventgrid/domains). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para dominios de Event Grid (microsoft.eventgrid/domains) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para los dominios de Event Grid (microsoft.eventgrid/domains). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para dominios de Event Grid (microsoft.eventgrid/domains) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para los dominios de Event Grid (microsoft.eventgrid/domains). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para espacios de nombres de partners de Event Grid (microsoft.eventgrid/partnernamespaces) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para los espacios de nombres de partners de Event Grid (microsoft.eventgrid/partnernamespaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para espacios de nombres de partners de Event Grid (microsoft.eventgrid/partnernamespaces) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para los espacios de nombres de partners de Event Grid (microsoft.eventgrid/partnernamespaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para espacios de nombres de partners de Event Grid (microsoft.eventgrid/partnernamespaces) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para los espacios de nombres de partners de Event Grid (microsoft.eventgrid/partnernamespaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitar el registro mediante un grupo de categorías para temas de asociados de Event Grid (microsoft.eventgrid/partnertopics) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para temas de asociados de Event Grid (microsoft.eventgrid/partnertopics). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para temas de asociados de Event Grid (microsoft.eventgrid/partnertopics) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para los temas de asociados de Event Grid (microsoft.eventgrid/partnertopics). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para temas de asociados de Event Grid (microsoft.eventgrid/partnertopics) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para los temas de asociados de Event Grid (microsoft.eventgrid/partnertopics). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para temas de sistema de Event Grid (microsoft.eventgrid/systemtopics) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para los temas de sistema de Event Grid (microsoft.eventgrid/systemtopics). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para temas de sistema de Event Grid (microsoft.eventgrid/systemtopics) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para los temas de sistema de Event Grid (microsoft.eventgrid/systemtopics). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para temas de sistema de Event Grid (microsoft.eventgrid/systemtopics) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para los temas de sistema de Event Grid (microsoft.eventgrid/systemtopics). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para temas de Event Grid (microsoft.eventgrid/topics) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para los temas de Event Grid (microsoft.eventgrid/topics). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para temas de Event Grid (microsoft.eventgrid/topics) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para los temas de Event Grid (microsoft.eventgrid/topics). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para temas de Event Grid (microsoft.eventgrid/topics) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para los temas de Event Grid (microsoft.eventgrid/topics). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para los espacios de nombres de Event Hubs (microsoft.eventhub/namespaces) en el centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para los espacios de nombres de Event Hubs (microsoft.eventhub/namespaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para los espacios de nombres de Event Hubs (microsoft.eventhub/namespaces) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para los espacios de nombres de Event Hubs (microsoft.eventhub/namespaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para los espacios de nombres de Event Hubs (microsoft.eventhub/namespaces) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para los espacios de nombres de Event Hubs (microsoft.eventhub/namespaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitar el registro mediante un grupo de categorías para áreas de trabajo de experimentos (microsoft.experimentación/experimentworkspaces) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para un área de trabajo de experimentos (microsoft.experimentation/experimentworkspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para áreas de trabajo de experimentos (microsoft.experimentación/experimentworkspaces) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para un área de trabajo de experimentos (microsoft.experimentation/experimentworkspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para áreas de trabajo de experimentos (microsoft.experimentación/experimentworkspaces) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para un área de trabajo de experimentos (microsoft.experimentation/experimentworkspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para circuitos ExpressRoute (microsoft.network/expressroutecircuits) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para circuitos ExpressRoute (microsoft.network/expressroutecircuits). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para circuitos ExpressRoute (microsoft.network/expressroutecircuits) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para circuitos ExpressRoute (microsoft.network/expressroutecircuits). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para circuitos ExpressRoute (microsoft.network/expressroutecircuits) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para circuitos ExpressRoute (microsoft.network/expressroutecircuits). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para el servicio FHIR (microsoft.healthcareapis/workspaces/fhirservices) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para el servicio FHIR (microsoft.healthcareapis/workspaces/fhirservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para el servicio FHIR (microsoft.healthcareapis/workspaces/fhirservices) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para el servicio FHIR (microsoft.healthcareapis/workspaces/fhirservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para el servicio FHIR (microsoft.healthcareapis/workspaces/fhirservices) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para el servicio FHIR (microsoft.healthcareapis/workspaces/fhirservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para firewalls (microsoft.network/azurefirewalls) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Firewall (microsoft.network/azurefirewalls). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para firewalls (microsoft.network/azurefirewalls) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para firewalls (microsoft.network/azurefirewalls). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para firewalls (microsoft.network/azurefirewalls) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para firewalls (microsoft.network/azurefirewalls). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para firewalls (microsoft.network/azurefirewalls) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para firewalls (microsoft.network/azurefirewalls). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para los perfiles de CDN y Front Door (microsoft.cdn/profiles) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para perfiles de CDN y Front Door (microsoft.cdn/profiles). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para los perfiles de CDN y Front Door (microsoft.cdn/profiles) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para perfiles de CDN y Front Door (microsoft.cdn/profiles). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para los perfiles de CDN y Front Door (microsoft.cdn/profiles) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para perfiles de CDN y Front Door (microsoft.cdn/profiles). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para los perfiles de CDN y Front Door (microsoft.network/frontdoors) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para perfiles de CDN y Front Door (microsoft.network/frontdoors). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para los perfiles de CDN y Front Door (microsoft.network/frontdoors) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para perfiles de CDN y Front Door (microsoft.network/frontdoors). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para los perfiles de CDN y Front Door (microsoft.network/frontdoors) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para perfiles de CDN y Front Door (microsoft.network/frontdoors). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para Function App (microsoft.web/sites) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Function App (microsoft.web/sites). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para el grupo de hosts (microsoft.desktopvirtualization/hostpools) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para el grupo de hosts de Azure Virtual Desktop (microsoft.desktopvirtualization/hostpools). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para los grupos de hosts (microsoft.desktopvirtualization/hostpools) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para grupos de hosts (microsoft.desktopvirtualization/hostpools). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para los grupos de hosts (microsoft.desktopvirtualization/hostpools) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para los grupos de hosts (microsoft.desktopvirtualization/hostpools). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para los grupos de hosts (microsoft.desktopvirtualization/hostpools) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para grupos de hosts (microsoft.desktopvirtualization/hostpools). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para cachés HPC (microsoft.storagecache/caches) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para cachés HPC (microsoft.storagecache/caches). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para cachés HPC (microsoft.storagecache/caches) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para cachés HPC (microsoft.storagecache/caches). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para cachés HPC (microsoft.storagecache/caches) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para cachés HPC (microsoft.storagecache/caches). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para cuentas de integración (microsoft.logic/integrationaccounts) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para cuentas de integración (microsoft.logic/integrationaccounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para cuentas de integración (microsoft.logic/integrationaccounts) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para cuentas de integración (microsoft.logic/integrationaccounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para cuentas de integración (microsoft.logic/integrationaccounts) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para cuentas de integración (microsoft.logic/integrationaccounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para IoT Hub (microsoft.devices/iothubs) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para IoT Hub (microsoft.devices/iothubs). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para IoT Hub (microsoft.devices/iothubs) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para IoT Hub (microsoft.devices/iothubs). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para IoT Hub (microsoft.devices/iothubs) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para IoT Hub (microsoft.devices/iothubs). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para almacenes de claves (microsoft.keyvault/vaults) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para almacenes de claves (microsoft.keyvault/vaults). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para almacenes de claves (microsoft.keyvault/vaults) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para almacenes de claves (microsoft.keyvault/vaults). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para almacenes de claves (microsoft.keyvault/vaults) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para almacenes de claves (microsoft.keyvault/vaults). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitar el registro mediante un grupo de categorías para eventos en directo (microsoft.media/mediaservices/liveevents) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para eventos en directo (microsoft.media/mediaservices/liveevents). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para eventos en directo (microsoft.media/mediaservices/liveevents) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para eventos en directo (microsoft.media/mediaservices/liveevents). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para eventos en directo (microsoft.media/mediaservices/liveevents) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para eventos en directo (microsoft.media/mediaservices/liveevents). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para equilibradores de carga (microsoft.network/loadbalancers) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para equilibradores de carga (microsoft.network/loadbalancers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para equilibradores de carga (microsoft.network/loadbalancers) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para equilibradores de carga (microsoft.network/loadbalancers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para equilibradores de carga (microsoft.network/loadbalancers) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para equilibradores de carga (microsoft.network/loadbalancers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para áreas de trabajo de Log Analytics (microsoft.operationalinsights/workspaces) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para un área de trabajo de Log Analytics (microsoft.operationalinsights/workspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para áreas de trabajo de Log Analytics (microsoft.operationalinsights/workspaces) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para un área de trabajo de Log Analytics (microsoft.operationalinsights/workspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para áreas de trabajo de Log Analytics (microsoft.operationalinsights/workspaces) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para un área de trabajo de Log Analytics (microsoft.operationalinsights/workspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitar el registro mediante un grupo de categorías para aplicaciones lógicas (microsoft.logic/workflows) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para aplicaciones lógicas (microsoft.logic/workflows). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para aplicaciones lógicas (microsoft.logic/workflows) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para aplicaciones lógicas (microsoft.logic/workflows). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para aplicaciones lógicas (microsoft.logic/workflows) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para aplicaciones lógicas (microsoft.logic/workflows). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para aplicaciones CCF administradas (microsoft.confidentialledger/managedccfs) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para aplicaciones CCF administradas (microsoft.confidentialledger/managedccfs). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para aplicaciones CCF administradas (microsoft.confidentialledger/managedccfs) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para aplicaciones CCF administradas (microsoft.confidentialledger/managedccfs). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para aplicaciones CCF administradas (microsoft.confidentialledger/managedccfs) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para aplicaciones CCF administradas (microsoft.confidentialledger/managedccfs). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para bases de datos administradas (microsoft.sql/managedinstances/databases) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para bases de datos administradas (microsoft.sql/managedinstances/databases). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para bases de datos administradas (microsoft.sql/managedinstances/databases) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para bases de datos administradas (microsoft.sql/managedinstances/databases). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para bases de datos administradas (microsoft.sql/managedinstances/databases) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para bases de datos administradas (microsoft.sql/managedinstances/databases). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para HSM administrados (microsoft.keyvault/managedhsms) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para HSM administrados (microsoft.keyvault/managedhsms). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para HSM administrados (microsoft.keyvault/managedhsms) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para HSM administrados (microsoft.keyvault/managedhsms). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para HSM administrados (microsoft.keyvault/managedhsms) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para HSM administrados (microsoft.keyvault/managedhsms). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para Media Services (microsoft.media/mediaservices) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Media Services (microsoft.media/mediaservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para Media Services (microsoft.media/mediaservices) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Media Services (microsoft.media/mediaservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para Media Services (microsoft.media/mediaservices) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Media Services (microsoft.media/mediaservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitar el registro mediante un grupo de categorías para el servicio de tecnologías médicas (microsoft.healthcareapis/workspaces/iotconnectors) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para el servicio de tecnologías médicas (microsoft.healthcareapis/workspaces/iotconnectors). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para el servicio de tecnologías médicas (microsoft.healthcareapis/workspaces/iotconnectors) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para el servicio de tecnologías médicas (microsoft.healthcareapis/workspaces/iotconnectors). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para el servicio de tecnologías médicas (microsoft.healthcareapis/workspaces/iotconnectors) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para el servicio de tecnologías médicas (microsoft.healthcareapis/workspaces/iotconnectors). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para cuentas de Microsoft Purview (microsoft.purview/accounts) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para cuentas de Microsoft Purview (microsoft.purview/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para cuentas de Microsoft Purview (microsoft.purview/accounts) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para cuentas de Microsoft Purview (microsoft.purview/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para cuentas de Microsoft Purview (microsoft.purview/accounts) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para cuentas de Microsoft Purview (microsoft.purview/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.autonomousdevelopmentplatform/workspaces en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.autonomousdevelopmentplatform/workspaces. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.autonomousdevelopmentplatform/workspaces en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.autonomousdevelopmentplatform/workspaces. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.autonomousdevelopmentplatform/workspaces en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.autonomousdevelopmentplatform/workspaces. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.azuresphere/catalogs en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.azuresphere/catalogs | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.azuresphere/catalogs en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.azuresphere/catalogs. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.azuresphere/catalogs en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.azuresphere/catalogs. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.cdn/cdnwebapplicationfirewallpolicies en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.cdn/cdnwebapplicationfirewallpolicies. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.cdn/cdnwebapplicationfirewallpolicies en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.cdn/cdnwebapplicationfirewallpolicies. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.cdn/cdnwebapplicationfirewallpolicies en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.cdn/cdnwebapplicationfirewallpolicies. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.classicnetwork/networksecuritygroups en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.classicnetwork/networksecuritygroups. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.classicnetwork/networksecuritygroups en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.classicnetwork/networksecuritygroups. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.classicnetwork/networksecuritygroups en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.classicnetwork/networksecuritygroups. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.community/communitytrainings en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.community/communitytrainings. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.community/communitytrainings en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.community/communitytrainings. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.community/communitytrainings en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.community/communitytrainings. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.connectedcache/enterprisemcccustomers en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.connectedcache/enterprisemcccustomers. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.connectedcache/enterprisemcccustomers en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.connectedcache/enterprisemcccustomers. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.connectedcache/enterprisemcccustomers en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.connectedcache/enterprisemcccustomers. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.customproviders/resourceproviders en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.customproviders/resourceproviders. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.customproviders/resourceproviders en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.customproviders/resourceproviders. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.customproviders/resourceproviders en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.customproviders/resourceproviders. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.d365customerinsights/instances en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.d365customerinsights/instances. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.d365customerinsights/instances en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.d365customerinsights/instances. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.d365customerinsights/instances en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.d365customerinsights/instances. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.dbformysql/flexibleservers en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.dbformysql/flexibleservers. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.dbformysql/flexibleservers en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.dbformysql/flexibleservers. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.dbformysql/flexibleservers en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.dbformysql/flexibleservers. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.dbforpostgresql/flexibleservers en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.dbforpostgresql/flexibleservers. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.dbforpostgresql/flexibleservers en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.dbforpostgresql/flexibleservers. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.dbforpostgresql/flexibleservers en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.dbforpostgresql/flexibleservers. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.dbforpostgresql/servergroupsv2 en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.dbforpostgresql/servergroupsv2. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.dbforpostgresql/servergroupsv2 en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.dbforpostgresql/servergroupsv2. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.dbforpostgresql/servergroupsv2 en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.dbforpostgresql/servergroupsv2. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.dbforpostgresql/servers en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.dbforpostgresql/servers. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.dbforpostgresql/servers en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.dbforpostgresql/servers. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.dbforpostgresql/servers en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.dbforpostgresql/servers. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.devices/provisioningservices en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.devices/provisioningservices. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.devices/provisioningservices en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.devices/provisioningservices. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.devices/provisioningservices en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.devices/provisioningservices. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.documentdb/cassandraclusters en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.documentdb/cassandraclusters. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.documentdb/cassandraclusters en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.documentdb/cassandraclusters. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.documentdb/cassandraclusters en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.documentdb/cassandraclusters. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.documentdb/mongoclusters en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.documentdb/mongoclusters. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.documentdb/mongoclusters en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.documentdb/mongoclusters. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.documentdb/mongoclusters en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.documentdb/mongoclusters. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.insights/autoscalesettings en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.insights/autoscalesettings. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.insights/autoscalesettings en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.insights/autoscalesettings. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.insights/autoscalesettings en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.insights/autoscalesettings. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.machinelearningservices/registries en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.machinelearningservices/registries. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.machinelearningservices/registries en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.machinelearningservices/registries. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.machinelearningservices/registries en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.machinelearningservices/registries. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.machinelearningservices/workspaces/onlineendpoints en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.machinelearningservices/workspaces/onlineendpoints. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.machinelearningservices/workspaces/onlineendpoints en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.machinelearningservices/workspaces/onlineendpoints. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.machinelearningservices/workspaces/onlineendpoints en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.machinelearningservices/workspaces/onlineendpoints. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.managednetworkfabric/networkdevices en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.managednetworkfabric/networkdevices. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.managednetworkfabric/networkdevices en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.managednetworkfabric/networkdevices. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.managednetworkfabric/networkdevices en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.managednetworkfabric/networkdevices. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.network/dnsresolverpolicies en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.network/dnsresolverpolicies. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.network/dnsresolverpolicies en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.network/dnsresolverpolicies. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.network/dnsresolverpolicies en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.network/dnsresolverpolicies. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.network/networkmanagers/ipampools en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.network/networkmanagers/ipampools. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.network/networkmanagers/ipampools en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.network/networkmanagers/ipampools. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.network/networkmanagers/ipampools en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.network/networkmanagers/ipampools. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.network/networksecurityperimeters en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.network/networksecurityperimeters. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.network/networksecurityperimeters en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.network/networksecurityperimeters. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.network/networksecurityperimeters en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.network/networksecurityperimeters. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para microsoft.network/p2svpngateways en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.network/p2svpngateways. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para microsoft.network/p2svpngateways en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.network/p2svpngateways. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para microsoft.network/p2svpngateways en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.network/p2svpngateways. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitar el registro mediante grupo de categorías para microsoft.network/vpngateways en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.network/vpngateways. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.network/vpngateways en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.network/vpngateways. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.network/vpngateways en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.network/vpngateways. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.networkanalytics/dataproducts en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.networkanalytics/dataproducts. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.networkanalytics/dataproducts en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.networkanalytics/dataproducts. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.networkanalytics/dataproducts en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.networkanalytics/dataproducts. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.networkcloud/baremetalmachines en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.networkcloud/baremetalmachines. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.networkcloud/baremetalmachines en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.networkcloud/baremetalmachines. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.networkcloud/baremetalmachines en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.networkcloud/baremetalmachines. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.networkcloud/clusters en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.networkcloud/clusters. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.networkcloud/clusters en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.networkcloud/clusters. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.networkcloud/clusters en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.networkcloud/clusters. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.networkcloud/storageappliances en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.networkcloud/storageappliances. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.networkcloud/storageappliances en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.networkcloud/storageappliances. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.networkcloud/storageappliances en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.networkcloud/storageappliances. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.networkfunction/azuretrafficcollectors en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.networkfunction/azuretrafficcollectors. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.networkfunction/azuretrafficcollectors en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.networkfunction/azuretrafficcollectors. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.networkfunction/azuretrafficcollectors en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.networkfunction/azuretrafficcollectors. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.notificationhubs/namespaces/notificationhubs en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.notificationhubs/namespaces/notificationhubs. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.notificationhubs/namespaces/notificationhubs en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.notificationhubs/namespaces/notificationhubs. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.notificationhubs/namespaces/notificationhubs en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.notificationhubs/namespaces/notificationhubs. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.openenergyplatform/energyservices en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.openenergyplatform/energyservices. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.openenergyplatform/energyservices en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.openenergyplatform/energyservices. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.openenergyplatform/energyservices en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.openenergyplatform/energyservices. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.powerbi/tenants/workspaces en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.powerbi/tenants/workspaces. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.powerbi/tenants/workspaces en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.powerbi/tenants/workspaces. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.powerbi/tenants/workspaces en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.powerbi/tenants/workspaces. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.servicenetworking/trafficcontrollers en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.servicenetworking/trafficcontrollers. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.servicenetworking/trafficcontrollers en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.servicenetworking/trafficcontrollers. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.servicenetworking/trafficcontrollers en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.servicenetworking/trafficcontrollers. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.synapse/workspaces/kustopools en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.synapse/workspaces/kustopools. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.synapse/workspaces/kustopools en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.synapse/workspaces/kustopools. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.synapse/workspaces/kustopools en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.synapse/workspaces/kustopools. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.timeseriesinsights/environments en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.timeseriesinsights/environments. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.timeseriesinsights/environments en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.timeseriesinsights/environments. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.timeseriesinsights/environments en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.timeseriesinsights/environments. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.timeseriesinsights/environments/eventsources en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos paramicrosoft.timeseriesinsights/environments/eventsources. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.timeseriesinsights/environments/eventsources en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.timeseriesinsights/environments/eventsources. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.timeseriesinsights/environments/eventsources en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.timeseriesinsights/environments/eventsources. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.workloads/sapvirtualinstances en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para microsoft.workloads/sapvirtualinstances. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.workloads/sapvirtualinstances en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para microsoft.workloads/sapvirtualinstances. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para microsoft.workloads/sapvirtualinstances en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para microsoft.workloads/sapvirtualinstances. | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para administradores de red (microsoft.network/networkmanagers) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para administradores de red (microsoft.network/networkmanagers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para administradores de red (microsoft.network/networkmanagers) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para administradores de red (microsoft.network/networkmanagers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para administradores de red (microsoft.network/networkmanagers) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para administradores de red (microsoft.network/networkmanagers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para grupos de seguridad de red (microsoft.network/networksecuritygroups) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para grupos de seguridad de red (microsoft.network/networksecuritygroups). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para grupos de seguridad de red (microsoft.network/networksecuritygroups) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para grupos de seguridad de red (microsoft.network/networksecuritygroups). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para grupos de seguridad de red (microsoft.network/networksecuritygroups) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para grupos de seguridad de red (microsoft.network/networksecuritygroups). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para los espacios de nombres del centro de notificaciones (microsoft.notificationhubs/namespaces) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para los espacios de nombres del centro de notificaciones (microsoft.notificationhubs/namespaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para los espacios de nombres del centro de notificaciones (microsoft.notificationhubs/namespaces) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para los espacios de nombres del centro de notificaciones (microsoft.notificationhubs/namespaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para los espacios de nombres del centro de notificaciones (microsoft.notificationhubs/namespaces) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para los espacios de nombres del centro de notificaciones (microsoft.notificationhubs/namespaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Playwright Testing (microsoft.azureplaywrightservice/accounts) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Playwright Testing (microsoft.azureplaywrightservice/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Playwright Testing (microsoft.azureplaywrightservice/accounts) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Playwright Testing (microsoft.azureplaywrightservice/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Playwright Testing (microsoft.azureplaywrightservice/accounts) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Playwright Testing (microsoft.azureplaywrightservice/accounts). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para el servidor flexible de PostgreSQL (microsoft.dbforpostgresql/flexibleservers) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para el servidor flexible de Azure Database for PostgreSQL (microsoft.dbforpostgresql/flexibleservers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Power BI Embedded (microsoft.powerbidedicated/capacities) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Power BI Embedded (microsoft.powerbidedicated/capacities). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Power BI Embedded (microsoft.powerbidedicated/capacities) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Power BI Embedded (microsoft.powerbidedicated/capacities). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para Power BI Embedded (microsoft.powerbidedicated/capacities) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Power BI Embedded (microsoft.powerbidedicated/capacities). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para direcciones IP públicas (microsoft.network/publicipaddresses) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para direcciones IP públicas (microsoft.network/publicipaddresses). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para direcciones IP públicas (microsoft.network/publicipaddresses) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para direcciones IP públicas (microsoft.network/publicipaddresses). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para direcciones IP públicas (microsoft.network/publicipaddresses) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para direcciones IP públicas (microsoft.network/publicipaddresses). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitar el registro mediante un grupo de categorías para prefijos de direcciones IP públicas (microsoft.network/publicipprefixes) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para prefijos de direcciones IP públicas (microsoft.network/publicipprefixes). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para prefijos de direcciones IP públicas (microsoft.network/publicipprefixes) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para prefijos de direcciones IP públicas (microsoft.network/publicipprefixes). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para prefijos de direcciones IP públicas (microsoft.network/publicipprefixes) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para prefijos de direcciones IP públicas (microsoft.network/publicipprefixes). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para almacenes de Recovery Services (microsoft.recoveryservices/vaults) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para almacenes de Recovery Services (microsoft.recoveryservices/vaults). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para almacenes de Recovery Services (microsoft.recoveryservices/vaults) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para almacenes de Recovery Services (microsoft.recoveryservices/vaults). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para almacenes de Recovery Services (microsoft.recoveryservices/vaults) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para almacenes de Recovery Services (microsoft.recoveryservices/vaults). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para las retransmisiones (microsoft.relay/namespaces) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para las retransmisiones (microsoft.relay/namespaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para las retransmisiones (microsoft.relay/namespaces) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para las retransmisiones (microsoft.relay/namespaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para las retransmisiones (microsoft.relay/namespaces) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para las retransmisiones (microsoft.relay/namespaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para planes de escalado (microsoft.desktopvirtualization/scalingplans) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para planes de escalado (microsoft.desktopvirtualization/scalingplans). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para planes de escalado (microsoft.desktopvirtualization/scalingplans) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para los planes de escalado (microsoft.desktopvirtualization/scalingplans). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para planes de escalado (microsoft.desktopvirtualization/scalingplans) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para planes de escalado (microsoft.desktopvirtualization/scalingplans). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para grupos de SCOPE (microsoft.synapse/workspaces/scopepools) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para grupos de SCOPE (microsoft.synapse/workspaces/scopepools). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para grupos de SCOPE (microsoft.synapse/workspaces/scopepools) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para grupos de SCOPE (microsoft.synapse/workspaces/scopepools). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para grupos de SCOPE (microsoft.synapse/workspaces/scopepools) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para grupos de SCOPE (microsoft.synapse/workspaces/scopepools). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para los servicios Search (microsoft.search/searchservices) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para los servicios Search (microsoft.search/searchservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para los servicios Search (microsoft.search/searchservices) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para los servicios Search (microsoft.search/searchservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para los servicios Search (microsoft.search/searchservices) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para los servicios Search (microsoft.search/searchservices). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para espacios de nombres de Service Bus (microsoft.servicebus/namespaces) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para espacios de nombres de Service Bus (microsoft.servicebus/namespaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para espacios de nombres de Service Bus (microsoft.servicebus/namespaces) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para espacios de nombres de Service Bus (microsoft.servicebus/namespaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para espacios de nombres de Service Bus (microsoft.servicebus/namespaces) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para espacios de nombres de Service Bus (microsoft.servicebus/namespaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para SignalR (microsoft.signalrservice/signalr) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para SignalR (microsoft.signalrservice/signalr). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para SignalR (microsoft.signalrservice/signalr) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para SignalR (microsoft.signalrservice/signalr). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para SignalR (microsoft.signalrservice/signalr) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para SignalR (microsoft.signalrservice/signalr). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para bases de datos SQL (microsoft.sql/servers/databases) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para bases de datos SQL (microsoft.sql/servers/databases). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para bases de datos SQL (microsoft.sql/servers/databases) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para bases de datos SQL (microsoft.sql/servers/databases). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para bases de datos SQL (microsoft.sql/servers/databases) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para bases de datos SQL (microsoft.sql/servers/databases). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para instancias administradas de SQL (microsoft.sql/managedinstances) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para instancias administradas de SQL (microsoft.sql/managedinstances). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para instancias administradas de SQL (microsoft.sql/managedinstances) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para instancias administradas de SQL (microsoft.sql/managedinstances). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para instancias administradas de SQL (microsoft.sql/managedinstances) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para instancias administradas de SQL (microsoft.sql/managedinstances). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitar el registro mediante un grupo de categorías para los motores de Storage (microsoft.storagemover/storagemovers) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para los motores de Storage (microsoft.storagemover/storagemovers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para los motores de Storage (microsoft.storagemover/storagemovers) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para los motores de Storage (microsoft.storagemover/storagemovers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para los motores de Storage (microsoft.storagemover/storagemovers) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para los motores de Storage (microsoft.storagemover/storagemovers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para trabajos de Stream Analytics (microsoft.streamanalytics/streamingjobs) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para trabajos de Stream Analytics (microsoft.streamanalytics/streamingjobs). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para trabajos de Stream Analytics (microsoft.streamanalytics/streamingjobs) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para trabajos de Stream Analytics (microsoft.streamanalytics/streamingjobs). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para trabajos de Stream Analytics (microsoft.streamanalytics/streamingjobs) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para trabajos de Stream Analytics (microsoft.streamanalytics/streamingjobs). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para puntos de conexión de streaming (microsoft.media/mediaservices/streamingendpoints) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para puntos de conexión de streaming (microsoft.media/mediaservices/streamingendpoints). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para puntos de conexión de streaming (microsoft.media/mediaservices/streamingendpoints) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para puntos de conexión de streaming (microsoft.media/mediaservices/streamingendpoints). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para puntos de conexión de streaming (microsoft.media/mediaservices/streamingendpoints) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para puntos de conexión de streaming (microsoft.media/mediaservices/streamingendpoints). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para perfiles de Traffic Manager (microsoft.network/trafficmanagerprofiles) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para perfiles de Traffic Manager (microsoft.network/trafficmanagerprofiles). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para perfiles de Traffic Manager (microsoft.network/trafficmanagerprofiles) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para perfiles de Traffic Manager (microsoft.network/trafficmanagerprofiles). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para perfiles de Traffic Manager (microsoft.network/trafficmanagerprofiles) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para perfiles de Traffic Manager (microsoft.network/trafficmanagerprofiles). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para Video Analyzer (microsoft.media/videoanalyzers) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para Video Analyzer (microsoft.media/videoanalyzers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para Video Analyzer (microsoft.media/videoanalyzers) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para Video Analyzer (microsoft.media/videoanalyzers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para Video Analyzer (microsoft.media/videoanalyzers) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para Video Analyzer (microsoft.media/videoanalyzers). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para puertas de enlace de red virtual (microsoft.network/virtualnetworkgateways) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para puertas de enlace de red virtual (microsoft.network/virtualnetworkgateways). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para puertas de enlace de red virtual (microsoft.network/virtualnetworkgateways) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para puertas de enlace de red virtual (microsoft.network/virtualnetworkgateways). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para puertas de enlace de red virtual (microsoft.network/virtualnetworkgateways) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para puertas de enlace de red virtual (microsoft.network/virtualnetworkgateways). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitar el registro mediante un grupo de categorías para redes virtuales (microsoft.network/virtualnetworks) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para redes virtuales (microsoft.network/virtualnetworks). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para redes virtuales (microsoft.network/virtualnetworks) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para redes virtuales (microsoft.network/virtualnetworks). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para redes virtuales (microsoft.network/virtualnetworks) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para redes virtuales (microsoft.network/virtualnetworks). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitación del registro por grupo de categorías para volúmenes (microsoft.netapp/netappaccounts/capacitypools/volumes) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para volúmenes (microsoft.netapp/netappaccounts/capacitypools/volumes). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para volúmenes (microsoft.netapp/netappaccounts/capacitypools/volumes) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para volúmenes (microsoft.netapp/netappaccounts/capacitypools/volumes). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para volúmenes (microsoft.netapp/netappaccounts/capacitypools/volumes) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para volúmenes (microsoft.netapp/netappaccounts/capacitypools/volumes). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para el servicio de Web PubSub (microsoft.signalrservice/webpubsub) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para el servicio de Web PubSub (microsoft.signalrservice/webpubsub). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.2.0 |
| Habilitación del registro por grupo de categorías para el servicio de Web PubSub (microsoft.signalrservice/webpubsub) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para el servicio de Web PubSub (microsoft.signalrservice/webpubsub). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para el servicio de Web PubSub (microsoft.signalrservice/webpubsub) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para el servicio de Web PubSub (microsoft.signalrservice/webpubsub). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.1.0 |
| Habilitación del registro por grupo de categorías para el área de trabajo (microsoft.desktopvirtualization/workspaces) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para el área de trabajo de Azure Virtual Desktop (microsoft.desktopvirtualization/workspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para las áreas de trabajo (microsoft.desktopvirtualization/workspaces) en un centro de eventos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un centro de eventos para áreas de trabajo (microsoft.desktopvirtualization/workspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para áreas de trabajo (microsoft.desktopvirtualization/workspaces) en Log Analytics | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a un área de trabajo de Log Analytics para las áreas de trabajo (microsoft.desktopvirtualization/workspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Habilitar el registro mediante un grupo de categorías para las áreas de trabajo (microsoft.desktopvirtualization/workspaces) en Storage | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. Esta directiva implementa una configuración de diagnóstico mediante un grupo de categorías para enrutar los registros a una cuenta de almacenamiento para áreas de trabajo (microsoft.desktopvirtualization/workspaces). | DeployIfNotExists, AuditIfNotExists, Disabled | 1.0.0 |
| Las máquinas habilitadas para Linux Arc deben tener instalado el agente de Azure Monitor | Las máquinas habilitadas para Linux Arc deben supervisarse y protegerse mediante el agente implementado de Azure Monitor. El agente de Azure Monitor recopila datos de telemetría del sistema operativo invitado. Esta directiva auditará las máquinas habilitadas para Arc en las regiones admitidas. Más información: https://aka.ms/AMAOverview. | AuditIfNotExists, Disabled | 1.2.0 |
| Los conjuntos de escalado de máquinas virtuales Linux deben tener el agente de Azure Monitor instalado | Los conjuntos de escalado de máquinas virtuales Linux deben supervisarse y protegerse mediante el agente de Azure Monitor implementado. El agente de Azure Monitor recopila datos de telemetría del sistema operativo invitado. Esta directiva auditará los conjuntos de escalado de máquinas virtuales con imágenes de sistema operativo admitidas en las regiones admitidas. Más información: https://aka.ms/AMAOverview. | AuditIfNotExists, Disabled | 3.3.0 |
| Las máquinas virtuales Linux deben tener el agente de Azure Monitor instalado | Las máquinas virtuales Linux deben supervisarse y protegerse mediante el agente de Azure Monitor implementado. El agente de Azure Monitor recopila datos de telemetría del sistema operativo invitado. Esta directiva auditará las máquinas virtuales con imágenes de sistema operativo admitidas en las regiones admitidas. Más información: https://aka.ms/AMAOverview. | AuditIfNotExists, Disabled | 3.3.0 |
| La extensión de Log Analytics debe estar habilitada en los conjuntos de escalado de máquinas virtuales para las imágenes de máquina virtual enumeradas | Notifica que los conjuntos de escalado de máquinas virtuales no son compatibles si la imagen de máquina virtual no está en la lista definida y la extensión no está instalada. | AuditIfNotExists, Disabled | 2.0.1 |
| Las áreas de trabajo de Log Analytics deberían bloquear la ingesta y consulta de registros desde redes públicas | Mejore la seguridad del área de trabajo mediante el bloqueo de la ingesta y consulta de registros de redes públicas. Solo las redes conectadas a un vínculo privado podrán ingerir y consultar los registros de esta área de trabajo. Obtenga más información en https://aka.ms/AzMonPrivateLink#configure-log-analytics. | audit, Audit, deny, Deny, disabled, Disabled | 1.1.0 |
| Las áreas de trabajo de Log Analytics deberían bloquear la ingesta no basada en Azure Active Directory. | La aplicación de la ingesta de registros para requerir la autenticación de Azure Active Directory evita los registros no autenticados de un atacante, que podrían provocar un estado incorrecto, alertas falsas y almacenamiento de registros incorrectos en el sistema. | Deny, Audit, Disabled | 1.0.0 |
| Las direcciones IP públicas deben tener los registros de recursos habilitados para Azure DDoS Protection. | Habilite los registros de recursos de las direcciones IP públicas en la configuración de diagnóstico para transmitirlos a un área de trabajo de Log Analytics. Obtenga visibilidad detallada sobre el tráfico de ataque y las acciones realizadas para mitigar los ataques DDoS mediante las notificaciones, informes y registros de flujo. | AuditIfNotExists, DeployIfNotExists, Disabled | 1.0.1 |
| Los registros de recursos deben estar habilitados para Auditar en recursos admitidos | Los registros de recursos deben habilitarse para realizar un seguimiento de las actividades y eventos que tienen lugar en los recursos y proporcionarle visibilidad e información sobre los cambios que se produzcan. La existencia de una configuración de diagnóstico para el grupo de categorías Auditar en los tipos de recursos seleccionados garantiza que estos registros estén habilitados y capturados. Los tipos de recursos aplicables son aquellos que admiten el grupo de categorías "Auditar". | AuditIfNotExists, Disabled | 1.0.0 |
| Las consultas guardadas de Azure Monitor deben guardarse en la cuenta de almacenamiento del cliente para el cifrado de registros | Vincule la cuenta de almacenamiento al área de trabajo de Log Analytics para proteger las consultas guardadas con el cifrado de la cuenta de almacenamiento. Las claves administradas por el cliente suelen ser necesarias para satisfacer el cumplimiento normativo y para tener un mayor control sobre el acceso a las consultas guardadas en Azure Monitor. Para más información sobre lo anterior, consulte https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys?tabs=portal#customer-managed-key-for-saved-queries. | audit, Audit, deny, Deny, disabled, Disabled | 1.1.0 |
| La cuenta de almacenamiento que contiene el contenedor con los registros de actividad debe estar cifrada con BYOK | Esta directiva audita si la cuenta de almacenamiento que contiene el contenedor con los registros de actividad está cifrada con BYOK. Esta directiva solo funciona si la cuenta de almacenamiento se encuentra en la misma suscripción que los registros de actividad por diseño. Se puede encontrar más información sobre el cifrado de Azure Storage en reposo en https://aka.ms/azurestoragebyok. | AuditIfNotExists, Disabled | 1.0.0 |
| La extensión heredada de Log Analytics no debe instalarse en servidores Linux habilitados para Azure Arc | Evite la instalación automática del agente de Log Analytics heredado como último paso para migrar de agentes heredados al agente de Azure Monitor. Después de desinstalar las extensiones heredadas existentes, esta directiva denegará todas las instalaciones futuras de la extensión del agente heredado en servidores Linux habilitados para Azure Arc. Más información: https://aka.ms/migratetoAMA | Deny, Audit, Disabled | 1.0.0 |
| La extensión heredada de Log Analytics no debe instalarse en servidores Windows habilitados para Azure Arc | Evite la instalación automática del agente de Log Analytics heredado como último paso para migrar de agentes heredados al agente de Azure Monitor. Después de desinstalar las extensiones heredadas existentes, esta directiva denegará todas las instalaciones futuras de la extensión del agente heredado en servidores Windows habilitados para Azure Arc. Más información: https://aka.ms/migratetoAMA | Deny, Audit, Disabled | 1.0.0 |
| La extensión de Log Analytics heredada no debe instalarse en conjuntos de escalado de máquinas virtuales Linux | Evite la instalación automática del agente de Log Analytics heredado como último paso para migrar de agentes heredados al agente de Azure Monitor. Después de desinstalar las extensiones heredadas existentes, esta directiva denegará todas las instalaciones futuras de la extensión del agente heredado en conjuntos de escalado de máquinas virtuales Linux. Más información: https://aka.ms/migratetoAMA | Deny, Audit, Disabled | 1.0.0 |
| La extensión heredada de Log Analytics no debe instalarse en máquinas virtuales Linux | Evite la instalación automática del agente de Log Analytics heredado como último paso para migrar de agentes heredados al agente de Azure Monitor. Después de desinstalar las extensiones heredadas existentes, esta directiva denegará todas las instalaciones futuras de la extensión del agente heredado en máquinas virtuales Linux. Más información: https://aka.ms/migratetoAMA | Deny, Audit, Disabled | 1.0.0 |
| La extensión heredada de Log Analytics no debe instalarse en conjuntos de escalado de máquinas virtuales | Evite la instalación automática del agente de Log Analytics heredado como último paso para migrar de agentes heredados al agente de Azure Monitor. Después de desinstalar las extensiones heredadas existentes, esta directiva denegará todas las instalaciones futuras de la extensión del agente heredado en conjuntos de escalado de máquinas virtuales Windows. Más información: https://aka.ms/migratetoAMA | Deny, Audit, Disabled | 1.0.0 |
| La extensión heredada de Log Analytics no debe instalarse en máquinas virtuales | Evite la instalación automática del agente de Log Analytics heredado como último paso para migrar de agentes heredados al agente de Azure Monitor. Después de desinstalar las extensiones heredadas existentes, esta directiva denegará todas las instalaciones futuras de la extensión del agente heredado en máquinas virtuales Windows. Más información: https://aka.ms/migratetoAMA | Deny, Audit, Disabled | 1.0.0 |
| La extensión de Log Analytics debe instalarse en Virtual Machine Scale Sets | Esta directiva audita todo conjunto de escalado de máquinas virtuales Windows o Linux si la extensión de Log Analytics no está instalada. | AuditIfNotExists, Disabled | 1.0.1 |
| Las máquinas virtuales deben conectarse a un área de trabajo especificada | Notifica que las máquinas virtuales no son compatibles si no se registran en el área de trabajo de Log Analytics especificada en la asignación de la directiva o iniciativa. | AuditIfNotExists, Disabled | 1.1.0 |
| Las máquinas virtuales deben tener la extensión de Log Analytics instalada | Esta directiva audita todas las máquinas virtuales Windows o Linux si la extensión de Log Analytics no está instalada. | AuditIfNotExists, Disabled | 1.0.1 |
| Las máquinas habilitadas para Windows Arc deben tener instalado el agente de Azure Monitor | Las máquinas habilitadas para Windows Arc deben supervisarse y protegerse mediante el agente implementado de Azure Monitor. El agente de Azure Monitor recopila datos de telemetría del sistema operativo invitado. Las máquinas habilitadas para Windows Arc en las regiones admitidas se supervisan para la implementación del Agente de Azure Monitor. Más información: https://aka.ms/AMAOverview. | AuditIfNotExists, Disabled | 1.2.0 |
| Los conjuntos de escalado de máquinas virtuales Windows deben tener el agente de Azure Monitor instalado | Los conjuntos de escalado de máquinas virtuales Windows deben supervisarse y protegerse mediante el agente de Azure Monitor implementado. El agente de Azure Monitor recopila datos de telemetría del sistema operativo invitado. Los conjuntos de escalado de máquinas virtuales con el sistema operativo compatible y en las regiones admitidas se supervisan para la implementación del agente de Azure Monitor. Más información: https://aka.ms/AMAOverview. | AuditIfNotExists, Disabled | 3.2.0 |
| Las máquinas virtuales Windows deben tener el agente de Azure Monitor instalado | Las máquinas virtuales Windows deben supervisarse y protegerse mediante el agente de Azure Monitor implementado. El agente de Azure Monitor recopila datos de telemetría del sistema operativo invitado. 00000000Las máquinas virtuales Windows con el sistema operativo compatible y en las regiones admitidas se supervisan para la implementación del agente de Azure Monitor. Más información: https://aka.ms/AMAOverview. | AuditIfNotExists, Disabled | 3.2.0 |
| Los libros se deben guardar en las cuentas de almacenamiento que se controlan | Con Traiga su propio almacenamiento (BYOS), los libros se cargan en una cuenta de almacenamiento que usted controla. Esto significa que controla la directiva de cifrado en reposo, la directiva de administración de la vigencia y el acceso a la red. Sin embargo, será responsable de los costos asociados a esa cuenta de almacenamiento. Para más información, visita https://aka.ms/workbooksByos. | denegar, Denegar, auditoría, Auditoría, deshabilitado, Deshabilitado | 1.1.0 |
Red
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Vista previa]: Todo el tráfico de Internet debe enrutarse mediante la instancia de Azure Firewall implementada | Azure Security Center ha identificado que algunas de las subredes no están protegidas con un firewall de próxima generación. Proteja las subredes frente a posibles amenazas mediante la restricción del acceso a ellas con Azure Firewall o un firewall de próxima generación compatible. | AuditIfNotExists, Disabled | 3.0.0-preview |
| [Vista previa]: Container Registry debe usar un punto de conexión del servicio de red virtual | Esta directiva audita toda instancia de Container Registry no configurada para usar un punto de conexión del servicio de red virtual. | Audit, Disabled | 1.0.0-preview |
| Se debe aplicar una directiva IPsec/IKE personalizada a todas las conexiones de puerta de enlace de red virtual de Azure. | Esta directiva garantiza que todas las conexiones de puerta de enlace de Azure Virtual Network usen una directiva personalizada de protocolo de seguridad de Internet (IPsec) o Intercambio de claves por red (IKE). Consulte los algoritmos y los niveles de seguridad de las claves compatibles en https://aka.ms/AA62kb0. | Audit, Disabled | 1.0.0 |
| Todos los recursos del registro de flujo deben estar en estado habilitado | Audite los recursos del registro de flujo para comprobar si está habilitado el estado del registro de flujo. Habilitar los registros de flujo permite registrar información sobre el tráfico IP que fluye. Se puede utilizar para optimizar flujos de red, supervisar el rendimiento, comprobar el cumplimiento, detectar intrusiones y mucho más. | Audit, Disabled | 1.0.1 |
| Las aplicaciones de App Service deberían usar un punto de conexión del servicio de red virtual | Use puntos de conexión de servicio de red virtual para restringir el acceso a la aplicación desde subredes seleccionadas desde una red virtual de Azure. Para más información sobre puntos de conexión de servicio de App Service, visite https://aka.ms/appservice-vnet-service-endpoint. | AuditIfNotExists, Disabled | 2.0.1 |
| Configuración de registros de flujo de auditoría para cada red virtual | Audite la red virtual para comprobar si se han configurado los registros de flujo. Habilitar los registros de flujo permite registrar información sobre el tráfico IP que fluye a través de red virtual. Se puede utilizar para optimizar flujos de red, supervisar el rendimiento, comprobar el cumplimiento, detectar intrusiones y mucho más. | Audit, Disabled | 1.0.1 |
| Azure Application Gateway debe implementarse con el WAF de Azure | Requiere que los recursos de Azure Application Gateway se implementen con el WAF de Azure. | Audit, Deny, Disabled | 1.0.0 |
| Las reglas clásicas de Azure Firewall deben migrarse a la directiva de firewall | Migre de reglas clásicas de Azure Firewall a la directiva de firewall para usar herramientas de administración central como Azure Firewall Manager. | Audit, Deny, Disabled | 1.0.0 |
| El análisis de las directivas de Azure Firewall debe estar habilitado | La habilitación del análisis de directivas proporciona visibilidad mejorada del tráfico que fluye a través de Azure Firewall, lo que permite la optimización de la configuración del firewall sin afectar al rendimiento de la aplicación. | Audit, Disabled | 1.0.0 |
| La directiva de Azure Firewall debe habilitar la inteligencia sobre amenazas | El filtrado basado en inteligencia sobre amenazas puede habilitarse para que el firewall alerte y deniegue el tráfico desde y hacia los dominios y las direcciones IP malintencionados. La direcciones IP y los dominios proceden de la fuente Inteligencia sobre amenazas de Microsoft. | Audit, Deny, Disabled | 1.0.0 |
| La directiva de Azure Firewall debe tener habilitado el proxy DNS | Al habilitar el proxy DNS, Azure Firewall se asociará a esta directiva para escuchar en el puerto 53 y reenviar las solicitudes DNS al servidor DNS especificado. | Audit, Disabled | 1.0.0 |
| Azure Firewall debe implementarse para abarcar varias zonas de disponibilidad | Para aumentar la disponibilidad, se recomienda implementar Azure Firewall para abarcar varias zonas de disponibilidad. Esto garantiza que Azure Firewall permanezca disponible en caso de error de zona. | Audit, Deny, Disabled | 1.0.0 |
| Azure Firewall Estándar: las reglas clásicas deben habilitar la inteligencia sobre amenazas | El filtrado basado en inteligencia sobre amenazas puede habilitarse para que el firewall alerte y deniegue el tráfico desde y hacia los dominios y las direcciones IP malintencionados. La direcciones IP y los dominios proceden de la fuente Inteligencia sobre amenazas de Microsoft. | Audit, Deny, Disabled | 1.0.0 |
| Azure Firewall Estándar debe actualizarse a Premium para la protección de última generación | Si busca protección de última generación, como IDPS e inspección de TLS, considere la posibilidad de actualizar Azure Firewall a la SKU Premium. | Audit, Deny, Disabled | 1.0.0 |
| Las instancias de Azure VPN Gateway no deben usar la SKU "básica". | Esta directiva garantiza que las instancias de VPN Gateway no usan la SKU "básica". | Audit, Disabled | 1.0.0 |
| Azure Web Application Firewall en Azure Application Gateway debe tener habilitada la inspección del cuerpo de la solicitud | Asegúrese de que Web Application Firewall asociado a Azure Application Gateway tenga habilitada la inspección del cuerpo de la solicitud. Esto permite que el WAF inspeccione las propiedades dentro del cuerpo HTTP, que podría no evaluarse en los encabezados HTTP, las cookies o el URI. | Audit, Deny, Disabled | 1.0.0 |
| Azure Web Application Firewall en Azure Front Door debe tener habilitada la inspección del cuerpo de la solicitud | Asegúrese de que Web Application Firewall asociado a Azure Front Door tenga habilitada la inspección del cuerpo de la solicitud. Esto permite que el WAF inspeccione las propiedades dentro del cuerpo HTTP, que podría no evaluarse en los encabezados HTTP, las cookies o el URI. | Audit, Deny, Disabled | 1.0.0 |
| Azure Web Application Firewall debe estar habilitado para los puntos de entrada de Azure Front Door | Implemente Azure Web Application Firewall (WAF) delante de las aplicaciones web de acceso público para una inspección adicional del tráfico entrante. Web Application Firewall (WAF) ofrece una protección centralizada de las aplicaciones web frente a vulnerabilidades de seguridad comunes, como la inyección de SQL, el scripting entre sitios y las ejecuciones de archivos locales y remotas. También permite restringir el acceso a las aplicaciones web por países, intervalos de direcciones IP y otros parámetros http(s) por medio de reglas personalizadas. | Audit, Deny, Disabled | 1.0.2 |
| La protección contra bots debe estar habilitada para el WAF de Azure Application Gateway | Esta directiva garantiza que la protección contra bots esté habilitada en todas las directivas del Firewall de aplicaciones web (WAF) de Azure Application Gateway | Audit, Deny, Disabled | 1.0.0 |
| La protección contra bots debe estar habilitada para el WAF de Azure Front Door | Esta directiva garantiza que la protección contra bots esté habilitada en todas las directivas del Firewall de aplicaciones web (WAF) de Azure Front Door | Audit, Deny, Disabled | 1.0.0 |
| Definición de la configuración de diagnóstico de los grupos de seguridad de red de Azure para un área de trabajo de Log Analytics | Implemente la configuración de diagnóstico en grupos de seguridad de red de Azure para transmitir registros de recursos a un área de trabajo de Log Analytics. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar grupos de seguridad de red para habilitar el análisis de tráfico | El análisis de tráfico se puede habilitar para todos los grupos de seguridad de red hospedados en una región determinada con la configuración proporcionada durante la creación de la directiva. Si ya tiene habilitado el análisis de tráfico, la directiva no sobrescribe su configuración. Los registros de flujo también están habilitados para los grupos de seguridad de red que no lo tienen. Análisis de tráfico es una solución basada en la nube, que proporciona visibilidad de la actividad de usuarios y aplicaciones en las redes en la nube. | DeployIfNotExists, Disabled | 1.2.0 |
| Configure los grupos de seguridad de red para usar un área de trabajo, una cuenta de almacenamiento y una directiva de retención de registros de flujo específicas para análisis de tráfico | Si ya tiene habilitado el análisis de tráfico, la directiva sobrescribirá su configuración ya existente por la proporcionada durante la creación de dicha directiva. Análisis de tráfico es una solución basada en la nube, que proporciona visibilidad de la actividad de usuarios y aplicaciones en las redes en la nube. | DeployIfNotExists, Disabled | 1.2.0 |
| Configuración de la red virtual para habilitar el registro de flujo y el análisis de tráfico | El análisis de tráfico y el registro de flujo se pueden habilitar para todas las redes virtuales hospedadas en una región determinada con la configuración proporcionada durante la creación de la directiva. Esta directiva no sobrescribe la configuración actual de las redes virtuales que ya tienen habilitada esta característica. Análisis de tráfico es una solución basada en la nube, que proporciona visibilidad de la actividad de usuarios y aplicaciones en las redes en la nube. | DeployIfNotExists, Disabled | 1.1.1 |
| Configure las redes virtuales para aplicar el área de trabajo, la cuenta de almacenamiento y el intervalo de retención para Registros de flujo y Análisis de tráfico | Si una red virtual ya tiene habilitado el análisis de tráfico, esta directiva sobrescribirá su configuración ya existente por la proporcionada durante la creación de dicha directiva. Análisis de tráfico es una solución basada en la nube, que proporciona visibilidad de la actividad de usuarios y aplicaciones en las redes en la nube. | DeployIfNotExists, Disabled | 1.1.2 |
| Cosmos DB debe usar un punto de conexión del servicio de red virtual | Esta directiva audita toda instancia de Cosmos DB no configurada para usar un punto de conexión del servicio de red virtual. | Audit, Disabled | 1.0.0 |
| Implementación de un recurso de registro de flujo con el grupo de seguridad de red de destino | Configura el registro de flujo para un grupo de seguridad de red específico. Permitirá registrar información sobre el flujo de tráfico IP mediante un grupo de seguridad de red. El registro de flujo ayuda a identificar el tráfico desconocido o no deseado, comprobar el aislamiento de la red y el cumplimiento con las reglas de acceso de la empresa, analizar los flujos de red de direcciones IP e interfaces de red en peligro. | deployIfNotExists | 1.1.0 |
| Implementación de un recurso de registro de flujo con la red virtual de destino | Configura el registro de flujo para una red virtual específica. Permitirá registrar información sobre el flujo de tráfico IP mediante una red virtual. El registro de flujo ayuda a identificar el tráfico desconocido o no deseado, comprobar el aislamiento de la red y el cumplimiento con las reglas de acceso de la empresa, analizar los flujos de red de direcciones IP e interfaces de red en peligro. | DeployIfNotExists, Disabled | 1.1.1 |
| Implementar Network Watcher al crear redes virtuales. | Esta directiva crea un recurso de Network Watcher en las regiones con redes virtuales. Debe asegurarse de la existencia de un grupo de recursos denominado networkWatcherRG, que se usará para implementar las instancias de Network Watcher. | DeployIfNotExists | 1.0.0 |
| Habilitación de la regla de límite de frecuencia para protegerse frente a ataques DDoS en WAF de Azure Front Door | La regla de límite de frecuencia del firewall de aplicaciones web (WAF) de Azure para Azure Front Door controla el número de solicitudes permitidas desde una IP de cliente determinada a la aplicación durante la duración de la limitación de frecuencia. | Audit, Deny, Disabled | 1.0.0 |
| El centro de eventos debe usar un punto de conexión del servicio de red virtual | Esta directiva audita todo centro de eventos no configurado para usar un punto de conexión del servicio de red virtual. | AuditIfNotExists, Disabled | 1.0.0 |
| Los registros de flujo se deben configurar para cada grupo de seguridad de red | Audite los grupos de seguridad de red para comprobar si se han configurado los registros de flujo. Habilitar los registros de flujo permite registrar información sobre el tráfico IP que fluye a través de un grupo de seguridad de red. Se puede utilizar para optimizar flujos de red, supervisar el rendimiento, comprobar el cumplimiento, detectar intrusiones y mucho más. | Audit, Disabled | 1.1.0 |
| Las subredes de la puerta de enlace no se deben configurar con un grupo de seguridad de red | Esta directiva deniega el acceso si una subred de puerta de enlace está configurada con un grupo de seguridad de red. La asignación de un grupo de seguridad de red a una subred de puerta de enlace hará que la puerta de enlace deje de funcionar. | deny | 1.0.0 |
| Key Vault debe usar un punto de conexión del servicio de red virtual | Esta directiva audita toda instancia de Key Vault no configurada para usar un punto de conexión del servicio de red virtual. | Audit, Disabled | 1.0.0 |
| Migración de WAF de la configuración de WAF a la directiva de WAF en Application Gateway | Si solo tiene una configuración de WAF en lugar de una directiva de WAF, entonces es posible que quiera cambiar a la nueva directiva de WAF. En el futuro, la directiva de Firewall admitirá la configuración de directiva de WAF, los conjuntos de reglas administrados, las exclusiones y los grupos de reglas deshabilitados. | Audit, Deny, Disabled | 1.0.0 |
| Las interfaces de red deben deshabilitar el reenvío IP | Esta directiva deniega las interfaces de red que habilitaron el reenvío IP. El valor de reenvío IP deshabilita la comprobación que realiza Azure del origen y destino en una interfaz de red. Este debe revisarlo el equipo de seguridad de red. | deny | 1.0.0 |
| Las interfaces de red no deben tener direcciones IP públicas. | Esta directiva deniega las interfaces de red que están configuradas con cualquier dirección IP pública. Las direcciones IP públicas permiten la comunicación entrante de los recursos de Internet con los recursos de Azure y la comunicación saliente de los recursos de Azure con Internet. Este debe revisarlo el equipo de seguridad de red. | deny | 1.0.0 |
| Los registros de flujo de Network Watcher deben tener habilitado el análisis de tráfico | El análisis de tráfico analiza los registros de flujo para proporcionar información sobre el flujo de tráfico en su nube de Azure. Se puede usar para visualizar la actividad de red en las suscripciones a Azure e identificar zonas activas, detectar amenazas de seguridad, comprender los patrones de flujo de tráfico, identificar errores de configuración de red, etc. | Audit, Disabled | 1.0.1 |
| Network Watcher debe estar habilitado | Network Watcher es un servicio regional que permite supervisar y diagnosticar problemas en un nivel de escenario de red mediante Azure. La supervisión del nivel de escenario permite diagnosticar problemas en una vista de nivel de red de un extremo a otro. Es preciso que se haya creado un grupo de recursos de Network Watcher en todas las regiones en las que haya una red virtual. Si algún grupo de recursos de Network Watcher no está disponible en una región determinada, se habilita una alerta. | AuditIfNotExists, Disabled | 3.0.0 |
| Las direcciones IP públicas y los prefijos de IP pública deben tener la etiqueta FirstPartyUsage | Asegúrese de que todas las direcciones IP públicas y los prefijos de IP pública tengan una etiqueta FirstPartyUsage. | Audit, Deny, Disabled | 1.0.0 |
| SQL Server debe usar un punto de conexión del servicio de red virtual | Esta directiva audita toda instancia de SQL Server no configurada para usar un punto de conexión del servicio de red virtual. | AuditIfNotExists, Disabled | 1.0.0 |
| Las cuentas de almacenamiento deben usar un punto de conexión del servicio de red virtual | Esta directiva audita todas las cuentas de almacenamiento no configuradas para usar un punto de conexión del servicio de red virtual. | Audit, Disabled | 1.0.0 |
| Las subredes deberían ser privadas | Asegúrese de que las subredes están seguras de forma predeterminada evitando el acceso saliente predeterminado. Para más información, vaya a https://aka.ms/defaultoutboundaccessretirement | Audit, Deny, Disabled | 1.0.0 |
| Virtual Hubs debe protegerse con Azure Firewall | Implemente una instancia de Azure Firewall en Virtual Hubs para proteger y controlar de forma granular el tráfico de entrada y salida de Internet. | Audit, Deny, Disabled | 1.0.0 |
| Las máquinas virtuales deben estar conectadas a una red virtual aprobada | Esta directiva audita cualquier máquina virtual conectada a una red virtual que no esté aprobada. | Audit, Deny, Disabled | 1.0.0 |
| Las redes virtuales deben protegerse con Azure DDoS Protection. | Proteja sus redes virtuales contra ataques volumétricos y de protocolo con Azure DDoS Protection. Para más información, visite https://aka.ms/ddosprotectiondocs. | Modificación, auditoría y deshabilitación | 1.0.1 |
| Las redes virtuales deben usar la puerta de enlace de red virtual especificada | Esta directiva audita cualquier red virtual cuya ruta predeterminada no apunte a la puerta de enlace de red virtual especificada. | AuditIfNotExists, Disabled | 1.0.0 |
| Las puertas de enlace de VPN solo deben usar la autenticación de Azure Active Directory (Azure AD) para los usuarios de punto a sitio | La deshabilitación de los métodos de autenticación local mejora la seguridad, ya que garantiza que las instancias de VPN Gateway usen exclusivamente identidades de Azure Active Directory para la autenticación. Puede encontrar más información sobre la autenticación de Azure AD en https://docs.microsoft.com/azure/vpn-gateway/openvpn-azure-ad-tenant. | Audit, Deny, Disabled | 1.0.0 |
| El firewall de aplicaciones web (WAF) debe estar habilitado para Application Gateway | Implemente Azure Web Application Firewall (WAF) delante de las aplicaciones web de acceso público para una inspección adicional del tráfico entrante. Web Application Firewall (WAF) ofrece una protección centralizada de las aplicaciones web frente a vulnerabilidades de seguridad comunes, como la inyección de SQL, el scripting entre sitios y las ejecuciones de archivos locales y remotas. También permite restringir el acceso a las aplicaciones web por países, intervalos de direcciones IP y otros parámetros http(s) por medio de reglas personalizadas. | Audit, Deny, Disabled | 2.0.0 |
| El firewall de aplicaciones web (WAF) debe usar el modo especificado para Application Gateway | Exige que el modo de detección o prevención esté activo en todas las directivas de firewall de aplicaciones web para Application Gateway. | Audit, Deny, Disabled | 1.0.0 |
| El firewall de aplicaciones web (WAF) debe usar el modo especificado para Azure Front Door Service | Exige que el modo de detección o prevención esté activo en todas las directivas de firewall de aplicaciones web para Azure Front Door Service. | Audit, Deny, Disabled | 1.0.0 |
Portal
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Los paneles compartidos no deben tener iconos de Markdown con contenido alineado | No permitir la creación de un panel compartido que tenga contenido alineado en iconos de Markdown y exigir que el contenido se almacene como un archivo Markdown hospedado en línea. Si usa el contenido insertado en el icono de Markdown, no podrá administrar el cifrado del contenido. Mediante la configuración de su propio almacenamiento, puede aplicar cifrado y cifrado doble, e incluso aportar sus propias claves. Al habilitar esta directiva, se impide que los usuarios usen 2020-09-01-preview o una versión anterior de la API de REST de paneles compartidos. | Audit, Deny, Disabled | 1.0.0 |
PostgreSQL
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Debería aprovisionarse un administrador de Microsoft Entra para servidores flexibles de PostgreSQL | Permite aprovisionar un administrador de Microsoft Entra para el servidor flexible de PostgreSQL a fin de habilitar la autenticación de Microsoft Entra. La autenticación de Microsoft Entra permite la administración simplificada de permisos y la administración centralizada de identidades de usuarios de base de datos y otros servicios de Microsoft | AuditIfNotExists, Disabled | 1.0.0 |
| La auditoría con PgAudit debería habilitarse para servidores flexibles de PostgreSQL | Esta directiva ayuda a auditar cualquier servidor flexible de PostgreSQL en su entorno que no esté habilitado para usar pgaudit. | AuditIfNotExists, Disabled | 1.0.0 |
| La limitación de conexiones debe estar habilitada para los servidores flexibles PostgreSQL | Esta directiva permite realizar una auditoría de los servidores flexibles de PostgreSQL del entorno sin la limitación de conexiones habilitada. Esta configuración habilita la limitación de conexiones temporales por IP si hay demasiados errores de inicio de sesión con una contraseña no válida. | AuditIfNotExists, Disabled | 1.0.0 |
| Implementación de la configuración de diagnóstico para servidores flexibles de PostgreSQL en las áreas de trabajo de Log Analytics | Implementa la configuración de diagnóstico para que los servidores flexibles de PostgreSQL transmitan a un área de trabajo regional de Log Analytics cuando se crea o actualiza cualquier servidor flexible de PostgreSQL al que le falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 1.0.0 |
| Las desconexiones se deben registrar para los servidores flexibles de PostgreSQL. | Esta directiva ayuda a realizar una auditoría de los servidores flexibles de PostgreSQL del entorno sin habilitar la opción log_disconnections. | AuditIfNotExists, Disabled | 1.0.1 |
| La aplicación de la conexión SSL debe estar habilitada para los servidores flexibles PostgreSQL | Azure Database for PostgreSQL permite conectar el servidor flexible de Azure Database for PostgreSQL a las aplicaciones cliente mediante la Capa de sockets seguros (SSL). Aplicar conexiones SSL entre el servidor flexible de base de datos y las aplicaciones cliente ayuda a proteger contra los ataques de tipo "Man in the middle" mediante el cifrado del flujo de datos entre el servidor y la aplicación. Esta configuración exige que SSL esté siempre habilitado para el acceso al servidor flexible. | AuditIfNotExists, Disabled | 1.0.0 |
| La copia de seguridad con redundancia geográfica debe estar habilitada para los servidores flexibles de Azure Database for PostgreSQL | Los servidores flexibles de Azure Database for PostgreSQL le permiten elegir la opción de redundancia para el servidor de bases de datos. Se puede establecer en un almacenamiento de copia de seguridad con redundancia geográfica donde los datos no solo se almacenan dentro de la región en la que se hospeda el servidor, sino que también se replican en una región emparejada para proporcionar la opción de recuperación en caso de que se produzca un error en la región. La configuración de almacenamiento con redundancia geográfica para copia de seguridad solo se permite durante la creación del servidor. | Audit, Disabled | 1.0.0 |
| Los puntos de control del registro se deben habilitar para los servidores flexibles de PostgreSQL | Esta directiva ayuda a realizar una auditoría de los servidores flexibles de PostgreSQL del entorno sin habilitar la opción log_checkpoints. | AuditIfNotExists, Disabled | 1.0.0 |
| Las conexiones del registro deben estar habilitadas para los servidores flexibles de PostgreSQL | Esta directiva ayuda a realizar una auditoría de los servidores flexibles de PostgreSQL del entorno sin habilitar la opción log_connections. | AuditIfNotExists, Disabled | 1.0.0 |
| Los servidores flexibles de PostgreSQL deben ejecutar TLS versión 1.2 o posterior | Esta directiva ayuda a auditar cualquier servidor flexible de PostgreSQL en su entorno que se ejecute con la versión de TLS inferior a la 1.2. | AuditIfNotExists, Disabled | 1.1.0 |
| Los servidores flexibles de PostgreSQL deben usar claves administradas por el cliente para cifrar los datos en reposo | Use claves administradas por el cliente para administrar el cifrado en reposo de los servidores flexibles de PostgreSQL. De manera predeterminada, los datos se cifran en reposo con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. | Audit, Deny, Disabled | 1.1.0 |
| El punto de conexión privado debe estar habilitado para servidores flexibles PostgreSQL | Las conexiones de punto de conexión privado garantizan una comunicación segura al permitir la conectividad privada con Azure Database for PostgreSQL. Configure una conexión de punto de conexión privado para permitir el acceso al tráfico que solo proviene de redes conocidas y evitar el acceso desde todas las demás direcciones IP, incluido desde Azure. | AuditIfNotExists, Disabled | 1.0.0 |
Resistencia
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [versión preliminar]: el servicio API Management debe ser con redundancia de zona | El servicio API Management se puede configurar para que sea con redundancia de zona o no. Un servicio de API Management tiene redundancia de zona si el nombre de la SKU es "Premium" y tiene al menos dos entradas en su matriz de zonas. Esta directiva identifica los servicios de API Management que carecen de la redundancia necesaria para resistir una interrupción de zona. | Audit, Deny, Disabled | 1.0.1-preview |
| [Versión preliminar]: los planes de App Service deben tener redundancia de zona | Los planes de App Service pueden configurarse para tener redundancia de zona o no. Cuando la propiedad "zoneRedundant" se establece en "false" para un plan de App Service, no se configura para la redundancia de zona. Esta directiva identifica y aplica la configuración de redundancia de zona para planes de App Service. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: Las puertas de enlace de aplicaciones deben ser resistentes a zonas | Las puertas de enlace de aplicaciones se pueden configurar como alineadas con zonas, con redundancia de zona o ninguna de estas opciones. Las puertas de enlace de aplicaciones que tienen exactamente una entrada en su matriz de zonas se consideran alineadas con zonas. En cambio, las puertas de enlace de aplicaciones con tres o más entradas en su matriz de zonas se reconocen como con redundancia de zona. Esta directiva ayuda a identificar y aplicar estas configuraciones de resistencia. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: El servicio de búsqueda de Azure AI debe tener redundancia de zona | El servicio Búsqueda de Azure AI se puede configurar como con redundancia de zona o no. Las zonas de disponibilidad se usan al agregar dos o más réplicas al servicio de búsqueda. Cada réplica se coloca en una zona de disponibilidad distinta dentro de la región. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: Azure Cache for Redis Enterprise & Flash debe tener redundancia de zona | Azure Cache for Redis Enterprise & Flash se puede configurar para que tenga Redundancia de zona, o no. Las instancias de Azure Cache for Redis Enterprise & Flash con menos de tres entradas en su matriz de zonas no tienen redundancia de zona. Esta directiva identifica las instancias de Azure Cache for Redis Enterprise & Flash que carecen de la redundancia necesaria para resistir la interrupción de una zona. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: Azure Cache for Redis debe tener redundancia de zona | Azure Cache for Redis se puede configurar para que tenga redundancia de zona. Las instancias de Azure Cache for Redis con menos de dos entradas en su matriz de zonas no tienen redundancia de zona. Esta directiva identifica las instancias de Azure Cache for Redis que carecen de la redundancia necesaria para resistir una interrupción de zona. | Audit, Deny, Disabled | 1.0.0-preview |
| [versión preliminar]: los clústeres de Azure Data Explorer deben ser clústeres con redundancia de zona | Los clústeres de Azure Data Explorer se pueden configurar para que tengan redundancia de zona o no. Un clúster de Azure Data Explorer se considera con redundancia de zona si tiene al menos dos entradas en su matriz de zonas. Esta directiva ayuda a garantizar que los clústeres de Azure Data Explorer tengan redundancia de zona. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: El servidor flexible de Azure Database for MySQL debe ser resistente a zonas | El servidor flexible de Azure Database for MySQL se puede configurar como alineado con zonas, con redundancia de zona o ninguna de estas opciones. El servidor de MySQL que tiene un servidor en espera seleccionado en la misma zona para lograr alta disponibilidad se considera alineado con zonas. En cambio, el servidor de MySQL que tiene un servidor en espera seleccionado para estar en una zona diferente para lograr alta disponibilidad se reconoce como con redundancia de zona. Esta directiva ayuda a identificar y aplicar estas configuraciones de resistencia. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: El servidor flexible de Azure Database for PostgreSQL debe ser resistente a zonas | El servidor flexible de Azure Database for PostgreSQL se puede configurar como alineado con zonas, con redundancia de zona o ninguna de estas opciones. El servidor de PostgreSQL que tiene un servidor en espera seleccionado en la misma zona para lograr alta disponibilidad se considera alineado con zonas. En cambio, el servidor de PostgreSQL que tiene un servidor en espera seleccionado para estar en una zona diferente para lograr alta disponibilidad se reconoce como con redundancia de zona. Esta directiva ayuda a identificar y aplicar estas configuraciones de resistencia. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: Azure HDInsight debe ser alineado con zonas | Azure HDInsight se puede configurar como alineado con zonas o no. Azure HDInsight que tiene exactamente una entrada en su matriz de zonas se considera alineado con zonas. Esta directiva garantiza que un clúster de Azure HDInsight esté configurado para funcionar dentro de una sola zona de disponibilidad. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: los clústeres administrados de Azure Kubernetes Service deben ser clústeres con redundancia de zona | Los clústeres administrados de Azure Kubernetes Service se pueden configurar para que tengan redundancia de zona o no. La directiva comprueba los grupos de nodos del clúster y garantiza que las zonas de disponibilidad estén establecidas para todos los grupos de nodos. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: Azure Managed Grafana debe tener redundancia de zona | Azure Managed Grafana se puede configurar para que tenga redundancia de zona. Una instancia de Azure Managed Grafana tiene redundancia de zona si la propiedad "zoneRedundancy" está establecida en "Enabled". La aplicación de esta directiva ayuda a garantizar que Azure Managed Grafana está configurado correctamente para la resistencia de zona, lo que reduce el riesgo de tiempo de inactividad durante las interrupciones de zona. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: Backup and Site Recovery debe tener redundancia de zona | Backup and Site Recovery se puede configurar como con redundancia de zona o no. Backup and Site Recovery tiene redundancia de zona si la propiedad "standardTierStorageRedundancy" está establecida en "ZoneRedundant". La aplicación de esta directiva ayuda a garantizar que Backup and Site Recovery está configurado correctamente para la resistencia de zona, lo que reduce el riesgo de tiempo de inactividad durante las interrupciones de zona. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: Los almacenes de copia de seguridad deben tener redundancia de zona | Los almacenes de copia de seguridad se pueden configurar como con redundancia de zona o no. Los almacenes de copia de seguridad tienen redundancia de zona si su tipo de configuración de almacenamiento se establece en "ZoneRedundant" y se consideran resistentes. Los almacenes de copia de seguridad con redundancia geográfica o con redundancia local no se consideran resistentes. La aplicación de esta directiva ayuda a garantizar que los almacenes de copia de seguridad están configurados correctamente para la resistencia de zona, lo que reduce el riesgo de tiempo de inactividad durante las interrupciones de zona. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: La aplicación de contenedor debe tener redundancia de zona | La aplicación contenedora se puede configurar como con redundancia de zona o no. Una aplicación contenedora tiene redundancia de zona si la propiedad ”ZoneRedundant” de su entorno administrado está establecida en true. Esta directiva identifica la aplicación contenedora que carece de la redundancia necesaria para resistir una interrupción de zona. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: Container Instances debe estar alineado con la zona | Container Instances se puede configurar para que esté alineado con zonas o no. Se consideran alineadas por zonas si solo tienen una entrada en su matriz de zonas. Esta directiva garantiza que estén configuradas para funcionar dentro de una sola zona de disponibilidad. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: Container Registry debe redundante de zona. | Container Registry se puede configurar para que sea redundante de zona o no. Cuando la propiedad zoneRedundancy de una instancia de Container Registry se establece en "Disabled", significa que el registro no es redundante de zona. La aplicación de esta directiva ayuda a garantizar que Container Registry está configurado correctamente para la resistencia de zona, lo que reduce el riesgo de tiempo de inactividad durante las interrupciones de zona. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: las cuentas de base de datos de Cosmos deben tener redundancia de zona | Las cuentas de base de datos de Cosmos se pueden configurar para tener redundancia de zona o no. Si "enableMultipleWriteLocations" está establecido en "true", todas las ubicaciones deben tener una propiedad "isZoneRedundant" y debe establecerse en "true". Si "enableMultipleWriteLocations" está establecido en "false", la ubicación principal ("failoverPriority" establecida en 0) debe tener una propiedad "isZoneRedundant" y debe establecerse en "true". La aplicación de esta directiva garantiza que las cuentas de base de datos de Cosmos estén configuradas correctamente para la redundancia de zona. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: Event Hubs debe tener redundancia de zona | Event Hubs puede configurarse para tener redundancia de zona o no. Event Hubs tiene redundancia de zona si la propiedad "zoneRedundant" está establecida en "true". La aplicación de esta directiva ayuda a garantizar que Event Hubs está configurado correctamente para la resistencia de zona, lo que reduce el riesgo de tiempo de inactividad durante las interrupciones de zona. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: Los firewalls deben ser resistentes a zonas | Los firewalls se pueden configurar como alineados con zonas, con redundancia de zona o ninguna de estas opciones. Los firewalls que tienen exactamente una entrada en su matriz de zonas se consideran alineados con zonas. En cambio, los firewalls con 3 o más entradas en su matriz de zonas se reconocen como con redundancia de zona. Esta directiva ayuda a identificar y aplicar estas configuraciones de resistencia. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: Los equilibradores de carga deben ser resistentes a zonas | Los equilibradores de carga con una SKU distinta de Básica heredan la resistencia de las direcciones IP públicas en su front-end. Cuando se combina con la directiva "Las direcciones IP públicas deben ser resistentes a zonas", este enfoque garantiza la redundancia necesaria para resistir una interrupción de zona. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: Managed Disks debe ser resistente a zonas | Managed Disks se puede configurar para alinearse por zona, con redundancia de zona o ninguna de estas opciones. Managed Disks con exactamente una asignación de zona está alineado por zonas. Managed Disks con un nombre de SKU que termina en ZRS tiene redundancia de zona. Esta directiva ayuda a identificar y aplicar estas configuraciones de resistencia para Managed Disks. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: La puerta de enlace NAT debe estar alineada con la zona | La puerta de enlace NAT se puede configurar como alineada con zonas o no. La puerta de enlace NAT que tiene exactamente una entrada en su matriz de zonas se considera alineada con zonas. Esta directiva garantiza que una puerta de enlace NAT esté configurada para funcionar dentro de una sola zona de disponibilidad. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: las direcciones IP públicas deben ser resistentes a zonas | Las direcciones IP públicas se pueden configurar para alinearse por zona, tener redundancia de zona o ninguna de estas opciones. Las direcciones IP públicas que son regionales y tienen exactamente una entrada en su matriz de zonas se consideran como alineadas con zonas. En cambio, las direcciones IP públicas que son regionales y tienen tres o más entradas en su matriz de zonas se reconocen como con redundancia de zona. Esta directiva ayuda a identificar y aplicar estas configuraciones de resistencia. | Audit, Deny, Disabled | 1.1.0-preview |
| [Versión preliminar]: los prefijos de IP pública deben ser resistentes a zonas | Los prefijos de IP pública se pueden configurar para alinearse por zona, tener redundancia de zona o ninguna de estas opciones. Los prefijos de IP pública que tienen exactamente una entrada en su matriz de zonas se consideran como alineados por zonas. En cambio, los prefijos de IP pública con tres o más entradas en su matriz de zonas se reconocen como con redundancia de zona. Esta directiva ayuda a identificar y aplicar estas configuraciones de resistencia. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: Service Bus debe ser con Redundancia de zona | Service Bus puede configurarse para que sea con Redundancia de zona o no. Cuando la propiedad 'zoneRedundant' está establecida en 'false' para un Service Bus, significa que no está configurada para Redundancia de zona. Esta directiva identifica y aplica la configuración de redundancia de zona para las instancias de Service Bus. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: los clústeres de Service Fabric deben tener redundancia de zona | Los clústeres de Service Fabric se pueden configurar para que tengan redundancia de zona o no. Los clústeres de Servicefabric cuyo nodeType no tiene el valor multipleAvailabilityZones establecido en true no tienen redundancia de zona. Esta directiva identifica los clústeres de Servicefabric que carecen de la redundancia necesaria para resistir una interrupción de zona. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: las bases de datos SQL deben tener redundancia de zona | Las bases de datos SQL pueden configurarse para que tengan redundancia de zona o no. Las bases de datos con el valor "zoneRedundant" establecido en "false" no están configurados para la redundancia de zona. Esta directiva ayuda a identificar las bases de datos SQL que necesitan una configuración de redundancia de zona para mejorar la disponibilidad y la resistencia en Azure. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: los grupos de bases de datos elásticas de SQL deben tener redundancia de zona | Los grupos de bases de datos elásticas de SQL se pueden configurar para que tengan redundancia de zona o no. Los grupo de bases de datos elásticas de SQL tienen redundancia de zona si la propiedad "zoneRedundant" está establecida en "true". La aplicación de esta directiva ayuda a garantizar que Event Hubs está configurado correctamente para la resistencia de zona, lo que reduce el riesgo de tiempo de inactividad durante las interrupciones de zona. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: las instancias administradas de SQL deben tener redundancia de zona | Las instancias administradas de SQL se pueden configurar para que tengan redundancia de zona. Las instancias con el valor "zoneRedundant" establecido en "false" no están configurados para la redundancia de zona. Esta directiva ayuda a identificar las instancias administradas de SQL que necesitan una configuración de redundancia de zona para mejorar la disponibilidad y la resistencia en Azure. | Audit, Deny, Disabled | 1.0.0-preview |
| [versión preliminar]: las cuentas de almacenamiento deben ser con redundancia de zona | Las cuentas de almacenamiento se pueden configurar para que sean con redundancia de zona o no. Si el nombre de la SKU de una cuenta de almacenamiento no termina en "ZRS" o su tipo es "Storage", no tiene redundancia de zona. Esta directiva garantiza que las cuentas de almacenamiento usen una configuración con redundancia de zona. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: las instancias de Virtual Machine Scale Sets deben ser resistentes a zonas | Las instancias de Virtual Machine Scale Sets se pueden configurar para alinearse por zona, con redundancia de zona o ninguna de estas opciones. Las instancias de Virtual Machine Scale Sets que tienen exactamente una entrada en su matriz de zonas se consideran como alineadas por zonas. En cambio, las instancias de Virtual Machine Scale Sets con 3 o más entradas en su matriz de zonas y una capacidad mínima de 3 se reconocen como con redundancia de zona. Esta directiva ayuda a identificar y aplicar estas configuraciones de resistencia. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: las máquinas virtuales deben estar alineadas por zonas | Las máquinas virtuales se pueden configurar para alinearse por zonas o no. Se consideran alineadas por zonas si solo tienen una entrada en su matriz de zonas. Esta directiva garantiza que estén configuradas para funcionar dentro de una sola zona de disponibilidad. | Audit, Deny, Disabled | 1.0.0-preview |
| [Versión preliminar]: Las puertas de enlace de red virtual deben tener redundancia de zona | Las puertas de enlace de red virtual pueden configurarse para tener redundancia de zona o no. Las puertas de enlace de red virtual cuyo nombre o nivel de SKU no termina en "AZ" no son redundantes de zona. Esta directiva identifica las puertas de enlace de red virtual que carecen de la redundancia necesaria para resistir una interrupción de zona. | Audit, Deny, Disabled | 1.0.0-preview |
Búsqueda
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| El servicio Azure Cognitive Search debe usar una SKU que admita Private Link | Con las SKU admitidas de Azure Cognitive Search, Azure Private Link permite conectar la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a su servicio Search, se reduce el riesgo de pérdida de datos. Más información en: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. | Audit, Deny, Disabled | 1.0.0 |
| Los servicios de Azure Cognitive Search deben deshabilitar el acceso a la red pública | Al deshabilitar el acceso a la red pública, se mejora la seguridad, ya que se garantiza que el servicio de Azure Cognitive Search no se expone en la red pública de Internet. La creación de puntos de conexión privados puede limitar la exposición del servicio Search. Más información en: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. | Audit, Deny, Disabled | 1.0.0 |
| Los servicios de Azure Cognitive Search deben tener deshabilitados los métodos de autenticación local | La deshabilitación de los métodos de autenticación local mejora la seguridad, ya que garantiza que el servicio de Azure Cognitive Search requiera exclusivamente identidades de Azure Active Directory para la autenticación. Más información en: https://aka.ms/azure-cognitive-search/rbac. Tenga en cuenta que aunque el parámetro de deshabilitación de la autenticación local todavía está en versión preliminar, el efecto de denegación de esta directiva puede dar lugar a una funcionalidad limitada del portal de Azure Cognitive Search, ya que algunas características del portal usan la API de disponibilidad general que no admite el parámetro. | Audit, Deny, Disabled | 1.0.0 |
| Los servicios de Azure Cognitive Search deben usar claves administradas por el cliente para cifrar los datos en reposo | Al habilitar el cifrado en reposo con una clave administrada por el cliente en los servicios de Azure Cognitive Search, se proporciona un mayor control sobre la clave que se usa para el cifrado en reposo. Esta característica se suele aplicar a los clientes con requisitos de cumplimiento especiales para gestionar claves de cifrado de datos con un almacén de claves. | Audit, Deny, Disabled | 1.0.0 |
| Configurar los servicios de Azure Cognitive Search para deshabilitar la autenticación local | Deshabilite los métodos de autenticación local para que los servicios de Azure Cognitive Search exijan exclusivamente identidades de Azure Active Directory para la autenticación. Más información en: https://aka.ms/azure-cognitive-search/rbac. | Modificar, Deshabilitado | 1.0.0 |
| Configurar los servicios de Azure Cognitive Search para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para el servicio Azure Cognitive Search de modo que no sea accesible a través de la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. | Modificar, Deshabilitado | 1.0.0 |
| Configurar los servicios de Azure Cognitive Search para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada vincula a la red virtual para resolver el servicio Azure Cognitive Search. Más información en: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar los servicios de Azure Cognitive Search con puntos de conexión privados | Los puntos de conexión privados conectan la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Mediante la asignación de puntos de conexión privados a su instancia del servicio Azure Cognitive Search, puede reducir los riesgos de pérdida de datos. Más información en: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. | DeployIfNotExists, Disabled | 1.0.0 |
| Los registros de recursos de los servicios Search deben estar habilitados. | Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red. | AuditIfNotExists, Disabled | 5.0.0 |
Security Center
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: El agente de seguridad de Azure debe estar instalado en las máquinas de Linux Arc | Instale el agente de seguridad de Azure en las máquinas virtuales Linux Arc con el fin de supervisar las configuraciones de seguridad y las vulnerabilidades de las máquinas. Los resultados de las valoraciones se pueden ver y administrar en Azure Security Center. | AuditIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: el agente de seguridad de Azure debe estar instalado en los conjuntos de escalado de máquinas virtuales Linux | Instale el agente de seguridad de Azure en los conjuntos de escalado de máquinas virtuales Linux con el fin de supervisar las configuraciones y vulnerabilidades de seguridad de las máquinas. Los resultados de las valoraciones se pueden ver y administrar en Azure Security Center. | AuditIfNotExists, Disabled | 2.0.0-preview |
| [Versión preliminar]: el agente de seguridad de Azure debe estar instalado en las máquinas virtuales Linux | Instale el agente de seguridad de Azure en las máquinas virtuales Linux con el fin de supervisar las configuraciones de seguridad y las vulnerabilidades de las máquinas. Los resultados de las valoraciones se pueden ver y administrar en Azure Security Center. | AuditIfNotExists, Disabled | 2.0.0-preview |
| [Versión preliminar]: el agente de seguridad de Azure debe estar instalado en las máquinas de Windows Arc | Instale el agente de seguridad de Azure en las máquinas virtuales Windows Arc con el fin de supervisar las configuraciones de seguridad y las vulnerabilidades de las máquinas. Los resultados de las valoraciones se pueden ver y administrar en Azure Security Center. | AuditIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: el agente de seguridad de Azure debe estar instalado en los conjuntos de escalado de máquinas virtuales Windows | Instale el agente de seguridad de Azure en los conjuntos de escalado de máquinas virtuales Windows con el fin de supervisar las configuraciones y vulnerabilidades de seguridad de las máquinas. Los resultados de las valoraciones se pueden ver y administrar en Azure Security Center. | AuditIfNotExists, Disabled | 2.1.0-preview |
| [Versión preliminar]: el agente de seguridad de Azure debe estar instalado en las máquinas virtuales Windows | Instale el agente de seguridad de Azure en las máquinas virtuales Windows con el fin de supervisar las configuraciones y vulnerabilidades de seguridad de las máquinas. Los resultados de las valoraciones se pueden ver y administrar en Azure Security Center. | AuditIfNotExists, Disabled | 2.1.0-preview |
| La extensión ChangeTracking debe instalarse en la máquina de Arc para Linux. | Instale la extensión ChangeTracking en máquinas de Arc para Linux a fin de habilitar la supervisión de la integridad de los archivos (FIM) en Azure Security Center. FIM examina los archivos del sistema operativo, los registros de Windows, el software de aplicación, los archivos del sistema Linux, etc., en busca de cambios que puedan indicar un ataque. La extensión se puede instalar en máquinas virtuales y ubicaciones compatibles con Azure Monitoring Agent. | AuditIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: la extensión ChangeTracking debe estar instalada en la máquina virtual Linux | Instale la extensión ChangeTracking en máquinas virtuales Linux para habilitar la supervisión de la integridad de los archivos (FIM) en Azure Security Center. FIM examina los archivos del sistema operativo, los registros de Windows, el software de aplicación, los archivos del sistema Linux, etc., en busca de cambios que puedan indicar un ataque. La extensión se puede instalar en máquinas virtuales y ubicaciones compatibles con Azure Monitoring Agent. | AuditIfNotExists, Disabled | 2.0.0-preview |
| [Versión preliminar]: la extensión ChangeTracking debe estar instalada en los conjuntos de escalado de máquinas virtuales Linux | Instale la extensión ChangeTracking en conjunto de escalado de máquinas virtuales Linux para habilitar la supervisión de la integridad de los archivos (FIM) en Azure Security Center. FIM examina los archivos del sistema operativo, los registros de Windows, el software de aplicación, los archivos del sistema Linux, etc., en busca de cambios que puedan indicar un ataque. La extensión se puede instalar en máquinas virtuales y ubicaciones compatibles con Azure Monitoring Agent. | AuditIfNotExists, Disabled | 2.0.0-preview |
| La extensión ChangeTracking debe estar instalada en la máquina de Arc para Windows | Instale la extensión ChangeTracking en máquinas de Arc para Windows a fin de habilitar la supervisión de la integridad de los archivos (FIM) en Azure Security Center. FIM examina los archivos del sistema operativo, los registros de Windows, el software de aplicación, los archivos del sistema Linux, etc., en busca de cambios que puedan indicar un ataque. La extensión se puede instalar en máquinas virtuales y ubicaciones compatibles con Azure Monitoring Agent. | AuditIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: a extensión ChangeTracking debe estar instalada en la máquina virtual Windows | Instale la extensión ChangeTracking en máquinas virtuales Windows para habilitar la supervisión de la integridad de los archivos (FIM) en Azure Security Center. FIM examina los archivos del sistema operativo, los registros de Windows, el software de aplicación, los archivos del sistema Linux, etc., en busca de cambios que puedan indicar un ataque. La extensión se puede instalar en máquinas virtuales y ubicaciones compatibles con Azure Monitoring Agent. | AuditIfNotExists, Disabled | 2.0.0-preview |
| [Versión preliminar]: la extensión ChangeTracking debe estar instalada en los conjuntos de escalado de máquinas virtuales Windows | Instale la extensión ChangeTracking en conjunto de escalado de máquinas virtuales Windows para habilitar la supervisión de la integridad de los archivos (FIM) en Azure Security Center. FIM examina los archivos del sistema operativo, los registros de Windows, el software de aplicación, los archivos del sistema Linux, etc., en busca de cambios que puedan indicar un ataque. La extensión se puede instalar en máquinas virtuales y ubicaciones compatibles con Azure Monitoring Agent. | AuditIfNotExists, Disabled | 2.0.0-preview |
| [Versión preliminar]: configurar Azure Defender para Agente SQL en máquinas virtuales | Configure las máquinas Windows para que instalen automáticamente el agente de Azure Defender para SQL en el agente de Azure Monitor instalado. Security Center recopila eventos del agente y los usa para proporcionar alertas de seguridad y tareas de protección personalizadas (recomendaciones). Cree un grupo de recursos y un área de trabajo de Log Analytics en la misma región que la máquina. Las máquinas virtuales de destino deben estar en una ubicación admitida. | DeployIfNotExists, Disabled | 1.0.0-preview |
| Configurar la extensión ChangeTracking para las máquinas de Linux Arc | Configure máquinas de Arc para Linux para instalar automáticamente la extensión ChangeTracking a fin de habilitar la supervisión de la integridad de los archivos (FIM) en Azure Security Center. FIM examina los archivos del sistema operativo, los registros de Windows, el software de aplicación, los archivos del sistema Linux, etc., en busca de cambios que puedan indicar un ataque. La extensión se puede instalar en máquinas virtuales y ubicaciones compatibles con el agente de Azure Monitor. | DeployIfNotExists, Disabled | 2.0.0-preview |
| [Versión preliminar]: Configuración de la extensión ChangeTracking para conjuntos de escalado de máquinas virtuales Linux | Configure conjuntos de escalado de máquinas virtuales Linux para instalar automáticamente la extensión ChangeTracking para habilitar la supervisión de la integridad de los archivos (FIM) en Azure Security Center. FIM examina los archivos del sistema operativo, los registros de Windows, el software de aplicación, los archivos del sistema Linux, etc., en busca de cambios que puedan indicar un ataque. La extensión se puede instalar en máquinas virtuales y ubicaciones compatibles con el agente de Azure Monitor. | DeployIfNotExists, Disabled | 2.0.0-preview |
| [Versión preliminar]: configuración de la extensión ChangeTracking para máquinas virtuales Linux | Configure máquinas virtuales Linux para instalar automáticamente la extensión ChangeTracking para habilitar la supervisión de la integridad de los archivos (FIM) en Azure Security Center. FIM examina los archivos del sistema operativo, los registros de Windows, el software de aplicación, los archivos del sistema Linux, etc., en busca de cambios que puedan indicar un ataque. La extensión se puede instalar en máquinas virtuales y ubicaciones compatibles con el agente de Azure Monitor. | DeployIfNotExists, Disabled | 2.0.0-preview |
| Configurar la extensión ChangeTracking para las máquinas de Windows Arc | Configure máquinas de Arc para Windows para instalar automáticamente la extensión ChangeTracking a fin de habilitar la supervisión de integridad de archivos (FIM) en Azure Security Center. FIM examina los archivos del sistema operativo, los registros de Windows, el software de aplicación, los archivos del sistema Linux, etc., en busca de cambios que puedan indicar un ataque. La extensión se puede instalar en máquinas virtuales y ubicaciones compatibles con el agente de Azure Monitor. | DeployIfNotExists, Disabled | 2.0.0-preview |
| [Versión preliminar]: configuración de la extensión ChangeTracking para conjuntos de escalado de máquinas virtuales Windows | Configure conjuntos de escalado de máquinas virtuales Windows para instalar automáticamente la extensión ChangeTracking para habilitar la supervisión de la integridad de los archivos (FIM) en Azure Security Center. FIM examina los archivos del sistema operativo, los registros de Windows, el software de aplicación, los archivos del sistema Linux, etc., en busca de cambios que puedan indicar un ataque. La extensión se puede instalar en máquinas virtuales y ubicaciones compatibles con el agente de Azure Monitor. | DeployIfNotExists, Disabled | 2.0.0-preview |
| [Versión preliminar]: configuración de la extensión ChangeTracking para máquinas virtuales Windows | Configure máquinas virtuales Windows para instalar automáticamente la extensión ChangeTracking para habilitar la supervisión de la integridad de los archivos (FIM) en Azure Security Center. FIM examina los archivos del sistema operativo, los registros de Windows, el software de aplicación, los archivos del sistema Linux, etc., en busca de cambios que puedan indicar un ataque. La extensión se puede instalar en máquinas virtuales y ubicaciones compatibles con el agente de Azure Monitor. | DeployIfNotExists, Disabled | 2.0.0-preview |
| [Versión preliminar]: configurar las máquinas de Linux Arc para instalar automáticamente el agente de seguridad de Azure | Configure máquinas Linux Arc para instalar automáticamente el agente de seguridad de Azure. Security Center recopila eventos del agente y los usa para proporcionar alertas de seguridad y tareas de protección personalizadas (recomendaciones). Las máquinas Linux Arc de destino deben estar en una ubicación admitida. | DeployIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: configurar conjuntos de escalado de máquinas virtuales Linux para instalar automáticamente el agente de seguridad de Azure | Configure conjuntos de escalado de máquinas virtuales Linux compatibles para instalar automáticamente el agente de seguridad de Azure. Security Center recopila eventos del agente y los usa para proporcionar alertas de seguridad y tareas de protección personalizadas (recomendaciones). Las máquinas virtuales de destino deben estar en una ubicación admitida. | DeployIfNotExists, Disabled | 2.0.0-preview |
| [Versión preliminar]: configurar los conjuntos de escalado de máquinas virtuales Linux compatibles para instalar automáticamente la extensión de atestación de invitados | Configure conjuntos de escalado de máquinas virtuales Linux compatibles para instalar automáticamente la extensión de atestación de invitados a fin de permitir que Azure Security Center atestigüe y supervise proactivamente la integridad del arranque. La integridad del arranque se atestigua a través de la atestación remota. | DeployIfNotExists, Disabled | 6.1.0-preview |
| [Versión preliminar]: configurar máquinas virtuales Linux compatibles para habilitar automáticamente el arranque seguro | Configure las máquinas virtuales Linux admitidas para habilitar automáticamente el arranque seguro para mitigar los cambios malintencionados y no autorizados en la cadena de arranque. Una vez habilitado, solo se permitirá la ejecución de cargadores de arranque de confianza, del kernel y de controladores de kernel. | DeployIfNotExists, Disabled | 5.0.0-preview |
| [Versión preliminar]: configurar las máquinas virtuales Linux para instalar automáticamente el agente de seguridad de Azure | Configure máquinas virtuales Linux compatibles para instalar automáticamente el agente de seguridad de Azure. Security Center recopila eventos del agente y los usa para proporcionar alertas de seguridad y tareas de protección personalizadas (recomendaciones). Las máquinas virtuales de destino deben estar en una ubicación admitida. | DeployIfNotExists, Disabled | 7.0.0-preview |
| [Versión preliminar]: configurar las máquinas virtuales Linux compatibles para instalar automáticamente la extensión de atestación de invitados | Configure máquinas virtuales Linux compatibles para instalar automáticamente la extensión de atestación de invitados a fin de permitir que Azure Security Center atestigüe y supervise proactivamente la integridad del arranque. La integridad del arranque se atestigua a través de la atestación remota. | DeployIfNotExists, Disabled | 7.1.0-preview |
| [Versión preliminar]: configurar las máquinas virtuales compatibles para habilitar automáticamente vTPM | Configure las máquinas virtuales admitidas para habilitar automáticamente vTPM para facilitar el arranque medido y otras características de seguridad del sistema operativo que requieren un TPM. Una vez habilitado, vTPM se puede usar para atestiguar la integridad del arranque. | DeployIfNotExists, Disabled | 2.0.0-preview |
| [Versión preliminar]: configurar las máquinas Windows Arc admitidas para instalar automáticamente el agente de seguridad de Azure | Configure las máquinas Windows Arc admitidas para instalar automáticamente el agente de seguridad de Azure. Security Center recopila eventos del agente y los usa para proporcionar alertas de seguridad y tareas de protección personalizadas (recomendaciones). Las máquinas Windows Arc de destino deben estar en una ubicación admitida. | DeployIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: configurar las máquinas Windows admitidas para instalar automáticamente el agente de seguridad de Azure | Configure las máquinas Windows admitidas para instalar automáticamente el agente de seguridad de Azure. Security Center recopila eventos del agente y los usa para proporcionar alertas de seguridad y tareas de protección personalizadas (recomendaciones). Las máquinas virtuales de destino deben estar en una ubicación admitida. | DeployIfNotExists, Disabled | 5.1.0-preview |
| [Versión preliminar]: configurar los conjuntos de escalado de máquinas virtuales Windows para instalar automáticamente el agente de seguridad de Azure | Configure conjuntos de escalado de máquinas virtuales Windows compatibles para instalar automáticamente el agente de seguridad de Azure. Security Center recopila eventos del agente y los usa para proporcionar alertas de seguridad y tareas de protección personalizadas (recomendaciones). Los conjuntos de escalado de máquinas virtuales Windows de destino deben estar en una ubicación admitida. | DeployIfNotExists, Disabled | 2.1.0-preview |
| [Versión preliminar]: configurar los conjuntos de escalado de máquinas virtuales Windows compatibles para instalar automáticamente la extensión de atestación de invitados | Configure conjuntos de escalado de máquinas virtuales Windows compatibles para instalar automáticamente la extensión de atestación de invitados a fin de permitir que Azure Security Center atestigüe y supervise proactivamente la integridad del arranque. La integridad del arranque se atestigua a través de la atestación remota. | DeployIfNotExists, Disabled | 4.1.0-preview |
| [Versión preliminar]: configurar las máquinas virtuales Windows compatibles para habilitar automáticamente el arranque seguro | Configure las máquinas virtuales Windows admitidas para habilitar automáticamente el arranque seguro para mitigar los cambios malintencionados y no autorizados en la cadena de arranque. Una vez habilitado, solo se permitirá la ejecución de cargadores de arranque de confianza, del kernel y de controladores de kernel. | DeployIfNotExists, Disabled | 3.0.0-preview |
| [Versión preliminar]: configurar las máquinas virtuales Windows compatibles para instalar automáticamente la extensión de atestación de invitados | Configure máquinas virtuales Windows compatibles para instalar automáticamente la extensión de atestación de invitados a fin de permitir que Azure Security Center atestigüe y supervise proactivamente la integridad del arranque. La integridad del arranque se atestigua a través de la atestación remota. | DeployIfNotExists, Disabled | 5.1.0-preview |
| [Versión preliminar]: Configuración de máquinas virtuales creadas con imágenes de Shared Image Gallery para instalar la extensión de atestación de invitados | Configure máquinas virtuales creadas con Shared Image Gallery para instalar automáticamente la extensión de atestación de invitados a fin de permitir que Azure Security Center atestigüe y supervise proactivamente la integridad del arranque. La integridad del arranque se atestigua a través de la atestación remota. | DeployIfNotExists, Disabled | 2.0.0-preview |
| [Versión preliminar]: configuración de VMSS creadas con imágenes de Shared Image Gallery para instalar la extensión de atestación de invitados | Configure VMSS creadas con Shared Image Gallery para instalar automáticamente la extensión de atestación de invitados a fin de permitir que Azure Security Center atestigüe y supervise proactivamente la integridad del arranque. La integridad del arranque se atestigua a través de la atestación remota. | DeployIfNotExists, Disabled | 2.1.0-preview |
| [Versión preliminar]: Implementación del agente de Microsoft Defender para punto de conexión en máquinas híbridas de Linux | Implementa el agente de Microsoft Defender para punto de conexión en máquinas híbridas de Linux. | DeployIfNotExists, AuditIfNotExists, Disabled | 2.0.1-preview |
| [Versión preliminar]: Implementación del agente de Microsoft Defender para punto de conexión en máquinas virtuales de Linux | Implementa el agente de Microsoft Defender para punto de conexión en las imágenes de VM de Linux aplicables. | DeployIfNotExists, AuditIfNotExists, Disabled | 3.0.0-preview |
| [Versión preliminar]: Implementación del agente de Microsoft Defender para punto de conexión en máquinas de Azure Arc con sistema Windows | Implementa el agente de Microsoft Defender para punto de conexión en máquinas de Azure Arc con sistema Windows. | DeployIfNotExists, AuditIfNotExists, Disabled | 2.0.1-preview |
| [Versión preliminar]: Implementación del agente de Microsoft Defender para punto de conexión en máquinas virtuales de Windows | Implementa Microsoft Defender para punto de conexión en las imágenes de VM de Windows aplicables. | DeployIfNotExists, AuditIfNotExists, Disabled | 2.0.1-preview |
| [Versión preliminar]: la extensión de atestación de invitados debe estar instalada en las máquinas virtuales Linux admitidas | Instale la extensión de atestación de invitados en máquinas virtuales Linux compatibles para permitir que Azure Security Center atestigüe y supervise proactivamente la integridad del arranque. Una vez instalada, la integridad del arranque se atestiguará mediante la atestación remota. Esta evaluación se aplica a las máquinas virtuales Linux confidenciales y de inicio seguro. | AuditIfNotExists, Disabled | 6.0.0 (preliminar) |
| [Versión preliminar]: la extensión de atestación de invitados debe estar instalada en los conjuntos de escalado de máquinas virtuales Linux admitidos | Instale la extensión de atestación de invitados en conjuntos de escalado de máquinas virtuales Linux compatibles para permitir que Azure Security Center atestigüe y supervise proactivamente la integridad del arranque. Una vez instalada, la integridad del arranque se atestiguará mediante la atestación remota. Esta evaluación se aplica a los conjuntos de escalado de máquinas virtuales Linux confidenciales y de inicio seguro. | AuditIfNotExists, Disabled | 5.1.0-preview |
| [Versión preliminar]: la extensión de atestación de invitados debe estar instalada en las máquinas virtuales Windows admitidas | Instale la extensión de atestación de invitados en máquinas virtuales compatibles para permitir que Azure Security Center atestigüe y supervise proactivamente la integridad del arranque. Una vez instalada, la integridad del arranque se atestiguará mediante la atestación remota. Esta evaluación se aplica a las máquinas virtuales Windows confidenciales y de inicio seguro. | AuditIfNotExists, Disabled | 4.0.0-preview |
| [Versión preliminar]: la extensión de atestación de invitados debe estar instalada en los conjuntos de escalado de máquinas virtuales Windows admitidos | Instale la extensión de atestación de invitados en conjuntos de escalado de máquinas virtuales compatibles para permitir que Azure Security Center atestigüe y supervise proactivamente la integridad del arranque. Una vez instalada, la integridad del arranque se atestiguará mediante la atestación remota. Esta evaluación se aplica a los conjuntos de escalado de máquinas virtuales Windows confidenciales y de inicio seguro. | AuditIfNotExists, Disabled | 3.1.0: versión preliminar |
| [Versión preliminar]: las máquinas virtuales Linux solo deberían usar componentes de arranque firmados y de confianza | Todos los componentes de arranque del sistema operativo (cargador de arranque, kernel y controladores de kernel) deben estar firmados por editores de confianza. Defender for Cloud ha identificado componentes de arranque del sistema operativo que no son de confianza en una o varias máquinas Linux. Para proteger las máquinas de componentes potencialmente malintencionados, agréguelas a la lista de permitidos o quite los componentes identificados. | AuditIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: las máquinas virtuales Linux deben usar el arranque seguro | Para protegerse contra la instalación de rootkits y bootkits basados en malware, habilite el arranque seguro en las máquinas virtuales Linux admitidas. El arranque seguro garantiza que solo se permitirá la ejecución de controladores y sistemas operativos firmados. Esta evaluación solo se aplica a las máquinas virtuales Linux que tienen instalado el agente de Azure Monitor. | AuditIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: las máquinas deben tener puertos cerrados que puedan exponer vectores de ataque | Los Términos de uso de Azure prohíben el uso de servicios de Azure de maneras que puedan dañar, deshabilitar, sobrecargar o afectar a cualquier servidor de Microsoft o a la red. Los puertos expuestos identificados por esta recomendación deben cerrarse por motivos de seguridad continuados. Para cada puerto identificado, la recomendación también proporciona una explicación de la posible amenaza. | AuditIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: el arranque seguro debe estar habilitado en las máquinas virtuales Windows admitidas | La habilitación del arranque seguro en máquinas virtuales Windows admitidas ayuda a mitigar los cambios malintencionados y no autorizados en la cadena de arranque. Una vez habilitado, solo se permitirá la ejecución de cargadores de arranque de confianza, del kernel y de controladores de kernel. Esta evaluación se aplica a las máquinas virtuales Windows confidenciales y de inicio seguro. | Audit, Disabled | 4.0.0-preview |
| [Versión preliminar]: el estado de atestación de invitado de las máquinas virtuales debe ser correcto | La atestación de invitado se realiza mediante el envío de un registro de confianza (TCGLog) a un servidor de atestación. El servidor usa estos registros para determinar si los componentes de arranque son de confianza. Esta evaluación está pensada para detectar riesgos de la cadena de arranque que podrían ser el resultado de una infección por bootkit o rootkit. Esta evaluación solo se aplica a las máquinas virtuales habilitadas para el inicio seguro de confianza que tengan instalada la extensión de atestación de invitado. | AuditIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: vTPM debe estar habilitado en las máquinas virtuales admitidas | Habilite el dispositivo TPM virtual en máquinas virtuales compatibles para facilitar el arranque medido y otras características de seguridad del sistema operativo que requieren un TPM. Una vez habilitado, vTPM se puede usar para atestiguar la integridad del arranque. Esta evaluación solo se aplica a las máquinas virtuales habilitadas para el inicio seguro. | Audit, Disabled | 2.0.0-preview |
| Debe designar un máximo de tres propietarios para la suscripción | Se recomienda que designe a un máximo de tres propietarios de suscripción para reducir el riesgo de una brecha de seguridad por parte de un propietario en peligro. | AuditIfNotExists, Disabled | 3.0.0 |
| Debe habilitarse una solución de evaluación de vulnerabilidades en sus máquinas virtuales | Audita las máquinas virtuales para detectar si ejecutan una solución de evaluación de vulnerabilidades admitida. Un componente fundamental de cada programa de seguridad y riesgo cibernético es la identificación y el análisis de las vulnerabilidades. El plan de tarifa estándar de Azure Security Center incluye el análisis de vulnerabilidades de las máquinas virtuales sin costo adicional. Además, Security Center puede implementar automáticamente esta herramienta. | AuditIfNotExists, Disabled | 3.0.0 |
| Deben estar habilitadas para MFA las cuentas con permisos de propietario de los recursos de Azure. | Multi-Factor Authentication (MFA) debe estar habilitada para todas las cuentas de la suscripción que tengan permisos de propietario, a fin de evitar una brecha de seguridad en las cuentas o los recursos. | AuditIfNotExists, Disabled | 1.0.0 |
| Deben estar habilitadas para MFA las cuentas con permisos de lectura de los recursos de Azure. | Multi-Factor Authentication (MFA) debe estar habilitada para todas las cuentas de la suscripción que tengan permisos de lectura, a fin de evitar una brecha de seguridad en las cuentas o los recursos. | AuditIfNotExists, Disabled | 1.0.0 |
| Deben estar habilitadas para MFA las cuentas con permisos de escritura de los recursos de Azure. | Multi-Factor Authentication (MFA) debe estar habilitada para todas las cuentas de la suscripción que tengan permisos de escritura, a fin de evitar una brecha de seguridad en las cuentas o los recursos. | AuditIfNotExists, Disabled | 1.0.0 |
| Todos los puertos de red deben estar restringidos en los grupos de seguridad de red asociados a la máquina virtual | Azure Security Center identificó que algunas de las reglas de entrada de sus grupos de seguridad de red son demasiado permisivas. Las reglas de entrada no deben permitir el acceso desde los intervalos "Cualquiera" o "Internet". Esto podría permitir que los atacantes pudieran acceder a sus recursos. | AuditIfNotExists, Disabled | 3.0.0 |
| Los puntos de conexión de API en Azure API Management deben autenticarse | Los puntos de conexión de las API publicados en Azure API Management deben aplicar la autenticación para minimizar el riesgo de seguridad. A veces, los mecanismos de autenticación se implementan incorrectamente o faltan. Esto permite a los atacantes aprovechar los errores de implementación y acceder a los datos. Obtenga más información sobre la amenaza de la API de OWASP para la autenticación de usuario rota aquí: https://learn.microsoft.com/azure/api-management/mitigate-owasp-api-threats#broken-user-authentication | AuditIfNotExists, Disabled | 1.0.1 |
| Los puntos de conexión de API que no se usan deben deshabilitarse y quitarse del servicio Azure API Management | Como procedimiento recomendado de seguridad, los puntos de conexión de las API que no han recibido tráfico durante 30 días se consideran sin usar y se deben quitar del servicio Azure API Management. Mantener los puntos de conexión de API sin usar puede suponer un riesgo de seguridad para su organización. Puede tratarse de las API que deberían haber quedado en desuso del servicio Azure API Management, pero que se han podido dejar activas accidentalmente. Normalmente, estas API no reciben la cobertura de seguridad más actualizada. | AuditIfNotExists, Disabled | 1.0.1 |
| Los intervalos IP autorizados deben definirse en los servicios de Kubernetes | Restrinja el acceso a la API de administración de servicios de Kubernetes mediante la concesión de acceso de API solo a direcciones IP en intervalos específicos. Se recomienda limitar el acceso a los intervalos IP autorizados para garantizar que solo las aplicaciones de las redes permitidas puedan acceder al clúster. | Audit, Disabled | 2.0.1 |
| La versión de Azure DDoS Protection debe estar habilitada | DDoS Protection debe estar habilitado en todas las redes virtuales que tengan una subred que forme parte de una instancia de Application Gateway con una dirección IP pública. | AuditIfNotExists, Disabled | 3.0.1 |
| Se debe habilitar Azure Defender para App Service | Azure Defender para App Service aprovecha la escalabilidad de la nube, y la visibilidad que ofrece Azure como proveedor de servicios en la nube, para supervisar si se producen ataques comunes a aplicaciones web. | AuditIfNotExists, Disabled | 1.0.3 |
| Se debe habilitar Azure Defender para servidores de Azure SQL Database | Azure Defender para SQL proporciona funcionalidad para mostrar y mitigar posibles vulnerabilidades de base de datos, detectar actividades anómalas que podrían indicar amenazas para bases de datos SQL, y detectar y clasificar datos confidenciales. | AuditIfNotExists, Disabled | 1.0.2 |
| Se debe habilitar Azure Defender para Key Vault | Azure Defender para Key Vault proporciona un nivel de protección adicional de inteligencia de seguridad, ya que detecta intentos inusuales y potencialmente dañinos de obtener acceso a las cuentas de Key Vault o aprovechar sus vulnerabilidades de seguridad. | AuditIfNotExists, Disabled | 1.0.3 |
| Se debe habilitar Azure Defender para bases de datos relacionales de código abierto. | Azure Defender para bases de datos relacionales de código abierto detecta actividades anómalas que indican intentos poco habituales y posiblemente dañinos de acceder a sus bases de datos o de aprovechar sus vulnerabilidades. Obtenga más información sobre las funcionalidades de Azure Defender para bases de datos relacionales de código abierto en https://aka.ms/AzDforOpenSourceDBsDocu. Importante: La habilitación de este plan dará lugar a cargos por la protección de las bases de datos relacionales de código abierto. Obtenga información sobre los precios en la página de precios de Security Center: https://aka.ms/pricing-security-center. | AuditIfNotExists, Disabled | 1.0.0 |
| Se debe habilitar Azure Defender para Resource Manager | Azure Defender para Resource Manager supervisa automáticamente las operaciones de administración de recursos de la organización. Azure Defender detecta amenazas y alerta sobre actividades sospechosas. Obtenga más información sobre las funcionalidades de Azure Defender para Resource Manager en https://aka.ms/defender-for-resource-manager. La habilitación de este plan de Azure Defender conlleva cargos. Obtenga información sobre los detalles de los precios por región en la página de precios de Security Center: https://aka.ms/pricing-security-center. | AuditIfNotExists, Disabled | 1.0.0 |
| Se debe habilitar Azure Defender para servidores | Azure Defender para servidores proporciona protección en tiempo real contra amenazas para las cargas de trabajo del servidor y genera recomendaciones de protección, así como alertas sobre la actividad sospechosa. | AuditIfNotExists, Disabled | 1.0.3 |
| Se debe habilitar Azure Defender para servidores SQL Server en las máquinas | Azure Defender para SQL proporciona funcionalidad para mostrar y mitigar posibles vulnerabilidades de base de datos, detectar actividades anómalas que podrían indicar amenazas para bases de datos SQL, y detectar y clasificar datos confidenciales. | AuditIfNotExists, Disabled | 1.0.2 |
| Azure Defender para SQL debe estar habilitado para servidores flexibles de MySQL desprotegidos | Auditoría de servidores flexibles de MySQL sin Advanced Data Security | AuditIfNotExists, Disabled | 1.0.0 |
| Azure Defender para SQL debe estar habilitado para servidores flexibles de PostgreSQL desprotegidos | Auditoría de servidores flexibles de PostgreSQL sin Advanced Data Security | AuditIfNotExists, Disabled | 1.0.0 |
| Las vulnerabilidades de las imágenes del contenedor del registro de Azure deben resolverse (con la tecnología de Administración de vulnerabilidades de Microsoft Defender) | La evaluación de vulnerabilidades de la imagen de contenedor examina el registro para detectar vulnerabilidades conocidas (CVE) y proporciona un informe detallado de vulnerabilidades para cada imagen. La resolución de vulnerabilidades puede mejorar considerablemente la posición de seguridad, lo que garantiza que las imágenes sean seguras para usarlas antes de la implementación. | AuditIfNotExists, Disabled | 1.0.1 |
| Las vulnerabilidades de las imágenes del contenedor en ejecución de Azure deben resolverse (con la tecnología de Administración de vulnerabilidades de Microsoft Defender) | La evaluación de vulnerabilidades de la imagen de contenedor examina el registro para detectar vulnerabilidades conocidas (CVE) y proporciona un informe detallado de vulnerabilidades para cada imagen. Esta recomendación proporciona visibilidad de las imágenes vulnerables que se ejecutan actualmente en los clústeres de Kubernetes. La corrección de vulnerabilidades en imágenes de contenedor que se están ejecutando actualmente es clave para mejorar la posición de seguridad, lo que reduce significativamente la superficie expuesta a ataques para las cargas de trabajo en contenedores. | AuditIfNotExists, Disabled | 1.0.1 |
| Deben quitarse las cuentas bloqueadas con permisos de propietario de los recursos de Azure. | Quitar de la suscripción las cuentas en desuso con permisos de propietario Las cuentas en desuso son cuentas en las que se ha bloqueado el inicio de sesión. | AuditIfNotExists, Disabled | 1.0.0 |
| Deben quitarse las cuentas bloqueadas con permisos de lectura y escritura de los recursos de Azure. | Convendría eliminar las cuentas en desuso de las suscripciones. Las cuentas en desuso son cuentas en las que se ha bloqueado el inicio de sesión. | AuditIfNotExists, Disabled | 1.0.0 |
| Las instancias de rol de Cloud Services (soporte extendido) deben configurarse de forma segura | Proteja las instancias de rol de Cloud Service (soporte extendido) de los ataques asegurándose de que no se expongan a ninguna vulnerabilidad del sistema operativo. | AuditIfNotExists, Disabled | 1.0.0 |
| Las instancias de rol de Cloud Services (soporte extendido) deben tener instalada una solución de Endpoint Protection | Para proteger las instancias de rol de Cloud Services (soporte extendido) de amenazas y vulnerabilidades, asegúrese de que tiene instalada en ellas una solución de Endpoint Protection. | AuditIfNotExists, Disabled | 1.0.0 |
| Las instancias de rol de Cloud Services (soporte extendido) deben tener instaladas las actualizaciones del sistema | Proteja sus instancias de rol de Cloud Services (soporte extendido) asegurándose de que las actualizaciones críticas y de seguridad más recientes estén instaladas en ellas. | AuditIfNotExists, Disabled | 1.0.0 |
| Configurar la Protección contra amenazas avanzada para habilitarla en servidores flexibles de Azure Database for MySQL | Habilita la Protección contra amenazas avanzada en los servidores flexibles de Azure Database for MySQL para detectar actividades anómalas que indiquen intentos inusuales o potencialmente dañinos de obtener acceso a bases de datos o de aprovechar sus vulnerabilidades. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar la Protección contra amenazas avanzada para habilitarla en servidores flexibles de Azure Database for PostgreSQL | Habilite la Protección contra amenazas avanzada en los servidores flexibles de Azure Database for PostgreSQL para detectar actividades anómalas que indiquen intentos inusuales o potencialmente dañinos de obtener acceso a bases de datos o de aprovechar sus vulnerabilidades. | DeployIfNotExists, Disabled | 1.1.0 |
| Configuración de servidores SQL Server habilitados para Arc para instalar automáticamente el agente de Azure Monitor | Automatizar la implementación de la extensión Agente de Azure Monitor en instancias de SQL Server habilitadas para Arc en Windows. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 1.3.0 |
| Configuración de servidores SQL Server habilitados para Arc para instalar automáticamente Microsoft Defender para SQL | Configurar instancias de SQL Server habilitadas para Arc en Windows para instalar automáticamente el agente Microsoft Defender para SQL. Microsoft Defender para SQL recopila eventos del agente y los usa para proporcionar alertas de seguridad y tareas de protección personalizadas (recomendaciones). | DeployIfNotExists, Disabled | 1.2.0 |
| Configuración de servidores SQL Server habilitados para Arc para instalar automáticamente Microsoft Defender para SQL y DCR con un área de trabajo de Log Analytics | Microsoft Defender para SQL recopila eventos del agente y los usa para proporcionar alertas de seguridad y tareas de protección personalizadas (recomendaciones). Cree un grupo de recursos, una regla de recopilación de datos y un área de trabajo de Log Analytics en la misma región que la máquina. | DeployIfNotExists, Disabled | 1.5.0 |
| Configuración de servidores SQL Server habilitados para Arc para instalar automáticamente Microsoft Defender para SQL y DCR con un área de trabajo de LA definida por el usuario | Microsoft Defender para SQL recopila eventos del agente y los usa para proporcionar alertas de seguridad y tareas de protección personalizadas (recomendaciones). Cree un grupo de recursos y una regla de recopilación de datos en la misma región que el área de trabajo de Log Analytics definida por el usuario. | DeployIfNotExists, Disabled | 1.7.0 |
| Configuración de servidores SQL Server habilitados para Arc con asociación de reglas de recopilación de datos para DCR de Microsoft Defender para SQL | Configurar la asociación entre servidores SQL Server habilitados para Arc y DCR de Microsoft Defender para SQL. La eliminación de esta asociación interrumpirá la detección de vulnerabilidades de seguridad en esta instancia de SQL Server habilitada para Arc. | DeployIfNotExists, Disabled | 1.1.0 |
| Configuración de servidores SQL Server habilitados para Arc con asociación de reglas de recopilación de datos para DCR de Microsoft Defender para SQL definido por el usuario | Configurar la asociación entre servidores SQL Server habilitados para Arc y DCR de Microsoft Defender para SQL definido por el usuario. La eliminación de esta asociación interrumpirá la detección de vulnerabilidades de seguridad en esta instancia de SQL Server habilitada para Arc. | DeployIfNotExists, Disabled | 1.3.0 |
| Configuración para habilitar Azure Defender para App Service | Azure Defender para App Service aprovecha la escalabilidad de la nube, y la visibilidad que ofrece Azure como proveedor de servicios en la nube, para supervisar si se producen ataques comunes a aplicaciones web. | DeployIfNotExists, Disabled | 1.0.1 |
| Configuración para habilitar Azure Defender para una base de datos de Azure SQL | Azure Defender para SQL proporciona funcionalidad para mostrar y mitigar posibles vulnerabilidades de base de datos, detectar actividades anómalas que podrían indicar amenazas para bases de datos SQL, y detectar y clasificar datos confidenciales. | DeployIfNotExists, Disabled | 1.0.1 |
| La configuración de Azure Defender para las bases de datos relacionales de código abierto debería estar habilitada | Azure Defender para bases de datos relacionales de código abierto detecta actividades anómalas que indican intentos poco habituales y posiblemente dañinos de acceder a sus bases de datos o de aprovechar sus vulnerabilidades. Obtenga más información sobre las funcionalidades de Azure Defender para bases de datos relacionales de código abierto en https://aka.ms/AzDforOpenSourceDBsDocu. Importante: La habilitación de este plan dará lugar a cargos por la protección de las bases de datos relacionales de código abierto. Obtenga información sobre los precios en la página de precios de Security Center: https://aka.ms/pricing-security-center. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración para habilitar Azure Defender para Resource Manager | Azure Defender para Resource Manager supervisa automáticamente las operaciones de administración de recursos de la organización. Azure Defender detecta amenazas y alerta sobre actividades sospechosas. Obtenga más información sobre las funcionalidades de Azure Defender para Resource Manager en https://aka.ms/defender-for-resource-manager. La habilitación de este plan de Azure Defender conlleva cargos. Obtenga información sobre los detalles de los precios por región en la página de precios de Security Center: https://aka.ms/pricing-security-center. | DeployIfNotExists, Disabled | 1.1.0 |
| Configuración para habilitar Azure Defender para servidores | Azure Defender para servidores proporciona protección en tiempo real contra amenazas para las cargas de trabajo del servidor y genera recomendaciones de protección, así como alertas sobre la actividad sospechosa. | DeployIfNotExists, Disabled | 1.0.1 |
| Configuración para habilitar Azure Defender para servidores SQL en máquinas | Azure Defender para SQL proporciona funcionalidad para mostrar y mitigar posibles vulnerabilidades de base de datos, detectar actividades anómalas que podrían indicar amenazas para bases de datos SQL, y detectar y clasificar datos confidenciales. | DeployIfNotExists, Disabled | 1.0.1 |
| Configuración básica de Microsoft Defender para Storage para que esté habilitado (solo Supervisión de actividad) | Microsoft Defender para Storage es una capa de inteligencia de seguridad nativa de Azure que detecta posibles amenazas a sus cuentas de almacenamiento. Esta directiva habilitará las funcionalidades básicas de Defender para Storage (Supervisión de actividad). Para habilitar la protección completa, que también incluye el escaneo de malware al cargar y la detección de amenazas de datos confidenciales, use la directiva de habilitación completa: aka.ms/DefenderForStoragePolicy. Para más información sobre las funcionalidades y ventajas de Defender para Storage, visite aka.ms/DefenderForStorage. | DeployIfNotExists, Disabled | 1.1.0 |
| Configuración de las máquinas para recibir un proveedor de valoración de vulnerabilidades | Azure Defender incluye el examen de vulnerabilidades de las máquinas sin costo adicional. No se necesita ninguna licencia ni cuenta de Qualys, ya que todo se administra sin problemas en Security Center. Al habilitar esta directiva, Azure Defender implementa automáticamente el proveedor de valoración de vulnerabilidades Qualys en todas las máquinas compatibles que todavía no lo tengan instalado. | DeployIfNotExists, Disabled | 4.0.0 |
| Configuración del plan Microsoft Defender CSPM | La administración de la posición de seguridad en la nube (CSPM) de Defender proporciona funcionalidades de posición mejoradas y un nuevo gráfico de seguridad en la nube inteligente para ayudar a identificar, priorizar y reducir el riesgo. Defender CSPM está disponible junto con las capacidades gratuitas de posición de seguridad de base activadas de manera predeterminada en Defender for Cloud. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de Microsoft Defender CSPM que se va a habilitar | La administración de la posición de seguridad en la nube (CSPM) de Defender proporciona funcionalidades de posición mejoradas y un nuevo gráfico de seguridad en la nube inteligente para ayudar a identificar, priorizar y reducir el riesgo. Defender CSPM está disponible junto con las capacidades gratuitas de posición de seguridad de base activadas de manera predeterminada en Defender for Cloud. | DeployIfNotExists, Disabled | 1.0.2 |
| Configuración de Microsoft Defender para Azure Cosmos DB para habilitarlo | Microsoft Defender para Azure Cosmos DB es una capa de seguridad nativa de Azure que detecta intentos de aprovechar una vulnerabilidad de seguridad de las bases de datos de las cuentas de Azure Cosmos DB. Defender para Azure Cosmos DB detecta posibles ataques por inyección de código SQL, actores malintencionados conocidos basados en Inteligencia sobre amenazas de Microsoft, patrones de acceso sospechosos y posibles vulnerabilidades de seguridad de la base de datos mediante identidades en peligro o usuarios malintencionados. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración del plan de Microsoft Defender para contenedores | Continuamente se agregan nuevas funcionalidades al plan de Defender para contenedores, lo que puede requerir la habilitación explícita del usuario. Use esta directiva para asegurarse de que se habilitarán todas las nuevas funcionalidades. | DeployIfNotExists, Disabled | 1.0.0 |
| La configuración de Microsoft Defender para contenedores debería estar habilitada | Microsoft Defender para contenedores proporciona protección, evaluación de vulnerabilidades y protecciones en tiempo de ejecución para los entornos de Kubernetes de Azure, híbridos y multinube. | DeployIfNotExists, Disabled | 1.0.1 |
| Configuración de las opciones de integración de Microsoft Defender para punto de conexión con Microsoft Defender for Cloud (WDATP_EXCLUDE_LINUX...) | Configura las opciones de integración de Microsoft Defender para punto de conexión, en Microsoft Defender for Cloud (también conocido como WDATP_EXCLUDE_LINUX_...), para habilitar el aprovisionamiento automático de MDE para servidores Linux. La configuración de WDATP debe estar activada para que se aplique esta configuración. Consulte https://learn.microsoft.com/azure/defender-for-cloud/integration-defender-for-endpoint para más información. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de la integración de Microsoft Defender para punto de conexión con Microsoft Defender for Cloud (WDATP_UNIFIED_SOLUTION) | Configura las opciones de integración de Microsoft Defender para punto de conexión, en Microsoft Defender for Cloud (también conocida como WDATP_UNIFIED_SOLUTION), para habilitar el aprovisionamiento automático del Agente unificado de MDE para Windows Server 2012R2 y 2016. La configuración de WDATP debe estar activada para que se aplique esta configuración. Consulte https://learn.microsoft.com/azure/defender-for-cloud/integration-defender-for-endpoint para más información. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de la integración de Microsoft Defender para punto de conexión con Microsoft Defender for Cloud (WDATP) | Configura las opciones de integración de Microsoft Defender para punto de conexión, dentro de Microsoft Defender for Cloud (también conocido como WDATP), para las máquinas de nivel inferior de Windows incorporadas a MDE a través de MMA y el aprovisionamiento automático de MDE en Windows Server 2019, Windows Virtual Desktop y versiones posteriores. Debe estar activada para que funcione la otra configuración (WDATP_UNIFIED, etc.). Consulte https://learn.microsoft.com/azure/defender-for-cloud/integration-defender-for-endpoint para más información. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración del plan de Microsoft Defender para Key Vault | Microsoft Defender para Key Vault proporciona un nivel adicional de protección y de inteligencia de seguridad, con la detección de intentos inusuales y potencialmente dañinos de obtener acceso a las cuentas de Key Vault o aprovechar sus vulnerabilidades de seguridad. | DeployIfNotExists, Disabled | 1.1.0 |
| Configuración del plan de Microsoft Defender para servidores | Continuamente se agregan nuevas funcionalidades al plan de Defender para servidores, lo que puede requerir la habilitación explícita del usuario. Use esta directiva para asegurarse de que se habilitarán todas las nuevas funcionalidades. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar Microsoft Defender para SQL para habilitarlo en áreas de trabajo de Synapse | Habilite Microsoft Defender para SQL en las áreas de trabajo de Azure Synapse para detectar actividades anómalas que revelen intentos inusuales y potencialmente peligrosos de acceder a las bases de datos de SQL o de explotarlas. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de Microsoft Defender para Storage (Clásico) para que esté habilitado | Microsoft Defender para Storage (Clásico) proporciona detecciones de intentos inusuales y potencialmente dañinos para acceder a las cuentas de almacenamiento o aprovechar alguna vulnerabilidad de seguridad. | DeployIfNotExists, Disabled | 1.0.2 |
| Configuración de Microsoft Defender para Storage para que esté habilitado | Microsoft Defender para Storage es una capa de inteligencia de seguridad nativa de Azure que detecta posibles amenazas a sus cuentas de almacenamiento. Esta directiva habilitará todas las funcionalidades de Defender para Storage: supervisión de actividad, detección de malware y detección de amenazas de datos confidenciales. Para más información sobre las funcionalidades y ventajas de Defender para Storage, visite aka.ms/DefenderForStorage. | DeployIfNotExists, Disabled | 1.4.0 |
| Configurar la protección contra amenazas de Microsoft Defender para cargas de trabajo de IA | Continuamente se agregan nuevas funcionalidades al plan de protección contra amenazas para cargas de trabajo de inteligencia artificial, lo que puede requerir la habilitación explícita del usuario. Use esta directiva para asegurarse de que se habilitarán todas las nuevas funcionalidades. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de máquinas virtuales de SQL para instalar automáticamente el agente de Azure Monitor | Automatice la implementación de la extensión Agente de Azure Monitor en las máquinas virtuales de SQL en Windows. Más información: https://aka.ms/AMAOverview. | DeployIfNotExists, Disabled | 1.5.0 |
| Configuración de máquinas virtuales de SQL para instalar automáticamente Microsoft Defender para SQL | Configure máquinas virtuales de SQL en Windows para instalar automáticamente la extensión Microsoft Defender para SQL. Microsoft Defender para SQL recopila eventos del agente y los usa para proporcionar alertas de seguridad y tareas de protección personalizadas (recomendaciones). | DeployIfNotExists, Disabled | 1.5.0 |
| Configuración de máquinas virtuales de SQL para instalar automáticamente Microsoft Defender para SQL y DCR con un área de trabajo de Log Analytics | Microsoft Defender para SQL recopila eventos del agente y los usa para proporcionar alertas de seguridad y tareas de protección personalizadas (recomendaciones). Cree un grupo de recursos, una regla de recopilación de datos y un área de trabajo de Log Analytics en la misma región que la máquina. | DeployIfNotExists, Disabled | 1.7.0 |
| Configuración de máquinas virtuales de SQL para instalar automáticamente Microsoft Defender para SQL y DCR con un área de trabajo de LA definida por el usuario | Microsoft Defender para SQL recopila eventos del agente y los usa para proporcionar alertas de seguridad y tareas de protección personalizadas (recomendaciones). Cree un grupo de recursos y una regla de recopilación de datos en la misma región que el área de trabajo de Log Analytics definida por el usuario. | DeployIfNotExists, Disabled | 1.8.0 |
| Configuración del área de trabajo de Log Analytics de Microsoft Defender para SQL | Microsoft Defender para SQL recopila eventos del agente y los usa para proporcionar alertas de seguridad y tareas de protección personalizadas (recomendaciones). Cree un grupo de recursos y un área de trabajo de Log Analytics en la misma región que la máquina. | DeployIfNotExists, Disabled | 1.4.0 |
| Creación y asignación de una identidad administrada integrada asignada por el usuario | Crear y asignar una identidad administrada integrada asignada por el usuario a máquinas virtuales de SQL a escala. | AuditIfNotExists, DeployIfNotExists, Disabled | 1.7.0 |
| Implementación: configuración de reglas de eliminación de alertas de Azure Security Center | Elimine las alertas de Azure Security Center para reducir la fatiga que estas ocasionan, mediante la implementación de reglas de eliminación en el grupo de administración o la suscripción. | deployIfNotExists | 1.0.0 |
| Implementación de la exportación al centro de eventos como un servicio de confianza para los datos de Microsoft Defender for Cloud | Habilite la exportación al centro de eventos como un servicio de confianza para los datos de Microsoft Defender for Cloud. Esta directiva implementa la exportación al centro de eventos como parte de la configuración de servicio de confianza con sus condiciones y centro de eventos de destino en el ámbito asignado. Para implementar esta directiva en las suscripciones recién creadas, abra la pestaña Compatibilidad, seleccione la asignación no conforme pertinente y cree una tarea de corrección. | DeployIfNotExists, Disabled | 1.0.0 |
| Implementar la exportación al centro de eventos para los datos de Microsoft Defender for Cloud | Habilite la exportación al centro de eventos de los datos de Microsoft Defender for Cloud. Esta directiva implementa una exportación a la configuración del centro de eventos con sus condiciones y centro de eventos de destino en el ámbito asignado. Para implementar esta directiva en las suscripciones recién creadas, abra la pestaña Compatibilidad, seleccione la asignación no conforme pertinente y cree una tarea de corrección. | deployIfNotExists | 4.2.0 |
| Implementar la exportación al área de trabajo de Log Analytics para los datos de Microsoft Defender for Cloud | Habilite la exportación al área de trabajo de Log Analytics de los datos de Microsoft Defender for Cloud. Esta directiva implementa una exportación a la configuración del área de trabajo de Log Analytics con sus condiciones y área de trabajo de destino en el ámbito asignado. Para implementar esta directiva en las suscripciones recién creadas, abra la pestaña Compatibilidad, seleccione la asignación no conforme pertinente y cree una tarea de corrección. | deployIfNotExists | 4.1.0 |
| Implementación de la automatización de flujos de trabajo para alertas de Microsoft Defender for Cloud | Habilite la automatización de las alertas de Microsoft Defender for Cloud. Esta directiva implementa una automatización de flujos de trabajo con sus condiciones y desencadenadores en el ámbito asignado. Para implementar esta directiva en las suscripciones recién creadas, abra la pestaña Compatibilidad, seleccione la asignación no conforme pertinente y cree una tarea de corrección. | deployIfNotExists | 5.0.1 |
| Implementación de la automatización de flujos de trabajo para recomendaciones de Microsoft Defender for Cloud | Habilite la automatización de las recomendaciones de Microsoft Defender for Cloud. Esta directiva implementa una automatización de flujos de trabajo con sus condiciones y desencadenadores en el ámbito asignado. Para implementar esta directiva en las suscripciones recién creadas, abra la pestaña Compatibilidad, seleccione la asignación no conforme pertinente y cree una tarea de corrección. | deployIfNotExists | 5.0.1 |
| Implementación de la automatización de flujos de trabajo para el cumplimiento normativo de Microsoft Defender for Cloud | Habilite la automatización del cumplimiento normativo de Microsoft Defender for Cloud. Esta directiva implementa una automatización de flujos de trabajo con sus condiciones y desencadenadores en el ámbito asignado. Para implementar esta directiva en las suscripciones recién creadas, abra la pestaña Compatibilidad, seleccione la asignación no conforme pertinente y cree una tarea de corrección. | deployIfNotExists | 5.0.1 |
| La opción para enviar notificaciones por correo electrónico para alertas de gravedad alta debe estar habilitada. | Para asegurarse de que las personas pertinentes de la organización reciban una notificación cuando se produzca una vulneración de seguridad potencial en una de las suscripciones, habilite las notificaciones por correo electrónico de alertas de gravedad alta en Security Center. | AuditIfNotExists, Disabled | 1.2.0 |
| La opción para enviar notificaciones por correo electrónico al propietario de la suscripción en relación a alertas de gravedad alta debe estar habilitada. | Para asegurarse de que los propietarios de suscripciones reciban una notificación cuando se produzca una vulneración de seguridad potencial en sus suscripciones, establezca notificaciones por correo electrónico a los propietarios de las suscripciones de alertas de gravedad alta en Security Center. | AuditIfNotExists, Disabled | 2.1.0 |
| Habilitación de los planes de Microsoft Defender for Cloud en la suscripción | Identifica las suscripciones existentes que Microsoft Defender for Cloud no supervisa y las protege con las características gratuitas de Defender for Cloud. Las suscripciones ya supervisadas se considerarán compatibles. Para registrar las suscripciones recién creadas, abra la pestaña Cumplimiento, seleccione la asignación no compatible pertinente y cree una tarea de corrección. | deployIfNotExists | 1.0.1 |
| Habilite el aprovisionamiento automático de Security Center del agente de Log Analytics en sus suscripciones con un área de trabajo personalizada. | Permite a Security Center aprovisionar automáticamente el agente de Log Analytics en sus suscripciones para supervisar y recopilar datos de seguridad mediante un área de trabajo personalizada. | DeployIfNotExists, Disabled | 1.0.0 |
| Habilite el aprovisionamiento automático de Security Center del agente de Log Analytics en sus suscripciones con el área de trabajo predeterminada. | Permite a Security Center aprovisionar automáticamente el agente de Log Analytics en sus suscripciones para supervisar y recopilar datos de seguridad mediante el área de trabajo predeterminada de ASC. | DeployIfNotExists, Disabled | 1.0.0 |
| Habilitación de la protección contra amenazas para cargas de trabajo de IA | La protección contra amenazas de Microsoft para cargas de trabajo de IA proporciona alertas de seguridad contextualizadas basadas en evidencias destinadas a proteger las aplicaciones con tecnología de IA generativa en el hogar | DeployIfNotExists, Disabled | 1.0.0 |
| Los problemas de estado de protección de puntos de conexión se deben resolver en las máquinas | Resuelva los problemas del estado de la protección de los puntos de conexión en las máquinas virtuales para protegerlas frente a amenazas y vulnerabilidades más recientes. Las soluciones de protección de puntos de conexión que admite Azure Security Center se documentan aquí: https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. La valoración de la protección del punto de conexión se documenta aquí: https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. | AuditIfNotExists, Disabled | 1.0.0 |
| La protección de los puntos de conexión debe instalarse en las máquinas | Para proteger las máquinas frente a amenazas y vulnerabilidades, instale una solución Endpoint Protection compatible. | AuditIfNotExists, Disabled | 1.0.0 |
| La solución de protección del punto de conexión debe instalarse en las máquinas virtuales | Audite la existencia y el estado de una solución de protección de puntos de conexión en los conjuntos de escalado de máquinas virtuales para protegerlos frente a amenazas y vulnerabilidades. | AuditIfNotExists, Disabled | 3.0.0 |
| Deben quitarse las cuentas de invitado con permisos de propietario de los recursos de Azure. | Las cuentas externas con permisos de propietario deben quitarse de la suscripción a fin de evitar el acceso no supervisado. | AuditIfNotExists, Disabled | 1.0.0 |
| Deben quitarse las cuentas de invitado con permisos de lectura de los recursos de Azure. | Las cuentas externas con privilegios de lectura deben quitarse de la suscripción a fin de evitar el acceso no supervisado. | AuditIfNotExists, Disabled | 1.0.0 |
| Deben quitarse las cuentas de invitado con permisos de escritura de los recursos de Azure. | Las cuentas externas con privilegios de escritura deben quitarse de la suscripción a fin de evitar el acceso no supervisado. | AuditIfNotExists, Disabled | 1.0.0 |
| La extensión "Configuración de invitado" debe estar instalada en las máquinas | Para garantizar la seguridad de la configuración de invitado, instale la extensión "Configuración de invitado". La configuración de invitado supervisada en la extensión engloba la configuración del sistema operativo, la configuración o presencia de las aplicaciones y la configuración del entorno. Una vez instaladas, las directivas de invitado estarán disponibles como "La protección contra vulnerabilidades de Windows debe estar habilitada.". Obtenga más información en https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 1.0.3 |
| Las máquinas virtuales accesibles desde Internet deben estar protegidas con grupos de seguridad de red | Proteja sus máquinas virtuales de posibles amenazas limitando el acceso a ellas con grupos de seguridad de red (NSG). Más información sobre cómo controlar el tráfico con los grupos de seguridad de red en https://aka.ms/nsg-doc. | AuditIfNotExists, Disabled | 3.0.0 |
| El reenvío de IP en la máquina virtual debe estar deshabilitado | Habilitar el reenvío de IP en la NIC de la máquina virtual permite que la máquina reciba tráfico dirigido a otros destinos. El reenvío de IP rara vez es necesario (por ejemplo, cuando se usa la máquina virtual como una aplicación virtual de red) y, por lo tanto, el equipo de seguridad de red debe revisarlo. | AuditIfNotExists, Disabled | 3.0.0 |
| Kubernetes Services se debe actualizar a una versión de Kubernetes no vulnerable | Actualice el clúster de servicio de Kubernetes a una versión de Kubernetes posterior para protegerse frente a vulnerabilidades conocidas en la versión actual de Kubernetes. La vulnerabilidad CVE-2019-9946 se ha revisado en las versiones de Kubernetes 1.11.9+, 1.12.7+, 1.13.5+ y 1.14.0+ | Audit, Disabled | 1.0.2 |
| El agente de Log Analytics debe instalarse en las instancias de rol de Cloud Services (soporte extendido) | Security Center recopila datos de las instancias de rol de Cloud Services (soporte extendido) para supervisar las vulnerabilidades y amenazas de seguridad. | AuditIfNotExists, Disabled | 2.0.0 |
| Las máquinas deberían tener conclusiones de secretos resueltas | Audita las máquinas virtuales para detectar si contienen resultados de secretos de las soluciones de análisis de secretos en las máquinas virtuales. | AuditIfNotExists, Disabled | 1.0.2 |
| Los puertos de administración de las máquinas virtuales deben protegerse con el control de acceso de red Just-In-Time. | Azure Security Center supervisará el posible acceso de red Just-In-Time (JIT) como recomendaciones. | AuditIfNotExists, Disabled | 3.0.0 |
| Se deben cerrar los puertos de administración en las máquinas virtuales | Los puertos de administración remota abiertos exponen la máquina virtual a un alto nivel de riesgo de recibir ataques basados en Internet. Estos ataques intentan averiguar las credenciales por medio de fuerza bruta a fin de obtener acceso de administrador a la máquina | AuditIfNotExists, Disabled | 3.0.0 |
| Microsoft Defender CSPM debe estar habilitado | La administración de la posición de seguridad en la nube (CSPM) de Defender proporciona funcionalidades de posición mejoradas y un nuevo gráfico de seguridad en la nube inteligente para ayudar a identificar, priorizar y reducir el riesgo. Defender CSPM está disponible junto con las capacidades gratuitas de posición de seguridad de base activadas de manera predeterminada en Defender for Cloud. | AuditIfNotExists, Disabled | 1.0.0 |
| Se debe habilitar Microsoft Defender para las API | Microsoft Defender para API ofrece nuevas funciones de detección, protección, detección y cobertura de respuesta para supervisar ataques basados en API comunes y errores de configuración de seguridad. | AuditIfNotExists, Disabled | 1.0.3 |
| Microsoft Defender para Azure Cosmos DB debe estar habilitado | Microsoft Defender para Azure Cosmos DB es una capa de seguridad nativa de Azure que detecta intentos de aprovechar una vulnerabilidad de seguridad de las bases de datos de las cuentas de Azure Cosmos DB. Defender para Azure Cosmos DB detecta posibles ataques por inyección de código SQL, actores malintencionados conocidos basados en Inteligencia sobre amenazas de Microsoft, patrones de acceso sospechosos y posibles vulnerabilidades de seguridad de la base de datos mediante identidades en peligro o usuarios malintencionados. | AuditIfNotExists, Disabled | 1.0.0 |
| Microsoft Defender para contenedores debería estar habilitado | Microsoft Defender para contenedores proporciona protección, evaluación de vulnerabilidades y protecciones en tiempo de ejecución para los entornos de Kubernetes de Azure, híbridos y multinube. | AuditIfNotExists, Disabled | 1.0.0 |
| Se debe habilitar Microsoft Defender para SQL para las áreas de trabajo de Synapse | Habilite Defender para SQL para proteger las áreas de trabajo de Synapse. Defender for SQL supervisa el Synapse SQL para detectar actividades anómalas que indiquen intentos inusuales y potencialmente peligrosos de acceder a las bases de datos o de aprovechar sus vulnerabilidades. | AuditIfNotExists, Disabled | 1.0.0 |
| El estado de Microsoft Defender para SQL debe ser protegido para los servidores de SQL Server habilitados para Arc | Microsoft Defender para SQL proporciona funcionalidad para mostrar y mitigar posibles vulnerabilidades de base de datos, detectar actividades anómalas que podrían indicar amenazas para bases de datos SQL, y detectar y clasificar datos confidenciales. Una vez habilitado, el estado de protección indica que el recurso se supervisa activamente. Incluso cuando Defender está habilitado, se deben validar varias opciones de configuración en el agente, la máquina, el área de trabajo y SQL Server para garantizar la protección activa. | Audit, Disabled | 1.0.1 |
| Se debe habilitar Microsoft Defender para Storage | Microsoft Defender para Storage detecta amenazas potenciales para sus cuentas de almacenamiento. Ayuda a evitar los tres impactos principales en los datos y la carga de trabajo: cargas de archivos malintencionadas, filtración de datos confidenciales y datos dañados. El nuevo plan de Defender para Storage incluye Examen de malware y Detección de amenazas de datos confidenciales. Este plan también ofrece una estructura de precios predecible (por cuenta de almacenamiento) para controlar la cobertura y los costes. | AuditIfNotExists, Disabled | 1.0.0 |
| Supervisar la falta de Endpoint Protection en Azure Security Center | Azure Security Center supervisará los servidores sin un agente de Endpoint Protection instalado como recomendaciones. | AuditIfNotExists, Disabled | 3.0.0 |
| Las máquinas virtuales sin conexión a Internet deben protegerse con grupos de seguridad de red | Proteja las máquinas virtuales no accesibles desde Internet de posibles amenazas limitando el acceso con grupos de seguridad de red (NSG). Más información sobre cómo controlar el tráfico con los grupos de seguridad de red en https://aka.ms/nsg-doc. | AuditIfNotExists, Disabled | 3.0.0 |
| Se debe usar el control de acceso basado en rol (RBAC) en los servicios de Kubernetes | Para proporcionar un filtrado detallado de las acciones que los usuarios pueden realizar, use el control de acceso basado en rol (RBAC) para administrar los permisos en los clústeres de Kubernetes Service y configurar las directivas de autorización correspondientes. | Audit, Disabled | 1.0.4 |
| Es necesario seleccionar el plan de tarifa estándar de Security Center. | El plan de tarifa estándar le permite detectar amenazas en redes y máquinas virtuales, lo que proporciona inteligencia sobre amenazas, detección de anomalías y análisis de comportamiento en Azure Security Center. | Audit, Disabled | 1.1.0 |
| Configuración de suscripciones para realizar la transición a una solución de evaluación de vulnerabilidades alternativa | Microsoft Defender for Cloud ofrece el examen de vulnerabilidades de las máquinas sin costo adicional. La habilitación de esta directiva hará que Defender for Cloud propague automáticamente los resultados de la solución integrada de administración de vulnerabilidades Microsoft Defender a todas las máquinas compatibles. | DeployIfNotExists, Disabled | 1.0.0-preview |
| Las bases de datos SQL deben tener resueltos los hallazgos de vulnerabilidades. | Permite supervisar los resultados del examen de evaluación de puntos vulnerables y las recomendaciones para solucionar los de las bases de datos. | AuditIfNotExists, Disabled | 4.1.0 |
| El aprovisionamiento automático dirigido al servidor SQL debería estar habilitado para el plan de servidores SQL en máquinas | Para garantizar la protección de las máquinas virtuales SQL y servidores SQL habilitados para Arc, asegúrese de que el agente de supervisión de Azure orientado a SQL esté configurado para implementarse automáticamente. Esto también es necesario si ha configurado previamente el aprovisionamiento automático de Microsoft Monitoring Agent, ya que ese componente está en desuso. Más información: https://aka.ms/SQLAMAMigration | AuditIfNotExists, Disabled | 1.0.0 |
| Los servidores SQL de las máquinas deben tener resueltos los hallazgos de vulnerabilidades. | La evaluación de vulnerabilidades de SQL examina la base de datos en busca de vulnerabilidades de seguridad y expone las posibles desviaciones de los procedimientos recomendados, como errores de configuración, permisos excesivos y datos confidenciales sin protección. La corrección de las vulnerabilidades detectadas puede mejorar considerablemente la posición de seguridad de la base de datos. | AuditIfNotExists, Disabled | 1.0.0 |
| Las subredes deben estar asociadas con un grupo de seguridad de red. | Proteja la subred de posibles amenazas mediante la restricción del acceso con un grupo de seguridad de red (NSG). Estos grupos contienen las reglas de la lista de control de acceso (ACL) que permiten o deniegan el tráfico de red a la subred. | AuditIfNotExists, Disabled | 3.0.0 |
| Las suscripciones deben tener una dirección de correo electrónico de contacto para los problemas de seguridad | Para asegurarse de que las personas pertinentes de la organización reciban una notificación cuando se produzca una vulneración de seguridad potencial en una de las suscripciones, establezca un contacto de seguridad para la recepción de notificaciones por correo electrónico de Security Center. | AuditIfNotExists, Disabled | 1.0.1 |
| Se deben instalar las actualizaciones del sistema en las máquinas (con la tecnología del Centro de actualización) | A las máquinas les faltan actualizaciones del sistema, de seguridad y actualizaciones críticas. Las actualizaciones de software a menudo incluyen revisiones críticas para las vulnerabilidades de seguridad. Dichas vulnerabilidades se aprovechan con frecuencia en ataques de malware, por lo que es fundamental mantener el software actualizado. Para instalar todas las revisiones pendientes y proteger las máquinas, siga los pasos de corrección. | AuditIfNotExists, Disabled | 1.0.1 |
| Debe haber más de un propietario asignado a la suscripción | Se recomienda que designe a más de un propietario de la suscripción para tener redundancia de acceso de administrador. | AuditIfNotExists, Disabled | 3.0.0 |
| La extensión "Configuración de invitado" de las máquinas virtuales debe implementarse con una identidad administrada asignada por el sistema | La extensión Configuración de invitado requiere una identidad administrada asignada por el sistema. Si las máquinas virtuales de Azure incluidas en el ámbito de esta directiva tienen instalada la extensión "Configuración de invitado" pero no tienen una identidad administrada asignada por el sistema, no cumplirán los requisitos establecidos. Más información en https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 1.0.1 |
| Se deben corregir las vulnerabilidades en la configuración de seguridad en las máquinas | Azure Security Center supervisará los servidores que no cumplan la línea de base configurada como recomendaciones. | AuditIfNotExists, Disabled | 3.1.0 |
Security Center: precios pormenorizados
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Configuración de Azure Defender para servidores para que se deshabilite para todos los recursos (nivel de recurso) | Azure Defender para servidores proporciona protección en tiempo real contra amenazas para las cargas de trabajo del servidor y genera recomendaciones de protección, así como alertas sobre la actividad sospechosa. Esta directiva deshabilitará el plan de Defender para servidores para todos los recursos (máquinas virtuales, VMSS y máquinas ARC) en el ámbito seleccionado (suscripción o grupo de recursos). | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de Azure Defender para servidores para que se deshabilite para los recursos (nivel de recurso) con la etiqueta seleccionada | Azure Defender para servidores proporciona protección en tiempo real contra amenazas para las cargas de trabajo del servidor y genera recomendaciones de protección, así como alertas sobre la actividad sospechosa. Esta directiva deshabilitará el plan de Defender para servidores para todos los recursos (máquinas virtuales, VMSS y máquinas ARC) que tengan el nombre de etiqueta y los valores de etiqueta seleccionados. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de Azure Defender para servidores para habilitar (subplan "P1") para todos los recursos (nivel de recurso) con la etiqueta seleccionada | Azure Defender para servidores proporciona protección en tiempo real contra amenazas para las cargas de trabajo del servidor y genera recomendaciones de protección, así como alertas sobre la actividad sospechosa. Esta directiva habilitará el plan de Defender para servidores (con el subplan "P1") para todos los recursos (máquinas virtuales y máquinas ARC) que tengan el nombre de etiqueta y los valores de etiqueta seleccionados. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de Azure Defender para servidores para habilitar (con el subplan "P1") para todos los recursos (nivel de recurso) | Azure Defender para servidores proporciona protección en tiempo real contra amenazas para las cargas de trabajo del servidor y genera recomendaciones de protección, así como alertas sobre la actividad sospechosa. Esta directiva habilitará el plan de Defender para servidores (con el subplan "P1") para todos los recursos (máquinas virtuales y máquinas ARC) en el ámbito seleccionado (suscripción o grupo de recursos). | DeployIfNotExists, Disabled | 1.0.0 |
Service Bus
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Todas las reglas de autorización, excepto RootManageSharedAccessKey, se deben eliminar del espacio de nombres de Service Bus | Los clientes de Service Bus no deben usar una directiva de acceso de nivel de espacio de nombres que proporciona acceso a todas las colas y temas de un espacio de nombres. Para alinearse con el modelo de seguridad con privilegios mínimos, debe crear directivas de acceso en las entidades para que las colas y los temas proporcionen acceso solo a la entidad específica. | Audit, Deny, Disabled | 1.0.1 |
| Los espacios de nombres de Azure Service Bus deben tener los métodos de autenticación local deshabilitados | La deshabilitación de los métodos de autenticación local mejora la seguridad, ya que garantiza que los espacios de nombres de Azure Service Bus requieran exclusivamente identidades de Microsoft Entra ID para la autenticación. Más información en: https://aka.ms/disablelocalauth-sb. | Audit, Deny, Disabled | 1.0.1 |
| Los espacios de nombres de Azure Service Bus deben usar Private Link | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados a los espacios de nombres de Service Bus, se reducen los riesgos de pérdida de datos. Más información en: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service. | AuditIfNotExists, Disabled | 1.0.0 |
| Configuración de los espacios de nombres de Azure Service Bus para deshabilitar la autenticación local | Deshabilite los métodos de autenticación local para que los espacios de nombres de Azure Service Bus requieran exclusivamente identidades de Microsoft Entra ID para la autenticación. Más información en: https://aka.ms/disablelocalauth-sb. | Modificar, Deshabilitado | 1.0.1 |
| Configurar los espacios de nombres de Service Bus para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada se vincula a la red virtual para resolver los espacios de nombres de Service Bus. Más información en: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar los espacios de nombres de Service Bus con puntos de conexión privados | Los puntos de conexión privados conectan la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Mediante la asignación de puntos de conexión privados a los espacios de nombres de Service Bus, puede reducir los riesgos de pérdida de datos. Más información en: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service. | DeployIfNotExists, Disabled | 1.0.0 |
| Los registros de recursos de Service Bus deben estar habilitados | Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red. | AuditIfNotExists, Disabled | 5.0.0 |
| Los espacios de nombres de Service Bus deberían deshabilitar el acceso a la red pública | Azure Service Bus debe tener deshabilitado el acceso a la red pública. Al deshabilitar el acceso a la red pública, se mejora la seguridad ya que el recurso no se expone en la red pública de Internet. En su lugar, puede limitar la exposición de los recursos mediante la creación de puntos de conexión privados. Más información en: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service | Audit, Deny, Disabled | 1.1.0 |
| Los espacios de nombres de Service Bus deben tener habilitado el cifrado doble | La habilitación del cifrado doble ayuda a custodiar y proteger sus datos con el fin de satisfacer los compromisos de cumplimiento y seguridad de la organización. Cuando está habilitado el cifrado doble, los datos de las cuentas de almacenamiento se cifran dos veces, una vez en el nivel de servicio y otra en el nivel de infraestructura, con dos algoritmos de cifrado y dos claves diferentes. | Audit, Deny, Disabled | 1.0.0 |
| Los espacios de nombres prémium de Service Bus deben usar una clave administrada por el cliente para el cifrado | Azure Service Bus permite cifrar los datos en reposo con claves administradas por Microsoft (opción predeterminada) o claves administradas por el cliente. Si decide cifrar los datos con claves administradas por el cliente, podrá asignar, rotar, deshabilitar y revocar el acceso a las claves que Service Bus utiliza para cifrar los datos en el espacio de nombres. Tenga en cuenta que Service Bus solo admite el cifrado con claves administradas por el cliente en los espacios de nombres prémium. | Audit, Disabled | 1.0.0 |
Service Fabric
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Se debe establecer la propiedad ClusterProtectionLevel en EncryptAndSign en los clústeres de Service Fabric | Service Fabric proporciona tres niveles de protección (None, Sign y EncryptAndSign) para la comunicación de nodo a nodo mediante un certificado de clúster principal. Establezca el nivel de protección para asegurarse de que todos los mensajes de nodo a nodo se cifran y se firman digitalmente. | Audit, Deny, Disabled | 1.1.0 |
| Los clústeres de Service Fabric solo deben usar Azure Active Directory para la autenticación de cliente | Permite auditar el uso de la autenticación de clientes solo mediante Azure Active Directory en Service Fabric | Audit, Deny, Disabled | 1.1.0 |
SignalR
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Azure SignalR Service debe deshabilitar el acceso a la red pública | Para reforzar la seguridad del recurso de Azure SignalR Service, asegúrese de que no está expuesto a la red pública de Internet y que únicamente se pueda acceder a él desde un punto de conexión privado. Deshabilite la propiedad acceso a la red pública, tal y como se describe en https://aka.ms/asrs/networkacls. Esta opción deshabilita el acceso desde cualquier espacio de direcciones públicas que esté fuera del intervalo IP de Azure y deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en la IP o la red virtual. De este modo, se reducen los riesgos de pérdida de datos. | Audit, Deny, Disabled | 1.1.0 |
| Azure SignalR Service debe habilitar los registros de diagnóstico | Permite auditar la habilitación de registros de diagnóstico. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red. | AuditIfNotExists, Disabled | 1.0.0 |
| Azure SignalR Service debe tener deshabilitados los métodos de autenticación local. | La deshabilitación de los métodos de autenticación local mejora la seguridad, ya que garantiza que Azure SignalR Service requiera exclusivamente identidades de Azure Active Directory para la autenticación. | Audit, Deny, Disabled | 1.0.0 |
| Azure SignalR Service debe usar una SKU habilitada para Private Link | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. Así se protegen sus recursos frente al riesgo de pérdida de datos públicos. La directiva establece límites en las SKU habilitadas mediante Private Link para Azure SignalR Service. Obtenga más información sobre Private Link en: https://aka.ms/asrs/privatelink. | Audit, Deny, Disabled | 1.0.0 |
| Azure SignalR Service debe usar Private Link | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados a su recurso de Azure SignalR Service en lugar todo el servicio, reducirá los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/asrs/privatelink. | Audit, Disabled | 1.0.0 |
| Configuración Azure SignalR Service para deshabilitar la autenticación local | Deshabilite los métodos de autenticación local para que Azure SignalR Service exija exclusivamente identidades de Azure Active Directory para la autenticación. | Modificar, Deshabilitado | 1.0.0 |
| Configuración de puntos de conexión privados en Azure SignalR Service | Los puntos de conexión privados conectan la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a recursos de Azure SignalR Service, puede reducir los riesgos de pérdida de datos. Obtenga más información en https://aka.ms/asrs/privatelink. | DeployIfNotExists, Disabled | 1.0.0 |
| Implementación: configuración de zonas DNS privadas para conectar puntos de conexión privados a Azure SignalR Service | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada se vincula a la red virtual para resolver el recurso de Azure SignalR Service. Más información en: https://aka.ms/asrs/privatelink. | DeployIfNotExists, Disabled | 1.0.0 |
| Modificación de recursos de Azure SignalR Service para deshabilitar el acceso a la red pública | Para reforzar la seguridad del recurso de Azure SignalR Service, asegúrese de que no está expuesto a la red pública de Internet y que únicamente se pueda acceder a él desde un punto de conexión privado. Deshabilite la propiedad acceso a la red pública, tal y como se describe en https://aka.ms/asrs/networkacls. Esta opción deshabilita el acceso desde cualquier espacio de direcciones públicas que esté fuera del intervalo IP de Azure y deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en la IP o la red virtual. De este modo, se reducen los riesgos de pérdida de datos. | Modificar, Deshabilitado | 1.1.0 |
Site Recovery
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: Configurar almacenes de Azure Recovery Services para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada se vincula a la red virtual para resolver los almacenes de Recovery Services. Más información en: https://aka.ms/privatednszone. | DeployIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: Configurar puntos de conexión privados en los almacenes de Azure Recovery Services | Los puntos de conexión privados conectan la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a los recursos de recuperación del sitio de los almacenes de Recovery Services, puede reducir los riesgos de pérdida de datos. Para usar vínculos privados, la identidad de servicio administrada debe asignarse a los almacenes de Recovery Services. Más información sobre los vínculos privados en https://docs.microsoft.com/azure/site-recovery/azure-to-azure-how-to-enable-replication-private-endpoints. | DeployIfNotExists, Disabled | 1.0.0-preview |
| [Versión preliminar]: Los almacenes de Recovery Services deben usar un vínculo privado | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a Azure Recovery Services almacenes, se reduce el riesgo de pérdida de datos. Obtenga más información sobre los vínculos privados para Azure Site Recovery en https://aka.ms/HybridScenarios-PrivateLink y https://aka.ms/AzureToAzure-PrivateLink. | Audit, Disabled | 1.0.0-preview |
SQL
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: El servidor flexible de Azure PostgreSQL debe tener habilitada la autenticación solo de Microsoft Entra | Deshabilitar los métodos de autenticación local y permitir solo la autenticación de Microsoft Entra mejora la seguridad asegurándose de que las identidades de Microsoft Entra puedan acceder exclusivamente al servidor flexible de Azure PostgreSQL. | Audit, Disabled | 1.0.0-preview |
| Se debe proporcionar un administrador de Microsoft Entra para servidores MySQL | Permite aprovisionar un administrador de Microsoft Entra para el servidor de MySQL a fin de habilitar la autenticación de Microsoft Entra. La autenticación de Microsoft Entra permite la administración simplificada de permisos y la administración centralizada de identidades de usuarios de base de datos y otros servicios de Microsoft | AuditIfNotExists, Disabled | 1.1.1 |
| Se debe proporcionar un administrador de Microsoft Entra para servidores de PostgreSQL | Permite aprovisionar un administrador de Microsoft Entra para el servidor de PostgreSQL a fin de habilitar la autenticación de Microsoft Entra. La autenticación de Microsoft Entra permite la administración simplificada de permisos y la administración centralizada de identidades de usuarios de base de datos y otros servicios de Microsoft | AuditIfNotExists, Disabled | 1.0.1 |
| El administrador de Azure Active Directory debe aprovisionarse para servidores SQL Server | Permite aprovisionar un administrador de Azure Active Directory para SQL Server a fin de habilitar la autenticación de Azure AD. La autenticación de Azure AD permite la administración simplificada de permisos y la administración centralizada de identidades de usuarios de base de datos y otros servicios de Microsoft | AuditIfNotExists, Disabled | 1.0.0 |
| La auditoría de SQL Server debe estar habilitada | La auditoría debe estar habilitada en SQL Server para realizar un seguimiento de las actividades de todas las bases de datos del servidor y guardarlas en un registro de auditoría. | AuditIfNotExists, Disabled | 2.0.0 |
| Se debe habilitar Azure Defender para SQL en las instancias de Azure SQL Server desprotegidas | Auditoría de los servidores de SQL sin Advanced Data Security | AuditIfNotExists, Disabled | 2.0.1 |
| Azure Defender para SQL debe habilitarse en las instancias de SQL Managed Instances desprotegidas. | Permite auditr cada servicio SQL Managed Instance sin Advanced Data Security. | AuditIfNotExists, Disabled | 1.0.2 |
| El servidor flexible Azure MySQL debe tener habilitada la autenticación solo de Microsoft Entra | Deshabilitar los métodos de autenticación local y permitir solo la autenticación de Microsoft Entra mejora la seguridad asegurándose de que las identidades de Microsoft Entra puedan acceder exclusivamente al servidor flexible de Azure MySQL. | AuditIfNotExists, Disabled | 1.0.1 |
| Azure SQL Database should be running TLS version 1.2 or newer | Si la versión de TLS se establece en 1.2 o una versión posterior, la seguridad mejora al garantizar que solo se tenga acceso a Azure SQL Database desde clientes que utilicen TLS 1.2 o una versión posterior. El uso de versiones de TLS anteriores a la versión 1.2 no se recomienda, ya que presentan vulnerabilidades de seguridad bien documentadas. | Audit, Disabled, Deny | 2.0.0 |
| Azure SQL Database debe tener habilitada solo la autenticación de Microsoft Entra | Requerir que los servidores lógicos de Azure SQL usen solo autenticación de Microsoft Entra. Esta directiva no impide que los servidores se creen con la autenticación local habilitada. Impide que la autenticación local se habilite en los recursos después de crearla. Considere la posibilidad de usar la iniciativa "Autenticación solo de Microsoft Entra" en su lugar para requerir ambos. Más información en: https://aka.ms/adonlycreate. | Audit, Deny, Disabled | 1.0.0 |
| Azure SQL Database debe tener habilitada la autenticación solo de Microsoft Entra durante la creación | Requerir que los servidores lógicos de Azure SQL se creen con la autenticación solo de Microsoft Entra. Esta directiva no impide que la autenticación local se vuelva a habilitar en los recursos después de su creación. Considere la posibilidad de usar la iniciativa "Autenticación solo de Microsoft Entra" en su lugar para requerir ambos. Más información en: https://aka.ms/adonlycreate. | Audit, Deny, Disabled | 1.2.0 |
| Azure SQL Managed Instance debe tener habilitada solo la autenticación de Microsoft Entra | Requerir que Azure SQL Managed Instance use la autenticación solo de Microsoft Entra. Esta directiva no impide que las instancias administradas de Azure SQL se creen con la autenticación local habilitada. Impide que la autenticación local se habilite en los recursos después de crearla. Considere la posibilidad de usar la iniciativa "Autenticación solo de Microsoft Entra" en su lugar para requerir ambos. Más información en: https://aka.ms/adonlycreate. | Audit, Deny, Disabled | 1.0.0 |
| Azure SQL Managed Instances debería deshabilitar el acceso a la red pública | Deshabilitar el acceso a la red pública (punto de conexión público) en Azure SQL Managed Instance mejora la seguridad al garantizar que solo se pueda acceder desde dentro de las redes virtuales o a través de puntos de conexión privados. Para más información sobre el acceso a la red pública, visite https://aka.ms/mi-public-endpoint. | Audit, Deny, Disabled | 1.0.0 |
| Las instancias administradas de Azure SQL deben tener habilitada la autenticación solo de Microsoft Entra durante la creación | Requerir que Azure SQL Managed Instance se cree con la autenticación solo de Microsoft Entra. Esta directiva no impide que la autenticación local se vuelva a habilitar en los recursos después de su creación. Considere la posibilidad de usar la iniciativa "Autenticación solo de Microsoft Entra" en su lugar para requerir ambos. Más información en: https://aka.ms/adonlycreate. | Audit, Deny, Disabled | 1.2.0 |
| Configurar la Protección contra amenazas avanzada para habilitarla en los servidores de Azure Database for MariaDB | Habilite la Protección contra amenazas avanzada en los servidores de Azure Database for MariaDB de nivel no básico para detectar actividades anómalas que indiquen intentos inusuales o potencialmente dañinos de obtener acceso a bases de datos o de aprovechar sus vulnerabilidades. | DeployIfNotExists, Disabled | 1.2.0 |
| Configure la Protección contra amenazas avanzada para habilitarla en los servidores de Azure Database for MySQL | Habilite la Protección contra amenazas avanzada en los servidores de Azure Database for MySQL de nivel no básico para detectar actividades anómalas que indiquen intentos inusuales o potencialmente dañinos de obtener acceso a bases de datos o de aprovechar sus vulnerabilidades. | DeployIfNotExists, Disabled | 1.2.0 |
| Configure la Protección contra amenazas avanzada para habilitarla en los servidores de Azure Database for PostgreSQL | Habilite la Protección contra amenazas avanzada en los servidores de Azure Database for PostgreSQL de nivel no básico para detectar actividades anómalas que indiquen intentos inusuales o potencialmente dañinos de obtener acceso a bases de datos o de aprovechar sus vulnerabilidades. | DeployIfNotExists, Disabled | 1.2.0 |
| Configuración de Azure Defender para que se habilite en instancias de SQL Managed Instance | Habilite Azure Defender en las instancias de Azure SQL Managed Instance para detectar actividades anómalas que indiquen intentos inusuales y potencialmente peligrosos de acceder a las bases de datos o de aprovechar sus vulnerabilidades. | DeployIfNotExists, Disabled | 2.0.0 |
| Configuración de Azure Defender para que se habilite en servidores SQL Server | Habilite Azure Defender en los servidores de Azure SQL para detectar actividades anómalas que indiquen intentos inusuales y potencialmente peligrosos de acceder a las bases de datos o de aprovechar sus vulnerabilidades. | DeployIfNotExists | 2.1.0 |
| Configurar los servidores de Azure SQL Database para el espacio de trabajo de Log Analytics | Permite habilitar los registros de auditoría del servidor de Azure SQL Database y transmitir registros de diagnóstico a un área de trabajo de Log Analytics cuando se cree o actualice cualquier instancia de SQL Server en la que falte esta auditoría. | DeployIfNotExists, Disabled | 1.0.2 |
| Configurar Azure SQL Server para deshabilitar el acceso a la red pública | Al deshabilitar la propiedad de acceso a la red pública se cierra la conectividad pública, de modo que solo se puede tener acceso a Azure SQL Server desde un punto de conexión privado. Esta configuración deshabilita el acceso a la red pública para todas las bases de datos de Azure SQL Server. | Modificar, Deshabilitado | 1.0.0 |
| Configurar Azure SQL Server para habilitar conexiones de punto de conexión privado | Una conexión de punto de conexión privado habilita la conectividad privada con Azure SQL Database a través de una dirección IP privada dentro de una red virtual. Esta configuración mejora su posición de seguridad y admite las herramientas y los escenarios de redes de Azure. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar instancias de SQL Server para habilitar la auditoría | Para asegurarse de que se capturan las operaciones realizadas en los recursos de SQL, las instancias de SQL Server deben tener habilitada la auditoría. A veces, es necesario para cumplir con los estándares normativos. | DeployIfNotExists, Disabled | 3.0.0 |
| Configuración de los servidores de SQL Server para que tengan habilitada la auditoría en el área de trabajo de Log Analytics | Para asegurarse de que se capturan las operaciones realizadas en los recursos de SQL, las instancias de SQL Server deben tener habilitada la auditoría. Si la auditoría no está habilitada, esta directiva configurará los eventos de auditoría para que fluyan al área de trabajo especificada de Log Analytics. | DeployIfNotExists, Disabled | 1.0.0 |
| La limitación de conexiones debe estar habilitada para los servidores de bases de datos PostgreSQL | Esta directiva permite realizar una auditoría de las bases de datos de PostgreSQL del entorno sin la limitación de conexiones habilitada. Esta configuración habilita la limitación de conexiones temporales por IP si hay demasiados errores de inicio de sesión con una contraseña no válida. | AuditIfNotExists, Disabled | 1.0.0 |
| Implementación: configuración de diagnóstico para instancias de SQL Database en el área de trabajo de Log Analytics | Implementa la configuración de diagnóstico para que las instancias de SQL Database transmitan los registros de recursos a un área de trabajo de Log Analytics cuando se cree o actualice cualquier instancia de SQL Database en la que falte esta configuración de diagnóstico. | DeployIfNotExists, Disabled | 4.0.0 |
| Implementar Advanced Data Security en los servidores de SQL Server | Esta directiva habilita Advanced Data Security en los servidores de SQL Server. Esta opción también habilita la detección de amenazas y la evaluación de vulnerabilidades. Asimismo, creará automáticamente una cuenta de almacenamiento en la misma región y grupo de recursos que el servidor de SQL Server, para así almacenar los resultados del análisis con un prefijo "sqlva". | DeployIfNotExists | 1.3.0 |
| Implementar la configuración de diagnóstico para Azure SQL Database en el Centro de eventos | Implementa la configuración de diagnóstico para que Azure SQL Database se transmita a un Centro de eventos regional cuando se cree o actualice cualquier instancia de Azure SQL Database a la que falte esta configuración de diagnóstico. | DeployIfNotExists | 1.2.0 |
| Implementar el cifrado de datos transparente de SQL Database | Habilita el cifrado de datos transparente en bases de datos SQL. | DeployIfNotExists, Disabled | 2.2.0 |
| Las desconexiones se deben registrar para los servidores de base de datos de PostgreSQL. | Esta directiva ayuda a realizar una auditoría de las bases de datos de PostgreSQL del entorno sin habilitar la opción log_disconnections. | AuditIfNotExists, Disabled | 1.0.0 |
| Exigir una conexión SSL debe estar habilitado en los servidores de bases de datos MySQL | Azure Database for MySQL permite conectar el servidor de Azure Database for MySQL con aplicaciones cliente mediante Capa de sockets seguros (SSL). La aplicación de conexiones SSL entre el servidor de bases de datos y las aplicaciones cliente facilita la protección frente a ataques de tipo "Man in the middle" al cifrar el flujo de datos entre el servidor y la aplicación. Esta configuración exige que SSL esté siempre habilitado para el acceso al servidor de bases de datos. | Audit, Disabled | 1.0.1 |
| La aplicación de la conexión SSL debe estar habilitada para los servidores de base de datos PostgreSQL | Azure Database for PostgreSQL permite conectar el servidor de Azure Database for PostgreSQL a las aplicaciones cliente mediante la Capa de sockets seguros (SSL). La aplicación de conexiones SSL entre el servidor de bases de datos y las aplicaciones cliente facilita la protección frente a ataques de tipo "Man in the middle" al cifrar el flujo de datos entre el servidor y la aplicación. Esta configuración exige que SSL esté siempre habilitado para el acceso al servidor de bases de datos. | Audit, Disabled | 1.0.1 |
| La copia de seguridad con redundancia geográfica debe estar habilitada para Azure Database for MariaDB | Azure Database for MariaDB le permite elegir la opción de redundancia para el servidor de bases de datos. Se puede establecer en un almacenamiento de copia de seguridad con redundancia geográfica donde los datos no solo se almacenan dentro de la región en la que se hospeda el servidor, sino que también se replican en una región emparejada para proporcionar la opción de recuperación en caso de que se produzca un error en la región. La configuración de almacenamiento con redundancia geográfica para copia de seguridad solo se permite durante la creación del servidor. | Audit, Disabled | 1.0.1 |
| La copia de seguridad con redundancia geográfica debe estar habilitada para Azure Database for MySQL | Azure Database for MySQL le permite elegir la opción de redundancia para el servidor de bases de datos. Se puede establecer en un almacenamiento de copia de seguridad con redundancia geográfica donde los datos no solo se almacenan dentro de la región en la que se hospeda el servidor, sino que también se replican en una región emparejada para proporcionar la opción de recuperación en caso de que se produzca un error en la región. La configuración de almacenamiento con redundancia geográfica para copia de seguridad solo se permite durante la creación del servidor. | Audit, Disabled | 1.0.1 |
| La copia de seguridad con redundancia geográfica debe estar habilitada para Azure Database for PostgreSQL | Azure Database for PostgreSQL le permite elegir la opción de redundancia para el servidor de bases de datos. Se puede establecer en un almacenamiento de copia de seguridad con redundancia geográfica donde los datos no solo se almacenan dentro de la región en la que se hospeda el servidor, sino que también se replican en una región emparejada para proporcionar la opción de recuperación en caso de que se produzca un error en la región. La configuración de almacenamiento con redundancia geográfica para copia de seguridad solo se permite durante la creación del servidor. | Audit, Disabled | 1.0.1 |
| El cifrado de infraestructura debe estar habilitado para los servidores de Azure Database for MySQL | Habilite el cifrado de infraestructura para que los servidores de Azure Database for MySQL tengan mayor garantía de que los datos están seguros. Cuando se habilita el cifrado de infraestructura, los datos en reposo se cifran dos veces con las claves administradas de Microsoft compatibles con FIPS 140-2. | Audit, Deny, Disabled | 1.0.0 |
| El cifrado de infraestructura debe estar habilitado para los servidores de Azure Database for PostgreSQL | Habilite el cifrado de infraestructura para que los servidores de Azure Database for PostgreSQL tengan mayor garantía de que los datos están seguros. Cuando se habilita el cifrado de infraestructura, los datos en reposo se cifran dos veces con las claves administradas por Microsoft compatibles con FIPS 140-2. | Audit, Deny, Disabled | 1.0.0 |
| Los puntos de control del registro se deben habilitar para los servidores de base de datos de PostgreSQL | Esta directiva ayuda a realizar una auditoría de las bases de datos de PostgreSQL del entorno sin habilitar la opción log_checkpoints. | AuditIfNotExists, Disabled | 1.0.0 |
| Las conexiones del registro deben estar habilitadas para los servidores de bases de datos de PostgreSQL | Esta directiva ayuda a realizar una auditoría de las bases de datos de PostgreSQL del entorno sin habilitar la opción log_connections. | AuditIfNotExists, Disabled | 1.0.0 |
| La duración del registro debe estar habilitada para los servidores de bases de datos de PostgreSQL | Esta directiva ayuda a realizar una auditoría de las bases de datos de PostgreSQL del entorno sin habilitar la opción log_duration. | AuditIfNotExists, Disabled | 1.0.0 |
| La copia de seguridad con redundancia geográfica a largo plazo debe estar habilitada para las instancias de Azure SQL Database | Esta directiva audita cualquier instancia de Azure SQL Database que no tenga la copia de seguridad con redundancia geográfica habilitada. | AuditIfNotExists, Disabled | 2.0.0 |
| El servidor MariaDB debe usar un punto de conexión del servicio de red virtual | Las reglas de firewall basadas en redes virtuales se usan para habilitar el tráfico de una subred específica en Azure Database for MariaDB y, al mismo tiempo, garantizar que el tráfico permanece dentro del límite de Azure. Esta directiva proporciona una manera de auditar si Azure Database for MariaDB tiene un punto de conexión de servicio de red virtual que se está usando. | AuditIfNotExists, Disabled | 1.0.2 |
| El servidor MySQL debe usar un punto de conexión de servicio de red virtual | Las reglas de firewall basadas en redes virtuales se usan para habilitar el tráfico de una subred específica en Azure Database for MySQL y, al mismo tiempo, garantizar que el tráfico permanece dentro del límite de Azure. Esta directiva proporciona una manera de auditar si Azure Database for MySQL tiene un punto de conexión de servicio de red virtual que se está usando. | AuditIfNotExists, Disabled | 1.0.2 |
| Los servidores MySQL deben usar claves administradas por el cliente para cifrar los datos en reposo. | Use claves administradas por el cliente para administrar el cifrado en reposo de los servidores MySQL. De manera predeterminada, los datos se cifran en reposo con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. | AuditIfNotExists, Disabled | 1.0.4 |
| El servidor PostgreSQL debe usar un punto de conexión de servicio de red virtual | Las reglas de firewall basadas en redes virtuales se usan para habilitar el tráfico de una subred específica en Azure Database for PostgreSQL y, al mismo tiempo, garantizar que el tráfico permanece dentro del límite de Azure. Esta directiva proporciona una manera de auditar si Azure Database for PostgreSQL tiene un punto de conexión de servicio de red virtual que se está usando. | AuditIfNotExists, Disabled | 1.0.2 |
| Los servidores PostgreSQL deben usar claves administradas por el cliente para cifrar los datos en reposo. | Use claves administradas por el cliente para administrar el cifrado en reposo de los servidores PostgreSQL. De manera predeterminada, los datos se cifran en reposo con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. | AuditIfNotExists, Disabled | 1.0.4 |
| Las conexiones de punto de conexión privado en Azure SQL Database deben estar habilitadas | Las conexiones de punto de conexión privado garantizan una comunicación segura al habilitar la conectividad privada con Azure SQL Database. | Audit, Disabled | 1.1.0 |
| El punto de conexión privado debe estar habilitado para servidores MariaDB | Las conexiones de punto de conexión privado garantizan una comunicación segura al permitir la conectividad privada con Azure Database for MariaDB. Configure una conexión de punto de conexión privado para permitir el acceso al tráfico que solo proviene de redes conocidas y evitar el acceso desde todas las demás direcciones IP, incluido desde Azure. | AuditIfNotExists, Disabled | 1.0.2 |
| El punto de conexión privado debe estar habilitado para servidores MySQL | Las conexiones de punto de conexión privado garantizan una comunicación segura al permitir la conectividad privada a Azure Database for MySQL. Configure una conexión de punto de conexión privado para permitir el acceso al tráfico que solo proviene de redes conocidas y evitar el acceso desde todas las demás direcciones IP, incluido desde Azure. | AuditIfNotExists, Disabled | 1.0.2 |
| El punto de conexión privado debe estar habilitado para servidores PostgreSQL | Las conexiones de punto de conexión privado garantizan una comunicación segura al permitir la conectividad privada con Azure Database for PostgreSQL. Configure una conexión de punto de conexión privado para permitir el acceso al tráfico que solo proviene de redes conocidas y evitar el acceso desde todas las demás direcciones IP, incluido desde Azure. | AuditIfNotExists, Disabled | 1.0.2 |
| Debe deshabilitarse el acceso a redes públicas en Azure SQL Database | Al deshabilitar la propiedad de acceso a la red pública, se mejora la seguridad al garantizar que solo se pueda acceder a la instancia de Azure SQL Database desde un punto de conexión privado. Esta configuración deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en IP o redes virtuales. | Audit, Deny, Disabled | 1.1.0 |
| El acceso a redes públicas debe estar deshabilitado para los servidores MariaDB | Deshabilite la propiedad de acceso a la red pública para mejorar la seguridad y garantizar que solo se pueda acceder a la instancia de Azure Database for MariaDB desde un punto de conexión privado. Esta configuración deshabilita estrictamente el acceso desde cualquier espacio de direcciones público que esté fuera del intervalo de direcciones IP de Azure y deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en IP o en red virtual. | Audit, Deny, Disabled | 2.0.0 |
| El acceso a las redes públicas debe estar deshabilitado para los servidores flexibles de MySQL | Al deshabilitar la propiedad de acceso a la red pública, se mejora la seguridad al garantizar que solo se pueda acceder a los servidores flexibles de Azure Database for MySQL desde un punto de conexión privado. Esta configuración deshabilita estrictamente el acceso desde cualquier espacio de direcciones público que esté fuera del intervalo de direcciones IP de Azure y deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en la IP o en la red virtual. | Audit, Deny, Disabled | 2.1.0 |
| El acceso a las redes públicas debe estar deshabilitado para los servidores MySQL | Deshabilite la propiedad de acceso a la red pública para mejorar la seguridad y garantizar que solo se pueda acceder a la instancia de Azure Database for MySQL desde un punto de conexión privado. Esta configuración deshabilita estrictamente el acceso desde cualquier espacio de direcciones público que esté fuera del intervalo de direcciones IP de Azure y deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en IP o en red virtual. | Audit, Deny, Disabled | 2.0.0 |
| El acceso a redes públicas debe estar deshabilitado para los servidores flexibles de PostgreSQL | Al deshabilitar la propiedad de acceso a la red pública, se mejora la seguridad al garantizar que solo se pueda acceder a los servidores flexibles de Azure Database for PostgreSQL desde un punto de conexión privado. Esta configuración deshabilita estrictamente el acceso desde cualquier espacio de direcciones público que esté fuera del intervalo de direcciones IP de Azure y deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en la IP. | Audit, Deny, Disabled | 3.1.0 |
| El acceso a redes públicas debe estar deshabilitado para los servidores PostgreSQL | Deshabilite la propiedad de acceso a la red pública para mejorar la seguridad y garantizar que solo se pueda acceder a la instancia de Azure Database for PostgreSQL desde un punto de conexión privado. Esta configuración deshabilita el acceso desde cualquier espacio de direcciones público que esté fuera del intervalo de direcciones IP de Azure y deniega todos los inicios de sesión que coinciden con las reglas de firewall basadas en la IP o en la red virtual. | Audit, Deny, Disabled | 2.0.1 |
| La configuración de auditoría de SQL debe tener grupos de acción configurados para capturar actividades críticas | La propiedad AuditActionsAndGroups debe contener al menos SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP, BATCH_COMPLETED_GROUP para garantizar un registro de auditoría exhaustivo. | AuditIfNotExists, Disabled | 1.0.0 |
| SQL Database debe evitar el uso de la redundancia de copia de seguridad con almacenamiento con redundancia geográfica | Las bases de datos deben evitar el uso del almacenamiento con redundancia geográfica para las copias de seguridad si las reglas de residencia de datos requieren que estos permanezcan en una región específica. Nota: Azure Policy no se aplica al crear una base de datos mediante T-SQL. A menos que se especifique explícitamente, las bases de datos con almacenamiento de copia de seguridad con redundancia geográfica se crean mediante T-SQL. | Deny, Disabled | 2.0.0 |
| SQL Managed Instance debe tener la versión mínima de TLS 1.2 | Si la versión mínima de TLS se establece en 1.2, la seguridad mejora al garantizar que solo se tenga acceso a SQL Managed Instance desde clientes que utilicen TLS 1.2. El uso de versiones de TLS anteriores a la versión 1.2 no se recomienda, ya que presentan vulnerabilidades de seguridad bien documentadas. | Audit, Disabled | 1.0.1 |
| Las instancias administradas de SQL deben evitar el uso de redundancia de copia de seguridad con almacenamiento con redundancia geográfica | Las instancias administradas deben evitar el uso del almacenamiento con redundancia geográfica predeterminado para las copias de seguridad si las reglas de residencia de datos requieren que estos permanezcan en una región específica. Nota: Azure Policy no se aplica al crear una base de datos mediante T-SQL. A menos que se especifique explícitamente, las bases de datos con almacenamiento de copia de seguridad con redundancia geográfica se crean mediante T-SQL. | Deny, Disabled | 2.0.0 |
| Las instancias administradas de SQL deben usar claves administradas por el cliente para cifrar los datos en reposo | La implementación de Cifrado de datos transparente (TDE) con una clave propia proporciona una mayor transparencia y control sobre el protector de TDE, ofrece mayor seguridad con un servicio externo respaldado con HSM y permite la separación de tareas. Esta recomendación se aplica a las organizaciones con un requisito de cumplimiento relacionado. | Audit, Deny, Disabled | 2.0.0 |
| Los servidores SQL deben usar claves administradas por el cliente para cifrar los datos en reposo | La implementación de Cifrado de datos transparente (TDE) con una clave propia proporciona una mayor transparencia y control sobre el protector de TDE, ofrece mayor seguridad con un servicio externo respaldado con HSM y permite la separación de tareas. Esta recomendación se aplica a las organizaciones con un requisito de cumplimiento relacionado. | Audit, Deny, Disabled | 2.0.1 |
| Los servidores SQL Server con auditoría en el destino de la cuenta de almacenamiento se deben configurar con una retención de 90 días o superior. | Con fines de investigación de incidentes, se recomienda establecer la retención de datos de auditoría de las instancias de SQL Server en el destino de la cuenta de almacenamiento en al menos 90 días. Confirme que cumple las reglas de retención necesarias para las regiones en las que trabaja. A veces, es necesario para cumplir con los estándares normativos. | AuditIfNotExists, Disabled | 3.0.0 |
| El cifrado de datos transparente en bases de datos SQL debe estar habilitado | El cifrado de datos transparente debe estar habilitado para proteger los datos en reposo y satisfacer los requisitos de cumplimiento. | AuditIfNotExists, Disabled | 2.0.0 |
| La regla de firewall de redes virtuales de Azure SQL Database debe estar habilitada para permitir el tráfico de la subred especificada | Las reglas de firewall basadas en redes virtuales se usan para habilitar el tráfico de una subred específica a Azure SQL Database y, al mismo tiempo, garantizar que el tráfico permanece dentro del límite de Azure. | AuditIfNotExists | 1.0.0 |
| La evaluación de vulnerabilidades debe estar habilitada en Instancia administrada de SQL | Audita cada servicio SQL Managed Instance que no tiene habilitado los exámenes de evaluación de vulnerabilidades periódicos. La evaluación de vulnerabilidades permite detectar las vulnerabilidades potenciales de la base de datos, así como hacer un seguimiento y ayudar a corregirlas. | AuditIfNotExists, Disabled | 1.0.1 |
| La evaluación de vulnerabilidades debe estar activada en sus servidores de SQL Server | Auditoría de los servidores Azure SQL que no tienen configurada correctamente la evaluación de vulnerabilidades. La evaluación de vulnerabilidades permite detectar las vulnerabilidades potenciales de la base de datos, así como hacer un seguimiento y ayudar a corregirlas. | AuditIfNotExists, Disabled | 3.0.0 |
Instancia administrada de SQL
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| El cifrado de claves administradas por el cliente debe usarse como parte del cifrado de CMK para instancias administradas de SQL de Arc. | Como parte del cifrado de CMK, se debe usar el cifrado de clave administrada por el cliente. Obtenga más información en https://aka.ms/EnableTDEArcSQLMI. | Audit, Disabled | 1.0.0 |
| El protocolo TLS 1.2 se debe usar para las instancias administradas de SQL de Arc. | Como parte de la configuración de red, Microsoft recomienda permitir solo TLS 1.2 para protocolos TLS en servidores de SQL Server. Obtenga más información sobre la configuración de red para SQL Server en https://aka.ms/TlsSettingsSQLServer. | Audit, Disabled | 1.0.0 |
| El cifrado de datos transparente debe estar habilitado para las instancias administradas de SQL de Arc. | Habilite el cifrado de datos transparente (TDE) en reposo en una instancia administrada de SQL habilitada por Azure Arc. Obtenga más información en https://aka.ms/EnableTDEArcSQLMI. | Audit, Disabled | 1.0.0 |
SQL Server
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: habilitación de la identidad asignada por el sistema a una máquina virtual SQL | Habilite la identidad asignada por el sistema a gran escala en las máquinas virtuales SQL. Debe asignar esta directiva en el nivel de suscripción. La asignación en el nivel de grupo de recursos no funcionará según lo previsto. | DeployIfNotExists, Disabled | 1.0.0-preview |
| Configurar servidores habilitados para Arc con la extensión de SQL Server instalada para habilitar o deshabilitar la valoración de procedimientos recomendados de SQL. | Habilite o deshabilite la evaluación de procedimientos recomendados de SQL en las instancias de SQL Server en los servidores habilitados para Arc para evaluar los procedimientos recomendados. Obtenga más información en https://aka.ms/azureArcBestPracticesAssessment. | DeployIfNotExists, Disabled | 1.0.1 |
| Suscripción de instancias aptas de SQL Server habilitadas para Arc a actualizaciones de seguridad extendidas. | Suscriba instancias aptas de SQL Server habilitadas para Arc con el tipo de licencia establecido en Pagado o PAYG a actualizaciones de seguridad extendidas. Más información sobre las actualizaciones de seguridad extendidas https://go.microsoft.com/fwlink/?linkid=2239401. | DeployIfNotExists, Disabled | 1.0.0 |
Stack HCI
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: Los servidores de Azure Stack HCI deben tener directivas de control de aplicaciones aplicadas de forma coherente. | Como mínimo, aplique la directiva base WDAC de Microsoft en modo aplicado en todos los servidores de Azure Stack HCI. Las directivas de Control de aplicaciones de Windows Defender (WDAC) aplicadas deben ser coherentes entre los servidores del mismo clúster. | Audit, Disabled, AuditIfNotExists | 1.0.0-preview |
| [Versión preliminar]: Los servidores de Azure Stack HCI deben cumplir los requisitos de núcleos protegidos. | Asegúrese de que todos los servidores de Azure Stack HCI cumplan los requisitos de núcleo protegido. Para habilitar los requisitos del servidor de núcleo protegido: 1. En la página Clústeres de Azure Stack HCI, vaya a Windows Admin Center y seleccione Conectar. 2. Vaya a la extensión Seguridad y seleccione Núcleo protegido. 3. Seleccione cualquier configuración que no esté habilitada y haga clic en Habilitar. | Audit, Disabled, AuditIfNotExists | 1.0.0-preview |
| [Versión preliminar]: Los sistemas de Azure Stack HCI deben tener volúmenes cifrados | Use BitLocker para cifrar el sistema operativo y los volúmenes de datos en sistemas de Azure Stack HCI. | Audit, Disabled, AuditIfNotExists | 1.0.0-preview |
| [Versión preliminar]; Las redes de VM y host deben protegerse en los sistemas de Azure Stack HCI | Proteja los datos en la red del host de Azure Stack HCI y en las conexiones de red de máquina virtual. | Audit, Disabled, AuditIfNotExists | 1.0.0-preview |
Storage
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| [Versión preliminar]: No se debe permitir el acceso público a la cuenta de almacenamiento | El acceso de lectura público anónimo a contenedores y blobs de Azure Storage es una manera cómoda de compartir datos, pero también puede plantear riesgos para la seguridad. Para evitar las infracciones de datos producidas por el acceso anónimo no deseado, Microsoft recomienda impedir el acceso público a una cuenta de almacenamiento a menos que su escenario lo requiera. | audit, Audit, deny, Deny, disabled, Disabled | 3.1.0: versión preliminar |
| Azure File Sync debe usar Private Link | Si crea un punto de conexión privado para el recurso del servicio de sincronización de almacenamiento indicado, podrá dirigirse al recurso del servicio de sincronización de almacenamiento desde el espacio de direcciones IP privadas de la red de la organización, en lugar de hacerlo a través del punto de conexión público accesible desde Internet. La creación de un punto de conexión privado por sí mismo no deshabilita el punto de conexión público. | AuditIfNotExists, Disabled | 1.0.0 |
| Los volúmenes SMB de Azure NetApp Files deben usar cifrado SMB3 | No permitir la creación de volúmenes SMB sin cifrado SMB3 para garantizar la integridad y la privacidad de los datos. | Audit, Deny, Disabled | 1.0.0 |
| Los volúmenes de Azure NetApp Files de tipo NFSv4.1 deben usar el cifrado de datos Kerberos | Permitir solo el uso del modo de seguridad de privacidad Kerberos (5p) para garantizar el cifrado de los datos. | Audit, Deny, Disabled | 1.0.0 |
| Volúmenes de Azure NetApp Files de tipo NFSv4.1 deben usar la integridad de los datos Kerberos o la privacidad de los datos | Asegúrese de que se selecciona al menos la integridad Kerberos (krb5i) o la privacidad Kerberos (krb5p) para garantizar la integridad y la privacidad de los datos. | Audit, Deny, Disabled | 1.0.0 |
| Los volúmenes de Azure NetApp Files no debe usar el tipo de protocolo NFSv3 | No permitir el uso del tipo de protocolo NFSv3 para evitar el acceso no seguro a los volúmenes. Se debe usar NFSv4.1 con el protocolo Kerberos para acceder a volúmenes NFS con el fin de garantizar la integridad y el cifrado de los datos. | Audit, Deny, Disabled | 1.0.0 |
| Configuración de un identificador de zona DNS privada para blob groupID | Configure el grupo de zonas DNS privadas para invalidar la resolución de DNS para un punto de conexión privado blob groupID. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de un identificador de zona DNS privada para blob_secondary groupID | Configure el grupo de zonas DNS privadas para invalidar la resolución de DNS para un punto de conexión privado blob_secondary groupID. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de un identificador de zona DNS privada para dfs groupID | Configure el grupo de zonas DNS privadas para invalidar la resolución de DNS para un punto de conexión privado dfs groupID. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de un identificador de zona DNS privada para dfs_secondary groupID | Configure el grupo de zonas DNS privadas para invalidar la resolución de DNS para un punto de conexión privado dfs_secondary groupID. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de un identificador de zona DNS privada para file groupID | Configure el grupo de zonas DNS privadas para invalidar la resolución de DNS para un punto de conexión privado file groupID. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de un identificador de zona DNS privada para queue groupID | Configure el grupo de zonas DNS privadas para invalidar la resolución de DNS para un punto de conexión privado queue groupID. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de un identificador de zona DNS privada para queue_secondary groupID | Configure el grupo de zonas DNS privadas para invalidar la resolución de DNS para un punto de conexión privado queue_secondary groupID. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de un identificador de zona DNS privada para table groupID | Configure el grupo de zonas DNS privadas para invalidar la resolución de DNS para un punto de conexión privado table groupID. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de un identificador de zona DNS privada para table_secondary groupID | Configure el grupo de zonas DNS privadas para invalidar la resolución de DNS para un punto de conexión privado table_secondary groupID. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de un identificador de zona DNS privada para web groupID | Configure el grupo de zonas DNS privadas para invalidar la resolución de DNS para un punto de conexión privado web groupID. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de un identificador de zona DNS privada para web_secondary groupID | Configure el grupo de zonas DNS privadas para invalidar la resolución de DNS para un punto de conexión privado web_secondary groupID. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar Azure File Sync para usar zonas DNS privadas | Para tener acceso a los puntos de conexión privados de las interfaces de recursos del servicio de sincronización de almacenamiento desde un servidor registrado, debe configurar DNS para resolver los nombres correctos en las direcciones IP privadas del punto de conexión privado. Esta directiva crea la zona de DNS privado de Azure y los registros A necesarios para las interfaces de los puntos de conexión privados del servicio de sincronización de almacenamiento. | DeployIfNotExists, Disabled | 1.1.0 |
| Configurar Azure File Sync con puntos de conexión privados | Se implementa un punto de conexión privado para el recurso del servicio de sincronización de almacenamiento indicado. Esto le permite direccionar el recurso del servicio de sincronización de almacenamiento desde el espacio de direcciones IP privadas de la red de su organización, en lugar de hacerlo a través del punto de conexión público accesible desde Internet. La existencia de uno o varios puntos de conexión privados por sí solos no deshabilita el punto de conexión público. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar ajustes de diagnóstico para Blob Services en el área de trabajo de Log Analytics | Implementa la configuración de diagnóstico de Blob Services para transmitir registros de recursos a un área de trabajo de Log Analytics cuando se crea o actualiza cualquier instancia de Blob Service a la que falte esta configuración de diagnóstico. | DeployIfNotExists, AuditIfNotExists, Disabled | 4.0.0 |
| Configurar los ajustes de diagnóstico para los servicios de archivos en el área de trabajo de Log Analytics | Implementa la configuración de diagnóstico de Servicios de archivo para transmitir registros de recursos a un área de trabajo de Log Analytics cuando se crea o actualiza cualquier servicio de archivos al que falte esta configuración de diagnóstico. | DeployIfNotExists, AuditIfNotExists, Disabled | 4.0.0 |
| Configurar los ajustes de diagnóstico para los servicios de cola en el área de trabajo de Log Analytics | Implementa la configuración de diagnóstico para los servicios de cola para transmitir registros de recursos a un área de trabajo de Log Analytics cuando se crea o actualiza cualquier servicio de cola al que le falta esta configuración de diagnóstico. Nota: Esta directiva no se desencadena tras la creación de la cuenta de almacenamiento y requiere la creación de una tarea de corrección para actualizar la cuenta. | DeployIfNotExists, AuditIfNotExists, Disabled | 4.0.1 |
| Establecer la configuración de diagnóstico de las cuentas de almacenamiento en el área de trabajo de Log Analytics | Implementa la configuración de diagnóstico de las Cuentas de almacenamiento para transmitir los registros de recursos a un área de trabajo de Log Analytics cuando se cree o actualice cualquier cuenta de almacenamiento a la que falte dicha configuración de diagnóstico. | DeployIfNotExists, AuditIfNotExists, Disabled | 4.0.0 |
| Configurar los ajustes de diagnóstico para los Servicios de tablas en el área de trabajo de Log Analytics | Implementa la configuración de diagnóstico de los Servicios de tablas para transmitir registros de recursos a un área de trabajo de Log Analytics cuando se crea o actualiza cualquier instancia del Servicio de tablas a la que falte esta configuración de diagnóstico. Nota: Esta directiva no se desencadena tras la creación de la cuenta de almacenamiento y requiere la creación de una tarea de corrección para actualizar la cuenta. | DeployIfNotExists, AuditIfNotExists, Disabled | 4.0.1 |
| Configuración de la transferencia segura de datos en una cuenta de almacenamiento | La transferencia segura es una opción que obliga a la cuenta de almacenamiento a aceptar solamente solicitudes de conexiones seguras (HTTPS). El uso de HTTPS garantiza la autenticación entre el servidor y el servicio, y protege los datos en tránsito de ataques de nivel de red, como los de tipo "Man in the middle", interceptación y secuestro de sesión | Modificar, Deshabilitado | 1.0.0 |
| Configurar la cuenta de almacenamiento para usar una conexión de vínculo privado | Los puntos de conexión privados conectan la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a su cuenta de almacenamiento, se puede reducir el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/azureprivatelinkoverview. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de las cuentas de almacenamiento para deshabilitar el acceso desde la red pública | Para mejorar la seguridad de las cuentas de almacenamiento, asegúrese de que no están expuestas a la red pública de Internet y que únicamente se puedan acceder desde un punto de conexión privado. Deshabilite la propiedad acceso a la red pública, tal y como se describe en https://aka.ms/storageaccountpublicnetworkaccess. Esta opción deshabilita el acceso desde cualquier espacio de direcciones públicas que esté fuera del intervalo IP de Azure y deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en la IP o la red virtual. De este modo, se reducen los riesgos de pérdida de datos. | Modificar, Deshabilitado | 1.0.1 |
| Configurar el acceso público de la cuenta de almacenamiento para que no esté permitido | El acceso de lectura público anónimo a contenedores y blobs de Azure Storage es una manera cómoda de compartir datos, pero también puede plantear riesgos para la seguridad. Para evitar las infracciones de datos producidas por el acceso anónimo no deseado, Microsoft recomienda impedir el acceso público a una cuenta de almacenamiento a menos que su escenario lo requiera. | Modificar, Deshabilitado | 1.0.0 |
| Configuración de la cuenta de Storage para habilitar el control de versiones de blobs | Puede habilitar el control de versiones de almacenamiento de blobs para conservar automáticamente las versiones anteriores de un objeto. Cuando el control de versiones de blobs está habilitado, puede acceder a una versión anterior de un blob para recuperar los datos si se modifican o eliminan. | Audit, Deny, Disabled | 1.0.0 |
| Implementación de Defender para Storage (Clásico) en cuentas de almacenamiento | Esta directiva habilita Defender para Storage (clásico) en cuentas de almacenamiento. | DeployIfNotExists, Disabled | 1.0.1 |
| El almacenamiento con redundancia geográfica debe estar habilitado para las cuentas de almacenamiento | Use la redundancia geográfica para crear aplicaciones de alta disponibilidad. | Audit, Disabled | 1.0.0 |
| Las cuentas de HPC Cache deben usar la clave administrada por el cliente para el cifrado | Administre el cifrado en reposo de Azure HPC Cache con claves administradas por el cliente. De manera predeterminada, los datos del cliente se cifran con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. | Audit, Disabled, Deny | 2.0.0 |
| Modificación: configurar Azure File Sync para deshabilitar el acceso a la red pública | La directiva de la organización deshabilita el punto de conexión público accesible a Internet de Azure File Sync. Todavía puede acceder al servicio de sincronización de almacenamiento a través de sus puntos de conexión privados. | Modificar, Deshabilitado | 1.0.0 |
| Modificar: Configuración de la cuenta de Storage para habilitar el control de versiones de blobs | Puede habilitar el control de versiones de almacenamiento de blobs para conservar automáticamente las versiones anteriores de un objeto. Cuando el control de versiones de blobs está habilitado, puede acceder a una versión anterior de un blob para recuperar los datos si se modifican o eliminan. Tenga en cuenta que las cuentas de almacenamiento existentes no se modificarán para habilitar el control de versiones de Blob Storage. Solo las cuentas de almacenamiento recién creadas tendrán habilitado el control de versiones de Blob Storage | Modificar, Deshabilitado | 1.0.0 |
| El acceso a las redes públicas debe estar deshabilitado para Azure File Sync | Deshabilitar el punto de conexión público le permite restringir el acceso al recurso del servicio de sincronización de almacenamiento a las solicitudes destinadas a puntos de conexión privados aprobados en la red de su organización. No hay nada que sea intrínsecamente inseguro en permitir solicitudes al punto de conexión público; no obstante, puede ser aconsejable deshabilitarlas para cumplir los requisitos normativos, legales o de directiva de la organización. Puede deshabilitar el punto de conexión público para un servicio de sincronización de almacenamiento estableciendo el valor de incomingTrafficPolicy del recurso en AllowVirtualNetworksOnly. | Audit, Deny, Disabled | 1.0.0 |
| Queue Storage debería usar la clave administrada por el cliente para el cifrado | Proteja su instancia de Queue Storage con mayor flexibilidad mediante el uso de claves administradas por el cliente. Cuando se especifica una clave administrada por el cliente, esa clave se usa para proteger y controlar el acceso a la clave que cifra los datos. El uso de claves administradas por el cliente proporciona funcionalidades adicionales para controlar la rotación de la clave de cifrado de claves o para borrar datos mediante criptografía. | Audit, Deny, Disabled | 1.0.0 |
| Se debe habilitar la transferencia segura a las cuentas de almacenamiento | Permite auditar el requisito de transferencia segura en la cuenta de almacenamiento. La transferencia segura es una opción que obliga a la cuenta de almacenamiento a aceptar solamente solicitudes de conexiones seguras (HTTPS). El uso de HTTPS garantiza la autenticación entre el servidor y el servicio, y protege los datos en tránsito de ataques de nivel de red, como los de tipo "Man in the middle", interceptación y secuestro de sesión | Audit, Deny, Disabled | 2.0.0 |
| Los ámbitos de cifrado de la cuenta de almacenamiento deben usar claves administradas por el cliente para cifrar los datos en reposo. | Use claves administradas por el cliente para administrar el cifrado en reposo de los ámbitos de cifrado de su cuenta de almacenamiento. Las claves administradas por el cliente le permiten cifrar los datos con una clave de Azure Key Vault que haya creado y sea de su propiedad. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información sobre los ámbitos de cifrado de la cuenta de almacenamiento en https://aka.ms/encryption-scopes-overview. | Audit, Deny, Disabled | 1.0.0 |
| Los ámbitos de cifrado de la cuenta de almacenamiento deben usar el cifrado doble para los datos en reposo. | Habilite el cifrado de infraestructura para el cifrado en reposo de los ámbitos de cifrado de la cuenta de almacenamiento para mayor seguridad. El cifrado de infraestructura garantiza que los datos se cifren dos veces. | Audit, Deny, Disabled | 1.0.0 |
| Las claves de la cuenta de almacenamiento no deben haber expirado | Asegúrese de que las claves de la cuenta de almacenamiento del usuario no hayan expirado cuando la directiva de expiración de claves esté establecida; con el fin de mejorar la seguridad de las claves de cuenta, adopte medidas cuando estas expiren. | Audit, Deny, Disabled | 3.0.0 |
| Las cuentas de almacenamiento deben permitir el acceso desde los servicios de Microsoft de confianza | Algunos servicios de Microsoft que interactúan con las cuentas de almacenamiento funcionan desde redes a las que no se puede conceder acceso a través de reglas de red. Para ayudar a que este tipo de servicio funcione según lo previsto, permita que el conjunto de servicios de Microsoft de confianza omita las reglas de red. Estos servicios usarán luego una autenticación sólida para acceder a la cuenta de almacenamiento. | Audit, Deny, Disabled | 1.0.0 |
| Las cuentas de almacenamiento se deben limitar por SKU permitidas | Restrinja el conjunto de SKU de cuenta de almacenamiento que la organización puede implementar. | Audit, Deny, Disabled | 1.1.0 |
| Se deben migrar las cuentas de almacenamiento a los nuevos recursos de Azure Resource Manager | Use el nuevo Azure Resource Manager para las cuentas de almacenamiento a fin de proporcionar mejoras de seguridad como las siguientes: mayor control de acceso (RBAC), mejor auditoría, gobernanza e implementación basados en Azure Resource Manager, acceso a las identidades administradas, acceso a los secretos de Key Vault, autenticación basada en Azure AD y compatibilidad con las etiquetas y los grupos de recursos para facilitar la administración de seguridad. | Audit, Deny, Disabled | 1.0.0 |
| Las cuentas de almacenamiento deben deshabilitar el acceso desde la red pública | Para mejorar la seguridad de las cuentas de almacenamiento, asegúrese de que no están expuestas a la red pública de Internet y que únicamente se puedan acceder desde un punto de conexión privado. Deshabilite la propiedad acceso a la red pública, tal y como se describe en https://aka.ms/storageaccountpublicnetworkaccess. Esta opción deshabilita el acceso desde cualquier espacio de direcciones públicas que esté fuera del intervalo IP de Azure y deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en la IP o la red virtual. De este modo, se reducen los riesgos de pérdida de datos. | Audit, Deny, Disabled | 1.0.1 |
| Las cuentas de almacenamiento deben tener un cifrado de infraestructura | Habilite el cifrado de la infraestructura para aumentar la garantía de que los datos son seguros. Cuando el cifrado de infraestructura está habilitado, los datos de las cuentas de almacenamiento se cifran dos veces. | Audit, Deny, Disabled | 1.0.0 |
| Las cuentas de almacenamiento deben tener configuradas directivas de firma de acceso compartido (SAS) | Asegúrese de que las cuentas de almacenamiento tengan habilitada la directiva de expiración de firma de acceso compartido (SAS). Los usuarios utilizan una SAS para delegar el acceso a los recursos de la cuenta de Azure Storage. Además, la directiva de expiración de SAS recomienda un límite de expiración superior cuando un usuario crea un token de SAS. | Audit, Deny, Disabled | 1.0.0 |
| Las cuentas de almacenamiento deben tener la versión mínima de TLS especificada | Configure una versión mínima de TLS para la comunicación segura entre la aplicación cliente y la cuenta de almacenamiento. Para minimizar el riesgo de seguridad, la versión mínima recomendada de TLS es la versión más reciente publicada, que actualmente es TLS 1.2. | Audit, Deny, Disabled | 1.0.0 |
| Las cuentas de almacenamiento deben evitar la replicación de objetos entre inquilinos | Realice una auditoría de la restricción de replicación de objetos de la cuenta de almacenamiento. De manera predeterminada, los usuarios pueden configurar la replicación de objetos con una cuenta de almacenamiento de origen en un inquilino de Azure AD y una cuenta de destino en un inquilino diferente. Se trata de un problema de seguridad porque los datos del cliente se pueden replicar en una cuenta de almacenamiento propiedad del cliente. Al establecer el valor de allowCrossTenantReplication en false, la replicación de objetos solo se puede configurar si las cuentas de origen y de destino están en el mismo inquilino de Azure AD. | Audit, Deny, Disabled | 1.0.0 |
| Las cuentas de almacenamiento deben evitar el acceso a claves compartidas | Requisito de auditoría de Azure Active Directory (Azure AD) para autorizar las solicitudes de la cuenta de almacenamiento. De forma predeterminada, las solicitudes se pueden autorizar con credenciales de Azure Active Directory o mediante la clave de acceso de la cuenta para la autorización con clave compartida. De estos dos tipos de autorización, Azure AD proporciona mayor seguridad y facilidad de uso a través de la clave compartida y es el que Microsoft recomienda. | Audit, Deny, Disabled | 2.0.0 |
| Se debe restringir el acceso de red a las cuentas de almacenamiento | El acceso de red a las cuentas de almacenamiento debe estar restringido. Configure reglas de red, solo las aplicaciones de redes permitidas pueden acceder a la cuenta de almacenamiento. Para permitir conexiones desde clientes específicos locales o de Internet, se puede conceder acceso al tráfico procedente de redes virtuales de Azure específicas o a intervalos de direcciones IP de Internet públicas. | Audit, Deny, Disabled | 1.1.1 |
| Las cuentas de almacenamiento deben restringir el acceso a la red mediante el uso de reglas de red virtual | Proteja las cuentas de almacenamiento frente a amenazas potenciales mediante reglas de red virtual como método preferente en lugar de filtrado basado en IP. La deshabilitación del filtrado basado en IP evita que las direcciones IP públicas accedan a las cuentas de almacenamiento. | Audit, Deny, Disabled | 1.0.1 |
| Las cuentas de almacenamiento deben utilizar una clave administrada por el cliente para el cifrado. | Proteja su cuenta de almacenamiento de blobs y archivos con mayor flexibilidad mediante claves administradas por el cliente. Cuando se especifica una clave administrada por el cliente, esa clave se usa para proteger y controlar el acceso a la clave que cifra los datos. El uso de claves administradas por el cliente proporciona funcionalidades adicionales para controlar la rotación de la clave de cifrado de claves o para borrar datos mediante criptografía. | Audit, Disabled | 1.0.3 |
| Las cuentas de almacenamiento deben usar un vínculo privado. | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a su cuenta de almacenamiento, se reduce el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/azureprivatelinkoverview. | AuditIfNotExists, Disabled | 2.0.0 |
| Table Storage debería usar una clave administrada por el cliente para el cifrado | Proteja su instancia de Table Storage con mayor flexibilidad mediante el uso de claves administradas por el cliente. Cuando se especifica una clave administrada por el cliente, esa clave se usa para proteger y controlar el acceso a la clave que cifra los datos. El uso de claves administradas por el cliente proporciona funcionalidades adicionales para controlar la rotación de la clave de cifrado de claves o para borrar datos mediante criptografía. | Audit, Deny, Disabled | 1.0.0 |
Stream Analytics
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Los trabajos de Azure Stream Analytics deben usar claves administradas por el cliente para cifrar los datos | Use las claves administradas por el cliente cuando quiera almacenar de forma segura los recursos de datos privados y los metadatos de sus trabajos de Stream Analytics en la cuenta de almacenamiento. De esta forma, dispondrá de un control total sobre la forma en que se cifran los datos de Stream Analytics. | audit, Audit, deny, Deny, disabled, Disabled | 1.1.0 |
| Los registros de recursos de Azure Stream Analytics deben estar habilitados. | Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red. | AuditIfNotExists, Disabled | 5.0.0 |
| El trabajo de Stream Analytics debe conectarse a entradas y salidas de confianza | Asegúrese de que los trabajos de Stream Analytics no tienen conexiones de entrada o salida arbitrarias que no estén definidas en la lista de permitidos. Esto comprueba que los trabajos de Stream Analytics no filtran datos mediante la conexión a receptores arbitrarios fuera de la organización. | Deny, Disabled, Audit | 1.1.0 |
| El trabajo de Stream Analytics debe usar la identidad administrada para autenticar los puntos de conexión | Asegúrese de que los trabajos de Stream Analytics solo se conectan a los puntos finales utilizando la autenticación de identidad administrada. | Deny, Disabled, Audit | 1.0.0 |
Synapse
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Se debe habilitar la auditoría en el área de trabajo de Synapse | La auditoría en el área de trabajo de Synapse debe estar habilitada para realizar el seguimiento de las actividades de todas las bases de datos de los grupos de SQL dedicados y guardarlas en un registro de auditoría. | AuditIfNotExists, Disabled | 1.0.0 |
| Los grupos de SQL dedicados de Azure Synapse Analytics deben habilitar el cifrado | Habilite el cifrado de datos transparente para grupos de SQL dedicados de Azure Synapse Analytics para proteger los datos en reposo y cumplir los requisitos de cumplimiento. Tenga en cuenta que habilitar el cifrado de datos transparente del grupo puede afectar al rendimiento de las consultas. Puede consultar más detalles en https://go.microsoft.com/fwlink/?linkid=2147714 | AuditIfNotExists, Disabled | 1.0.0 |
| El área de trabajo de Azure Synapse de SQL Server debe ejecutar TLS versión 1.2 o posterior | Si la versión de TLS se establece en 1.2 o una versión posterior, la seguridad mejora al garantizar que solo se tenga acceso al servidor de SQL del área de trabajo de Azure Synapse desde clientes que utilicen TLS 1.2 o una versión posterior. El uso de versiones de TLS anteriores a la versión 1.2 no se recomienda, ya que presentan vulnerabilidades de seguridad bien documentadas. | Audit, Deny, Disabled | 1.1.0 |
| Las áreas de trabajo de Azure Synapse deben permitir el tráfico de datos de salida únicamente a destinos aprobados. | Permita el tráfico de datos de salida únicamente a destinos aprobados para aumentar la seguridad del área de trabajo de Synapse. Esto ayuda a evitar la exfiltración de datos mediante la validación del destino antes de enviar los datos. | Audit, Disabled, Deny | 1.0.0 |
| Las áreas de trabajo de Azure Synapse deberían deshabilitar el acceso a la red pública | Al deshabilitar el acceso a la red pública, se mejora la seguridad, ya que se garantiza que el área de trabajo de Synapse no se expone en la red pública de Internet. La creación de puntos de conexión privados puede limitar la exposición de las áreas de trabajo de Synapse. Más información en: https://docs.microsoft.com/azure/synapse-analytics/security/connectivity-settings. | Audit, Deny, Disabled | 1.0.0 |
| Las áreas de trabajo de Azure Synapse deben usar claves administradas por el cliente para cifrar los datos en reposo | Use claves administradas por el cliente para controlar el cifrado en reposo de los datos almacenados en las áreas de trabajo de Azure Synapse. Las claves administradas por el cliente también proporcionan cifrado doble, ya que agregan una segunda capa de cifrado a partir del cifrado predeterminado que se creó mediante las claves administradas por el servicio. | Audit, Deny, Disabled | 1.0.0 |
| Las áreas de trabajo de Azure Synapse deben usar Private Link | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados al área de trabajo de Azure Synapse, se reducen los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links. | Audit, Disabled | 1.0.1 |
| Configuración de la versión mínima de TLS del área de trabajo dedicada de Azure Synapse de SQL Server | Los clientes pueden generar o reducir la versión mínima de TLS mediante la API, tanto para las nuevas áreas de trabajo de Synapse como para las áreas de trabajo existentes. De este modo, los usuarios que tengan que usar una versión de cliente inferior en las áreas de trabajo puedan conectarse, mientras que los usuarios que tengan requisitos de seguridad puedan aumentar la versión mínima de TLS. Más información en: https://docs.microsoft.com/azure/synapse-analytics/security/connectivity-settings. | Modificar, Deshabilitado | 1.1.0 |
| Configurar las áreas de trabajo de Azure Synapse para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública del área de trabajo de Synapse de modo que no sea accesible desde la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://docs.microsoft.com/azure/synapse-analytics/security/connectivity-settings. | Modificar, Deshabilitado | 1.0.0 |
| Configurar las áreas de trabajo de Azure Synapse para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada vincula a la red virtual para resolver las áreas de trabajo de Azure Synapse. Más información en: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-from-restricted-network#appendix-dns-registration-for-private-endpoint. | DeployIfNotExists, Disabled | 2.0.0 |
| Configurar las áreas de trabajo de Azure Synapse con puntos de conexión privados | Los puntos de conexión privados conectan la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Mediante la asignación de puntos de conexión privados a las áreas de trabajo de Azure Synapse, se pueden reducir los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar las áreas de trabajo de Synapse para habilitar la auditoría | Para que se capturen las operaciones realizadas en los recursos de SQL, las áreas de trabajo de Synapse deben tener habilitada la auditoría. A veces, es necesario para cumplir con los estándares normativos. | DeployIfNotExists, Disabled | 2.0.0 |
| Configuración de las áreas de trabajo para que tengan habilitada la auditoría en el área de trabajo de Log Analytics | Para que se capturen las operaciones realizadas en los recursos de SQL, las áreas de trabajo de Synapse deben tener habilitada la auditoría. Si la auditoría no está habilitada, esta directiva configurará los eventos de auditoría para que fluyan al área de trabajo especificada de Log Analytics. | DeployIfNotExists, Disabled | 1.0.0 |
| Configuración de las áreas de trabajo de Synapse para usar solo identidades de Microsoft Entra para la autenticación | Requerir y volver a configurar áreas de trabajo de Synapse para usar la autenticación solo de Microsoft Entra. Esta directiva no impide que se creen áreas de trabajo con la autenticación local habilitada. Impide que la autenticación local se habilite y vuelva a habilitar la autenticación solo de Microsoft Entra en los recursos después de crearla. Considere la posibilidad de usar la iniciativa "Autenticación solo de Microsoft Entra" en su lugar para requerir ambos. Más información en: https://aka.ms/Synapse. | Modificar, Deshabilitado | 1.0.0 |
| Configuración de las áreas de trabajo de Synapse para usar solo identidades de Microsoft Entra para la autenticación | Requerir y volver a configurar áreas de trabajo de Synapse para crearlas con la autenticación solo de Microsoft Entra. Esta directiva no impide que la autenticación local se vuelva a habilitar en los recursos después de su creación. Considere la posibilidad de usar la iniciativa "Autenticación solo de Microsoft Entra" en su lugar para requerir ambos. Más información en: https://aka.ms/Synapse. | Modificar, Deshabilitado | 1.2.0 |
| Se deben quitar las reglas de firewall de IP en las áreas de trabajo de Azure Synapse. | La eliminación de todas las reglas de firewall de IP mejora la seguridad al garantizar que solo se puede acceder a su área de trabajo de Azure Synapse desde un punto de conexión privado. Esta configuración audita la creación de reglas de firewall que permiten el acceso a la red pública en el área de trabajo. | Audit, Disabled | 1.0.0 |
| La red virtual del área de trabajo administrada en las áreas de trabajo de Azure Synapse debe estar habilitada. | La habilitación de una red virtual en el área de trabajo administrada garantiza el aislamiento por red de esta última respecto a las demás. La integración de datos y los recursos de Spark implementados en esta red virtual también proporcionan aislamiento de nivel de usuario para las actividades de Spark. | Audit, Deny, Disabled | 1.0.0 |
| Los puntos de conexión privados que administra Synapse solo deben conectarse a recursos de inquilinos aprobados de Azure Active Directory | Proteja su área de trabajo de Synapse. Para ello, permita solo conexiones a los recursos de los inquilinos de Azure Active Directory (Azure AD) aprobados. Los inquilinos de Azure AD aprobados se pueden definir durante la asignación de la directiva. | Audit, Disabled, Deny | 1.0.0 |
| La configuración de auditoría del área de trabajo de Synapse debe tener grupos de acciones configurados para capturar actividades críticas | Para asegurarse de que los registros de auditoría son lo más exhaustivos posible, la propiedad AuditActionsAndGroups debe incluir todos los grupos pertinentes. Se recomienda agregar al menos SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP, FAILED_DATABASE_AUTHENTICATION_GROUP y BATCH_COMPLETED_GROUP. A veces, es necesario para cumplir con los estándares normativos. | AuditIfNotExists, Disabled | 1.0.0 |
| Áreas de trabajo de Synapsee deben tener habilitada la autenticación solo entra de Microsoft | Requerir que las áreas de trabajo de Synapse usen la autenticación solo de Microsoft Entra. Esta directiva no impide que se creen áreas de trabajo con la autenticación local habilitada. Impide que la autenticación local se habilite en los recursos después de crearla. Considere la posibilidad de usar la iniciativa "Autenticación solo de Microsoft Entra" en su lugar para requerir ambos. Más información en: https://aka.ms/Synapse. | Audit, Deny, Disabled | 1.0.0 |
| Las áreas de trabajo de Synapse solo deben usar identidades de Microsoft Entra para la autenticación durante la creación del área de trabajo | Requerir que las áreas de trabajo de Synapse se creen con la autenticación solo de Microsoft Entra. Esta directiva no impide que la autenticación local se vuelva a habilitar en los recursos después de su creación. Considere la posibilidad de usar la iniciativa "Autenticación solo de Microsoft Entra" en su lugar para requerir ambos. Más información en: https://aka.ms/Synapse. | Audit, Deny, Disabled | 1.2.0 |
| Las áreas de trabajo de Synapse con auditoría de SQL en el destino de la cuenta de almacenamiento se deben configurar con una retención de 90 días o superior. | Con fines de investigación de incidentes, se recomienda establecer la retención de datos de auditoría de las instancias de SQL del área de trabajo de Synapse en la cuenta de almacenamiento de destino en al menos 90 días. Confirme que cumple las reglas de retención necesarias para las regiones en las que trabaja. A veces, es necesario para cumplir con los estándares normativos. | AuditIfNotExists, Disabled | 2.0.0 |
| La evaluación de vulnerabilidades debe estar habilitada en las áreas de trabajo de Synapse | Para detectar, seguir y corregir posibles vulnerabilidades, configure exámenes periódicos de evaluación de las vulnerabilidades de SQL en las áreas de trabajo de Synapse. | AuditIfNotExists, Disabled | 1.0.0 |
Etiquetas
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Agregar una etiqueta a los grupos de recursos | Agrega la etiqueta y el valor especificados cuando se crea o se actualiza un grupo de recursos que no tiene esta etiqueta. Los grupos de recursos existentes se pueden corregir con una tarea de corrección. Si la etiqueta existe con un valor diferente, no se cambiará. | modify | 1.0.0 |
| Agregar una etiqueta a los recursos | Agrega la etiqueta y el valor especificados cuando se crea o se actualiza un recurso que no tiene esta etiqueta. Los recursos existentes se pueden corregir con una tarea de corrección. Si la etiqueta existe con un valor diferente, no se cambiará. No modifica las etiquetas de los grupos de recursos. | modify | 1.0.0 |
| Agregar una etiqueta a las suscripciones | Agrega la etiqueta y el valor especificados a las suscripciones mediante una tarea de corrección. Si la etiqueta existe con un valor diferente, no se cambiará. Vea https://aka.ms/azurepolicyremediation para obtener más información sobre la corrección de directivas. | modify | 1.0.0 |
| Agregar o reemplazar una etiqueta en los grupos de recursos | Agrega o reemplaza la etiqueta y el valor especificados cuando se crea o se actualiza cualquier grupo de recursos. Los grupos de recursos existentes se pueden corregir con una tarea de corrección. | modify | 1.0.0 |
| Agregar o reemplazar una etiqueta en los recursos | Agrega o reemplaza la etiqueta y el valor especificados cuando se crea o se actualiza cualquier recurso. Los recursos existentes se pueden corregir con una tarea de corrección. No modifica las etiquetas de los grupos de recursos. | modify | 1.0.0 |
| Agregar o reemplazar una etiqueta en las suscripciones | Agrega o reemplaza la etiqueta y el valor especificados a las suscripciones mediante una tarea de corrección. Los grupos de recursos existentes se pueden corregir con una tarea de corrección. Vea https://aka.ms/azurepolicyremediation para obtener más información sobre la corrección de directivas. | modify | 1.0.0 |
| Anexar una etiqueta y su valor desde el grupo de recursos | Anexa la etiqueta especificada y su valor del grupo de recursos cuando se crea o se actualiza un recurso que no tiene esta etiqueta. Solo modifica las etiquetas de los recursos creados antes de que se aplicase esta directiva cuando se cambian esos recursos. Hay disponibles nuevas directivas de efecto "modify" que admiten la corrección de etiquetas en recursos existentes (consulte https://aka.ms/modifydoc). | append | 1.0.0 |
| Anexar una etiqueta y su valor a los grupos de recursos | Anexa la etiqueta y el valor especificados cuando se crea o se actualiza un grupo de recursos que no tiene esta etiqueta. Solo modifica las etiquetas de los grupos de recursos creados antes de que se aplicase esta directiva cuando se cambian esos grupos de recursos. Hay disponibles nuevas directivas de efecto "modify" que admiten la corrección de etiquetas en recursos existentes (consulte https://aka.ms/modifydoc). | append | 1.0.0 |
| Anexar una etiqueta y su valor a los recursos | Anexa la etiqueta y el valor especificados cuando se crea o se actualiza un recurso que no tiene esta etiqueta. Solo modifica las etiquetas de los recursos creados antes de que se aplicase esta directiva cuando se cambian esos recursos. No se aplica a los grupos de recursos. Hay disponibles nuevas directivas de efecto "modify" que admiten la corrección de etiquetas en recursos existentes (consulte https://aka.ms/modifydoc). | append | 1.0.1 |
| Heredar una etiqueta del grupo de recursos | Agrega o reemplaza la etiqueta y el valor especificados del grupo de recursos primario cuando se crea o actualiza un recurso. Los recursos existentes se pueden corregir con una tarea de corrección. | modify | 1.0.0 |
| Heredar una etiqueta del grupo de recursos si falta | Agrega la etiqueta especificada y su valor del grupo de recursos primario cuando se crea o se actualiza un recurso que no tiene esta etiqueta. Los recursos existentes se pueden corregir con una tarea de corrección. Si la etiqueta existe con un valor diferente, no se cambiará. | modify | 1.0.0 |
| Heredar una etiqueta de la suscripción | Agrega o reemplaza la etiqueta y el valor especificados de la suscripción contenedora cuando se crea o actualiza un recurso. Los recursos existentes se pueden corregir con una tarea de corrección. | modify | 1.0.0 |
| Heredar una etiqueta de la suscripción si falta | Agrega la etiqueta especificada y su valor en la suscripción contenedora cuando se crea o se actualiza un recurso que no tiene esta etiqueta. Los recursos existentes se pueden corregir con una tarea de corrección. Si la etiqueta existe con un valor diferente, no se cambiará. | modify | 1.0.0 |
| Requerir una etiqueta y su valor en los grupos de recursos | Aplica una etiqueta obligatoria y su valor en los grupos de recursos. | deny | 1.0.0 |
| Requerir una etiqueta y su valor en los recursos | Aplica una etiqueta obligatoria y su valor. No se aplica a los grupos de recursos. | deny | 1.0.1 |
| Solicitar una etiqueta en los grupos de recursos | Requiere que se use una etiqueta en los grupos de recursos. | deny | 1.0.0 |
| Solicitar una etiqueta en los recursos | Requiere que haya una etiqueta. No se aplica a los grupos de recursos. | deny | 1.0.1 |
Inicio seguro
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Los discos y la imágenes del sistema operativo deben admitir TrustedLaunch | TrustedLaunch mejora la seguridad de una máquina virtual que requiere un disco del sistema operativo y una imagen del sistema operativo para admitirla (Gen 2). Para obtener más información sobre TrustedLaunch, visita https://aka.ms/trustedlaunch. | Audit, Disabled | 1.0.0 |
| Máquina virtual debe tener habilitado TrustedLaunch | Habilita TrustedLaunch en la máquina virtual para mejorar la seguridad, usa la SKU de máquina virtual (Gen 2) que admita TrustedLaunch. Para obtener más información sobre TrustedLaunch, visita https://learn.microsoft.com/en-us/azure/virtual-machines/trusted-launch. | Audit, Disabled | 1.0.0 |
VirtualEnclaves
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Configurar cuentas de almacenamiento para restringir el acceso a la red únicamente mediante la configuración de omisión de ACL de red | Para mejorar la seguridad de las cuentas de almacenamiento, habilita el acceso solo mediante la omisión de ACL de red. Esta directiva debe usarse en combinación con un punto de conexión privado para el acceso a la cuenta de almacenamiento. | Modificar, Deshabilitado | 1.0.0 |
| No permitir la creación de tipos de recursos fuera de la lista de permitidos | Esta directiva impide la implementación de tipos de recursos fuera de los permitidos explícitamente, con el fin de mantener la seguridad en un enclave virtual. https://aka.ms/VirtualEnclaves | Audit, Deny, Disabled | 1.0.0 |
| No permitir la creación de tipos o tipos de recursos especificados en proveedores específicos | Los proveedores de recursos y los tipos especificados a través de la lista de parámetros no pueden crearse sin la aprobación explícita del equipo de seguridad. Si se concede una exención a la asignación de directiva, el recurso se puede aprovechar dentro del enclave. https://aka.ms/VirtualEnclaves | Audit, Deny, Disabled | 1.0.0 |
| Las interfaces de red deben estar conectadas a una subred aprobada de la red virtual aprobada | Esta directiva impide que las interfaces de red se conecten a una red virtual o subred que no esté aprobada. https://aka.ms/VirtualEnclaves | Audit, Deny, Disabled | 1.0.0 |
| Las cuentas de almacenamiento deben restringir el acceso a la red únicamente mediante la configuración de omisión de ACL de red | Para mejorar la seguridad de las cuentas de almacenamiento, habilita el acceso solo mediante la omisión de ACL de red. Esta directiva debe usarse en combinación con un punto de conexión privado para el acceso a la cuenta de almacenamiento. | Audit, Deny, Disabled | 1.0.0 |
Generador de imágenes de máquina virtual
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| Las plantillas de VM Image Builder deben usar Private Link | Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados a los recursos de creación del generador de imágenes de máquina virtual, se reducen los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet. | Audit, Disabled, Deny | 1.1.0 |
Web PubSub
| Nombre (Azure Portal) |
Descripción | Efectos | Versión (GitHub) |
|---|---|---|---|
| El servicio de Azure Web PubSub debe deshabilitar el acceso a la red pública | Al deshabilitar el acceso a la red pública, se mejora la seguridad, ya que el servicio Azure Web PubSub no se expone en la red pública de Internet. La creación de puntos de conexión privados puede limitar la exposición del servicio Azure Web PubSub. Más información en: https://aka.ms/awps/networkacls. | Audit, Deny, Disabled | 1.0.0 |
| El servicio Azure Web PubSub debe habilitar los registros de diagnóstico | Permite auditar la habilitación de registros de diagnóstico. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red. | AuditIfNotExists, Disabled | 1.0.0 |
| El servicio Azure Web PubSub debe tener deshabilitados los métodos de autenticación local | Deshabilitar los métodos de autenticación local mejora la seguridad al garantizar que Azure Web PubSub Service requiera exclusivamente identidades de Azure Active Directory para la autenticación. | Audit, Deny, Disabled | 1.0.0 |
| El servicio Azure Web PubSub debe usar una SKU que sea compatible con un vínculo privado | Con una SKU admitida, Azure Private Link permite conectar la red virtual a los servicios de Azure sin ninguna dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados al servicio Azure Web PubSub, se pueden reducir los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/awps/privatelink. | Audit, Deny, Disabled | 1.0.0 |
| El servicio Azure Web PubSub debe usar un vínculo privado | Azure Private Link permite conectar las redes virtuales a los servicios de Azure sin una IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados a su servicio Azure Web PubSub, puede reducir los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/awps/privatelink. | Audit, Disabled | 1.0.0 |
| Configurar el servicio Azure Web PubSub para deshabilitar la autenticación local | Deshabilitar los métodos de autenticación local para que su servicio Azure Web PubSub requiera exclusivamente las identidades de Azure Active Directory para la autenticación. | Modificar, Deshabilitado | 1.0.0 |
| Configurar el servicio Azure Web PubSub para deshabilitar el acceso a la red pública | Deshabilite el acceso a la red pública para el recurso de Azure Web PubSub de modo que no sea accesible a través de la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://aka.ms/awps/networkacls. | Modificar, Deshabilitado | 1.0.0 |
| Configurar el servicio Azure Web PubSub para usar zonas DNS privadas | Use zonas DNS privadas para invalidar la resolución DNS de un punto de conexión privado. Una zona DNS privada se vincula a la red virtual para resolver el servicio de Azure Web PubSub. Más información en: https://aka.ms/awps/privatelink. | DeployIfNotExists, Disabled | 1.0.0 |
| Configurar el servicio Azure Web PubSub con puntos de conexión privados | Los puntos de conexión privados conectan las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. Mediante la asignación de puntos de conexión privados al servicio Azure Web PubSub, se pueden reducir los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/awps/privatelink. | DeployIfNotExists, Disabled | 1.0.0 |
Pasos siguientes
- Los elementos integrados se pueden encontrar en el repositorio de GitHub de Azure Policy.
- Revise la estructura de definición de Azure Policy.
- Vea la Descripción de los efectos de directivas.