Contrôles de conformité réglementaire d’Azure Policy pour Azure Kubernetes Service (AKS)

La conformité réglementaire dans Azure Policy fournit des définitions d’initiatives (intégrées) créées et gérées par Microsoft pour les domaines de conformité et les contrôles de sécurité associés à différentes normes de conformité. Cette page liste les domaines de conformité et les contrôles de sécurité Azure Kubernetes Service (AKS).

Vous pouvez affecter les composants intégrés pour un contrôle de sécurité individuellement, afin de rendre vos ressources Azure conformes au standard spécifique.

Le titre de chaque définition de stratégie intégrée est un lien vers la définition de la stratégie dans le portail Azure. Utilisez le lien de la colonne Version de la stratégie pour voir la source dans le dépôt GitHub Azure Policy.

Important

Chaque contrôle est associé à une ou plusieurs définitions Azure Policy. Ces stratégies peuvent vous aider à évaluer la conformité avec le contrôle. Toutefois, il n’existe pas souvent de correspondance un-à-un ou parfaite entre un contrôle et une ou plusieurs stratégies. En tant que tel, Conforme dans Azure Policy fait seulement référence aux stratégies elles-même. Cela ne garantit pas que vous êtes entièrement conforme à toutes les exigences d’un contrôle. En outre, la norme de conformité comprend des contrôles qui ne sont traités par aucune définition Azure Policy pour l’instant. Par conséquent, la conformité dans Azure Policy n’est qu’une vue partielle de l’état de conformité global. Les associations entre les contrôles et les définitions de conformité réglementaire Azure Policy pour ces normes de conformité peuvent changer au fil du temps.

Benchmark de sécurité Azure

Le benchmark de sécurité Azure fournit des recommandations sur la façon dont vous pouvez sécuriser vos solutions cloud sur Azure. Pour voir comment ce service est entièrement mappé au benchmark de sécurité Azure, consultez les fichiers de mappage du benchmark de sécurité Azure.

Pour passer en revue la façon dont les composants intégrés Azure Policy disponibles pour tous les services Azure sont mappés à ce standard de conformité, consultez Conformité réglementaire Azure Policy - Benchmark de sécurité Azure.

Domain ID du contrôle Titre du contrôle Policy
(Portail Azure)
Version de la stratégie
(GitHub)
Sécurité réseau NS-2 Sécuriser les services cloud avec des contrôles réseau Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes 2.0.1
Accès privilégié PA-7 Suivre le principe Just Enough Administration (privilège minimum) Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Protection des données DP-3 Chiffrer les données sensibles en transit Les clusters Kubernetes doivent être accessibles uniquement par le biais de HTTPS 8.0.1
Journalisation et détection des menaces LT-1 Activer les fonctionnalités de détection des menaces Le profil Defender doit être activé sur les clusters Azure Kubernetes Service 2.0.0
Journalisation et détection des menaces LT-2 Activer la détection des menaces pour la gestion des identités et des accès Le profil Defender doit être activé sur les clusters Azure Kubernetes Service 2.0.0
Gestion de la posture et des vulnérabilités PV-2 Auditer et appliquer les configurations sécurisées [Préversion] : Les clusters Kubernetes doivent contrôler le déploiement d’images vulnérables 2.0.1-preview
Gestion de la posture et des vulnérabilités PV-2 Auditer et appliquer les configurations sécurisées L’extension Azure Policy pour Azure Kubernetes Service (AKS) doit être installée et activée sur vos clusters 1.0.2
Gestion de la posture et des vulnérabilités PV-2 Auditer et appliquer les configurations sécurisées Les limites de ressources processeur et de mémoire des conteneurs de clusters Kubernetes ne doivent pas dépasser les limites spécifiées 9.0.1
Gestion de la posture et des vulnérabilités PV-2 Auditer et appliquer les configurations sécurisées Les conteneurs de cluster Kubernetes ne doivent pas partager l’espace de noms de l’ID de processus hôte ou l’espace de noms IPC hôte 5.0.1
Gestion de la posture et des vulnérabilités PV-2 Auditer et appliquer les configurations sécurisées Les conteneurs de cluster Kubernetes doivent utiliser uniquement des profils AppArmor autorisés 6.0.1
Gestion de la posture et des vulnérabilités PV-2 Auditer et appliquer les configurations sécurisées Les conteneurs de cluster Kubernetes doivent utiliser uniquement des fonctionnalités autorisées 6.0.1
Gestion de la posture et des vulnérabilités PV-2 Auditer et appliquer les configurations sécurisées Les conteneurs de cluster Kubernetes doivent utiliser uniquement des fonctionnalités autorisées 9.0.1
Gestion de la posture et des vulnérabilités PV-2 Auditer et appliquer les configurations sécurisées Les conteneurs de cluster Kubernetes doivent s’exécuter avec un système de fichiers racine en lecture seule 6.0.1
Gestion de la posture et des vulnérabilités PV-2 Auditer et appliquer les configurations sécurisées Les volumes hostPath de pod de cluster Kubernetes doivent utiliser uniquement des chemins d’hôte autorisés 6.0.1
Gestion de la posture et des vulnérabilités PV-2 Auditer et appliquer les configurations sécurisées Les pods et les conteneurs de cluster Kubernetes doivent être exécutés uniquement avec des ID d’utilisateur et de groupe approuvés 6.0.1
Gestion de la posture et des vulnérabilités PV-2 Auditer et appliquer les configurations sécurisées Les pods de cluster Kubernetes doivent utiliser uniquement un réseau hôte et une plage de ports approuvés 6.0.1
Gestion de la posture et des vulnérabilités PV-2 Auditer et appliquer les configurations sécurisées Les services de cluster Kubernetes doivent écouter uniquement sur les ports autorisés 8.0.1
Gestion de la posture et des vulnérabilités PV-2 Auditer et appliquer les configurations sécurisées Le cluster Kubernetes ne doit pas autoriser les conteneurs privilégiés 9.0.1
Gestion de la posture et des vulnérabilités PV-2 Auditer et appliquer les configurations sécurisées Les clusters Kubernetes doivent désactiver le montage automatique des informations d’identification d’API 4.0.1
Gestion de la posture et des vulnérabilités PV-2 Auditer et appliquer les configurations sécurisées Les clusters Kubernetes ne doivent pas autoriser la réaffectation de privilèges de conteneur 7.0.1
Gestion de la posture et des vulnérabilités PV-2 Auditer et appliquer les configurations sécurisées Les clusters Kubernetes ne doivent pas accorder de fonctionnalités de sécurité CAP_SYS_ADMIN 5.0.1
Gestion de la posture et des vulnérabilités PV-2 Auditer et appliquer les configurations sécurisées Les clusters Kubernetes ne doivent pas utiliser l’espace de noms par défaut 4.0.1
Gestion de la posture et des vulnérabilités PV-6 Corriger rapidement et automatiquement les vulnérabilités Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1
Sécurité DevOps DS-6 Appliquer la sécurité de la charge de travail tout au long du cycle de vie de DevOps Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1

Azure Security Benchmark v1

Le benchmark de sécurité Azure fournit des recommandations sur la façon dont vous pouvez sécuriser vos solutions cloud sur Azure. Pour voir comment ce service est entièrement mappé au benchmark de sécurité Azure, consultez les fichiers de mappage du benchmark de sécurité Azure.

Pour passer en revue la façon dont les composants intégrés Azure Policy disponibles pour tous les services Azure sont mappés à ce standard de conformité, consultez Conformité réglementaire Azure Policy - Benchmark de sécurité Azure.

Domain ID du contrôle Titre du contrôle Policy
(Portail Azure)
Version de la stratégie
(GitHub)
Sécurité réseau 1.1 Protéger les ressources à l'aide de groupes de sécurité réseau ou du Pare-feu Azure sur votre réseau virtuel Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes 2.0.1
Protection des données 4.6 Utiliser Azure RBAC pour contrôler l’accès aux ressources Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Gestion des vulnérabilités 5.3 Déployer une solution de gestion de correctif logiciel tiers automatisée Les services Kubernetes doivent être mis à niveau vers une version non vulnérable de Kubernetes 1.0.2

CIS Microsoft Azure Foundations Benchmark 1.1.0

Pour voir comment les composants intégrés Azure Policy disponibles pour tous les services Azure correspondent à ce standard de conformité, consultez Conformité réglementaire Azure Policy – CIS Microsoft Azure Foundations Benchmark 1.1.0. Pour plus d’informations sur cette norme de conformité, consultez CIS Microsoft Azure Foundations Benchmark.

Domain ID du contrôle Titre du contrôle Policy
(Portail Azure)
Version de la stratégie
(GitHub)
8 Autres considérations liées à la sécurité Recommandation du CIS Microsoft Azure Foundations Benchmark 8.5 Activer le contrôle d’accès en fonction du rôle (RBAC) dans Azure Kubernetes Services Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2

CIS Microsoft Azure Foundations Benchmark 1.3.0

Pour voir comment les composants intégrés Azure Policy disponibles pour tous les services Azure correspondent à ce standard de conformité, consultez Conformité réglementaire Azure Policy – CIS Microsoft Azure Foundations Benchmark 1.3.0. Pour plus d’informations sur cette norme de conformité, consultez CIS Microsoft Azure Foundations Benchmark.

Domain ID du contrôle Titre du contrôle Policy
(Portail Azure)
Version de la stratégie
(GitHub)
8 Autres considérations liées à la sécurité Recommandation du CIS Microsoft Azure Foundations Benchmark 8.5 Activer le contrôle d’accès en fonction du rôle (RBAC) dans Azure Kubernetes Services Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2

CMMC niveau 3

Pour voir comment les composants intégrés Azure Policy de tous les services Azure répondent à ce standard de conformité, consultez Conformité réglementaire Azure Policy – CMMC niveau 3. Pour plus d’informations sur ce standard de conformité, consultez Cybersecurity Maturity Model Certification (CMMC).

Domain ID du contrôle Titre du contrôle Policy
(Portail Azure)
Version de la stratégie
(GitHub)
Contrôle d’accès AC.1.001 Restreindre l’accès au système d’information aux utilisateurs autorisés, aux processus agissant au nom des utilisateurs autorisés, et aux appareils (y compris d’autres systèmes d’information). Les pods de cluster Kubernetes doivent utiliser uniquement un réseau hôte et une plage de ports approuvés 6.0.1
Contrôle d’accès AC.1.001 Restreindre l’accès au système d’information aux utilisateurs autorisés, aux processus agissant au nom des utilisateurs autorisés, et aux appareils (y compris d’autres systèmes d’information). Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Contrôle d’accès AC.1.002 Restreindre l’accès au système d’information aux types de transactions et de fonctions que seuls les utilisateurs autorisés peuvent exécuter. Les pods de cluster Kubernetes doivent utiliser uniquement un réseau hôte et une plage de ports approuvés 6.0.1
Contrôle d’accès AC.1.002 Restreindre l’accès au système d’information aux types de transactions et de fonctions que seuls les utilisateurs autorisés peuvent exécuter. Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Contrôle d’accès AC.2.007 Utiliser le principe des privilèges minimum, y compris pour des fonctions de sécurité et des comptes privilégiés spécifiques. Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Contrôle d’accès AC.2.016 Contrôler le flux de CUI conformément aux autorisations approuvées. Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Gestion de la configuration CM.2.062 Utiliser le principe des fonctionnalités minimum en configurant des systèmes d’entreprise de manière à fournir uniquement des fonctionnalités essentielles. Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Gestion de la configuration CM.3.068 Limiter, désactiver ou empêcher l’utilisation de programmes, fonctions, ports, protocoles et services non essentiels. Les pods de cluster Kubernetes doivent utiliser uniquement un réseau hôte et une plage de ports approuvés 6.0.1
Évaluation des risques RM.2.143 Corriger les vulnérabilités conformément aux évaluations des risques. Les services Kubernetes doivent être mis à niveau vers une version non vulnérable de Kubernetes 1.0.2
Protection du système et des communications SC.1.175 Superviser, contrôler et protéger les communications (c’est-à-dire les informations transmises ou reçues par les systèmes de l’organisation) aux limites externes et aux limites internes clés des systèmes de l’organisation. Les pods de cluster Kubernetes doivent utiliser uniquement un réseau hôte et une plage de ports approuvés 6.0.1
Protection du système et des communications SC.3.177 Utiliser le chiffrement validé FIPS quand il est utilisé pour protéger la confidentialité d’informations CUI. Les disques de système d’exploitation et de données dans les clusters Azure Kubernetes Service doivent être chiffrés par des clés gérées par le client 1.0.1
Protection du système et des communications SC.3.183 Refuser le trafic des communications réseau par défaut et autoriser le trafic des communications réseau par exception (c’est-à-dire, tout refuser, autoriser par exception). Les pods de cluster Kubernetes doivent utiliser uniquement un réseau hôte et une plage de ports approuvés 6.0.1
Intégrité du système et des informations SI.1.210 Identifier, signaler et corriger les failles des systèmes d’information en temps voulu. Les services Kubernetes doivent être mis à niveau vers une version non vulnérable de Kubernetes 1.0.2

FedRAMP Niveau élevé

Pour voir le mappage entre les composants intégrés Azure Policy disponibles pour tous les services Azure et cette norme de conformité, consultez Conformité réglementaire d’Azure Policy – FedRAMP High. Pour plus d’informations sur cette norme de conformité, consultez FedRAMP High.

Domain ID du contrôle Titre du contrôle Policy
(Portail Azure)
Version de la stratégie
(GitHub)
Contrôle d’accès AC-4 Application du flux d’informations Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes 2.0.1
Gestion de la configuration CM-6 Paramètres de configuration L’extension Azure Policy pour Azure Kubernetes Service (AKS) doit être installée et activée sur vos clusters 1.0.2
Gestion de la configuration CM-6 Paramètres de configuration Les limites de ressources processeur et de mémoire des conteneurs de clusters Kubernetes ne doivent pas dépasser les limites spécifiées 9.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les conteneurs de cluster Kubernetes ne doivent pas partager l’espace de noms de l’ID de processus hôte ou l’espace de noms IPC hôte 5.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les conteneurs de cluster Kubernetes doivent utiliser uniquement des profils AppArmor autorisés 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les conteneurs de cluster Kubernetes doivent utiliser uniquement des fonctionnalités autorisées 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les conteneurs de cluster Kubernetes doivent utiliser uniquement des fonctionnalités autorisées 9.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les conteneurs de cluster Kubernetes doivent s’exécuter avec un système de fichiers racine en lecture seule 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les volumes hostPath de pod de cluster Kubernetes doivent utiliser uniquement des chemins d’hôte autorisés 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les pods et les conteneurs de cluster Kubernetes doivent être exécutés uniquement avec des ID d’utilisateur et de groupe approuvés 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les pods de cluster Kubernetes doivent utiliser uniquement un réseau hôte et une plage de ports approuvés 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les services de cluster Kubernetes doivent écouter uniquement sur les ports autorisés 8.0.1
Gestion de la configuration CM-6 Paramètres de configuration Le cluster Kubernetes ne doit pas autoriser les conteneurs privilégiés 9.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les clusters Kubernetes ne doivent pas autoriser la réaffectation de privilèges de conteneur 7.0.1
Protection du système et des communications SC-7 Protection de la limite Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes 2.0.1
Protection du système et des communications SC-7 (3) Points d’accès Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes 2.0.1
Protection du système et des communications SC-8 Confidentialité et intégrité des transmissions Les clusters Kubernetes doivent être accessibles uniquement par le biais de HTTPS 8.0.1
Protection du système et des communications SC-8 (1) Protection par chiffrement ou autre protection physique Les clusters Kubernetes doivent être accessibles uniquement par le biais de HTTPS 8.0.1
Protection du système et des communications SC-12 Établissement et gestion de clés de chiffrement Les disques de système d’exploitation et de données dans les clusters Azure Kubernetes Service doivent être chiffrés par des clés gérées par le client 1.0.1
Protection du système et des communications SC-28 Protection des informations au repos Les disques temporaires et le cache pour les pools de nœuds d’agent dans les clusters Azure Kubernetes Service doivent être chiffrés sur l’hôte 1.0.1
Protection du système et des communications SC-28 (1) Protection par chiffrement Les disques temporaires et le cache pour les pools de nœuds d’agent dans les clusters Azure Kubernetes Service doivent être chiffrés sur l’hôte 1.0.1
Intégrité du système et des informations SI-2 Correction des défauts Les services Kubernetes doivent être mis à niveau vers une version non vulnérable de Kubernetes 1.0.2

FedRAMP Niveau modéré

Pour voir le mappage entre les composants intégrés Azure Policy disponibles pour tous les services Azure et cette norme de conformité, consultez Conformité réglementaire d’Azure Policy – FedRAMP Moderate. Pour plus d’informations sur cette norme de conformité, consultez FedRAMP Moderate.

Domain ID du contrôle Titre du contrôle Policy
(Portail Azure)
Version de la stratégie
(GitHub)
Contrôle d’accès AC-4 Application du flux d’informations Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes 2.0.1
Gestion de la configuration CM-6 Paramètres de configuration L’extension Azure Policy pour Azure Kubernetes Service (AKS) doit être installée et activée sur vos clusters 1.0.2
Gestion de la configuration CM-6 Paramètres de configuration Les limites de ressources processeur et de mémoire des conteneurs de clusters Kubernetes ne doivent pas dépasser les limites spécifiées 9.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les conteneurs de cluster Kubernetes ne doivent pas partager l’espace de noms de l’ID de processus hôte ou l’espace de noms IPC hôte 5.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les conteneurs de cluster Kubernetes doivent utiliser uniquement des profils AppArmor autorisés 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les conteneurs de cluster Kubernetes doivent utiliser uniquement des fonctionnalités autorisées 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les conteneurs de cluster Kubernetes doivent utiliser uniquement des fonctionnalités autorisées 9.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les conteneurs de cluster Kubernetes doivent s’exécuter avec un système de fichiers racine en lecture seule 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les volumes hostPath de pod de cluster Kubernetes doivent utiliser uniquement des chemins d’hôte autorisés 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les pods et les conteneurs de cluster Kubernetes doivent être exécutés uniquement avec des ID d’utilisateur et de groupe approuvés 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les pods de cluster Kubernetes doivent utiliser uniquement un réseau hôte et une plage de ports approuvés 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les services de cluster Kubernetes doivent écouter uniquement sur les ports autorisés 8.0.1
Gestion de la configuration CM-6 Paramètres de configuration Le cluster Kubernetes ne doit pas autoriser les conteneurs privilégiés 9.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les clusters Kubernetes ne doivent pas autoriser la réaffectation de privilèges de conteneur 7.0.1
Protection du système et des communications SC-7 Protection de la limite Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes 2.0.1
Protection du système et des communications SC-7 (3) Points d’accès Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes 2.0.1
Protection du système et des communications SC-8 Confidentialité et intégrité des transmissions Les clusters Kubernetes doivent être accessibles uniquement par le biais de HTTPS 8.0.1
Protection du système et des communications SC-8 (1) Protection par chiffrement ou autre protection physique Les clusters Kubernetes doivent être accessibles uniquement par le biais de HTTPS 8.0.1
Protection du système et des communications SC-12 Établissement et gestion de clés de chiffrement Les disques de système d’exploitation et de données dans les clusters Azure Kubernetes Service doivent être chiffrés par des clés gérées par le client 1.0.1
Protection du système et des communications SC-28 Protection des informations au repos Les disques temporaires et le cache pour les pools de nœuds d’agent dans les clusters Azure Kubernetes Service doivent être chiffrés sur l’hôte 1.0.1
Protection du système et des communications SC-28 (1) Protection par chiffrement Les disques temporaires et le cache pour les pools de nœuds d’agent dans les clusters Azure Kubernetes Service doivent être chiffrés sur l’hôte 1.0.1
Intégrité du système et des informations SI-2 Correction des défauts Les services Kubernetes doivent être mis à niveau vers une version non vulnérable de Kubernetes 1.0.2

HIPAA HITRUST 9.2

Pour voir comment les composants intégrés Azure Policy disponibles pour tous les services Azure correspondent à ce standard de conformité, consultez Conformité réglementaire Azure Policy – HIPAA HITRUST 9.2. Pour plus d’informations sur cette norme de conformité, consultez HIPAA HITRUST 9.2.

Domain ID du contrôle Titre du contrôle Policy
(Portail Azure)
Version de la stratégie
(GitHub)
Gestion des privilèges 1149.01c2System.9 - 01.c L’organisation facilite le partage d’informations en permettant aux utilisateurs autorisés de déterminer l’accès d’un partenaire commercial quand une marge de manœuvre est autorisée comme défini par l’organisation et en employant des processus manuels ou des mécanismes automatisés pour aider les utilisateurs à prendre des décisions de collaboration ou de partage d’informations. Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
11 Contrôle d’accès 1153.01c3System.35-01.c 1153.01c3Système.35-01.c 01.02 Accès autorisé aux systèmes d’information Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
12 Journalisation & monitoring des audits 1229.09c1Organizational.1-09.c 1229.09c1Organisationnel.1-09.c 09.01 Procédures d’exploitation documentées Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2

NIST SP 800-53 Rev. 5

Pour voir le mappage entre les composants intégrés Azure Policy disponibles pour tous les services Azure et cette norme de conformité, consultez Conformité réglementaire d’Azure Policy – NIST SP 800-53 Rev. 5. Pour plus d’informations sur cette norme de conformité, consultez NIST SP 800-53 Rev. 5.

Domain ID du contrôle Titre du contrôle Policy
(Portail Azure)
Version de la stratégie
(GitHub)
Contrôle d’accès AC-3 (7) Contrôle d’accès en fonction du rôle Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Contrôle d’accès AC-4 Application du flux d’informations Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes 2.0.1
Gestion de la configuration CM-6 Paramètres de configuration L’extension Azure Policy pour Azure Kubernetes Service (AKS) doit être installée et activée sur vos clusters 1.0.2
Gestion de la configuration CM-6 Paramètres de configuration Les limites de ressources processeur et de mémoire des conteneurs de clusters Kubernetes ne doivent pas dépasser les limites spécifiées 9.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les conteneurs de cluster Kubernetes ne doivent pas partager l’espace de noms de l’ID de processus hôte ou l’espace de noms IPC hôte 5.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les conteneurs de cluster Kubernetes doivent utiliser uniquement des profils AppArmor autorisés 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les conteneurs de cluster Kubernetes doivent utiliser uniquement des fonctionnalités autorisées 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les conteneurs de cluster Kubernetes doivent utiliser uniquement des fonctionnalités autorisées 9.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les conteneurs de cluster Kubernetes doivent s’exécuter avec un système de fichiers racine en lecture seule 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les volumes hostPath de pod de cluster Kubernetes doivent utiliser uniquement des chemins d’hôte autorisés 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les pods et les conteneurs de cluster Kubernetes doivent être exécutés uniquement avec des ID d’utilisateur et de groupe approuvés 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les pods de cluster Kubernetes doivent utiliser uniquement un réseau hôte et une plage de ports approuvés 6.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les services de cluster Kubernetes doivent écouter uniquement sur les ports autorisés 8.0.1
Gestion de la configuration CM-6 Paramètres de configuration Le cluster Kubernetes ne doit pas autoriser les conteneurs privilégiés 9.0.1
Gestion de la configuration CM-6 Paramètres de configuration Les clusters Kubernetes ne doivent pas autoriser la réaffectation de privilèges de conteneur 7.0.1
Protection du système et des communications SC-7 Protection de la limite Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes 2.0.1
Protection du système et des communications SC-7 (3) Points d’accès Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes 2.0.1
Protection du système et des communications SC-8 Confidentialité et intégrité des transmissions Les clusters Kubernetes doivent être accessibles uniquement via HTTPS 8.0.1
Protection du système et des communications SC-8 (1) Protection par chiffrement Les clusters Kubernetes doivent être accessibles uniquement via HTTPS 8.0.1
Protection du système et des communications SC-12 Établissement et gestion de clés de chiffrement Les disques de système d’exploitation et de données dans les clusters Azure Kubernetes Service doivent être chiffrés par des clés gérées par le client 1.0.1
Protection du système et des communications SC-28 Protection des informations au repos Les disques temporaires et le cache pour les pools de nœuds d’agent dans les clusters Azure Kubernetes Service doivent être chiffrés sur l’hôte 1.0.1
Protection du système et des communications SC-28 (1) Protection par chiffrement Les disques temporaires et le cache pour les pools de nœuds d’agent dans les clusters Azure Kubernetes Service doivent être chiffrés sur l’hôte 1.0.1
Intégrité du système et des informations SI-2 Correction des défauts Les services Kubernetes doivent être mis à niveau vers une version non vulnérable de Kubernetes 1.0.2
Intégrité du système et des informations SI-2 (6) Suppression des versions précédentes des logiciels et microprogrammes Les services Kubernetes doivent être mis à niveau vers une version non vulnérable de Kubernetes 1.0.2

NZ ISM Restricted v3.5

Pour évaluer comment les éléments intégrés Azure Policy disponibles pour tous les services Azure correspondent à cette norme de conformité, consultez Conformité réglementaire Azure Policy – NZ ISM Restreint v3.5. Pour plus d’informations sur cette norme de conformité, consultez NZ ISM Restricted v3.5.

Domain ID du contrôle Titre du contrôle Policy
(Portail Azure)
Version de la stratégie
(GitHub)
Contrôle d’accès et mots de passe NZISM Security Benchmark AC-18 16.6.9 Événements à consigner Les journaux de ressources dans Azure Kubernetes Service doivent être activés 1.0.0
Sécurité de passerelle Point de référence de la sécurité NZISM GS-2 19.1.11 Utilisation de passerelles Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes 2.0.1
Infrastructure Point de référence de la sécurité NZISM INF-9 10.8.35 Architecture de la sécurité L’extension Azure Policy pour Azure Kubernetes Service (AKS) doit être installée et activée sur vos clusters 1.0.2
Infrastructure Point de référence de la sécurité NZISM INF-9 10.8.35 Architecture de la sécurité Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Sécurité logicielle Point de référence de la sécurité NZISM SS-3 14.1.9 Maintien du durcissement des environnements d’exploitation standard (SOE) Les conteneurs de cluster Kubernetes ne doivent pas partager l’espace de noms de l’ID de processus hôte ou l’espace de noms IPC hôte 5.0.1
Sécurité logicielle Point de référence de la sécurité NZISM SS-3 14.1.9 Maintien du durcissement des environnements d’exploitation standard (SOE) Les conteneurs de cluster Kubernetes doivent s’exécuter avec un système de fichiers racine en lecture seule 6.0.1
Sécurité logicielle Point de référence de la sécurité NZISM SS-3 14.1.9 Maintien du durcissement des environnements d’exploitation standard (SOE) Le cluster Kubernetes ne doit pas autoriser les conteneurs privilégiés 9.0.1
Sécurité logicielle Point de référence de la sécurité NZISM SS-3 14.1.9 Maintien du durcissement des environnements d’exploitation standard (SOE) Les clusters Kubernetes doivent être accessibles uniquement par le biais de HTTPS 8.0.1
Sécurité logicielle Point de référence de la sécurité NZISM SS-3 14.1.9 Maintien du durcissement des environnements d’exploitation standard (SOE) Les clusters Kubernetes doivent désactiver le montage automatique des informations d’identification d’API 4.0.1
Sécurité logicielle Point de référence de la sécurité NZISM SS-3 14.1.9 Maintien du durcissement des environnements d’exploitation standard (SOE) Les clusters Kubernetes ne doivent pas autoriser la réaffectation de privilèges de conteneur 7.0.1
Sécurité logicielle Point de référence de la sécurité NZISM SS-3 14.1.9 Maintien du durcissement des environnements d’exploitation standard (SOE) Les clusters Kubernetes ne doivent pas accorder de fonctionnalités de sécurité CAP_SYS_ADMIN 5.0.1
Sécurité logicielle Point de référence de la sécurité NZISM SS-3 14.1.9 Maintien du durcissement des environnements d’exploitation standard (SOE) Les clusters Kubernetes ne doivent pas utiliser l’espace de noms par défaut 4.0.1

Reserve Bank of India – Infrastructure informatique pour NBFC

Pour évaluer comment les composants intégrés Azure Policy disponibles de tous les services Azure répondent à cette norme de conformité, consultez Conformité réglementaire Azure Policy - Reserve Bank of India - Infrastructure informatique pour NBFC. Pour plus d’informations sur cette norme de conformité, consultez Reserve Bank of India - Infrastructure informatique pour NBFC.

Domain ID du contrôle Titre du contrôle Policy
(Portail Azure)
Version de la stratégie
(GitHub)
Gouvernance informatique Infrastructure informatique RBI 1 Gouvernance informatique-1 Les services Kubernetes doivent être mis à niveau vers une version non vulnérable de Kubernetes 1.0.2
Informations et cybersécurité Infrastructure informatique RBI 3.1.a Identification et classification des ressources d’information-3.1 Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Informations et cybersécurité RBI IT Framework 3.1.c Contrôle d’accès en fonction du rôle-3.1 Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Informations et cybersécurité RBI IT Framework 3.1.g Traçages-3.1 Le profil Defender doit être activé sur les clusters Azure Kubernetes Service 2.0.0
Informations et cybersécurité Infrastructure informatique RBI 3.3 Gestion des vulnérabilités-3.3 Les services Kubernetes doivent être mis à niveau vers une version non vulnérable de Kubernetes 1.0.2
Informations et cybersécurité Infrastructure informatique RBI 3.3 Gestion des vulnérabilités-3.3 Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1

Banque de réserve de l’Inde – Infrastructure informatique pour les banques v2016

Pour voir comment les composants intégrés Azure Policy disponibles pour tous les services Azure répondent à cette norme de conformité, consultez Conformité réglementaire Azure Policy - RBI ITF Banks v2016. Pour plus d’informations sur cette norme de conformité, consultez RBI ITF Banks v2016 (PDF).

Domain ID du contrôle Titre du contrôle Policy
(Portail Azure)
Version de la stratégie
(GitHub)
Gestion des correctifs/vulnérabilités et des changements Correctif/Vulnérabilité et gestion des changements-7.7 Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes 2.0.1
Correctifs/vulnérabilités et gestion des changements Correctif/Vulnérabilité et gestion des changements-7.7 Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes 2.0.1
Anti-hameçonnage Anti-hameçonnage-14.1 Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes 2.0.1
Advanced Real-Timethreat Defenceand Management Défense et gestion des menaces en temps réel avancées-13.2 Le profil Defender doit être activé sur les clusters Azure Kubernetes Service 2.0.0
Gestion / Contrôle d’accès utilisateur Gestion / Contrôle d’accès utilisateur-8.5 Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Gestion / Contrôle d’accès utilisateur Gestion / Contrôle d’accès utilisateur-8.1 Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Gestion / Contrôle d’accès utilisateur Gestion / Contrôle d’accès utilisateur-8.8 Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Cycle de vie de sécurité des applications (Aslc) Cycle de vie de sécurité des applications (Aslc)-6.3 Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1
Cycle de vie de sécurité des applications (Aslc) Cycle de vie de sécurité des applications (Aslc)-6.1 Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1
Cycle de vie de sécurité des applications (Aslc) Cycle de vie de sécurité des applications (Aslc)-6.7 Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1
Cycle de vie de sécurité des applications (Aslc) Cycle de vie de sécurité des applications (Aslc)-6.6 Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1
Cycle de vie de sécurité des applications (Aslc) Cycle de vie de sécurité des applications (Aslc)-6.3 Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1
Cycle de vie de sécurité des applications (Aslc) Cycle de vie de sécurité des applications (Aslc)-6.1 Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1
Interdiction de l’exécution de logiciels non autorisés Gestion des mises à jour de sécurité-2.3 Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1
Gestion des correctifs/vulnérabilités et des changements Correctif/Vulnérabilité et gestion des changements-7.6 Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1
Gestion des correctifs/vulnérabilités et des changements Correctif/Vulnérabilité et gestion des changements-7.2 Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1
Gestion des correctifs/vulnérabilités et des changements Correctif/Vulnérabilité et gestion des changements-7.1 Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1
Gestion des correctifs/vulnérabilités et des changements Correctif/Vulnérabilité et gestion des changements-7.6 Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1
Gestion des correctifs/vulnérabilités et des changements Correctif/Vulnérabilité et gestion des changements-7.2 Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1
Gestion des correctifs/vulnérabilités et des changements Correctif/Vulnérabilité et gestion des changements-7.1 Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1
Cycle de vie de sécurité des applications (Aslc) Cycle de vie de sécurité des applications (Aslc)-6.6 Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1
Cycle de vie de sécurité des applications (Aslc) Cycle de vie de sécurité des applications (Aslc)-6.7 Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs 1.0.1

RMIT Malaysia

Pour voir comment les composants intégrés Azure Policy disponibles de tous les services Azure répondent à cette norme de conformité, consultez Conformité réglementaire Azure Policy – RMIT Malaysia. Pour plus d’informations sur cette norme de conformité, consultez RMIT Malaysia.

Domain ID du contrôle Titre du contrôle Policy
(Portail Azure)
Version de la stratégie
(GitHub)
Chiffrement RMiT 10.19 Chiffrement - 10.19 Les disques de système d’exploitation et de données dans les clusters Azure Kubernetes Service doivent être chiffrés par des clés gérées par le client 1.0.1
Contrôle d’accès RMiT 10.54 Contrôle d’accès - 10.54 Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Contrôle d’accès RMiT 10.55 Contrôle d’accès - 10.55 Les conteneurs de cluster Kubernetes doivent utiliser uniquement des fonctionnalités autorisées 6.0.1
Contrôle d’accès RMiT 10.55 Contrôle d’accès - 10.55 Les conteneurs de cluster Kubernetes doivent s’exécuter avec un système de fichiers racine en lecture seule 6.0.1
Contrôle d’accès RMiT 10.55 Contrôle d’accès - 10.55 Les pods et les conteneurs de cluster Kubernetes doivent être exécutés uniquement avec des ID d’utilisateur et de groupe approuvés 6.0.1
Contrôle d’accès RMiT 10.55 Contrôle d’accès - 10.55 Le cluster Kubernetes ne doit pas autoriser les conteneurs privilégiés 9.0.1
Contrôle d’accès RMiT 10.55 Contrôle d’accès - 10.55 Les clusters Kubernetes ne doivent pas autoriser la réaffectation de privilèges de conteneur 7.0.1
Contrôle d’accès RMiT 10.60 Contrôle d’accès - 10.60 Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Contrôle d’accès RMiT 10.61 Contrôle d’accès - 10.61 Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Contrôle d’accès RMiT 10.62 Contrôle d’accès - 10.62 Le contrôle d’accès en fonction du rôle (RBAC) doit être utilisé sur les services Kubernetes 1.0.2
Gestion des correctifs et de la fin de vie du système RMiT 10.65 Gestion des correctifs et de la fin de vie du système - 10.65 Les services Kubernetes doivent être mis à niveau vers une version non vulnérable de Kubernetes 1.0.2
Centre des opérations de sécurité (SOC) RMiT 11.17 Centre des opérations de sécurité (SOC) - 11.17 Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes 2.0.1
Centre des opérations de sécurité (SOC) RMiT 11.17 Centre des opérations de sécurité (SOC) - 11.17 Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes 2.0.1
Mesures de contrôle de la cybersécurité RMiT Annexe 5.5 Mesures de contrôle de la cybersécurité - Annexe 5.5 Les services de cluster Kubernetes doivent utiliser uniquement des adresses IP externes autorisées 5.0.1
Mesures de contrôle de la cybersécurité RMiT - Annexe 5.6 Mesures de contrôle de la cybersécurité - Annexe 5.6 Les pods de cluster Kubernetes doivent utiliser uniquement un réseau hôte et une plage de ports approuvés 6.0.1
Mesures de contrôle de la cybersécurité RMiT - Annexe 5.6 Mesures de contrôle de la cybersécurité - Annexe 5.6 Les services de cluster Kubernetes doivent écouter uniquement sur les ports autorisés 8.0.1
Mesures de contrôle de la cybersécurité RMiT - Annexe 5.6 Mesures de contrôle de la cybersécurité - Annexe 5.6 Les clusters Kubernetes doivent être accessibles uniquement par le biais de HTTPS 8.0.1

Étapes suivantes