Migrer à partir de Defender pour le stockage (classique)

Cet article explique pourquoi vous devez migrer à partir de Defender pour le stockage (classique) et comment préparer la migration.

Il explique également ce qui change lorsque vous passez à la nouvelle offre, comment identifier la configuration actuelle de votre offre et quelles méthodes de migration utiliser à grande échelle. Utilisez ces conseils pour réduire les risques de migration et assurer la cohérence de la couverture du stockage pendant la transition.

Pourquoi migrer vers la nouvelle Defender pour le plan de stockage

Le 28 mars 2023, nous avons introduit le nouveau plan Defender for Storage. Ce plan offre plusieurs avantages non disponibles dans le Defender pour le stockage (classique) par transaction ou les plans tarifaires par compte de stockage, tels que :

Surveillance améliorée des activités : Analyse continue des activités du plan de données et du plan de contrôle pour la détection des menaces.
Détection des tokens SAS compromis ou abusés : Analyse continue des activités du plan de données et du plan de contrôle pour la détection des menaces, y compris la détection des signatures d’accès partagé (tokens SAS) mal configurées et trop permissives qui pourraient être divulguées ou compromises.
Option d’activer la détection des menaces liées aux données sensibles (en complément) : Détection des événements potentiels d’exposition et des activités suspectes sur des ressources contenant des données sensibles entraînant une exfiltration de données.
Option d’activer l’analyse des logiciels malveillants (complément payant) : Détection en temps réel des fichiers malveillants sur tous les types de fichiers.
Tarification prévisible par compte de stockage : Une structure de tarification plus prévisible et flexible pour un meilleur contrôle de la couverture.
Contrôles granulaires au niveau des ressources : Activation au niveau de l’abonnement ou de la ressource et exclusion des comptes de stockage spécifiques des abonnements protégés, offrant un contrôle plus granulaire sur votre couverture de sécurité.

Le nouveau plan de tarification facture en fonction du nombre de comptes de stockage protégés, simplifiant les calculs et permettant une mise à l’échelle facile selon l’évolution de vos besoins. Pour des informations détaillées sur les prix, veuillez consulter la section la page de tarification. Vous pouvez également estimater les coûts avec la calculatrice de coûts de Defender for Cloud.

Pour profiter de la surveillance renforcée, du scan des malwares, de la détection des données sensibles et des tarifs prévisibles du nouveau plan, nous recommandons de passer au nouveau plan Defender for Storage d’ici le 5 février 2025.

Note

Après le 5 février 2025, vous ne pouvez plus activer Defender pour le stockage (classique), le plan de tarification hérité par transaction, dans la plupart des scénarios. La seule exception concerne les abonnements qui ont déjà activé la tarification par transaction.

Changements importants dans Defender pour le stockage (classique)

Defender pour le stockage (classique) offre deux structures tarifaires : par transaction et par compte de stockage.

Impact sur le plan par transaction de Defender pour le stockage (classique)

Important

Passer au nouveau plan Defender for Storage est irréversible. Après avoir changé, vous ne pouvez plus revenir aux plans Defender for Storage (classique) par transaction ou par compte de stockage, que ce soit au niveau du compte d’abonnement ou de stockage.

Le plan classique par transaction ne sera plus disponible pour les nouveaux comptes de stockage et abonnements. Les comptes existants conserveront le plan sans nouvelles fonctionnalités ni mises à jour, c’est pourquoi nous vous encourageons à passer au nouveau plan pour bénéficier des fonctionnalités améliorées et d’une tarification simplifiée. Si votre abonnement ou compte de stockage a déjà activé le plan classique par transaction, il restera actif, mais l’activation de ce plan au niveau des ressources ne sera possible que pour ces abonnements existants.

Si vous avez des politiques qui appliquent le forfait classique par transaction sans spécifier le sous-plan par transaction, les abonnements existants conserveront le forfait classique par transaction déjà activé sur ces abonnements, tandis que les nouveaux abonnements adopteront par défaut le nouveau forfait. Cependant, si vous spécifiez le sous-plan par transaction, l’attribution de politique échouera pour les nouveaux abonnements. Une fois que vous passez au nouveau plan, vous ne pourrez plus revenir aux plans Defender pour le stockage (classique) par transaction ou par compte de stockage, que ce soit au niveau de l’abonnement ou du compte de stockage.

Identifier les Defender actives pour les plans de stockage

Nous fournissons trois options pour connaître votre Defender pour l’activation et la configuration des plans de stockage :

requête KQL dans l'Explorateur Resource Graph : utilisez cette requête KQL dans le Resource Graph Explorer du portail Azure pour afficher les plans activés au niveau de l'abonnement :

// DF-Storage Plans
securityresources
| where type == "microsoft.security/pricings"
| where name == "StorageAccounts"
| extend pricingTier = properties.pricingTier
| extend DefenderForStoragePlan = properties.subPlan
| extend IsInTrialPeriod = properties.freeTrialRemainingTime
| extend MalwareScanningEnabled = properties.extensions[0].isEnabled
| extend MalwareScanningCapping = properties.extensions[0].additionalExtensionProperties["CapGBPerMonthPerStorageAccount"]
| extend SensitiveDataDiscoveryEnabled = properties.extensions[1].isEnabled
| extend IsEnabled = iff(pricingTier == "Free", "Disabled", "Enabled"), 
    DefenderForStoragePlan  = iff(isnull(DefenderForStoragePlan ), "", DefenderForStoragePlan ), 
    MalwareScanningEnabled = iff(isnull(MalwareScanningEnabled), "", MalwareScanningEnabled), 
    MalwareScanningCapping = iff(isnull(MalwareScanningCapping), "", MalwareScanningCapping), 
    SensitiveDataDiscoveryEnabled = iff(isnull(SensitiveDataDiscoveryEnabled), "", SensitiveDataDiscoveryEnabled),
    IsInTrialPeriod = iff(IsInTrialPeriod == "PT0S", "", "Yes")
| project properties, tenantId, subscriptionId, IsInTrialPeriod, IsEnabled, DefenderForStoragePlan, MalwareScanningEnabled, MalwareScanningCapping, SensitiveDataDiscoveryEnabled

Analyse détaillée avec un script PowerShell : Pour une enquête plus détaillée, incluant des informations au niveau des abonnements et des ressources (avec configuration des extensions), exécutez le script PowerShellAnalyze-DefenderForStorageConfig.ps1.
Workbook pour les détails de couverture au niveau de l’abonnement : Utilisez le workbook fourni pour voir quels plans sont activés au niveau de l’abonnement et leurs détails de configuration. Pour accéder au workbook, veuillez consulter la section Microsoft Defender pour le stockage : Tableau de bord d’estimation des prix.

Choisissez une méthode de migration pour Defender for Storage (classique)

Pour activer et configurer la nouvelle Microsoft Defender pour le plan de stockage, vous avez plusieurs options :

Stratégies intégrées Azure (recommandées) : appliquez des stratégies intégrées pour sécuriser uniformément tous les comptes de stockage existants et futurs à grande échelle dans un périmètre défini, par exemple les groupes d’administration.
Modèles Infrastructure en tant que Code (IaC): utilisez Terraform, Bicep ou Azure Resource Manager pour le déploiement et la configuration automatisés.
portail Azure : migrez vers le nouveau plan par le portail Azure.
1. Accédez aux paramètres Environment dans Defender for Cloud ou dans le volet Defender for Cloud de l’un des comptes de stockage.
2. Sous Stockage, sélectionnez Nouveau plan disponible.
3. Dans le volet Améliorer Defender pour le stockage, choisissez vos options de configuration, puis sélectionnez mettre à niveau l’abonnement.
API REST : Utilisez l’API REST pour activer le nouveau plan de manière programmatique.

Identifier les stratégies actives

Pour activer le nouveau plan, veillez à désactiver l’ancienne Defender pour les stratégies de stockage :

« Configurer Azure Defender pour que le stockage soit activé »
« Azure Defender pour le stockage doit être activé »
« Configurer Microsoft Defender pour que le stockage soit activé (plan de compte de stockage) »
Configurer Microsoft Defender pour le stockage classique pour qu'il soit activé.
« Déployer Defender pour le stockage (classique) sur les comptes de stockage »

Vous pouvez utiliser les méthodes suivantes pour identifier les stratégies actives :

Explorateur Azure Resource Graph

Pour identifier les politiques actives dans votre abonnement à l’aide d’Azure Resource Graph Explorer, lancez la requête suivante. Cette requête recherche dans Azure Resource Graph des assignations de politiques portées à l’abonnement spécifié qui correspondent aux anciens noms de politique de Defender for Storage. Si vous avez des stratégies personnalisées, modifiez la requête en conséquence :

policyresources
| where type == "microsoft.authorization/policyassignments"
| where subscriptionId == "{subscriptionId}"
| where properties['displayName'] in ("Configure Azure Defender for Storage to be enabled", "Azure Defender for Storage should be enabled", "Configure Microsoft Defender for Storage to be enabled (per-storage account plan)", "Configure Microsoft Defender for Storage (Classic) to be enabled", "Deploy Defender for Storage (Classic) on storage accounts")

PowerShell

Pour identifier les politiques actives dans votre abonnement via PowerShell, exécutez la commande suivante. Cette commande liste toutes les assignations Azure Policy dans le périmètre d’abonnement afin que vous puissiez vérifier quelles politiques Defender for Storage sont appliquées :

Get-AzPolicyAssignment -Scope "/subscriptions/{subscriptionId}"

Étapes suivantes

Dans cet article, vous avez découvert la migration vers le nouveau plan Microsoft Defender pour le stockage.

Activer Defender pour le stockage

Dernière mise à jour : 2026-08-14