Activer Microsoft Defender pour le stockage à l’aide de l’approche Infrastructure as Code

Utilisez cet article pour activer et configurer Microsoft Defender pour le stockage à l’aide de modèles Infrastructure as Code (IaC), de PowerShell ou d’Azure Policy. Vous pouvez activer au niveau de l’abonnement ou du compte de stockage. Pour obtenir une vue d’ensemble de Defender pour le stockage et ses fonctionnalités, consultez Présentation des Microsoft Defender pour le stockage.

Activer Microsoft Defender pour le stockage à l’aide de l’approche Infrastructure as Code

Nous vous recommandons d’activer Microsoft Defender pour le stockage au niveau de l’abonnement. Cela permet de s’assurer que tous les comptes de stockage actuellement dans l’abonnement sont protégés. La protection des comptes de stockage que vous créez après l’activation de Defender pour le stockage au niveau de l’abonnement démarre jusqu’à 24 heures après la création.

Conseil / Astuce

Vous pouvez toujours configurer des comptes de stockage spécifiques avec des paramètres personnalisés qui diffèrent des paramètres configurés au niveau de l’abonnement. Autrement dit, vous pouvez remplacer les paramètres au niveau de l’abonnement.

Activer sur un abonnement
Activer sur un compte de stockage

Modèle Terraform

Pour activer et configurer Defender pour le stockage au niveau de l’abonnement à l’aide de Terraform, vous pouvez utiliser l’extrait de code suivant :

resource "azurerm_security_center_subscription_pricing" "DefenderForStorage" {
  tier          = "Standard"
  resource_type = "StorageAccounts"
  subplan       = "DefenderForStorageV2"
 
  extension {
    name = "OnUploadMalwareScanning"
    additional_extension_properties = {
      CapGBPerMonthPerStorageAccount = "10000"
      BlobScanResultsOptions = "BlobIndexTags"
    }
  }
 
  extension {
    name = "SensitiveDataDiscovery"
  }
}

En personnalisant ce code, vous pouvez :

Modifiez la limite mensuelle pour l’analyse des programmes malveillants : ajustez le CapGBPerMonthPerStorageAccount paramètre à votre valeur préférée. Ce paramètre définit une limite sur le nombre maximal de données pouvant être analysées pour les programmes malveillants chaque mois, par compte de stockage. Si vous souhaitez autoriser l’analyse illimitée, affectez la valeur -1. La valeur par défaut est -1.
Désactivez la fonctionnalité d’analyse des programmes malveillants ou de détection des menaces de données sensibles : supprimez le bloc d’extension correspondant du code Terraform.
Désactivez l’ensemble du plan Defender pour le stockage : définissez la valeur de la propriété -PricingTierFree sur -SubPlan, puis supprimez les propriétés -SubPlan et .

Pour en savoir plus au sujet de la ressource azurerm_security_center_subscription_pricing, consultez la documentation Terraform relative à azurerm_security_center_subscription_pricing. Vous trouverez également des détails complets sur le fournisseur Terraform pour Azure dans la documentation Terraform AzureRM.

Modèle Bicep

Pour activer et configurer Defender pour le stockage au niveau de l’abonnement à l’aide de Bicep, vérifiez que votre étendue cible est définie subscriptionsur . Ajoutez le code suivant à votre modèle Bicep :

targetScope = 'subscription'

resource StorageAccounts 'Microsoft.Security/pricings@2023-01-01' = {
  name: 'StorageAccounts'
  properties: {
    pricingTier: 'Standard'
    subPlan: 'DefenderForStorageV2'
    extensions: [
      {
        name: 'OnUploadMalwareScanning'
        isEnabled: 'True'
        additionalExtensionProperties: {
          CapGBPerMonthPerStorageAccount: '10000'
          BlobScanResultsOptions: 'BlobIndexTags'
        }
      }
      {
        name: 'SensitiveDataDiscovery'
        isEnabled: 'True'
      }
    ]
  }
}

En personnalisant ce code, vous pouvez :

Modifiez la limite mensuelle pour l’analyse des programmes malveillants : ajustez le CapGBPerMonthPerStorageAccount paramètre à votre valeur préférée. Ce paramètre définit une limite sur le nombre maximal de données pouvant être analysées pour les programmes malveillants chaque mois, par compte de stockage. Si vous souhaitez autoriser l’analyse illimitée, affectez la valeur -1. La valeur par défaut est -1.
Désactivez la fonction d'analyse des logiciels malveillants lors du téléchargement ou de détection des menaces de données sensibles : remplacez la valeur isEnabled par False sous SensitiveDataDiscovery.
Désactivez l’ensemble du plan Defender pour le stockage : définissez la valeur de la propriété -PricingTierFree sur -SubPlan, puis supprimez les propriétés -SubPlan et .

En savoir plus sur le modèle Bicep dans la documentation sur les tarifs de Microsoft.Security.

Modèle Azure Resource Manager

Pour activer et configurer Defender pour le stockage au niveau de l’abonnement à l’aide d’un modèle Azure Resource Manager (modèle ARM), ajoutez cet extrait de code JSON à la resources section de votre modèle ARM :

{
    "type": "Microsoft.Security/pricings",
    "apiVersion": "2023-01-01",
    "name": "StorageAccounts",
    "properties": {
        "pricingTier": "Standard",
        "subPlan": "DefenderForStorageV2",
        "extensions": [
            {
                "name": "OnUploadMalwareScanning",
                "isEnabled": "True",
                "additionalExtensionProperties": {
                    "CapGBPerMonthPerStorageAccount": "10000",
                    "BlobScanResultsOptions": "BlobIndexTags"
                }
            },
            {
                "name": "SensitiveDataDiscovery",
                "isEnabled": "True"
            }
        ]
    }
}

En personnalisant ce code, vous pouvez :

Modifiez la limite mensuelle pour l’analyse des programmes malveillants : ajustez le CapGBPerMonthPerStorageAccount paramètre à votre valeur préférée. Ce paramètre définit une limite sur le nombre maximal de données pouvant être analysées pour les programmes malveillants chaque mois, par compte de stockage. Si vous souhaitez autoriser l’analyse illimitée, affectez la valeur -1. La valeur par défaut est -1.
Désactivez la fonction d'analyse des logiciels malveillants lors du téléchargement ou de détection des menaces de données sensibles : remplacez la valeur isEnabled par False sous SensitiveDataDiscovery.
Désactivez l’ensemble du plan Defender pour le stockage : définissez la valeur de la propriété -PricingTierFree sur -SubPlan, puis supprimez les propriétés -SubPlan et .

En savoir plus sur le modèle ARM dans la documentation sur les tarifs de Microsoft.Security.

Modèle Terraform

Pour activer et configurer Defender pour le stockage au niveau du compte de stockage à l’aide de Terraform, importez le fournisseur AzAPI et utilisez l’extrait de code suivant :

resource "azurerm_storage_account" "example" { ... }

resource "azapi_resource_action" "enable_defender_for_Storage" {
  type        = "Microsoft.Security/defenderForStorageSettings@2022-12-01-preview"
  resource_id = "${azurerm_storage_account.example.id}/providers/Microsoft.Security/defenderForStorageSettings/current"
  method      = "PUT"

  body = jsonencode({
    properties = {
      isEnabled = true
      malwareScanning = {
        onUpload = {
          isEnabled     = true
          capGBPerMonth = 10000
          blobScanResultsOptions = BlobIndexTags
        }
      }
      sensitiveDataDiscovery = {
        isEnabled = true
      }
      overrideSubscriptionLevelSettings = true
    }
  })
}

Dans ce code, azapi_resource_action il s’agit d’une action spécifique à la configuration de Defender pour le stockage. Il est différent des déclarations de ressources classiques dans Terraform. Il est utilisé pour effectuer des actions spécifiques sur la ressource, telles que l’activation ou la désactivation des fonctionnalités.

En personnalisant ce code, vous pouvez :

Modifiez la limite mensuelle pour l’analyse des programmes malveillants : ajustez le capGBPerMonth paramètre à votre valeur préférée. Ce paramètre définit une limite sur le nombre maximal de données pouvant être analysées pour les programmes malveillants chaque mois, par compte de stockage. Si vous souhaitez autoriser l’analyse illimitée, affectez la valeur -1. La valeur par défaut est -1.
Désactivez la fonction d'analyse des logiciels malveillants lors du téléchargement ou de détection des menaces de données sensibles : remplacez la valeur isEnabled par False dans la section pour la propriété malwareScanning ou sensitiveDataDiscovery.

Désactivez l’intégralité du plan Defender pour le stockage : utilisez l’extrait de code suivant :

resource "azurerm_storage_account" "example" { ... }

resource "azapi_resource_action" "disable_defender_for_Storage" {
  type        = "Microsoft.Security/defenderForStorageSettings@2022-12-01-preview"
  resource_id = "${azurerm_storage_account.example.id}/providers/Microsoft.Security/defenderForStorageSettings/current"
  method      = "PUT"

  body = jsonencode({
    properties = {
      isEnabled = false
      overrideSubscriptionLevelSettings = false
    }
  })
}

Si vous souhaitez désactiver le plan Defender for Storage pour le compte de stockage sous les abonnements avec Defender for Storage activé au niveau de l'abonnement, vous pouvez modifier la valeur de overrideSubscriptionLevelSettings sur True. Si vous souhaitez conserver certaines fonctionnalités activées, vous pouvez modifier les propriétés en conséquence.

Pour plus d’informations sur la personnalisation et le contrôle des paramètres de sécurité de votre compte de stockage, consultez la documentation de l’API Microsoft.Security/defenderForStorageSettings. Vous trouverez également des détails complets sur le fournisseur Terraform pour Azure dans la documentation Terraform AzureRM.

Modèle Bicep

Pour activer et configurer Defender pour le stockage au niveau du compte de stockage à l’aide de Bicep, ajoutez le code suivant à votre modèle Bicep :

resource storageAccount 'Microsoft.Storage/storageAccounts@2021-04-01' ...

resource defenderForStorageSettings 'Microsoft.Security/DefenderForStorageSettings@2022-12-01-preview' = {
  name: 'current'
  scope: storageAccount
  properties: {
    isEnabled: true
    malwareScanning: {
      onUpload: {
        isEnabled: true
        capGBPerMonth: 10000
        blobScanResultsOptions: BlobIndexTags
      }
    }
    sensitiveDataDiscovery: {
      isEnabled: true
    }
    overrideSubscriptionLevelSettings: true
  }
}

En personnalisant ce code, vous pouvez :

Modifiez la limite mensuelle pour l’analyse des programmes malveillants : ajustez le capGBPerMonth paramètre à votre valeur préférée. Ce paramètre définit une limite sur le nombre maximal de données pouvant être analysées pour les programmes malveillants chaque mois, par compte de stockage. Si vous souhaitez autoriser l’analyse illimitée, affectez la valeur -1. La valeur par défaut est -1.
Désactivez la fonction d'analyse des logiciels malveillants lors du téléchargement ou de détection des menaces de données sensibles : remplacez la valeur isEnabled par False dans la section pour la propriété malwareScanning ou sensitiveDataDiscovery.
Désactivez l’ensemble du plan Defender pour stockage : définissez la valeur de la propriété isEnabled sur False, puis supprimez les sections malwareScanning et les propriétés sensitiveDataDiscovery.

Pour plus d’informations, consultez la documentation de l’API Microsoft.Security/DefenderForStorageSettings.

ARM template

Pour activer et configurer Defender pour le stockage au niveau du compte de stockage à l’aide d’un modèle Azure Resource Manager (modèle ARM), ajoutez cet extrait de code JSON à la resources section de votre modèle ARM :

{
    "type": "Microsoft.Security/DefenderForStorageSettings",
    "apiVersion": "2022-12-01-preview",
    "name": "current",
    "properties": {
        "isEnabled": true,
        "malwareScanning": {
            "onUpload": {
                "isEnabled": true,
                "capGBPerMonth": 10000,
                "blobScanResultsOptions": BlobIndexTags
            }
        },
        "sensitiveDataDiscovery": {
            "isEnabled": true
        },
        "overrideSubscriptionLevelSettings": true
    },
    "scope": "[resourceId('Microsoft.Storage/storageAccounts', parameters('StorageAccountName'))]"
}

En personnalisant ce code, vous pouvez :

Modifiez la limite mensuelle pour l’analyse des programmes malveillants : ajustez le capGBPerMonth paramètre à votre valeur préférée. Ce paramètre définit une limite sur le nombre maximal de données pouvant être analysées pour les programmes malveillants chaque mois, par compte de stockage. Si vous souhaitez autoriser l’analyse illimitée, affectez la valeur -1. La valeur par défaut est -1.
Désactivez la fonction d'analyse des logiciels malveillants lors du téléchargement ou de détection des menaces de données sensibles : remplacez la valeur isEnabled par False dans la section pour la propriété malwareScanning ou sensitiveDataDiscovery.
Désactivez l’ensemble du plan Defender pour stockage : définissez la valeur de la propriété isEnabled sur False, puis supprimez les sections malwareScanning et les propriétés sensitiveDataDiscovery.

Conseil / Astuce

Vous pouvez configurer l’analyse des programmes malveillants pour envoyer les résultats de l’analyse à :

Rubrique personnalisée Azure Event Grid : Pour une réponse automatique quasi en temps réel basée sur chaque résultat d’analyse.
Espace de travail Log Analytics : pour stocker chaque résultat d'analyse dans un référentiel de journaux centralisé pour la conformité et l’audit.

Apprenez-en davantage sur la configuration d’une réponse pour les résultats de l’analyse des programmes malveillants.

Activer à grande échelle avec PowerShell

Utilisez PowerShell lorsque vous devez activer Defender pour le stockage pour plusieurs abonnements.

Avant de commencer, installez le Az.Security module :

Install-Module -Name Az.Security

Utilisez la commande suivante pour activer Defender pour le stockage sur un seul abonnement :

Set-AzSecurityPricing -Name "StorageAccounts" -PricingTier "Standard" -SubPlan "DefenderForStorageV2"

Utilisez le script suivant pour activer Defender pour le stockage sur tous les abonnements d’un locataire :

$subscriptions = Get-AzSubscription
foreach ($sub in $subscriptions) {
    Set-AzContext -SubscriptionId $sub.Id
    Write-Host "Enabling Defender for Storage on subscription: $($sub.Name)"
    Set-AzSecurityPricing -Name "StorageAccounts" -PricingTier "Standard" -SubPlan "DefenderForStorageV2"
}

Note

Vous avez besoin du rôle Administrateur de sécurité ou Propriétaire sur chaque abonnement que vous mettez à jour.

Pour vérifier la configuration, exécutez :

Get-AzSecurityPricing -Name "StorageAccounts"

Activer automatiquement avec Azure Policy

Utilisez Azure Policy pour vous assurer que les nouveaux abonnements sont automatiquement couverts et pour empêcher la dérive de configuration.

Utilisez la définition de stratégie intégrée Configurer Microsoft Defender pour que le stockage soit activé.

Pour affecter la stratégie dans le portail Azure :

Accédez à Stratégie.
Sélectionnez Définitions.
Recherchez Defender for Storage.
Sélectionnez Configurer Microsoft Defender pour que le stockage soit activé.
Sélectionnez Attribuer.

Utilisez l’effet DeployIfNotExists pour corriger automatiquement les ressources prises en charge.

Vous pouvez créer des exemptions de stratégie pour des comptes de stockage ou des abonnements spécifiques qui ne doivent pas être couverts.

Note

Les attributions de stratégie Azure peuvent prendre jusqu’à 30 minutes pour entrer en vigueur. Les ressources non conformes existantes nécessitent une tâche de correction.

Pour plus d’informations, consultez Azure Policy documentation.

Valider votre déploiement

Après avoir déployé Defender pour le stockage, utilisez la liste de contrôle suivante pour valider la configuration :

Dans le portail Azure, accédez à Microsoft Defender for Cloud>Paramètres de l’environnement>, sélectionnez votre abonnement > confirmez Defender pour le stockage s’affiche comme Activé.
Vérifiez que les comptes de stockage sont répertoriés comme protégés sous Inventaire.
Exécutez un chargement de test pour confirmer que l’analyse des programmes malveillants est active. Chargez un fichier de test EICAR dans un conteneur d'objets blob.
Vérifiez les attributions de rôles. Defender for Storage nécessite que le principal de service Defender for Cloud dispose du rôle StorageBlobDataReader sur le compte de stockage.
Pour les déploiements IaC, vérifiez qu’aucune dérive de configuration n’est effectuée en réexécutant votre modèle et en vérifiant l’idempotency.

Résoudre les problèmes courants

Le tableau suivant liste les problèmes courants de déploiement, les causes probables et les solutions recommandées.

Problème	Cause la plus probable	Résolution
L’activation du plan échoue au niveau de l’abonnement	Autorisations insuffisantes	Vérifiez que vous disposez du rôle Administrateur de sécurité ou Propriétaire sur l’abonnement.
Compte de stockage non protégé après l’activation au niveau de l’abonnement	Délai de propagation	La protection peut prendre jusqu’à 24 heures pour s’appliquer aux comptes existants.
Dérive de configuration après le déploiement ARM/Bicep	Paramètres conflictuels au niveau des ressources	Recherchez les remplacements au niveau des ressources à l'aide de `overrideSubscriptionLevelSettings`. Définissez la valeur sur `false` au niveau du compte de stockage afin d'hériter des paramètres de l'abonnement.
Approvisionnement automatique non activé sur les nouveaux abonnements	Azure Policy non attribuée	Attribuez à votre groupe d’administration la stratégie intégrée Configurer Microsoft Defender pour le stockage afin qu’il soit activé.
L’analyse antivirus ne se déclenche pas	Forfait activé, mais l’extension est désactivée	Vérifiez que l’extension `OnUploadMalwareScanning` est présente `isEnabled: True` dans votre modèle.

Dernière mise à jour : 2026-07-31

Activer Microsoft Defender pour le stockage à l’aide de l’approche Infrastructure as Code