Contrôles de conformité réglementaire d’Azure Policy pour Azure RBAC
Azure Policy permet d’appliquer des règles pour vos ressources Azure pour que votre infrastructure soit conforme aux standards de l’entreprise. La Conformité réglementaire d’Azure Policy fournit des définitions d’initiatives créées et gérées par Microsoft, qui sont dites intégrées, pour les domaines de conformité et les contrôles de sécurité associés à différents standards de conformité. Cette page liste les domaines de conformité et les contrôles de sécurité pour le contrôle d’accès en fonction du rôle Azure (Azure RBAC). Vous pouvez affecter les composants intégrés pour un contrôle de sécurité individuellement, afin de rendre vos ressources Azure conformes au standard spécifique.
Le titre de chaque définition de stratégie intégrée est un lien vers la définition de la stratégie dans le portail Azure. Utilisez le lien de la colonne Version de la stratégie pour voir la source dans le dépôt GitHub Azure Policy.
Important
Chaque contrôle est associé à une ou plusieurs définitions Azure Policy. Ces stratégies peuvent vous aider à évaluer la conformité avec le contrôle. Toutefois, il n’existe pas souvent de correspondance un-à-un ou parfaite entre un contrôle et une ou plusieurs stratégies. En tant que tel, Conforme dans Azure Policy fait seulement référence aux stratégies elles-même. Cela ne garantit pas que vous êtes entièrement conforme à toutes les exigences d’un contrôle. En outre, la norme de conformité comprend des contrôles qui ne sont traités par aucune définition Azure Policy pour l’instant. Par conséquent, la conformité dans Azure Policy n’est qu’une vue partielle de l’état de conformité global. Les associations entre les contrôles et les définitions de conformité réglementaire Azure Policy pour ces normes de conformité peuvent changer au fil du temps.
CIS Microsoft Azure Foundations Benchmark 2.0.0
Pour voir comment les composants intégrés Azure Policy disponibles de tous les services Azure répondent à cette norme de conformité, consultez Détails de la conformité réglementaire Azure Policy pour CIS v2.0.0. Pour plus d’informations sur cette norme de conformité, consultez CIS Microsoft Azure Foundations Benchmark.
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| 1 | 1.23 | Vérifier qu'aucun rôle d'administrateur d'abonnement personnalisé n'existe | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
CMMC niveau 3
Pour voir comment les composants intégrés Azure Policy de tous les services Azure répondent à ce standard de conformité, consultez Conformité réglementaire Azure Policy – CMMC niveau 3. Pour plus d’informations sur ce standard de conformité, consultez Cybersecurity Maturity Model Certification (CMMC).
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| Contrôle d’accès | AC.3.018 | Empêcher les utilisateurs non privilégiés d’exécuter des fonctions privilégiées et de capturer l’exécution de ces fonctions dans les journaux d’audit. | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
FedRAMP Niveau élevé
Pour voir le mappage entre les composants intégrés Azure Policy disponibles pour tous les services Azure et cette norme de conformité, consultez Conformité réglementaire d’Azure Policy – FedRAMP High. Pour plus d’informations sur cette norme de conformité, consultez FedRAMP High.
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| Contrôle d’accès | AC-2 | Gestion de compte | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Contrôle d’accès | AC-2 (7) | Schémas basés sur les rôles | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Contrôle d’accès | AC-6 | Privilège minimum | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Contrôle d’accès | AC-6 (7) | Révision des privilèges utilisateur | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
FedRAMP Niveau modéré
Pour voir le mappage entre les composants intégrés Azure Policy disponibles pour tous les services Azure et cette norme de conformité, consultez Conformité réglementaire d’Azure Policy – FedRAMP Moderate. Pour plus d’informations sur cette norme de conformité, consultez FedRAMP Moderate.
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| Contrôle d’accès | AC-2 | Gestion de compte | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Contrôle d’accès | AC-2 (7) | Schémas basés sur les rôles | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Contrôle d’accès | AC-6 | Privilège minimum | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
HIPAA HITRUST 9.2
Pour voir comment les composants intégrés Azure Policy disponibles pour tous les services Azure correspondent à ce standard de conformité, consultez Conformité réglementaire Azure Policy – HIPAA HITRUST 9.2. Pour plus d’informations sur cette norme de conformité, consultez HIPAA HITRUST 9.2.
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| 11 Contrôle d’accès | 1148.01c2System.78-01.c | 1148.01c2Système.78-01.c 01.02 Accès autorisé aux systèmes d’information | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| 12 Journalisation d’audit & Supervision | 1230.09c2Organizational.1-09.c | 1230.09c2Organisationnel.1-09.c 09.01 Procédures d’exploitation documentées | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
IRS 1075 septembre 2016
Pour voir comment les composants intégrés Azure Policy disponibles de tous les services Azure répondent à cette norme de conformité, consultez Conformité réglementaire Azure Policy – IRS 1075 septembre 2016. Pour plus d’informations sur cette norme de conformité, consultez IRS 1075 septembre 2016.
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| Contrôle d’accès | 9.3.1.2 | Gestion de compte (AC-2) | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
ISO 27001:2013
Pour voir comment les composants intégrés Azure Policy disponibles de tous les services Azure répondent à cette norme de conformité, consultez Conformité réglementaire Azure Policy – ISO 27001:2013. Pour plus d’informations sur cette norme de conformité, consultez ISO 27001:2013.
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| Contrôle d’accès | 9.2.3 | Gestion des droits d’accès privilégié | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
Benchmark de sécurité cloud Microsoft
Le point de référence de sécurité du cloud Microsoft fournit des recommandations sur la façon dont vous pouvez sécuriser vos solutions cloud sur Azure. Pour voir comment ce service correspond totalement au point de référence de sécurité du cloud Microsoft, consultez les fichiers de correspondance Azure Security Benchmark.
Pour voir comment les composants intégrés Azure Policy disponibles pour tous les services Azure correspondent à cette norme de conformité, consultez l’article Conformité réglementaire Azure Policy – Point de référence de sécurité du cloud Microsoft.
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| Accès privilégié | PA-7 | Suivre le principe Just Enough Administration (privilège minimum) | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Journalisation et détection des menaces | LT-1 | Activer les fonctionnalités de détection des menaces | L’approvisionnement automatique ciblé sur le serveur SQL doit être activé pour les serveurs SQL sur le plan des machines | 1.0.0 |
| Journalisation et détection des menaces | LT-2 | Activer la détection des menaces pour la gestion des identités et des accès | L’approvisionnement automatique ciblé sur le serveur SQL doit être activé pour les serveurs SQL sur le plan des machines | 1.0.0 |
| Réponse aux incidents | IR-3 | Détection et analyse : créer des incidents en fonction d’alertes de haute qualité | L’approvisionnement automatique ciblé sur le serveur SQL doit être activé pour les serveurs SQL sur le plan des machines | 1.0.0 |
| Réponse aux incidents | AIR-5 | Détection et analyse : classer par ordre de priorité les incidents | L’approvisionnement automatique ciblé sur le serveur SQL doit être activé pour les serveurs SQL sur le plan des machines | 1.0.0 |
NIST SP 800-171 R2
Pour voir comment les composants intégrés Azure Policy disponibles pour tous les services Azure correspondent à ce standard de conformité, consultez Conformité réglementaire Azure Policy – NIST SP 800-171 R2. Pour plus d’informations sur cette norme de conformité, consultez NIST SP 800-171 R2.
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| Contrôle d’accès | 3.1.1 | Limiter l’accès système aux utilisateurs autorisés, aux processus agissant au nom des utilisateurs autorisés, et aux appareils (y compris d’autres systèmes). | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Contrôle d’accès | 3.1.2 | Restreindre l’accès du système aux types de transactions et de fonctions que seuls les utilisateurs autorisés peuvent exécuter. | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Contrôle d’accès | 3.1.5 | Utiliser le principe des privilèges minimum, y compris pour les fonctions de sécurité et les comptes privilégiés. | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
NIST SP 800-53 Rev. 4
Pour voir comment les composants intégrés Azure Policy disponibles pour tous les services Azure correspondent à cette norme de conformité, consultez Conformité réglementaire Azure Policy – NIST SP 800-53 Rév. 4. Pour plus d’informations sur cette norme de conformité, consultez NIST SP 800-53 Rév. 4.
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| Contrôle d’accès | AC-2 | Gestion de compte | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Contrôle d’accès | AC-2 (7) | Schémas basés sur les rôles | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Contrôle d’accès | AC-6 | Privilège minimum | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Contrôle d’accès | AC-6 (7) | Révision des privilèges utilisateur | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
NIST SP 800-53 Rev. 5
Pour voir le mappage entre les composants intégrés Azure Policy disponibles pour tous les services Azure et cette norme de conformité, consultez Conformité réglementaire d’Azure Policy – NIST SP 800-53 Rev. 5. Pour plus d’informations sur cette norme de conformité, consultez NIST SP 800-53 Rev. 5.
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| Contrôle d’accès | AC-2 | Gestion de compte | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Contrôle d’accès | AC-2 (7) | Comptes d’utilisateur privilégiés | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Contrôle d’accès | AC-6 | Privilège minimum | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Contrôle d’accès | AC-6 (7) | Révision des privilèges utilisateur | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
Thème cloud BIO NL
Pour évaluer comment les composants intégrés Azure Policy disponibles pour tous les services Azure répondent à cette norme de conformité, consultez Détails de la conformité réglementaire Azure Policy pour le thème cloud BIO NL. Pour plus d’informations sur cette norme de conformité, consultez Cybersécurité du gouvernement de la sécurité des informations de référence - Digital Government (digitaleoverheid.nl).
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| U.07.3 Séparation des données - Fonctionnalités de gestion | U.07.3 | U.07.3 - Les privilèges permettant d’afficher ou de modifier les données CSC et/ou les clés de chiffrement sont accordés de manière contrôlée et l’utilisation est journalisée. | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| U.10.2 Accès aux services et données informatiques - Utilisateurs | U.10.2 | Sous la responsabilité du CSP, l’accès est accordé aux administrateurs. | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| U.10.3 Accès aux services et données informatiques - Utilisateurs | U.10.3 | Seuls les utilisateurs disposant d’un équipement authentifié peuvent accéder aux services et données informatiques. | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| U.10.5 Accès aux services et données informatiques - Compétent | U.10.5 | L’accès aux services et données informatiques est limité par les mesures techniques et a été implémenté. | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
PCI DSS 3.2.1
Pour voir comment les éléments intégrés Azure Policy disponibles pour tous les services Azure correspondent à cette norme de conformité, consultez PCI DSS 3.2.1. Pour plus d’informations sur cette norme de conformité, consultez PCI DSS 3.2.1.
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| Exigence 3 | 3.2 | Exigence PCI DSS 3.2 | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Exigence 7 | 7.2.1 | Exigence PCI DSS 7.2.1 | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Exigence 8 | 8.3.1 | Exigence PCI DSS 8.3.1 | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
PCI DSS v4.0
Pour voir comment les composants intégrés Azure Policy disponibles de tous les services Azure répondent à cette norme de conformité, consultez Conformité réglementaire Azure Policy pour PCI DSS v4.0. Pour plus d’informations sur ce standard de conformité, consultez PCI DSS v4.0.
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| Exigence 03 : Protéger les données de compte stockées | 3.3.3 | Les données d’authentification sensibles (SAD) ne sont pas stockées après l’autorisation | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Exigence 07 : Restreindre l’accès aux composants système et aux données de titulaires de carte aux seuls individus qui doivent les connaître | 7.3.1 | L’accès aux composants système et aux données est géré via un ou plusieurs systèmes de contrôle d’accès | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Exigence 08 : Identifier les utilisateurs et authentifier l’accès aux composants système | 8.4.1 | L’authentification multifacteur (MFA) est implémentée pour sécuriser l’accès au CDE | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
Reserve Bank of India – Infrastructure informatique pour NBFC
Pour évaluer comment les composants intégrés Azure Policy disponibles de tous les services Azure répondent à cette norme de conformité, consultez Conformité réglementaire Azure Policy - Reserve Bank of India - Infrastructure informatique pour NBFC. Pour plus d’informations sur cette norme de conformité, consultez Reserve Bank of India - Infrastructure informatique pour NBFC.
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| Informations et cybersécurité | 3.1.a | Identification and Classification of Information Assets-3.1 | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Informations et cybersécurité | 3.1.f | Maker-checker-3.1 | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
Banque de réserve de l’Inde – Infrastructure informatique pour les banques v2016
Pour voir comment les composants intégrés Azure Policy disponibles pour tous les services Azure répondent à cette norme de conformité, consultez Conformité réglementaire Azure Policy - RBI ITF Banks v2016. Pour plus d’informations sur cette norme de conformité, consultez RBI ITF Banks v2016 (PDF).
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| Contrôle d’accès/Gestion des utilisateurs | Gestion / Contrôle d’accès utilisateur-8.1 | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
RMIT Malaysia
Pour voir comment les composants intégrés Azure Policy disponibles de tous les services Azure répondent à cette norme de conformité, consultez Conformité réglementaire Azure Policy – RMIT Malaysia. Pour plus d’informations sur cette norme de conformité, consultez RMIT Malaysia.
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| Contrôle d’accès | 10.55 | Contrôle d’accès - 10.55 | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Contrôle d’accès | 10.60 | Contrôle d’accès - 10.60 | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Contrôle d’accès | 10.62 | Contrôle d’accès - 10.62 | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
Espagne - ENS
Pour savoir comment les composants intégrés Azure Policy disponibles de tous les services Azure répondent à cette norme de conformité, consultez les Détails de la conformité réglementaire d’Azure Policy de l’ENS (Espagne). Pour plus d’informations sur cette norme de conformité, consultez CCN-STIC 884.
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| Mesures de protection | mp.s.2 | Protection des services | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Infrastructure opérationnelle | op.acc.1 | Contrôle d’accès | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Infrastructure opérationnelle | op.acc.3 | Contrôle d’accès | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Infrastructure opérationnelle | op.acc.4 | Contrôle d’accès | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
| Infrastructure opérationnelle | op.acc.5 | Contrôle d’accès | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
Contrôles d’organisation et de Système (SOC) 2
Pour passer en revue la façon dont les intégrations Azure Policy disponibles pour tous les services Azure correspondent à cette norme de conformité, consultez Détails de la conformité réglementaire Azure Policy pour SOC (System and Organization Controls) 2. Pour obtenir plus d’informations sur cette norme de conformité, consultez SOC (System and Organization Controls) 2.
| Domain | ID du contrôle | Titre du contrôle | Policy (Portail Azure) |
Version de la stratégie (GitHub) |
|---|---|---|---|---|
| Contrôles d’accès logiques et physiques | CC6.3 | Accès basé sur un rôle et privilège minimum | Auditer l’utilisation des rôles RBAC personnalisés | 1.0.1 |
Étapes suivantes
- Apprenez-en davantage sur la Conformité réglementaire d’Azure Policy.
- Consultez les définitions intégrées dans le dépôt Azure Policy de GitHub.