Logic Apps 用の Azure セキュリティ ベースライン

  • [アーティクル]

このセキュリティ ベースラインは、 Microsoft クラウド セキュリティ ベンチマーク バージョン 1.0 のガイダンスを Logic Apps に適用します。 Microsoft クラウド セキュリティ ベンチマークでは、Azure 上のクラウド ソリューションをセキュリティで保護する方法に関する推奨事項が提供されます。 コンテンツは、Microsoft クラウド セキュリティ ベンチマークと Logic Apps に適用される関連ガイダンスによって定義されたセキュリティコントロールによってグループ化されます。

このセキュリティ ベースラインとその推奨事項は、Microsoft Defender for Cloud を使用して監視できます。 Azure Policy定義は、[クラウド ポータルのMicrosoft Defender] ページの [規制コンプライアンス] セクションに一覧表示されます。

機能に関連するAzure Policy定義がある場合は、Microsoft クラウド セキュリティ ベンチマークの制御と推奨事項への準拠を測定するのに役立つ、このベースラインに一覧表示されます。 一部の推奨事項では、特定のセキュリティ シナリオを有効にするために有料Microsoft Defenderプランが必要になる場合があります。

注意

Logic Apps に適用されない機能は除外されています。 Logic Apps が Microsoft クラウド セキュリティ ベンチマークに完全にマップされる方法については、 Logic Apps のセキュリティ ベースライン マッピング ファイル全体を参照してください。

セキュリティ プロファイル

セキュリティ プロファイルは、Logic Apps の影響の大きい動作をまとめたものです。これにより、セキュリティに関する考慮事項が高まる可能性があります。

サービス動作属性 値
製品カテゴリ 統合
お客様は HOST/OS にアクセスできます アクセス権なし
サービスは顧客の仮想ネットワークにデプロイできます ○
顧客のコンテンツを保存する ○

ネットワークのセキュリティ

詳細については、「 Microsoft クラウド セキュリティ ベンチマーク: ネットワーク セキュリティ」を参照してください。

NS-1: ネットワーク セグメント化の境界を確立する

機能

Virtual Network 統合

説明: サービスは、顧客のプライベート Virtual Network (VNet) へのデプロイをサポートします。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True False Customer

機能ノート: この機能は、Logic Apps Standard オファリングの App Services でサポートされています。 お客様は、ASE V3 を使用して Logic Apps Standard アプリをデプロイすることもできます。

構成ガイダンス: Logic Apps Standard アプリケーションを、いずれかのワークフロー標準 ASP または ASE V3 ベースの ASP にデプロイします。 お客様は、上記の推奨オプションの両方を使用して、VNET 統合とプライベート エンドポイントを構成できます。

リファレンス: Logic Apps Vnet 統合

ネットワーク セキュリティ グループのサポート

説明: サービス ネットワーク トラフィックは、サブネット上のネットワーク セキュリティ グループルールの割り当てを尊重します。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True False Customer

機能に関するメモ: Logic Apps Standard の場合、これは App Services と Functions を通じてサポートされます。

構成ガイダンス: ネットワーク セキュリティ グループ (NSG) を使用して、ポート、プロトコル、送信元 IP アドレス、または宛先 IP アドレスによってトラフィックを制限または監視します。 NSG 規則を作成して、サービスのオープン ポートを制限します (信頼されていないネットワークから管理ポートにアクセスできないようにするなど)。 既定では、NSG はすべての受信トラフィックを拒否しますが、仮想ネットワークと Azure Load Balancer からのトラフィックを許可することに注意してください。

注: Logic Apps Standard アプリケーションを、いずれかのワークフロー標準 ASP または ASE V3 ベースの ASP にデプロイします。 お客様は、上記の推奨オプションの両方を使用して、VNET 統合とプライベート エンドポイントを構成できます。 その後、お客様はサブネットに必要な NSG 規則を構成できます。

NS-2: ネットワーク制御を使用してクラウド サービスをセキュリティで保護する

機能

説明: ネットワーク トラフィックをフィルター処理するためのサービス ネイティブ IP フィルタリング機能 (NSG やAzure Firewallと混同しないように)。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True False Customer

機能に関するメモ: Logic Apps Standard の場合、これは App Services と Functions を通じてサポートされます。

構成ガイダンス: Logic Apps Standard アプリケーションを、いずれかのワークフロー標準 ASP または ASE V3 ベースの ASP にデプロイします。 お客様は、上記の推奨オプションの両方を使用して、VNET 統合とプライベート エンドポイントを構成できます。

リファレンス: Logic Apps のプライベート リンク

パブリック ネットワーク アクセスの無効化

説明: サービスでは、サービス レベルの IP ACL フィルター規則 (NSG またはAzure Firewallではなく) または [パブリック ネットワーク アクセスの無効化] トグル スイッチを使用して、パブリック ネットワーク アクセスを無効にできます。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True False Customer

機能ノート: この機能は、Azure アプリ Services for Logic Apps Standard でサポートされています。

構成ガイダンス: ASE v3 またはワークフロー標準アプリ サービス プランで Logic Apps Standard を使用して、パブリック ネットワーク アクセスを無効にします。 ASE v3 では、お客様は内部 ASE V3 を選択するように構成できます。 通常のワークフロー標準 App Service プランを使用すると、お客様はプライベート エンドポイントを有効にしてパブリック ネットワーク アクセスを無効にすることができます。

リファレンス: App Service アプリにプライベート エンドポイントを使用する

ID 管理

詳細については、「 Microsoft クラウド セキュリティ ベンチマーク: ID 管理」を参照してください。

IM-1: 一元的な ID および認証システムを使用する

機能

データ プレーン アクセスに必要な Azure AD Authentication

説明: サービスでは、データ プレーン アクセスに Azure AD 認証を使用できます。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True False Customer

機能ノート: この機能は、Logic Apps Standard モデルが App Services の上で実行されるため、Logic Apps の従量課金と Standard で異なるモデルを使用してサポートされています。

詳細については、 従量課金 と 標準に関するページを参照してください。

構成ガイダンス: データ プレーンアクセスを制御するための既定の認証方法として Azure Active Directory (Azure AD) を使用します。

リファレンス: Azure Logic Apps AAD 認証

データ プレーン アクセスのローカル認証方法

説明: ローカルユーザー名やパスワードなど、データ プレーンアクセスでサポートされるローカル認証方法。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True False Customer

機能に関するメモ: この機能は、Azure アプリ Services and Functions for Logic Apps Standard でサポートされています。 ローカル認証方法またはアカウントの使用は避けてください。これらは可能な限り無効にする必要があります。 代わりに、可能な場合は Azure AD を使用して認証します。

構成ガイダンス: データ プレーン へのアクセスに対するローカル認証方法の使用を制限します。 代わりに、データ プレーン アクセスを制御するための既定の認証方法として、Azure Active Directory (Azure AD) を使います。

リファレンス: Azure App ServiceとAzure Functionsでの認証と承認

IM-3: アプリケーション ID を安全かつ自動的に管理する

機能

マネージド ID

説明: データ プレーン アクションでは、マネージド ID を使用した認証がサポートされます。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True False Customer

機能に関するメモ: Logic Apps へのマネージド ID による認証がサポートされています。 さらに、サービス (Consumption と Standard の両方) は、マネージド ID を利用して他のサービスに対する認証を行うことができます。

詳細については、「 マネージド ID を使用した Logic Apps 認証」を参照してください。

構成ガイダンス: 可能な場合は、サービス プリンシパルの代わりに Azure マネージド ID を使用します。これにより、Azure Active Directory (Azure AD) 認証をサポートする Azure サービスとリソースに対して認証できます。 マネージド ID の資格情報は、プラットフォームによって完全に管理、ローテーション、保護されており、ソース コードまたは構成ファイル内でハードコーディングされた資格情報を使用せずに済みます。

リファレンス: 認証をサポートするコネクタの認証の種類

サービス プリンシパル

説明: データ プレーンでは、サービス プリンシパルを使用した認証がサポートされています。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True False Customer

機能に関するメモ: お客様は App Services Easy Auth を使用して、Standard オファリングでこのサポートを構成できます。 または、従量課金プランで AAD 認証サポートを使用することもできます。

構成ガイダンス: この機能の構成に関する現在の Microsoft ガイダンスはありません。 organizationがこのセキュリティ機能を構成するかどうかを確認して確認してください。

リファレンス: Logic Apps 要求トリガーの AAD 認証

IM-8: 資格情報とシークレットの公開を制限する

機能

Azure Key Vault での、サービス資格情報とシークレットの統合とストレージのサポート

説明: データ プレーンでは、資格情報とシークレット ストアに対する Azure Key Vaultのネイティブな使用がサポートされています。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True False Customer

機能ノート: Logic Apps Standard オファリングは、お客様がすべてのエンタープライズ統合シナリオで使用するために推奨される製品です。

Logic Apps Standard では、App Services に基づいているため、お客様はアプリ設定を使用してKey Vaultでシークレットを参照し、次にワークフローのアプリ設定を参照できます。

詳細については、「 プログラムによる Logic Apps 式からのアプリ設定へのアクセス」を参照してください。

構成ガイダンス: シークレットと資格情報は、コードファイルや構成ファイルに埋め込むのではなく、Azure Key Vaultなどのセキュリティで保護された場所に格納されていることを確認します。

リファレンス: Logic Apps の標準アプリ設定

特権アクセス

詳細については、「 Microsoft クラウド セキュリティ ベンチマーク: 特権アクセス」を参照してください。

PA-7: Just Enough Administration (最小限の特権の原則) に従う

特徴

Azure RBAC for Data Plane

説明: Azure Role-Based Access Control (Azure RBAC) を使用して、サービスのデータ プレーン アクションへのアクセスを管理できます。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
False 適用しない 適用しない

構成ガイダンス: この機能は、このサービスをセキュリティで保護するためにサポートされていません。

PA-8: クラウド プロバイダー サポートのアクセス プロセスを決定する

機能

カスタマー ロックボックス

説明: カスタマー ロックボックスは、Microsoft サポート へのアクセスに使用できます。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True False Customer

構成ガイダンス: Microsoft がデータにアクセスする必要があるサポート シナリオでは、カスタマー ロックボックスを使用して確認し、Microsoft の各データ アクセス要求を承認または拒否します。

リファレンス: Logic Apps カスタマー ロックボックス

データの保護

詳細については、「 Microsoft クラウド セキュリティ ベンチマーク: データ保護」を参照してください。

DP-2: 機密データをターゲットにした異常と脅威を監視する

機能

データ漏えい/損失防止

説明: サービスでは、機密データの移動 (顧客のコンテンツ内) を監視するための DLP ソリューションがサポートされています。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
False 適用しない 適用しない

構成ガイダンス: この機能は、このサービスをセキュリティで保護するためにサポートされていません。

DP-3: 転送中の機密データの暗号化

機能

転送中データの暗号化

説明: サービスでは、データ プレーンの転送中のデータ暗号化がサポートされています。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True True Microsoft

構成ガイダンス: これは既定のデプロイで有効になっているので、追加の構成は必要ありません。

リファレンス: ロジック アプリをセキュリティで保護する

DP-4: 保存データ暗号化を既定で有効にする

機能

プラットフォーム キーを使用した保存データの暗号化

説明: プラットフォーム キーを使用した保存データの暗号化がサポートされており、保存中のすべての顧客コンテンツは、これらの Microsoft マネージド キーで暗号化されます。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True True Microsoft

機能ノート: 従量課金プランの場合、顧客のデータは Microsoft マネージド ストレージ アカウントに格納され、保存時のストレージ暗号化機能を使用して保存時にデータが暗号化されます。

Standard オファリングの場合、お客様はストレージを管理します。

構成ガイダンス: これは既定のデプロイで有効になっているので、追加の構成は必要ありません。

DP-5: 必要に応じて保存データ暗号化でカスタマー マネージド キー オプションを使用する

機能

CMK を使用した保存データの暗号化

説明: カスタマー マネージド キーを使用した保存データの暗号化は、サービスによって格納される顧客コンテンツでサポートされています。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True False Customer

機能ノート: この機能は Logic Apps Standard でサポートされています。 Standard オファリングでは、ランタイム データを格納するための独自のストレージ アカウントを構成できます。 顧客はストレージを所有しているため、ストレージ アカウントで必要に応じて CMK ポリシーを構成できます。

構成ガイダンス: 規制コンプライアンスに必要な場合は、カスタマー マネージド キーを使用した暗号化が必要なユース ケースとサービス スコープを定義します。 それらのサービスでカスタマー マネージド キーを使って、保存データ暗号化を有効にして実装します。

DP-6: セキュア キー管理プロセスの使用

機能

Azure Key Vault でのキー管理

説明: このサービスでは、カスタマー キー、シークレット、または証明書に対する Azure Key Vault統合がサポートされています。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True False Customer

機能ノート: Logic Apps Standard は App Services と Functions の上で実行されるため、この機能は App Services を通じてサポートされます。

構成ガイダンス: Azure Key Vaultを使用して、キーの生成、配布、ストレージなど、暗号化キーのライフ サイクルを作成および制御します。 定義されたスケジュールに基づいて、またはキーの廃止や侵害が発生した場合に、Azure Key Vault とサービスのキーをローテーションして取り消します。 ワークロード、サービス、またはアプリケーション レベルでカスタマー マネージド キー (CMK) を使用する必要がある場合は、キー管理のベスト プラクティスに従ってください。キー階層を使用して、キー コンテナーにキー暗号化キー (KEK) を使用して個別のデータ暗号化キー (DEK) を生成します。 キーが Azure Key Vaultに登録され、サービスまたはアプリケーションのキー ID を介して参照されていることを確認します。 独自のキー (BYOK) をサービスに持ち込む必要がある場合 (オンプレミスの HSM から Azure Key Vaultに HSM で保護されたキーをインポートする場合など)、最初のキー生成とキー転送を実行するための推奨ガイドラインに従ってください。

DP-7: セキュリティで保護された証明書管理プロセスを使用する

機能

Azure Key Vault での証明書管理

説明: このサービスでは、顧客証明書に対する Azure Key Vault統合がサポートされています。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True False Customer

機能ノート: Logic Apps Standard では、この機能は、Key Vaultから証明書を参照する App Services のサポートを通じてサポートされます。

詳細については、「Key Vaultから証明書をインポートする」を参照してください。

構成ガイダンス: Azure Key Vaultを使用して、証明書の作成、インポート、ローテーション、失効、ストレージ、消去など、証明書のライフサイクルを作成および制御します。 キー サイズが不十分、有効期間が過度に長い、安全でない暗号化など、セキュリティで保護されていないプロパティを使用せずに、証明書の生成が定義された標準に従っていることを確認します。 定義されたスケジュールまたは証明書の有効期限に基づいて、Azure Key Vaultと Azure サービス (サポートされている場合) で証明書の自動ローテーションを設定します。 アプリケーションで自動ローテーションがサポートされていない場合は、Azure Key Vault とアプリケーションで手動の方法を使用してローテーションされていることを確認します。

アセット管理

詳細については、「 Microsoft クラウド セキュリティ ベンチマーク: 資産管理」を参照してください。

AM-2: 承認済みのサービスのみを使用する

機能

Azure Policy のサポート

説明: サービス構成は、Azure Policyを使用して監視および適用できます。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True False Customer

機能ノート: Logic Apps Standard が App Services 上で実行されると、お客様は App Services と Functions 用に構成する方法と同様のポリシーを構成できます。 これに加えて、Logic Apps 固有のポリシーも使用できます。

組み込みポリシーのApp Service

構成ガイダンス: Microsoft Defender for Cloud を使用して、Azure リソースの構成を監査および適用するためのAzure Policyを構成します。 Azure Monitor を使用し、リソースで構成の逸脱が検出されたときにアラートを作成します。 Azure Policy [deny] と [deploy if not exists] 効果を使用して、Azure リソース全体にセキュリティで保護された構成を適用します。

リファレンス: Logic Apps の組み込みポリシー

ログと脅威検出

詳細については、「 Microsoft クラウド セキュリティ ベンチマーク: ログ記録と脅威検出」を参照してください。

LT-1: 脅威検出機能を有効にする

機能

サービス/製品のオファリングのための Microsoft Defender

説明: サービスには、セキュリティの問題を監視してアラートを生成するためのオファリング固有のMicrosoft Defender ソリューションがあります。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True False Customer

機能ノート: この機能は、App Services for Logic Apps Standard でサポートされています。

構成ガイダンス: 管理プレーンのアクセスを制御するには、既定の認証方法として Azure Active Directory (Azure AD) を使用します。 Key VaultのMicrosoft Defenderからアラートを受け取ったら、アラートを調査して応答します。

リファレンス: Azure App Service Web アプリと API を保護するための Defender for App Serviceの概要

LT-4: セキュリティ調査のためのログを有効にする

特徴

Azure リソース ログ

説明: サービスは、強化されたサービス固有のメトリックとログを提供できるリソース ログを生成します。 お客様はこれらのリソース ログを構成し、ストレージ アカウントや Log Analytics ワークスペースなどの独自のデータ シンクに送信できます。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
True False Customer

構成ガイダンス: サービスのリソース ログを有効にします。 たとえば、Key Vaultでは、キー コンテナーからシークレットを取得するアクションや、データベースへの要求を追跡するリソース ログAzure SQLに対する追加のリソース ログがサポートされています。 リソース ログの内容は、Azure サービスとリソースの種類によって異なります。

リファレンス: Azure Logic Apps でのワークフローの診断データの監視と収集

バックアップと回復

詳細については、「 Microsoft クラウド セキュリティ ベンチマーク: バックアップと回復」を参照してください。

BR-1:定期的な自動バックアップを保証する

機能

Azure Backup

説明: サービスは、Azure Backup サービスによってバックアップできます。 詳細については、こちらを参照してください。

サポートされています 既定で有効 構成の責任
False 適用しない 適用しない

構成ガイダンス: この機能は、このサービスをセキュリティで保護するためにサポートされていません。

次のステップ