Azure Kubernetes Service (AKS) は安全なサービスとして、SOC、ISO、PCI DSS、HIPAA の各標準に準拠しています。 この記事では、AKS によって使用される Windows イメージに適用されるセキュリティ OS 構成について説明します。 このセキュリティ構成は、CIS ベンチマークに合わせた Azure X セキュリティ ベースラインに基づいています。 AKS のセキュリティについて詳しくは、「Azure Kubernetes Service (AKS) でのアプリケーションとクラスターに対するセキュリティの概念」をご覧ください。 AKS のセキュリティについて詳しくは、「Azure Kubernetes Service (AKS) でのアプリケーションとクラスターに対するセキュリティの概念」をご覧ください。 詳細については、Center for Internet Security (CIS) ベンチマークに関するページを参照してください。 Windows 用の Azure セキュリティ ベースラインの詳細については、「Windows セキュリティ ベースライン」をご覧ください。
Windows Server 2022
AKS クラスターは、セキュリティで保護された構成が組み込まれたオペレーティング システムを実行するホスト仮想マシンにデプロイされます。 このオペレーティング システムは、AKS で実行されているコンテナーに使用されます。 このホスト オペレーティング システムは、セキュリティ構成が適用された Windows Server 2022 イメージに基づいています。
セキュリティ最適化オペレーティング システムの一環として、次が挙げられます。
- AKS は、既定でセキュリティが最適化されたホスト OS を提供しますが、別のオペレーティング システムを選択するオプションはありません。
- セキュリティ最適化されたホスト OS は、AKS 専用に構築および保守されており、AKS プラットフォーム以外ではサポートされていません。
- 攻撃対象領域をさらに減らすため、OS では一部の不要なカーネル モジュール ドライバーが無効になっています。
注意
CIS ベンチマークとは関係なく、Azure では、AKS 仮想マシン ホストに対して更新プログラム (セキュリティ更新プログラムを含む) が毎日適用されます。
ホスト OS に組み込まれたセキュリティ構成の目標は、攻撃の対象となる領域を減らし、安全な方法でコンテナーをデプロイするために最適化することです。
CIS Azure Compute Microsoft Windows Server 2022 ベンチマーク v1.0.0 - 01-26-2023 推奨事項の結果を次に示します。
推奨事項の理由は次のいずれかになります。
- 運用への影響の可能性 - 推奨事項は、サービスに悪影響を及ぼす可能性があるため、適用されませんでした。
- その他でカバー - 推奨事項は、Azure クラウド コンピューティングの別のコントロールによってカバーされています。
実装される CIS ルールを次に示します。
| CIS 段落番号 | 推奨事項の説明 | Status | Reason |
|---|---|---|---|
| 1.1.1 | [パスワード履歴を適用する] が [24 以上のパスワード] に設定されていることを確認します | 失敗 | |
| 1.1.2 | [パスワードの有効期間] が [0 を除く 365 日以下] に設定されていることを確認します | パス | |
| 1.1.3 | [パスワードの変更禁止期間] が [1 日以上] に設定されていることを確認します | 失敗 | |
| 1.1.4 | [パスワードの最小文字数] が [14 文字以上] に設定されていることを確認します | 失敗 | |
| 1.1.5 | [パスワードでは、複雑さの要件を満たす必要がある] が [有効] に設定されていることを確認します | パス | |
| 1.1.6 | [暗号化を元に戻せる状態でパスワードを保存する] が [無効] に設定されていることを確認します | パス | |
| 2.2.1 | [信頼できる呼び出し元として資格情報マネージャーにアクセスする] が [なし] に設定されていることを確認します | パス | |
| 2.2.2 | [ネットワークからこのコンピューターにアクセスする] が [管理者、認証されたユーザー、エンタープライズ ドメイン コントローラー] に設定されていることを確認します (DC のみ) | 失敗 | |
| 2.2.4 | [オペレーティング システムの一部として機能] が [なし] に設定されていることを確認します | パス | |
| 2.2.5 | [ワークステーションをドメインに追加する] が [管理者] に設定されていることを確認します (DC のみ) | 該当なし | |
| 2.2.6 | [プロセスに対してメモリ クォータを調整する] が [管理者、ローカル サービス、ネットワーク サービス] に設定されていることを確認します | パス | |
| 2.2.7 | [ローカル ログオンを許可する] が [管理者] に設定されていることを確認します | 失敗 | |
| 2.2.8 | [リモート デスクトップ サービスを使ったログオンを許可する] が [管理者] に設定されていることを確認します (DC のみ) | パス | |
| 2.2.10 | [ファイルとディレクトリをバックアップする] が [管理者、バックアップ オペレーター] に設定されていることを確認します | パス | |
| 2.2.11 | [システム時刻の変更] が [管理者、ローカル サービス] に設定されていることを確認します | パス | |
| 2.2.12 | [タイム ゾーンの変更] が [管理者、ローカル サービス] に設定されていることを確認します | パス | |
| 2.2.13 | [ページファイルの作成] が [管理者] に設定されていることを確認します | パス | |
| 2.2.14 | [トークン オブジェクトの作成] が [なし] に設定されていることを確認します | パス | |
| 2.2.15 | [グローバル オブジェクトの作成] が [管理者、ローカル サービス、ネットワーク サービス、サービス] に設定されていることを確認します | パス | |
| 2.2.16 | [永続的な共有オブジェクト] が [なし] に設定されていることを確認します | パス | |
| 2.2.17 | [セットの作成] が [管理者] に設定されていることを確認します (DC のみ) | パス | |
| 2.2.19 | [プログラムのデバッグ] が [管理者] に設定されていることを確認します | パス | |
| 2.2.20 | [ネットワークからこのコンピューターへのアクセスを拒否する] に [ゲスト] が含まれていることを確認します | 失敗 | |
| 2.2.21 | [バッチ ジョブとしてのログオンを拒否する] に [ゲスト] が含まれていることを確認します | 失敗 | |
| 2.2.22 | [サービスとしてのログオンを拒否する] に [ゲスト] が含まれていることを確認します | 失敗 | |
| 2.2.23 | [ローカルでのログオンを拒否する] に [ゲスト] が含まれていることを確認します | 失敗 | |
| 2.2.24 | [リモート デスクトップ サービスを使ったログオンを拒否する] に [ゲスト] が含まれていることを確認します | 失敗 | |
| 2.2.25 | [コンピューターおよびユーザー アカウントが委任に対して信頼されるようにする] が [管理者] に設定されていることを確認します (DC のみ) | パス | |
| 2.2.27 | [リモート システムからの強制シャットダウン] が [管理者] に設定されていることを確認します | パス | |
| 2.2.28 | [セキュリティ監査の生成] が [ローカル サービス、ネットワーク サービス] に設定されていることを確認します | 該当なし | |
| 2.2.29 | [認証後にクライアントを借用する] が [管理者、ローカル サービス、ネットワーク サービス、サービス] に設定されていることを確認します (DC のみ) | パス | |
| 2.2.31 | [スケジューリングでの優先度を上げる] が [管理者] に設定されていることを確認します | 失敗 | |
| 2.2.32 | [デバイス ドライバーをロードおよびアンロードする] が [管理者] に設定されていることを確認します | パス | |
| 2.2.33 | [メモリ内のページのロック] が [なし] に設定されていることを確認します | パス | |
| 2.2.34 | [監査とセキュリティ ログの管理] が [管理者] および [Exchange サーバー] (Exchange を環境で実行している場合) に設定されていることを確認します (DC のみ) | パス | |
| 2.2.36 | [オブジェクト ラベルを変更する] が [なし] に設定されていることを確認します | パス | |
| 2.2.37 | [ファームウェア環境値を変更する] が [管理者] に設定されていることを確認します | パス | |
| 2.2.38 | [ボリュームの保守タスクを実行] が [管理者] に設定されていることを確認します | パス | |
| 2.2.39 | [単一プロセスのプロファイル] が [管理者] に設定されていることを確認します | パス | |
| 2.2.40 | [システム パフォーマンスのプロファイル] が [管理者、NT SERVICE\WdiServiceHost] に設定されていることを確認します | パス | |
| 2.2.41 | [プロセス レベル トークンの置き換え] が [ローカル サービス、ネットワーク サービス] に設定されていることを確認します | パス | |
| 2.2.42 | [ファイルとディレクトリを復元する] が [管理者、バックアップ オペレーター] に設定されていることを確認します | パス | |
| 2.2.43 | [システムのシャットダウン] が [管理者、バックアップ オペレーター] に設定されていることを確認します | パス | |
| 2.2.44 | [ディレクトリ サービス データを同期] が [なし] に設定されていることを確認します (DC のみ) | 該当なし | |
| 2.2.45 | [ファイルとその他のオブジェクトの所有権の取得] が [管理者] に設定されていることを確認します | パス | |
| 2.3.1.1 | [アカウント: Microsoft アカウントをブロックする] が [ユーザーは Microsoft アカウントの追加やログオンができない] に設定されていることを確認します | パス | |
| 2.3.1.3 | [アカウント: 空白のパスワードのローカル アカウントの使用をコンソール ログオンのみに制限する] が [有効] に設定されていることを確認します | パス | |
| 2.3.1.4 | [アカウント: 管理者アカウントの名前を変更する] を構成します | パス | |
| 2.3.1.5 | [アカウント: ゲスト アカウントの名前を変更する] を構成します | パス | |
| 2.3.2.1 | [監査: 監査ポリシー サブカテゴリの設定 (Windows Vista 以降) を強制して、監査ポリシー カテゴリの設定をオーバーライドする] が [有効] に設定されていることを確認します | パス | |
| 2.3.2.2 | [監査: セキュリティ監査のログを記録できない場合は、直ちにシステムをシャットダウンする] が [無効] に設定されていることを確認します | パス | |
| 2.3.4.1 | [デバイス: リムーバブル メディアのフォーマットと取り出しを許可する] が [管理者] に設定されていることを確認します | パス | |
| 2.3.4.2 | [デバイス: ユーザーがプリンター ドライバーをインストールできないようにする] が [有効] に設定されていることを確認します | パス | |
| 2.3.5.1 | [ドメイン コントローラー: サーバー オペレーターによるタスクのスケジュール設定を許可する] が [無効] に設定されていることを確認します (DC のみ) | 該当なし | |
| 2.3.5.2 | [ドメイン コントローラー: 脆弱性のある Netlogon のセキュリティで保護されたチャネル接続を許可する] が [未構成] に設定されていることを確認します (DC のみ) | 該当なし | |
| 2.3.5.3 | [ドメイン コントローラー: LDAP サーバーのチャネル バインド トークンの要件] が [常にオン] に設定されていることを確認します (DC のみ) | 該当なし | |
| 2.3.5.4 | [ドメイン コントローラー: LDAP サーバーの署名要件] が [署名を必須にする] に設定されていることを確認します (DC のみ) | 該当なし | |
| 2.3.5.5 | [ドメイン コントローラー: マシン アカウント パスワードの変更を拒否する] が [無効] に設定されていることを確認します (DC のみ) | 該当なし | |
| 2.3.6.1 | [Domain member: Digitally encrypt or sign secure channel data (always)](ドメイン メンバー: セキュリティで保護されたチャネルのデータをデジタルで暗号化または署名します (常時)) を [有効] に確実に設定する | パス | |
| 2.3.6.2 | [Domain member: Digitally encrypt secure channel data (when possible)](ドメイン メンバー: セキュリティで保護されたチャネルのデータをデジタルで暗号化します (可能な場合)) を [有効] に確実に設定する | パス | |
| 2.3.6.3 | [Domain member: Digitally sign secure channel data (when possible)](ドメイン メンバー: セキュリティで保護されたチャネルのデータにデジタル署名します (可能な場合)) を [有効] に確実に設定する | パス | |
| 2.3.6.4 | [Domain member: Disable machine account password changes](ドメイン メンバー: マシン アカウントのパスワードの変更を無効にします) を [無効] に確実に設定する | パス | |
| 2.3.6.5 | [Domain member: Maximum machine account password age](ドメイン メンバー: マシン アカウントのパスワード変更の最大有効期間) を [30 or fewer days, but not 0](0 を除く 30 日以下) に確実に設定する | パス | |
| 2.3.7.1 | [対話型ログオン: マシンのアイドル時間の制限] が [0 を除く 900 日以下] に設定されていることを確認します | パス | |
| 2.3.7.2 | [対話型ログオン: ログオンしようとしているユーザーのメッセージ テキスト] を構成します | 失敗 | |
| 2.3.7.3 | [対話型ログオン: ログオンしようとしているユーザーのメッセージ タイトル] を構成します | 失敗 | |
| 2.3.7.4 | [対話型ログオン: 有効期限が切れる前にパスワードの変更をユーザーに促す] が [5 - 14 日] に設定されていることを確認します | パス | |
| 2.3.8.1 | [Microsoft ネットワーク クライアント: 通信にデジタル署名を行う (常に)] が [有効] に設定されていることを確認します | 失敗 | |
| 2.3.8.2 | [Microsoft ネットワーク クライアント: 通信にデジタル署名を行う (サーバーが同意する場合)] が [有効] に設定されていることを確認します | パス | |
| 2.3.8.3 | [Microsoft ネットワーク クライアント: サード パーティ製の SMB サーバーに、パスワードを暗号化しないで送信する] が [無効] に設定されていることを確認します | パス | |
| 2.3.9.1 | [Microsoft ネットワーク サーバー: セッションを中断する前に必要なアイドル時間の長さ] が [15 分以下] に設定されていることを確認します | パス | |
| 2.3.9.2 | [Microsoft ネットワーク サーバー: 通信にデジタル署名を行う (常に)] が [有効] に設定されていることを確認します | 失敗 | |
| 2.3.9.3 | [Microsoft ネットワーク サーバー: 通信にデジタル署名を行う (クライアントが同意する場合)] が [有効] に設定されていることを確認します | 失敗 | |
| 2.3.9.4 | [Microsoft ネットワーク サーバー: ログオン時間を超過するとクライアントを切断する] が [有効] に設定されていることを確認します | パス | |
| 2.3.10.1 | [ネットワーク アクセス: 匿名 SID/名前変換を許可する] が [無効] に設定されていることを確認します | パス | |
| 2.3.10.4 | [ネットワーク アクセス: Everyone アクセス権を匿名ユーザーに適用する] が [無効] に設定されていることを確認します | パス | |
| 2.3.10.5 | [ネットワーク アクセス: 匿名でアクセス可能な名前付きパイプ] を構成します (DC のみ) | パス | |
| 2.3.10.7 | [ネットワーク アクセス: リモートからアクセスできるレジストリのパス] を構成します | パス | |
| 2.3.10.8 | [ネットワーク アクセス: リモートからアクセスできるレジストリのパスとサブパス] を構成します | パス | |
| 2.3.10.9 | [ネットワーク アクセス: 匿名アクセスを名前付きパイプと共有に制限する] が [有効] に設定されていることを確認します | パス | |
| 2.3.10.11 | [ネットワーク アクセス: 匿名でアクセスできる共有] が [なし] に設定されていることを確認します | 該当なし | |
| 2.3.10.12 | [ネットワーク アクセス: 共有とローカル アカウントのセキュリティ モデル] が [クラシック - ローカル ユーザーがローカル ユーザーとして認証する] に設定されていることを確認します | パス | |
| 2.3.11.1 | [ネットワーク セキュリティ: NTLM で Local System によるコンピューター ID の使用を許可する] が [有効] に設定されていることを確認します | 失敗 | |
| 2.3.11.2 | [ネットワーク セキュリティ: LocalSystem NULL セッション フォールバックを許可する] が [無効] に設定されていることを確認します | パス | |
| 2.3.11.3 | [ネットワーク セキュリティ: このコンピューターに対する PKU2U 認証要求でオンライン ID を使用することを許可する] が [無効] に設定されていることを確認します | パス | |
| 2.3.11.4 | [ネットワーク セキュリティ: Kerberos で許可する暗号化の種類を構成する] が [AES128_HMAC_SHA1、AES256_HMAC_SHA1、Future 暗号化の種類] に設定されていることを確認します | パス | |
| 2.3.11.5 | [ネットワークセキュリティ: 次のパスワードの変更で LAN Manager のハッシュ値を保存しない] が [有効] に設定されていることを確認します | パス | |
| 2.3.11.6 | [ネットワークセキュリティ: LAN Manager 認証レベル] が [NTLMv2 応答のみ送信。 LM と NTLM を拒否する' | 失敗 | |
| 2.3.11.7 | [ネットワーク セキュリティ: LDAP クライアントの署名要件] が [ネゴシエート署名] 以上に設定されていることを確認します | パス | |
| 2.3.11.8 | [ネットワーク セキュリティ: NTLM SSP ベース (セキュア RPC を含む) のクライアント向け最小セッション セキュリティ] が [NTLMv2 セッション セキュリティを必須にし、128 ビット暗号化を必須にする] に設定されていることを確認します | 失敗 | |
| 2.3.11.9 | [ネットワーク セキュリティ: NTLM SSP ベース (セキュア RPC を含む) のサーバー向け最小セッション セキュリティ] が [NTLMv2 セッション セキュリティを必須にし、128 ビット暗号化を必須にする] に設定されていることを確認します | 失敗 | |
| 2.3.13.1 | [シャットダウン: システムのシャットダウンにログオンを必要としない] が [無効] に設定されていることを確認します | パス | |
| 2.3.15.1 | [システム オブジェクト: Windows システムではないサブシステムのための大文字と小文字の区別をしないことを必須にする] が [有効] に設定されていることを確認します | パス | |
| 2.3.15.2 | [システム オブジェクト: 内部システム オブジェクト (シンボリック リンクなど) の既定のアクセス許可を強化する] が [有効] に設定されていることを確認します | パス | |
| 2.3.17.1 | [ユーザー アカウント制御: あらかじめ登録された Administrator アカウントのための管理者承認モード] が [有効] に設定されていることを確認します | 失敗 | |
| 2.3.17.2 | [ユーザー アカウント制御: 管理者承認モードでの管理者に対する昇格時のプロンプトの動作] が [セキュリティで保護されたデスクトップで同意を要求する] に設定されていることを確認します | 失敗 | |
| 2.3.17.3 | [ユーザー アカウント制御: 標準ユーザーに対する昇格時のプロンプトの動作] が [昇格要求を自動的に拒否する] に設定されていることを確認します | 失敗 | |
| 2.3.17.4 | [ユーザー アカウント制御: アプリケーションのインストールを検出し、昇格をプロンプトする] が [有効] に設定されていることを確認します | パス | |
| 2.3.17.5 | [ユーザー アカウント制御: セキュリティで保護された場所にインストールされている UIAccess アプリケーションのみを昇格させる] が [有効] に設定されていることを確認します | パス | |
| 2.3.17.6 | [ユーザー アカウント制御: すべての管理者を管理者承認モードで実行する] が [有効] に設定されていることを確認します | パス | |
| 2.3.17.7 | [ユーザー アカウント制御: 昇格を求めるメッセージが表示されたら、セキュリティで保護されたデスクトップに切り替える] が [有効] に設定されていることを確認します | パス | |
| 2.3.17.8 | [ユーザー アカウント制御: ユーザーごとの場所にファイルとレジストリの書き込みエラーを仮想化する] が [有効] に設定されていることを確認します | パス | |
| 5.1 | [印刷スプーラー (スプーラー)] が [無効] に設定されていることを確認します (DC のみ) | 該当なし | |
| 9.1.1 | [Windows ファイアウォール: ドメイン: ファイアウォールの状態] が [オン (推奨)] に設定されていることを確認します | 失敗 | |
| 9.1.2 | [Windows ファイアウォール: ドメイン: 受信接続] が [ブロック (既定)] に設定されていることを確認します | パス | |
| 9.1.3 | [Windows ファイアウォール: ドメイン: 送信接続] が [許可 (既定)] に設定されていることを確認します | パス | |
| 9.1.4 | [Windows ファイアウォール: ドメイン: ログ] が [%SystemRoot%\System32\logfiles\firewall\domainfw.log] に設定されていることを確認します | パス | |
| 9.1.5 | [Windows ファイアウォール: ドメイン: ログ: サイズ制限 (KB)] が [16,384 KB 以上] に設定されていることを確認します | パス | |
| 9.1.6 | [Windows ファイアウォール: ドメイン: ログ: 破棄されたパケットをログする] が [はい] に設定されていることを確認します | パス | |
| 9.1.7 | [Windows ファイアウォール: ドメイン: ログ: 成功した接続をログする] が [はい] に設定されていることを確認します | 失敗 | |
| 9.2.1 | [Windows ファイアウォール: プライベート: ファイアウォールの状態] が [オン (推奨)] に設定されていることを確認します | 失敗 | |
| 9.2.2 | [Windows ファイアウォール: プライベート: 受信接続] が [ブロック (既定)] に設定されていることを確認します | パス | |
| 9.2.3 | [Windows ファイアウォール: プライベート: 送信接続] が [許可 (既定)] に設定されていることを確認します | 失敗 | |
| 9.2.4 | [Windows ファイアウォール: プライベート: ログ] が [%SystemRoot%\System32\logfiles\firewall\privatefw.log] に設定されていることを確認します | パス | |
| 9.2.5 | [Windows ファイアウォール: プライベート: ログ: サイズ制限 (KB)] が [16,384 KB 以上] に設定されていることを確認します | パス | |
| 9.2.6 | [Windows ファイアウォール: プライベート: ログ: 破棄されたパケットをログする] が [はい] に設定されていることを確認します | パス | |
| 9.2.7 | [Windows ファイアウォール: プライベート: ログ: 成功した接続をログする] が [はい] に設定されていることを確認します | パス | |
| 9.3.1 | [Windows ファイアウォール: パブリック: ファイアウォールの状態] が [オン (推奨)] に設定されていることを確認します | 失敗 | |
| 9.3.2 | [Windows ファイアウォール: パブリック: 受信接続] が [ブロック (既定)] に設定されていることを確認します | パス | |
| 9.3.3 | [Windows ファイアウォール: パブリック: 送信接続] が [許可 (既定)] に設定されていることを確認します | 失敗 | |
| 9.3.4 | [Windows ファイアウォール: パブリック: ログ] が [%SystemRoot%\System32\logfiles\firewall\publicfw.log] に設定されていることを確認します | パス | |
| 9.3.5 | [Windows ファイアウォール: パブリック: ログ: サイズ制限 (KB)] が [16,384 KB 以上] に設定されていることを確認します | 失敗 | |
| 9.3.6 | [Windows ファイアウォール: パブリック: ログ: 破棄されたパケットをログする] が [はい] に設定されていることを確認します | パス | |
| 9.3.7 | [Windows ファイアウォール: パブリック: ログ: 成功した接続をログする] が [はい] に設定されていることを確認します | パス | |
| 17.1.1 | [資格情報の検証の監査] が [成功と失敗] に設定されていることを確認します | パス | |
| 17.1.2 | [Kerberos 認証サービスの監査] が [成功と失敗] に設定されていることを確認します (DC のみ) | パス | |
| 17.2.1 | [コンピューター アカウントの管理の監査] が [成功と失敗] を含めるように設定されていることを確認します (DC のみ) | パス | |
| 17.2.2 | [配布グループの管理の監査] が [成功と失敗] を含めるように設定されていることを確認します (DC のみ) | パス | |
| 17.2.3 | [その他のアカウント管理イベントの監査] が [成功] を含めるように設定されていることを確認します (DC のみ) | パス | |
| 17.2.4 | [セキュリティ グループの管理の監査] が [成功] を含めるように設定されていることを確認します | パス | |
| 17.2.5 | [ユーザー アカウントの管理の監査] が [成功と失敗] に設定されていることを確認します | パス | |
| 17.3.1 | [PNP アクティビティの監査] が [成功] を含めるように設定されていることを確認します | パス | |
| 17.3.2 | [プロセスの作成の監査] が [成功] を含めるように設定されていることを確認します | パス | |
| 17.5.1 | [アカウント ロックアウトの監査] が [成功と失敗] を含めるように設定されていることを確認します | パス | |
| 17.5.2 | [グループ メンバーシップの監査] が [成功] を含めるように設定されていることを確認します | パス | |
| 17.5.3 | [ログオフの監査] が [成功] を含めるように設定されていることを確認します | パス | |
| 17.5.4 | [ログオンの監査] が [失敗] に設定されていることを確認します | パス | |
| 17.5.5 | [その他のログオン/ログオフ イベントの監査] が [成功と失敗] に設定されていることを確認します | パス | |
| 17.5.6 | [特別なログオンの監査] が [成功] を含めるように設定されていることを確認します | パス | |
| 17.6.1 | [その他のオブジェクト アクセス イベントの監査] が [成功と失敗] に設定されていることを確認します | 失敗 | |
| 17.6.2 | [リムーバブル記憶域の監査] が [成功と失敗] に設定されていることを確認します | 失敗 | |
| 17.7.1 | [監査ポリシー変更の監査] が [成功] を含めるように設定されていることを確認します | パス | |
| 17.7.2 | [認証ポリシーの変更の監査] が [成功] を含めるように設定されていることを確認します | パス | |
| 17.7.3 | [MPSSVC ルールレベル ポリシーの変更の監査] が [成功と失敗] に設定されていることを確認します | 失敗 | |
| 17.8.1 | [機密性が高い特権の使用の監査] が [成功と失敗] に設定されていることを確認します | パス | |
| 17.9.1 | [セキュリティ状態の変更の監査] が [成功] を含めるように設定されていることを確認します | 失敗 | |
| 17.9.2 | [セキュリティ システム拡張機能の監査] が [成功] を含めるように設定されていることを確認します | パス | |
| 17.9.3 | [システムの整合性の監査] が [成功と失敗] に設定されていることを確認します | パス | |
| 18.1.2.2 | [ユーザーがオンライン音声認識サービスを有効にすることを許可する] が [無効] に設定されていることを確認します | 失敗 | |
| 18.3.1 | [SMB v1 クライアント ドライバーを構成する] が [有効: ドライバーを無効にする (推奨)] に設定されていることを確認します | パス | |
| 18.3.2 | [SMB v1 サーバーを構成する] が [無効] に設定されていることを確認します | パス | |
| 18.3.3 | [構造化例外処理の上書き保護 (SEHOP) を有効にする] が [有効] に設定されていることを確認します | パス | |
| 18.3.4 | [NetBT NodeType の構成] が [有効: P ノード (推奨)] に設定されていることを確認します | パス | |
| 18.3.5 | [WDigest 認証] が [無効] に設定されていることを確認します | パス | |
| 18.4.1 | [MSS: (DisableIPSourceRouting IPv6) IP ソース ルーティング保護レベル (パケット スプーフィングからの保護)] が [有効: 最高レベルの保護、ソース ルーティングが完全に無効になります] に設定されていることを確認します | パス | |
| 18.4.2 | [MSS: (DisableIPSourceRouting) IP ソース ルーティング保護レベル (パケット スプーフィングからの保護)] が [有効: 最高レベルの保護、ソース ルーティングが完全に無効になります] に設定されていることを確認します | パス | |
| 18.4.3 | [MSS: (EnableICMPRedirect) ICMP リダイレクトを許可して OSPF で生成されたルートをオーバーライドする] が [無効] に設定されていることを確認します | 失敗 | |
| 18.4.4 | [MSS: (NoNameReleaseOnDemand) コンピューターが WINS サーバーを除く NetBIOS 名のリリース要求を無視できるようにする] が [有効] に設定されていることを確認します | パス | |
| 18.5.4.1 | [マルチキャスト名前解決をオフにする] が [有効] に設定されていることを確認します | 失敗 | |
| 18.5.8.1 | [安全でないゲスト ログオンを有効にする] が [無効] に設定されていることを確認します | 失敗 | |
| 18.5.11.2 | [DNS ドメイン ネットワーク上でのネットワーク ブリッジのインストールおよび構成を禁止する] が [有効] に設定されていることを確認します | 失敗 | |
| 18.5.11.3 | [DNS ドメイン ネットワークでのインターネット接続共有の使用を禁止する] が [有効] に設定されていることを確認します | 失敗 | |
| 18.5.14.1 | [書き込み済み UNC パス] が [有効] に設定されており、すべての NETLOGON と SYSVOL 共有に対して [相互認証を必須にする] と [整合性を必須にする] が設定されていることを確認します | パス | |
| 18.5.21.1 | [インターネットまたは Windows ドメインへの同時接続の数を最小化する] が [有効: 1 = 同時接続を最小化する] に設定されていることを確認します | パス | |
| 18.8.3.1 | [プロセス作成イベントにコマンド ラインを含める] が [有効] に設定されていることを確認します | 失敗 | |
| 18.8.4.1 | [暗号化オラクルの修復] が [有効: 更新されたクライアントに強制する] に設定されていることを確認します | パス | |
| 18.8.4.2 | [リモート ホストでは、エクスポートできない資格情報を委任できます] が [有効] に設定されていることを確認します | パス | |
| 18.8.14.1 | [ブート開始ドライバーの初期化ポリシー] が [有効: 良好、不明、および不良 (ブートに不可欠)] に設定されていることを確認します | パス | |
| 18.8.21.2 | [Configure registry policy processing: Do not apply during periodic background processing](レジストリ ポリシーの処理を構成する: バックグラウンドで定期的に処理しているときは適用しない) を [Enabled: FALSE](有効: FALSE) に確実に設定する | パス | |
| 18.8.21.3 | [Configure registry policy processing: Process even if the Group Policy objects have not changed](レジストリ ポリシーの処理を構成する: グループ ポリシー オブジェクトが変更されていなくても処理する) を [Enabled: TRUE](有効: TRUE) に確実に設定する | パス | |
| 18.8.21.4 | [このデバイスでのエクスペリエンスを続行する] を必ず [無効] に設定してください | パス | |
| 18.8.21.5 | [バックグラウンドでのグループ ポリシーの更新をオフにする] が [無効] に設定されていることを確認します | パス | |
| 18.8.22.1.1 | [プリンター ドライバーの HTTP 経由でのダウンロードをオフにする] が [有効] に設定されていることを確認します | 失敗 | |
| 18.8.28.1 | [ユーザーがサインイン時にアカウントの詳細を表示できないようにする] が [有効] に設定されていることを確認します | 失敗 | |
| 18.8.28.2 | [ネットワークの選択の UI を表示しない] が [有効] に設定されていることを確認します | 失敗 | |
| 18.8.36.1 | [リモート アシスタンスを提供する機能を構成する] が [無効] に設定されていることを確認します | パス | |
| 18.8.36.2 | [要請されたリモート アシスタンス設定を構成する] が [無効] に設定されていることを確認します | 失敗 | |
| 18.8.40.1 | [認証中に ROCA に脆弱な WHfB キーの検証を構成する] が [有効: 監査] 以上に設定されていることを確認します (DC のみ) | 該当なし | |
| 18.9.6.1 | [Microsoft アカウントを省略可能にする] が [有効] に設定されていることを確認します | 失敗 | |
| 18.9.14.1 | [クラウド コンシューマー アカウントの状態コンテンツを無効にする] が [有効] に設定されていることを確認します | パス | |
| 18.9.14.2 | [Mirosoft コンシューマー エクスペリエンスを無効にする] が [有効] に設定されていることを確認します | パス | |
| 18.9.16.1 | [[パスワードの表示] ボタンを非表示にする] が [有効] に設定されていることを確認します | 失敗 | |
| 18.9.16.2 | [昇格時に管理者アカウントを列挙する] が [無効] に設定されていることを確認します | パス | |
| 18.9.17.1 | [診断データを許可する] が [有効: 必須の診断データを送信する] に設定されていることを確認します | 失敗 | |
| 18.9.27.1.1 | [アプリケーション: ログ ファイルが最大サイズに達したときのイベント ログの動作を制御する] が [無効] に設定されていることを確認します | パス | |
| 18.9.27.1.2 | [アプリケーション: ログ ファイルの最大サイズ (KB) を指定する] が [有効: 32,768 以上] に設定されていることを確認します | 失敗 | |
| 18.9.27.2.1 | [セキュリティ: ログ ファイルが最大サイズに達したときのイベント ログの動作を制御する] が [無効] に設定されていることを確認します | パス | |
| 18.9.27.2.2 | [セキュリティ: ログ ファイルの最大サイズ (KB) を指定する] が [有効: 196,608 以上] に設定されていることを確認します | 失敗 | |
| 18.9.27.3.1 | [セットアップ: ログ ファイルが最大サイズに達したときのイベント ログの動作を制御する] が [無効] に設定されていることを確認します | パス | |
| 18.9.27.3.2 | [セットアップ: ログ ファイルの最大サイズ (KB) を指定する] が [有効: 32,768 以上] に設定されていることを確認します | 失敗 | |
| 18.9.27.4.1 | [システム: ログ ファイルが最大サイズに達したときのイベント ログの動作を制御する] が [無効] に設定されていることを確認します | パス | |
| 18.9.27.4.2 | [システム: ログ ファイルの最大サイズ (KB) を指定する] が [有効: 32,768 以上] に設定されていることを確認します | 失敗 | |
| 18.9.31.2 | [エクスプローラーのデータ実行防止をオフにする] が [無効] に設定されていることを確認します | パス | |
| 18.9.31.3 | [破損後のヒープ終了を無効にする] が [無効] に設定されていることを確認します | パス | |
| 18.9.31.4 | [シェル プロトコルの保護モードをオフにする] が [無効] に設定されていることを確認します | パス | |
| 18.9.46.1 | [コンシューマー Microsoft アカウントのユーザー認証をすべてブロックする] が [有効] に設定されていることを確認します | パス | |
| 18.9.47.15 | [不要な可能性があるアプリケーションの検出を構成する] が [有効: ブロック] に設定されていることを確認します | パス | |
| 18.9.47.16 | [Microsoft Defender ウイルス対策を無効にする] が [無効] に設定されていることを確認します | パス | |
| 18.9.47.4.1 | [Microsoft MAPS へのレポートに対してローカル設定のオーバーライドを構成する] が [無効] に設定されていることを確認します | パス | |
| 18.9.47.5.1.1 | [攻撃面の減少ルールを構成する] が [有効] に設定されていることを確認します | パス | |
| 18.9.47.5.1.2 | [攻撃面の減少ルールを構成する: 各 ASR ルールの状態を設定する] が構成されていることを確認します | パス | |
| 18.9.47.5.3.1 | [ユーザーとアプリが危険な Web サイトにアクセスできないようにする] が [有効: ブロック] に設定されていることを確認します | パス | |
| 18.9.47.9.1 | [ダウンロードしたすべてのファイルと添付ファイルをスキャンする] が [有効] に設定されていることを確認します | パス | |
| 18.9.47.9.2 | [リアルタイム保護をオフにする] が [無効] に設定されていることを確認します | パス | |
| 18.9.47.9.3 | [動作の監視をオンにする] が [有効] に設定されていることを確認します | パス | |
| 18.9.47.9.4 | [スクリプトのスキャンをオンにする] が [有効] に設定されていることを確認します | パス | |
| 18.9.47.12.1 | [電子メールのスキャンをオンにする] が [有効] に設定されていることを確認します | 失敗 | |
| 18.9.65.2.2 | [パスワードの保存を許可しない] が [有効] に設定されていることを確認します | 失敗 | |
| 18.9.65.3.3.1 | [ドライブのリダイレクトを許可しない] が [有効] に設定されていることを確認します | パス | |
| 18.9.65.3.9.1 | [接続するたびにパスワードを要求する] が [有効] に設定されていることを確認します | 失敗 | |
| 18.9.65.3.9.2 | [セキュリティで保護された RPC 通信を必須にする] が [有効] に設定されていることを確認します | 失敗 | |
| 18.9.65.3.9.3 | [クライアント接続の暗号化レベルを設定する] が [有効: 高レベル] に設定されていることを確認します | パス | |
| 18.9.65.3.11.1 | [終了時に一時フォルダーを削除しない] が [無効] に設定されていることを確認します | パス | |
| 18.9.65.3.11.2 | [セッションごとの一時フォルダーを使用しない] が [無効] に設定されていることを確認します | パス | |
| 18.9.66.1 | [エンクロージャのダウンロードの禁止] が [有効] に設定されていることを確認します | 失敗 | |
| 18.9.67.2 | [暗号化されたファイルのインデックス作成を許可する] が [無効] に設定されていることを確認します | パス | |
| 18.9.85.1.1 | [Windows Defender SmartScreen 設定を構成する] が [有効: バイパスについて警告および禁止する] に設定されていることを確認します | 失敗 | |
| 18.9.90.1 | [インストールに対するユーザー コントロールを許可する] が [無効] に設定されていることを確認します | パス | |
| 18.9.90.2 | [常に昇格された特権でインストールする] が [無効] に設定されていることを確認します | パス | |
| 18.9.91.1 | [再起動後に前回の対話ユーザーで自動的にサインインおよびロックする] が [無効] に設定されていることを確認します | パス | |
| 18.9.100.1 | [PowerShell スクリプト ブロックのログ記録を有効にする] が [有効] に設定されていることを確認します | 失敗 | |
| 18.9.100.2 | [PowerShell 文字起こしを有効にする] が [無効] に設定されていることを確認します | パス | |
| 18.9.102.1.1 | [基本認証を許可する] が [無効] に設定されていることを確認します | パス | |
| 18.9.102.1.2 | [暗号化されていないトラフィックを許可する] が [無効] に設定されていることを確認します | パス | |
| 18.9.102.1.3 | [ダイジェスト認証を許可しない] が [有効] に設定されていることを確認します | 失敗 | |
| 18.9.102.2.1 | [基本認証を許可する] が [無効] に設定されていることを確認します | パス | |
| 18.9.102.2.2 | [暗号化されていないトラフィックを許可する] が [無効] に設定されていることを確認します | パス | |
| 18.9.102.2.3 | [WinRM で RunAs 資格情報の保存を許可しない] が [有効] に設定されていることを確認します | 失敗 | |
| 18.9.105.2.1 | [ユーザーが設定を変更できないようにする] が [有効] に設定されていることを確認します | パス |
次のステップ
AKS のセキュリティに関する詳細については、次の記事をご覧ください。