Azure Policy を使用した Azure コンテナーレジストリのコンプライアンスの監査

[アーティクル]
10/31/2023

Azure Policy は Azure のサービスであり、ポリシー定義の作成、割り当て、管理に使うことができます。これらのポリシー定義により、リソースにさまざまなルールと効果が適用され、会社の標準とサービスレベルアグリーメントへのリソースの準拠が維持されます。

この記事では、Azure Container Registry の組み込みポリシー定義について説明します。これらの定義を使用して、新しいレジストリと既存のレジストリのコンプライアンスを監査します。

Azure Policy は無料で利用できます。

組み込みのポリシー定義

次の組み込みのポリシー定義は Azure Container Registry に固有となります。

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
[プレビュー]: コンテナーレジストリはゾーン冗長にする必要があります	コンテナーレジストリは、ゾーン冗長にするようにも、ゾーン冗長にしないようにも構成できます。コンテナーレジストリの zoneRedundancy プロパティが "無効" に設定されると、レジストリはゾーン冗長ではありません。このポリシーを適用すると、コンテナーレジストリのゾーン回復性が適切に構成され、ゾーン停止中のダウンタイムのリスクが減ります。	Audit、Deny、Disabled	1.0.0-preview
[プレビュー]: コンテナーレジストリは仮想ネットワークサービスエンドポイントを使う必要がある	このポリシーでは、仮想ネットワークサービスエンドポイントを使用するように構成されていないすべてのコンテナーレジストリを監査します。	Audit、Disabled	1.0.0-preview
Azure レジストリコンテナーイメージの脆弱性が解決されている必要がある (Microsoft Defender 脆弱性管理を利用)	コンテナーイメージの脆弱性評価では、レジストリをスキャンして一般的な脆弱性 (CVE) を調べ、各イメージの詳細な脆弱性レポートを提供します。脆弱性を解決すると、セキュリティ態勢が大幅に向上し、デプロイ前にイメージが安全に使用できるようになります。	AuditIfNotExists、Disabled	1.0.1
コンテナーレジストリを構成して、匿名認証を無効にする	認証されていないユーザーがデータにアクセスできないように、レジストリに対する匿名プルを無効にします。管理者ユーザー、リポジトリスコープのアクセストークン、匿名プルなどのローカル認証方法を無効にすると、コンテナーレジストリでは認証のために Azure Active Directory ID だけが確実に要求されるようになるため、セキュリティが向上します。詳細については、https://aka.ms/acr/authentication を参照してください。	Modify、Disabled	1.0.0
ARM 対象ユーザートークン認証が無効になるようコンテナーレジストリを構成する。	レジストリへの認証のために Azure Active Directory ARM 対象ユーザートークンを無効にします。認証には、Azure Container Registry (ACR) の対象ユーザートークンのみが使用されます。これにより、レジストリで使用するためのトークンのみを認証に使用できるようになります。 ARM 対象ユーザートークンを無効にしても、管理者ユーザーまたはスコープ付きアクセストークンの認証には影響しません。詳細については、https://aka.ms/acr/authentication を参照してください。	Modify、Disabled	1.0.0
コンテナーレジストリを構成して、ローカルの管理者アカウントを無効にする	レジストリの管理者アカウントを無効にして、ローカル管理者がアクセスできないようにします。管理者ユーザー、リポジトリスコープのアクセストークン、匿名プルなどのローカル認証方法を無効にすると、コンテナーレジストリでは認証のために Azure Active Directory ID だけが確実に要求されるようになるため、セキュリティが向上します。詳細については、https://aka.ms/acr/authentication を参照してください。	Modify、Disabled	1.0.1
パブリックネットワークアクセスが無効になるようにコンテナーレジストリを構成する	Container Registry リソースの公衆ネットワークアクセスを無効にして、パブリックインターネット経由でアクセスできないようにします。これにより、データ漏えいのリスクを軽減することができます。詳細情報: https://aka.ms/acr/portal/public-network および https://aka.ms/acr/private-link。	Modify、Disabled	1.0.0
リポジトリスコープのアクセストークンを無効にするようにコンテナーレジストリを構成する	トークンを使用してリポジトリにアクセスできないように、レジストリのリポジトリスコープのアクセストークンを無効にします。管理者ユーザー、リポジトリスコープのアクセストークン、匿名プルなどのローカル認証方法を無効にすると、コンテナーレジストリでは認証のために Azure Active Directory ID だけが確実に要求されるようになるため、セキュリティが向上します。詳細については、https://aka.ms/acr/authentication を参照してください。	Modify、Disabled	1.0.0
プライベートエンドポイントを使用してコンテナーレジストリを構成する	プライベートエンドポイントを使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークが Azure サービスに接続されます。 Premium Container Registry リソースにプライベートエンドポイントをマッピングすることで、データ漏洩のリスクを軽減できます。詳細情報: https://aka.ms/privateendpoints および https://aka.ms/acr/private-link。	DeployIfNotExists、Disabled	1.0.0
コンテナーレジストリは、カスタマーマネージドキーを使用して暗号化する必要がある	カスタマーマネージドキーを使用して、レジストリのコンテンツ保存時の暗号化を管理します。既定では、データはサービスマネージドキーを使用して保存時に暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマーマネージドキーが必要です。カスタマーマネージドキーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。詳細については、https://aka.ms/acr/CMK をご覧ください。	Audit、Deny、Disabled	1.1.2
コンテナーレジストリでは、匿名認証が無効になっている必要がある	認証されていないユーザーがデータにアクセスできないように、レジストリに対する匿名プルを無効にします。管理者ユーザー、リポジトリスコープのアクセストークン、匿名プルなどのローカル認証方法を無効にすると、コンテナーレジストリでは認証のために Azure Active Directory ID だけが確実に要求されるようになるため、セキュリティが向上します。詳細については、https://aka.ms/acr/authentication を参照してください。	Audit、Deny、Disabled	1.0.0
コンテナーレジストリでは、ARM 対象ユーザートークン認証を無効にする必要がある。	レジストリへの認証のために Azure Active Directory ARM 対象ユーザートークンを無効にします。認証には、Azure Container Registry (ACR) の対象ユーザートークンのみが使用されます。これにより、レジストリで使用するためのトークンのみを認証に使用できるようになります。 ARM 対象ユーザートークンを無効にしても、管理者ユーザーまたはスコープ付きアクセストークンの認証には影響しません。詳細については、https://aka.ms/acr/authentication を参照してください。	Audit、Deny、Disabled	1.0.0
コンテナーレジストリではエクスポートを無効にする必要があります	エクスポートを無効にすると、データプレーン (' docker pull ') を介してのみレジストリ内のデータにアクセスできるようになるため、セキュリティが強化されます。 'acr import' または ' acr transfer ' を使用して、レジストリからデータを移動することはできません。エクスポートを無効にするには、公衆ネットワークアクセスを無効にする必要があります。詳細については、https://aka.ms/acr/export-policy を参照してください。	Audit、Deny、Disabled	1.0.0
コンテナーレジストリでは、ローカル管理者アカウントが無効になっている必要がある	レジストリの管理者アカウントを無効にして、ローカル管理者がアクセスできないようにします。管理者ユーザー、リポジトリスコープのアクセストークン、匿名プルなどのローカル認証方法を無効にすると、コンテナーレジストリでは認証のために Azure Active Directory ID だけが確実に要求されるようになるため、セキュリティが向上します。詳細については、https://aka.ms/acr/authentication を参照してください。	Audit、Deny、Disabled	1.0.1
コンテナーレジストリでは、リポジトリスコープのアクセストークンが無効になっている必要がある	トークンを使用してリポジトリにアクセスできないように、レジストリのリポジトリスコープのアクセストークンを無効にします。管理者ユーザー、リポジトリスコープのアクセストークン、匿名プルなどのローカル認証方法を無効にすると、コンテナーレジストリでは認証のために Azure Active Directory ID だけが確実に要求されるようになるため、セキュリティが向上します。詳細については、https://aka.ms/acr/authentication を参照してください。	Audit、Deny、Disabled	1.0.0
コンテナーレジストリにはプライベートリンクをサポートする SKU が必要である	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。プライベートリンクプラットフォームでは、Azure のバックボーンネットワークを介してコンシューマーとサービスの間の接続が処理されます。サービス全体ではなくコンテナーレジストリにプライベートエンドポイントをマッピングすることで、データ漏えいのリスクが軽減されます。詳細については、https://aka.ms/acr/private-link を参照してください。	Audit、Deny、Disabled	1.0.0
コンテナーレジストリでは無制限のネットワークアクセスを許可しない	既定では、Azure コンテナーレジストリは、任意のネットワーク上のホストからのインターネット経由の接続を受け入れます。潜在的な脅威からレジストリを保護するには、特定のプライベートエンドポイント、パブリック IP アドレス、またはアドレス範囲のみからのアクセスを許可します。レジストリにネットワーク規則が構成されていない場合は、異常なリソースとして表示されます。 Container Registry ネットワーク規則の詳細については、https://aka.ms/acr/privatelink、https://aka.ms/acr/portal/public-network、および https://aka.ms/acr/vnet を参照してください。	Audit、Deny、Disabled	2.0.0
コンテナーレジストリでキャッシュルールの作成を禁止する必要がある	Azure コンテナーレジストリのキャッシュルールの作成を無効にして、キャッシュプルを介したプルを防ぎます。詳細については、https://aka.ms/acr/cache を参照してください。	Audit、Deny、Disabled	1.0.0
コンテナーレジストリではプライベートリンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。プライベートリンクプラットフォームでは、Azure バックボーンネットワークを介してコンシューマーとサービスの間の接続が処理されます。サービス全体ではなく、コンテナーレジストリにプライベートエンドポイントをマッピングすることで、データ漏洩のリスクからも保護されます。詳細については、https://aka.ms/acr/private-link を参照してください。	Audit、Disabled	1.0.1
イベントハブへのコンテナーレジストリ (microsoft.containerregistry/registries) のカテゴリグループごとのログを有効にする	リソースログを有効にして、リソースで発生するアクティビティとイベントを追跡し、発生した変更を可視化し、分析情報を提供する必要があります。このポリシーでは、カテゴリグループを使用して診断設定をデプロイし、コンテナーレジストリ (microsoft.containerregistry/registries) 用のイベントハブにログをルーティングします。	DeployIfNotExists、AuditIfNotExists、Disabled	1.1.0
コンテナーレジストリ (microsoft.containerregistry/registries) のカテゴリグループごとの Log Analytics へのログを有効にする	リソースログを有効にして、リソースで発生するアクティビティとイベントを追跡し、発生した変更を可視化し、分析情報を提供する必要があります。このポリシーでは、カテゴリグループを使用して診断設定をデプロイし、コンテナーレジストリ (microsoft.containerregistry/registries) 用の Log Analytics ワークスペースにログをルーティングします。	DeployIfNotExists、AuditIfNotExists、Disabled	1.0.0
コンテナーレジストリ (microsoft.containerregistry/registries) のカテゴリグループごとのストレージへのログを有効にする	リソースログを有効にして、リソースで発生するアクティビティとイベントを追跡し、発生した変更を可視化し、分析情報を提供する必要があります。このポリシーでは、カテゴリグループを使用して診断設定をデプロイし、コンテナーレジストリ (microsoft.containerregistry/registries) 用のストレージアカウントにログをルーティングします。	DeployIfNotExists、AuditIfNotExists、Disabled	1.0.0
コンテナーレジストリに対してパブリックネットワークアクセスを無効にする必要がある	公衆ネットワークアクセスを無効にすると、パブリックインターネットにコンテナーレジストリが露出されなくなるのでセキュリティが向上します。プライベートエンドポイントを作成すると、コンテナーレジストリリソースの公開を制限することができます。詳細情報: https://aka.ms/acr/portal/public-network および https://aka.ms/acr/private-link。	Audit、Deny、Disabled	1.0.0

ポリシーの割り当てを作成する

Azure portal、Azure CLI、Resource Manager テンプレート、または Azure Policy SDK を使用して、ポリシーの割り当てを作成します。
ポリシーの割り当て範囲をリソースグループ、サブスクリプション、または Azure 管理グループに設定します。コンテナーレジストリのポリシー割り当ては、範囲内の既存のコンテナーレジストリと新しいコンテナーレジストリに適用されます。
ポリシー適用の有効と無効はいつでも切り替えられます。

Note

ポリシーの割り当てを作成または更新した後、定義されている範囲内のリソースが割り当てによって評価されるまで少し時間がかかります。詳細は、ポリシー評価トリガーを参照してください。

ポリシーのコンプライアンスを確認する

Azure portal、Azure コマンドラインツール、または Azure Policy SDK を使用し、ポリシー割り当てによって生成されたコンプライアンス情報にアクセスします。詳細については、「Azure リソースのコンプライアンスデータを取得する」を参照してください。

リソースのコンプライアンス違反には多くの理由が考えられます。理由や原因となった変更を特定する方法については、「コンプライアンス違反の原因の特定」をご覧ください。

ポータルのポリシーコンプライアンス:

[すべてのサービス] を選択し、ポリシーを検索します。
[コンプライアンス] を選択します。
フィルターを使用し、コンプライアンスの状態を限定するか、ポリシーを検索します。
ポリシーを選択し、集約コンプライアンスの詳細とイベントを確認します。必要であれば、リソースコンプライアンスに対して特定のレジストリを選択します。

Azure CLI のポリシーコンプライアンス

Azure CLI を利用してコンプライアンスデータを取得することもできます。たとえば、CLI で az policy assignment list コマンドを使用し、適用されている Azure Container Registry ポリシーのポリシー ID を取得します。

az policy assignment list --query "[?contains(displayName,'Container Registries')].{name:displayName, ID:id}" --output table

サンプル出力:

Name                                                                                   ID
-------------------------------------------------------------------------------------  --------------------------------------------------------------------------------------------------------------------------------
Container Registries should not allow unrestricted network access           /subscriptions/<subscriptionID>/providers/Microsoft.Authorization/policyAssignments/b4faf132dc344b84ba68a441
Container Registries should be encrypted with a Customer-Managed Key (CMK)  /subscriptions/<subscriptionID>/providers/Microsoft.Authorization/policyAssignments/cce1ed4f38a147ad994ab60a

次に az policy state list を実行すると、特定のポリシー ID の下にあるすべてのリソースに関して JSON で書式設定されたコンプライアンスの状態が返されます。

az policy state list \
  --resource <policyID>

あるいは az policy state list を実行すると、myregistry など、特定のレジストリリソースの JSON で書式設定されたコンプライアンスの状態が返されます。

az policy state list \
 --resource myregistry \
 --namespace Microsoft.ContainerRegistry \
 --resource-type registries \
 --resource-group myresourcegroup

次のステップ

Azure Policy の定義と効果について知る。
カスタムポリシー定義を作成する。
Azure のガバナンス機能について知る。

Azure Policy を使用した Azure コンテナー レジストリのコンプライアンスの監査