カナダ連邦 PBMM 規制コンプライアンスの組み込みイニシアティブの詳細

[アーティクル]
05/01/2024

この記事では、Azure Policy 規制コンプライアンスの組み込みイニシアティブ定義が、カナダ連邦 PBMM のコンプライアンスドメインとコントロールにどのように対応するのかについて詳しく説明します。このコンプライアンス標準の詳細については、カナダ連邦 PBMM に関するドキュメントをご覧ください。 "所有権" については、Azure Policy のポリシー定義に関するページと、「クラウドにおける共同責任」を参照してください。

以下のマッピングは、カナダ連邦 PBMM コントロールに対するものです。コントロールの多くは、Azure Policy のイニシアチブ定義で実装されています。完全なイニシアチブ定義を確認するには、Azure portal で [ポリシー] を開き、 [定義] ページを選択します。次に、カナダ連邦 PBMM 規制コンプライアンスの組み込みイニシアティブ定義を見つけて選択します。

重要

以下の各コントロールは、1 つ以上の Azure Policy 定義に関連します。これらのポリシーは、コントロールに対するコンプライアンスの評価に役立つ場合があります。ただし、多くの場合、コントロールと 1 つ以上のポリシーとの間には、一対一での一致、または完全な一致はありません。そのため、Azure Policy での準拠では、ポリシー定義自体のみが示されています。これによって、コントロールのすべての要件に完全に準拠していることが保証されるわけではありません。また、コンプライアンス標準には、現時点でどの Azure Policy 定義でも対応されていないコントロールが含まれています。したがって、Azure Policy でのコンプライアンスは、全体のコンプライアンス状態の部分的ビューでしかありません。このコンプライアンス標準に対するコンプライアンスドメイン、コントロール、Azure Policy 定義の間の関連付けは、時間の経過と共に変わる可能性があります。変更履歴を表示するには、GitHub のコミット履歴に関するページを参照してください。

アクセス制御

アカウント管理

ID: CCCS AC-2

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
Azure リソースに対する所有者アクセス許可を持つブロックされたアカウントを削除する必要があります。	所有者としてのアクセス許可を持つ非推奨のアカウントは、サブスクリプションから削除する必要があります。非推奨のアカウントは、サインインがブロックされているアカウントです。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りおよび書き込みアクセス許可を持つブロックされたアカウントを削除する必要があります。	非推奨のアカウントは、サブスクリプションから削除する必要があります。非推奨のアカウントは、サインインがブロックされているアカウントです。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する所有者アクセス許可を持つゲストアカウントを削除する必要があります。	監視されていないアクセスを防止するために、所有者アクセス許可を持つ外部アカウントは、サブスクリプションから削除する必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りアクセス許可を持つゲストアカウントを削除する必要があります。	監視されていないアクセスを防止するために、読み取り権限がある外部アカウントは、サブスクリプションから削除する必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する書き込みアクセス許可を持つゲストアカウントを削除する必要があります。	監視されていないアクセスを防止するために、書き込み権限がある外部アカウントは、サブスクリプションから削除する必要があります。	AuditIfNotExists、Disabled	1.0.0

アカウント管理 | ロールベースのスキーム

ID: CCCS AC-2(7)

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
SQL Server に対して Azure Active Directory 管理者をプロビジョニングする必要がある	Azure AD 認証を可能にする SQL サーバー向けの Azure Active Directory 管理者のプロビジョニングを監査します。 Azure AD 認証を使用して、アクセス許可の管理を簡単にし、データベースユーザーとその他の Microsoft サービスの ID を一元管理できます	AuditIfNotExists、Disabled	1.0.0
Service Fabric クラスターでは、クライアント認証に Azure Active Directory のみを使用する必要がある	Service Fabric で Azure Active Directory によるクライアント認証のみを使用していることを監査します	Audit、Deny、Disabled	1.1.0

情報フローの適用

ID: CCCS AC-4

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
App Service アプリでは、すべてのリソースがアプリにアクセスできるように CORS を構成しない	クロスオリジンリソース共有 (CORS) では、すべてのドメインに対してアプリへのアクセスを許可しないでください。必要なドメインにのみアプリへのアクセスを許可してください。	AuditIfNotExists、Disabled	2.0.0

職務の分離

ID: CCCS AC-5

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
サブスクリプションには最大 3 人の所有者を指定する必要がある	セキュリティ侵害を受けたサブスクリプション所有者が侵害を引き起こす可能性を下げるため、指定する所有者は最大 3 人までにすることをお勧めします。	AuditIfNotExists、Disabled	3.0.0
ID のない仮想マシンでゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされているものの、マネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
ユーザー割り当て ID を持つ VM でゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされており、少なくとも 1 つのユーザー割り当て ID を持っているものの、システム割り当てマネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
Administrators グループ内の指定されたメンバーが欠けている Windows マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。ポリシーパラメーターに指定されたメンバーがローカルの Administrators グループに含まれていない場合、マシンは非準拠となります。	auditIfNotExists	2.0.0
Administrators グループ内に指定されたメンバーが存在する Windows マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。ポリシーパラメーターに指定されたメンバーがローカルの Administrators グループに含まれている場合、マシンは非準拠となります。	auditIfNotExists	2.0.0
Windows VM でゲスト構成の割り当てを有効にするために Windows ゲスト構成拡張機能をデプロイする	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされている Windows 仮想マシンに Windows ゲスト構成拡張機能がデプロイされます。 Windows ゲスト構成拡張機能は、すべての Windows ゲスト構成割り当ての前提条件であるため、Windows ゲスト構成ポリシー定義を使用する前にマシンにデプロイする必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	deployIfNotExists	1.2.0
複数の所有者がサブスクリプションに割り当てられている必要がある	管理者アクセスの冗長性を確保するため、複数のサブスクリプション所有者を指定することをお勧めします。	AuditIfNotExists、Disabled	3.0.0

最小限の特権

ID: CCCS AC-6

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
サブスクリプションには最大 3 人の所有者を指定する必要がある	セキュリティ侵害を受けたサブスクリプション所有者が侵害を引き起こす可能性を下げるため、指定する所有者は最大 3 人までにすることをお勧めします。	AuditIfNotExists、Disabled	3.0.0
ID のない仮想マシンでゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされているものの、マネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
ユーザー割り当て ID を持つ VM でゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされており、少なくとも 1 つのユーザー割り当て ID を持っているものの、システム割り当てマネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
Administrators グループ内の指定されたメンバーが欠けている Windows マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。ポリシーパラメーターに指定されたメンバーがローカルの Administrators グループに含まれていない場合、マシンは非準拠となります。	auditIfNotExists	2.0.0
Administrators グループ内に指定されたメンバーが存在する Windows マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。ポリシーパラメーターに指定されたメンバーがローカルの Administrators グループに含まれている場合、マシンは非準拠となります。	auditIfNotExists	2.0.0
Windows VM でゲスト構成の割り当てを有効にするために Windows ゲスト構成拡張機能をデプロイする	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされている Windows 仮想マシンに Windows ゲスト構成拡張機能がデプロイされます。 Windows ゲスト構成拡張機能は、すべての Windows ゲスト構成割り当ての前提条件であるため、Windows ゲスト構成ポリシー定義を使用する前にマシンにデプロイする必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	deployIfNotExists	1.2.0
複数の所有者がサブスクリプションに割り当てられている必要がある	管理者アクセスの冗長性を確保するため、複数のサブスクリプション所有者を指定することをお勧めします。	AuditIfNotExists、Disabled	3.0.0

リモートアクセス | 自動監視/制御

ID: CCCS AC-17(1)

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
ID のない仮想マシンでゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされているものの、マネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
ユーザー割り当て ID を持つ VM でゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされており、少なくとも 1 つのユーザー割り当て ID を持っているものの、システム割り当てマネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
App Service アプリではリモートデバッグをオフにする必要がある	リモートデバッグを実行するには、App Service アプリ上で受信ポートが開かれている必要があります。リモートデバッグを無効にする必要があります。	AuditIfNotExists、Disabled	2.0.0
パスワードなしのアカウントからのリモート接続が許可されている Linux マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。パスワードなしのアカウントからのリモート接続が許可されている Linux マシンは非準拠となります	AuditIfNotExists、Disabled	3.1.0
Linux VM でゲスト構成の割り当てを有効にするために Linux ゲスト構成拡張機能をデプロイする	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされている Linux 仮想マシンに Linux ゲスト構成拡張機能がデプロイされます。 Linux ゲスト構成拡張機能は、すべての Linux ゲスト構成割り当ての前提条件であるため、Linux ゲスト構成ポリシー定義を使用する前にマシンにデプロイする必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	deployIfNotExists	3.1.0
関数アプリではリモートデバッグをオフにする必要がある	リモートデバッグを実行するには、受信ポートが関数アプリ上で開かれている必要があります。リモートデバッグを無効にする必要があります。	AuditIfNotExists、Disabled	2.0.0
ストレージアカウントではネットワークアクセスを制限する必要があります	ストレージアカウントに対するネットワークアクセスは、制限する必要があります。許可されているネットワークのアプリケーションのみがストレージアカウントにアクセスできるように、ネットワークルールを構成します。インターネットまたはオンプレミスの特定のクライアントからの接続を許可するために、特定の Azure 仮想ネットワークからのトラフィックまたはパブリックインターネット IP アドレス範囲に対してアクセスを許可することができます。	Audit、Deny、Disabled	1.1.1

監査とアカウンタビリティ

監査レコードの内容

ID: CCCS AU-3

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
一覧に含まれる仮想マシンイメージに対して Log Analytics 拡張機能を有効にする必要がある	定義されている一覧に仮想マシンイメージがなく、拡張機能がインストールされていない場合、仮想マシンを非準拠として報告します。	AuditIfNotExists、Disabled	2.0.1-preview
一覧に含まれる仮想マシンイメージの仮想マシンスケールセットでは Log Analytics 拡張機能を有効にする必要がある	定義されている一覧に仮想マシンイメージがなく、拡張機能がインストールされていない場合、仮想マシンスケールセットを非準拠として報告します。	AuditIfNotExists、Disabled	2.0.1
仮想マシンは、指定されたワークスペースに接続する必要がある	ポリシーまたはイニシアティブ割り当てで指定されている Log Analytics ワークスペースに仮想マシンがログを記録していない場合、それらを非準拠として報告します。	AuditIfNotExists、Disabled	1.1.0

監査処理エラーへの対応

ID: CCCS AU-5

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
選択したリソースの種類の診断設定を監査します	選択したリソースの種類の診断設定の監査。必ず、診断設定をサポートするリソースの種類のみを選んでください。	AuditIfNotExists	2.0.1
SQL Server の監査を有効にする必要があります	サーバー上のすべてのデータベースについてデータベースのアクティビティを追跡して、監査ログに保存するには、お使いの SQL サーバーに対する監査を有効にする必要があります。	AuditIfNotExists、Disabled	2.0.0
保護されていない Azure SQL サーバーに対して Azure Defender for SQL を有効にする必要がある	Advanced Data Security を使用していない SQL サーバーの監査	AuditIfNotExists、Disabled	2.0.1
保護されていない SQL Managed Instance に対して Azure Defender for SQL を有効にする必要がある	Advanced Data Security を使用していない各 SQL Managed Instance を監査します。	AuditIfNotExists、Disabled	1.0.2

監査の生成

ID: CCCS AU-12

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
一覧に含まれる仮想マシンイメージに対して Log Analytics 拡張機能を有効にする必要がある	定義されている一覧に仮想マシンイメージがなく、拡張機能がインストールされていない場合、仮想マシンを非準拠として報告します。	AuditIfNotExists、Disabled	2.0.1-preview
選択したリソースの種類の診断設定を監査します	選択したリソースの種類の診断設定の監査。必ず、診断設定をサポートするリソースの種類のみを選んでください。	AuditIfNotExists	2.0.1
SQL Server の監査を有効にする必要があります	サーバー上のすべてのデータベースについてデータベースのアクティビティを追跡して、監査ログに保存するには、お使いの SQL サーバーに対する監査を有効にする必要があります。	AuditIfNotExists、Disabled	2.0.0
保護されていない Azure SQL サーバーに対して Azure Defender for SQL を有効にする必要がある	Advanced Data Security を使用していない SQL サーバーの監査	AuditIfNotExists、Disabled	2.0.1
保護されていない SQL Managed Instance に対して Azure Defender for SQL を有効にする必要がある	Advanced Data Security を使用していない各 SQL Managed Instance を監査します。	AuditIfNotExists、Disabled	1.0.2
一覧に含まれる仮想マシンイメージの仮想マシンスケールセットでは Log Analytics 拡張機能を有効にする必要がある	定義されている一覧に仮想マシンイメージがなく、拡張機能がインストールされていない場合、仮想マシンスケールセットを非準拠として報告します。	AuditIfNotExists、Disabled	2.0.1
仮想マシンは、指定されたワークスペースに接続する必要がある	ポリシーまたはイニシアティブ割り当てで指定されている Log Analytics ワークスペースに仮想マシンがログを記録していない場合、それらを非準拠として報告します。	AuditIfNotExists、Disabled	1.1.0

構成管理

最小限の機能 | 承認されたソフトウェア/ホワイトリスト登録

ID: CCCS CM-7(5)

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
安全なアプリケーションの定義のために適応型アプリケーション制御をマシンで有効にする必要がある	アプリケーション制御を有効にして、マシンで実行されている既知の安全なアプリケーションの一覧を定義し、他のアプリケーションの実行時にアラートを出します。これは、マルウェアに対してマシンを強化するのに役立ちます。ルールの構成と保守のプロセスを簡略化するために、Security Center で機械学習を使用して各マシンで実行されているアプリケーションを分析し、既知の安全なアプリケーションの一覧を提示します。	AuditIfNotExists、Disabled	3.0.0

ユーザーがインストールするソフトウェア

ID: CCCS CM-11

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
安全なアプリケーションの定義のために適応型アプリケーション制御をマシンで有効にする必要がある	アプリケーション制御を有効にして、マシンで実行されている既知の安全なアプリケーションの一覧を定義し、他のアプリケーションの実行時にアラートを出します。これは、マルウェアに対してマシンを強化するのに役立ちます。ルールの構成と保守のプロセスを簡略化するために、Security Center で機械学習を使用して各マシンで実行されているアプリケーションを分析し、既知の安全なアプリケーションの一覧を提示します。	AuditIfNotExists、Disabled	3.0.0

代替計画

代替処理サイト

ID: CCCS CP-7

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
ディザスターリカバリーを構成されていない仮想マシンの監査	ディザスターリカバリーが構成されていない仮想マシンを監査します。ディザスターリカバリーの詳細については、https://aka.ms/asr-doc にアクセスしてください。	auditIfNotExists	1.0.0

識別と認証

識別と認証 (組織のユーザー) | 特権のあるアカウントへのネットワークアクセス

ID: CCCS IA-2(1)

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
Azure リソースに対する所有者アクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースに対する侵害を防止するために、所有者としてのアクセス許可を持つすべてのサブスクリプションアカウントで多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する書き込みアクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースに対する侵害を防止するために、書き込み権限を持つすべてのサブスクリプションアカウントに対して多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0

認証子の管理

ID: CCCS IA-5

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
ID のない仮想マシンでゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされているものの、マネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
ユーザー割り当て ID を持つ VM でゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされており、少なくとも 1 つのユーザー割り当て ID を持っているものの、システム割り当てマネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
passwd ファイルのアクセス許可が 0644 に設定されていない Linux マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。 passwd ファイルのアクセス許可が 0644 に設定されていない Linux マシンは非準拠となります。	AuditIfNotExists、Disabled	3.1.0
パスワードなしのアカウントが存在する Linux マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。パスワードなしのアカウントがある Linux マシンは非準拠となります。	AuditIfNotExists、Disabled	3.1.0
Linux VM でゲスト構成の割り当てを有効にするために Linux ゲスト構成拡張機能をデプロイする	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされている Linux 仮想マシンに Linux ゲスト構成拡張機能がデプロイされます。 Linux ゲスト構成拡張機能は、すべての Linux ゲスト構成割り当ての前提条件であるため、Linux ゲスト構成ポリシー定義を使用する前にマシンにデプロイする必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	deployIfNotExists	3.1.0

認証子の管理 | パスワードベースの認証

ID: CCCS IA-5(1)

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
ID のない仮想マシンでゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされているものの、マネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
ユーザー割り当て ID を持つ VM でゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされており、少なくとも 1 つのユーザー割り当て ID を持っているものの、システム割り当てマネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
指定した数の一意のパスワードの後にパスワードの再利用を許可する Windows マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。 Windows マシンで、指定された数の一意のパスワードの後でパスワードの再利用が許可されている場合、マシンは準拠していません。一意のパスワードの既定値は 24 です	AuditIfNotExists、Disabled	2.1.0
パスワードの最大有効期間が指定した日数に設定されていない Windows マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。 Windows マシンのパスワードの最大有効期間が指定した日数に設定されていない場合、マシンは準拠していません。パスワードの最大有効期間の既定値は 70 日です	AuditIfNotExists、Disabled	2.1.0
パスワードの最小有効期間が指定した日数に設定されていない Windows マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。 Windows マシンのパスワードの最小有効期間が指定した日数に設定されていない場合、マシンは準拠していません。パスワードの最小有効期間の既定値は 1 日です	AuditIfNotExists、Disabled	2.1.0
パスワードの複雑さの設定が有効になっていない Windows マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。パスワードの複雑さの設定が有効になっていない Windows マシンは非準拠となります。	AuditIfNotExists、Disabled	2.0.0
パスワードの最小長が指定した文字数に制限されていない Windows マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。 Windows マシンのパスワードの最小長が指定した文字数に制限されていない場合、マシンは準拠していません。パスワードの最小長の既定値は 14 文字です	AuditIfNotExists、Disabled	2.1.0
Windows VM でゲスト構成の割り当てを有効にするために Windows ゲスト構成拡張機能をデプロイする	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされている Windows 仮想マシンに Windows ゲスト構成拡張機能がデプロイされます。 Windows ゲスト構成拡張機能は、すべての Windows ゲスト構成割り当ての前提条件であるため、Windows ゲスト構成ポリシー定義を使用する前にマシンにデプロイする必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	deployIfNotExists	1.2.0

リスク評価

脆弱性のスキャン

ID: CCCS RA-5

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
脆弱性評価ソリューションを仮想マシンで有効にする必要がある	仮想マシンを監査して、サポートされている脆弱性評価ソリューションを実行しているかどうかを検出します。すべてのサイバーリスクとセキュリティプログラムの中核となるコンポーネントは、脆弱性の特定と分析です。 Azure Security Center の標準価格帯には、追加費用なしで仮想マシン脆弱性スキャンをする機能が含まれています。また、Security Center では、このツールを自動的にデプロイできます。	AuditIfNotExists、Disabled	3.0.0
保護されていない Azure SQL サーバーに対して Azure Defender for SQL を有効にする必要がある	Advanced Data Security を使用していない SQL サーバーの監査	AuditIfNotExists、Disabled	2.0.1
保護されていない SQL Managed Instance に対して Azure Defender for SQL を有効にする必要がある	Advanced Data Security を使用していない各 SQL Managed Instance を監査します。	AuditIfNotExists、Disabled	1.0.2
SQL データベースでは脆弱性の検出結果を解決する必要がある	脆弱性評価スキャン結果と、データベースの脆弱性を修正する方法についての推奨事項を監視します。	AuditIfNotExists、Disabled	4.1.0
使用しているマシンでセキュリティ構成の脆弱性を修復する必要がある	構成ベースラインを満たしていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.1.0
仮想マシンスケールセットのセキュリティ構成の脆弱性を修復する必要がある	攻撃から保護するため、お使いの仮想マシンスケールセットの OS 脆弱性を監査します。	AuditIfNotExists、Disabled	3.0.0

システムと通信の保護

サービス拒否の防止

ID: CCCS SC-5

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
Azure DDoS Protection を有効にする必要があります	パブリック IP を持つアプリケーションゲートウェイの一部であるサブネットを含むすべての仮想ネットワークに対して DDoS Protection を有効にする必要があります。	AuditIfNotExists、Disabled	3.0.1

境界保護

ID: CCCS SC-7

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
アダプティブネットワーク強化の推奨事項をインターネット接続仮想マシンに適用する必要がある	Azure Security Center では、インターネットに接続している仮想マシンのトラフィックパターンを分析し、可能性のある攻撃面を減少させるためにネットワークセキュリティグループの規則の推奨事項を提供します	AuditIfNotExists、Disabled	3.0.0
仮想マシンに関連付けられたネットワークセキュリティグループでは、すべてのネットワークポートを制限する必要がある	Azure Security Center により、お使いのネットワークセキュリティグループの一部の受信規則について制限が少なすぎると判断されました。受信規則では、"Any" または "Internet" の範囲からのアクセスを許可しないでください。これにより、攻撃者がお使いのリソースをターゲットにできる可能性があります。	AuditIfNotExists、Disabled	3.0.0
ストレージアカウントではネットワークアクセスを制限する必要があります	ストレージアカウントに対するネットワークアクセスは、制限する必要があります。許可されているネットワークのアプリケーションのみがストレージアカウントにアクセスできるように、ネットワークルールを構成します。インターネットまたはオンプレミスの特定のクライアントからの接続を許可するために、特定の Azure 仮想ネットワークからのトラフィックまたはパブリックインターネット IP アドレス範囲に対してアクセスを許可することができます。	Audit、Deny、Disabled	1.1.1

境界保護 | アクセスポイント

ID: CCCS SC-7(3)

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
仮想マシンの管理ポートは、Just-In-Time のネットワークアクセス制御で保護する必要がある	可能なネットワークのジャストインタイム (JIT) アクセスが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.0.0

境界保護 | 外部通信サービス

ID: CCCS SC-7(4)

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
仮想マシンの管理ポートは、Just-In-Time のネットワークアクセス制御で保護する必要がある	可能なネットワークのジャストインタイム (JIT) アクセスが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.0.0

送信の機密性と整合性 | 暗号化または代替の物理的保護

ID: CCCS SC-8(1)

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
App Service アプリに HTTPS を介してのみアクセスできるようにする	HTTPS を使用すると、サーバー/サービスの認証が確実に実行され、転送中のデータがネットワーク層の傍受攻撃から保護されるようになります。	Audit, Disabled, Deny	4.0.0
関数アプリに HTTPS を介してのみアクセスできるようにする	HTTPS を使用すると、サーバー/サービスの認証が確実に実行され、転送中のデータがネットワーク層の傍受攻撃から保護されるようになります。	Audit, Disabled, Deny	5.0.0
Azure Cache for Redis へのセキュリティで保護された接続のみを有効にする必要がある	Azure Cache for Redis に対して SSL 経由の接続のみが有効であるかどうかを監査します。セキュリティで保護された接続を使用することにより、サーバーとサービスの間の認証が確実に行われ、転送中のデータをネットワーク層の攻撃 (man-in-the-middle、傍受、セッションハイジャックなど) から保護します	Audit、Deny、Disabled	1.0.0
ストレージアカウントへの安全な転送を有効にする必要がある	ストレージアカウント内の安全な転送の要件を監査します。安全な転送は、ストレージアカウントに、セキュリティで保護された接続 (HTTPS) からの要求のみを受け入れるように強制するオプションです。 HTTPS を使用することにより、サーバーとサービス間の認証が確実に行われ、転送中のデータをネットワーク層の攻撃 (man-in-the-middle、傍受、セッションハイジャックなど) から保護します	Audit、Deny、Disabled	2.0.0
Windows Web マシンをセキュリティで保護された通信プロトコルを使用するように構成する必要がある	インターネット経由で通信される情報のプライバシーを保護するために、お客様のマシンでは、業界標準の暗号化プロトコルであるトランスポート層セキュリティ (TLS) の最新バージョンを使う必要があります。 TLS を使うと、マシン間の接続が暗号化されることで、ネットワーク経由の通信がセキュリティで保護されます。	AuditIfNotExists、Disabled	4.1.1

保存情報の保護

ID: CCCS SC-28

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
保護されていない Azure SQL サーバーに対して Azure Defender for SQL を有効にする必要がある	Advanced Data Security を使用していない SQL サーバーの監査	AuditIfNotExists、Disabled	2.0.1
保護されていない SQL Managed Instance に対して Azure Defender for SQL を有効にする必要がある	Advanced Data Security を使用していない各 SQL Managed Instance を監査します。	AuditIfNotExists、Disabled	1.0.2
Transparent Data Encryption を SQL データベース上で有効にする必要がある	保存データを保護し、コンプライアンス要件を満たすには、Transparent Data Encryption を有効にする必要があります	AuditIfNotExists、Disabled	2.0.0
コンピューティングとストレージのリソース間で一時ディスク、キャッシュ、データフローを仮想マシンによって暗号化する必要がある	既定では、仮想マシンの OS とデータのディスクは、保存時にプラットフォームマネージドキーを使用して暗号化されます。一時ディスク、データキャッシュ、およびコンピューティングとストレージの間を流れているデータは暗号化されません。次のような場合は、この推奨事項を無視してください。1. ホストでの暗号化を使用している場合。または 2. マネージドディスクでのサーバー側暗号化がセキュリティ要件を満たしている場合。 Azure Disk Storage のサーバー側暗号化の詳細は、https://aka.ms/disksse、さまざまなディスク暗号化オファリングhttps://aka.ms/diskencryptioncomparisonを参照してください。	AuditIfNotExists、Disabled	2.0.3

システムと情報の整合性

欠陥の修復

ID: CCCS SI-2

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
SQL データベースでは脆弱性の検出結果を解決する必要がある	脆弱性評価スキャン結果と、データベースの脆弱性を修正する方法についての推奨事項を監視します。	AuditIfNotExists、Disabled	4.1.0
仮想マシンスケールセットにシステムの更新プログラムをインストールする必要がある	お使いの Windows と Linux の仮想マシンスケールセットが確実にセキュリティで保護されるようにするため、インストールする必要のあるシステムのセキュリティ更新プログラムおよび重要な更新プログラムが不足していないかどうかを監査します。	AuditIfNotExists、Disabled	3.0.0
システム更新プログラムをマシンにインストールする必要がある	使用中のサーバーにおけるセキュリティ関連のシステム更新プログラムの不足が、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	4.0.0
使用しているマシンでセキュリティ構成の脆弱性を修復する必要がある	構成ベースラインを満たしていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.1.0
仮想マシンスケールセットのセキュリティ構成の脆弱性を修復する必要がある	攻撃から保護するため、お使いの仮想マシンスケールセットの OS 脆弱性を監査します。	AuditIfNotExists、Disabled	3.0.0

悪意のあるコードからの保護

ID: CCCS SI-3

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
エンドポイント保護ソリューションを仮想マシンスケールセットにインストールする必要がある	脅威と脆弱性から保護するため、お使いの仮想マシンスケールセットでのエンドポイント保護ソリューションの存在と正常性を監査します。	AuditIfNotExists、Disabled	3.0.0
Endpoint Protection の不足を Azure Security Center で監視する	Endpoint Protection エージェントがインストールされていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.0.0

悪意のあるコードの保護 | 一元的な管理

ID: CCCS SI-3(1)

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
エンドポイント保護ソリューションを仮想マシンスケールセットにインストールする必要がある	脅威と脆弱性から保護するため、お使いの仮想マシンスケールセットでのエンドポイント保護ソリューションの存在と正常性を監査します。	AuditIfNotExists、Disabled	3.0.0
Endpoint Protection の不足を Azure Security Center で監視する	Endpoint Protection エージェントがインストールされていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.0.0

情報システムの監視

ID: CCCS SI-4

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
一覧に含まれる仮想マシンイメージに対して Log Analytics 拡張機能を有効にする必要がある	定義されている一覧に仮想マシンイメージがなく、拡張機能がインストールされていない場合、仮想マシンを非準拠として報告します。	AuditIfNotExists、Disabled	2.0.1-preview
保護されていない Azure SQL サーバーに対して Azure Defender for SQL を有効にする必要がある	Advanced Data Security を使用していない SQL サーバーの監査	AuditIfNotExists、Disabled	2.0.1
保護されていない SQL Managed Instance に対して Azure Defender for SQL を有効にする必要がある	Advanced Data Security を使用していない各 SQL Managed Instance を監査します。	AuditIfNotExists、Disabled	1.0.2
一覧に含まれる仮想マシンイメージの仮想マシンスケールセットでは Log Analytics 拡張機能を有効にする必要がある	定義されている一覧に仮想マシンイメージがなく、拡張機能がインストールされていない場合、仮想マシンスケールセットを非準拠として報告します。	AuditIfNotExists、Disabled	2.0.1
仮想マシンは、指定されたワークスペースに接続する必要がある	ポリシーまたはイニシアティブ割り当てで指定されている Log Analytics ワークスペースに仮想マシンがログを記録していない場合、それらを非準拠として報告します。	AuditIfNotExists、Disabled	1.1.0

次のステップ

Azure Policy に関するその他の記事:

規制コンプライアンスの概要。
イニシアチブ定義の構造を参照してください。
Azure Policy のサンプルの他の例を確認します。
「Policy の効果について」を確認します。
準拠していないリソースを修復する方法を学習します。