このセキュリティ ベースラインは、 Microsoft クラウド セキュリティ ベンチマーク バージョン 1.0 のガイダンスを Azure Operator Service Manager - AOSM に適用します。 Microsoft クラウド セキュリティ ベンチマークでは、Azure 上のクラウド ソリューションをセキュリティで保護する方法に関する推奨事項が提供されます。 コンテンツは、Microsoft クラウド セキュリティ ベンチマークで定義されているセキュリティ コントロールと、Azure Operator Service Manager - AOSM に適用できる関連ガイダンスによってグループ化されます。
このセキュリティ ベースラインとその推奨事項は、Microsoft Defender for Cloud を使用して監視できます。 Azure Policy の定義は、Microsoft Defender for Cloud ポータル ページの [規制コンプライアンス] セクションに一覧表示されます。
機能に関連した Azure Policy 定義がある場合は、ベースラインに一覧表示されます。これは、Microsoft クラウド セキュリティ ベンチマークのコントロールと推奨事項への準拠を測定するのに役立ちます。 一部の推奨事項では、特定のセキュリティ シナリオを有効にするために、有料の Microsoft Defender プランが必要になる場合があります。
注
Azure Operator Service Manager に適用できない機能 - AOSM は除外されています。
セキュリティ プロファイル
セキュリティ プロファイルは、Azure Operator Service Manager - AOSM の影響が大きい動作をまとめたものです。その結果、セキュリティに関する考慮事項が増える可能性があります。
| サービス動作属性 | 価値 |
|---|---|
| 製品カテゴリ | DevOps、ハイブリッド/マルチクラウド、ネットワーク |
| 顧客が HOST または OS にアクセスできる | アクセス許可なし |
| サービスは顧客の仮想ネットワークにデプロイできます | 正しい |
| 顧客のコンテンツを静止状態で保存する | いいえ |
ネットワークのセキュリティ
詳細については、「 Microsoft クラウド セキュリティ ベンチマーク: ネットワーク セキュリティ」を参照してください。
NS-1: ネットワークセグメント化の境界を確立する
特徴
仮想ネットワーク統合
説明: サービスは、顧客のプライベート仮想ネットワーク (VNet) へのデプロイをサポートします。 詳細については、こちらをご覧ください。
| サポートされています | 既定で有効 | 設定の責任 |
|---|---|---|
| いいえ | 該当なし | 該当なし |
機能ノート: これは Private Link の実装によって変更されます。 その後、ベースライン ドキュメントを更新します。
構成ガイダンス: この機能は、このサービスをセキュリティで保護するためにサポートされていません。
NS-2: ネットワーク制御によるクラウド サービスのセキュリティ保護
特徴
Azure Private Link
説明: ネットワーク トラフィックをフィルター処理するためのサービス ネイティブ IP フィルタリング機能 (NSG または Azure Firewall と混同しないでください)。 詳細については、こちらをご覧ください。
| サポートされています | 既定で有効 | 設定の責任 |
|---|---|---|
| いいえ | 該当なし | 該当なし |
機能ノート: 現時点では、Private Link はサポートされていません。 この機能は、今後のリリースでサポートされる可能性があります。
構成ガイダンス: この機能は、このサービスをセキュリティで保護するためにサポートされていません。
パブリック ネットワーク アクセスを無効にする
説明: サービスでは、サービス レベルの IP ACL フィルター規則 (NSG または Azure Firewall ではない) を使用するか、[パブリック ネットワーク アクセスを無効にする] トグル スイッチを使用して、パブリック ネットワーク アクセスを無効にすることができます。 詳細については、こちらをご覧ください。
| サポートされています | 既定で有効 | 設定の責任 |
|---|---|---|
| いいえ | 該当なし | 該当なし |
機能ノート: DLP に関する Sae - Private Link を有効にするために進行中の作業が完了したら、この機能を証明できます。
構成ガイダンス: この機能は、このサービスをセキュリティで保護するためにサポートされていません。
ID 管理
詳細については、「 Microsoft クラウド セキュリティ ベンチマーク: ID 管理」を参照してください。
IM-3: アプリケーション ID を安全かつ自動的に管理する
特徴
マネージド ID
説明: データ プレーン アクションは、マネージド ID を使用した認証をサポートします。 詳細については、こちらをご覧ください。
| サポートされています | 既定で有効 | 設定の責任 |
|---|---|---|
| いいえ | 該当なし | 該当なし |
機能ノート: Azure Operator Service Manager を使用するためにマネージド ID は必要ありません。 ただし、ユーザー割り当てマネージド ID の使用が必要な場合があり、必要なアクセス許可はネットワーク サービス 設計 (NSD) によって異なります。
構成ガイダンス: この機能は、このサービスをセキュリティで保護するためにサポートされていません。
特権アクセス
詳細については、「 Microsoft クラウド セキュリティ ベンチマーク: 特権アクセス」を参照してください。
PA-7: 必要十分な管理 (最小限の特権) の原則に従う
特徴
データプレーンのためのAzure RBAC
説明: Azure Role-Based アクセス制御 (Azure RBAC) を使用して、サービスのデータ プレーン アクションへのアクセスを管理できます。 詳細については、こちらをご覧ください。
| サポートされています | 既定で有効 | 設定の責任 |
|---|---|---|
| 正しい | いいえ | カスタマー |
機能ノート: お客様は、Azure Operator Service Manager にアクセスするために必要なアクセス許可を提供するカスタム ロールを作成できます。
構成ガイダンス: この機能の構成に関する現在の Microsoft ガイダンスはありません。 組織でこのセキュリティ機能を構成するかどうかを確認して決定してください。
リファレンス: カスタム ロールを作成する
PA-8: クラウド プロバイダーサポートのアクセス プロセスを決定する
特徴
カスタマー ロックボックス
説明: カスタマー ロックボックスは、Microsoft サポート へのアクセスに使用できます。 詳細については、こちらをご覧ください。
| サポートされています | 既定で有効 | 設定の責任 |
|---|---|---|
| いいえ | 該当なし | 該当なし |
機能ノート: 現時点では、カスタマー ロックボックスはサポートされていません。 この機能は、今後のリリースでサポートされる可能性があります。
構成ガイダンス: この機能は、このサービスをセキュリティで保護するためにサポートされていません。
データ保護
詳細については、「 Microsoft クラウド セキュリティ ベンチマーク: データ保護」を参照してください。
DP-1: 機密データの検出、分類、ラベル付け
特徴
機密データの検出と分類
説明: ツール (Azure Purview や Azure Information Protection など) は、サービスでのデータの検出と分類に使用できます。 詳細については、こちらをご覧ください。
| サポートされています | 既定で有効 | 設定の責任 |
|---|---|---|
| いいえ | 該当なし | 該当なし |
構成ガイダンス: この機能は、このサービスをセキュリティで保護するためにサポートされていません。
DP-2: 機密データを対象とする異常と脅威を監視する
特徴
データ漏えい/損失防止
説明: サービスは、機密データの移動 (顧客のコンテンツ内) を監視するための DLP ソリューションをサポートしています。 詳細については、こちらをご覧ください。
| サポートされています | 既定で有効 | 設定の責任 |
|---|---|---|
| いいえ | 該当なし | 該当なし |
機能に関するメモ: サービスのお客様向けに Private Link を有効にする作業が進行中です。 作業が完了したら、ベースライン ドキュメントを更新する必要があります。
構成ガイダンス: この機能は、このサービスをセキュリティで保護するためにサポートされていません。
DP-3: 転送中の機密データの暗号化
特徴
転送中のデータの暗号化
説明: サービスは、データ プレーンの転送中のデータ暗号化をサポートします。 詳細については、こちらをご覧ください。
| サポートされています | 既定で有効 | 設定の責任 |
|---|---|---|
| 正しい | 正しい | Microsoft |
構成ガイダンス: 既定のデプロイで有効になっているので、追加の構成は必要ありません。
DP-4: 保存データ暗号化を既定で有効にする
特徴
プラットフォーム キーを使用した保存データの暗号化
説明: プラットフォーム キーを使用した保存データの暗号化がサポートされています。保存中の顧客コンテンツは、これらの Microsoft マネージド キーで暗号化されます。 詳細については、こちらをご覧ください。
| サポートされています | 既定で有効 | 設定の責任 |
|---|---|---|
| 正しい | 正しい | Microsoft |
構成ガイダンス: 既定のデプロイで有効になっているので、追加の構成は必要ありません。
DP-5: 必要に応じて保存データの暗号化でカスタマー マネージド キー オプションを使用する
特徴
静止データの暗号化にCMKを使用
説明: カスタマー マネージド キーを使用した保存データの暗号化は、サービスによって格納される顧客コンテンツでサポートされています。 詳細については、こちらをご覧ください。
| サポートされています | 既定で有効 | 設定の責任 |
|---|---|---|
| いいえ | 該当なし | 該当なし |
機能ノート: 現時点では、CMK を使用した保存データの暗号化はサポートされていません。 この機能は、今後のリリースで顧客テナント内のバイナリ ファイルの暗号化でサポートされる可能性があります。
構成ガイダンス: この機能は、このサービスをセキュリティで保護するためにサポートされていません。
DP-6: セキュリティで保護されたキー管理プロセスを使用する
特徴
Azure Key Vault でのキー管理
説明: このサービスは、顧客キー、シークレット、または証明書に対する Azure Key Vault 統合をサポートします。 詳細については、こちらをご覧ください。
| サポートされています | 既定で有効 | 設定の責任 |
|---|---|---|
| 正しい | 正しい | Microsoft |
機能ノート: Azure Operator Manager サービスを使用するために Azure Key Vault は必要ありません。 ただし、お客様は Azure Key Vault を使用して、Azure Operator Manager Service を介してデプロイされたワークロードのキーを安全に管理できます。
構成ガイダンス: 既定のデプロイで有効になっているので、追加の構成は必要ありません。
資産管理
詳細については、「 Microsoft クラウド セキュリティ ベンチマーク: 資産管理」を参照してください。
AM-2: 承認済みサービスのみを使用する
特徴
Azure Policy のサポート
説明: サービス構成は、Azure Policy を使用して監視および適用できます。 詳細については、こちらをご覧ください。
| サポートされています | 既定で有効 | 設定の責任 |
|---|---|---|
| いいえ | 該当なし | 該当なし |
機能ノート: この機能はサポートされていますが、現時点ではテストや顧客向けのドキュメントはありません。
構成ガイダンス: この機能は、このサービスをセキュリティで保護するためにサポートされていません。
ログ記録と脅威の検出
詳細については、 Microsoft クラウド セキュリティ ベンチマーク「ログ記録と脅威検出」を参照してください。
LT-1: 脅威検出機能を有効にする
特徴
サービスおよび製品提供のためのMicrosoft Defender
説明: サービスには、セキュリティの問題を監視およびアラートするためのオファリング固有の Microsoft Defender ソリューションがあります。 詳細については、こちらをご覧ください。
| サポートされています | 既定で有効 | 設定の責任 |
|---|---|---|
| いいえ | 該当なし | 該当なし |
構成ガイダンス: この機能は、このサービスをセキュリティで保護するためにサポートされていません。
LT-4: セキュリティ調査のためにログ記録を有効にする
特徴
Azure リソース ログ
説明: サービスは、強化されたサービス固有のメトリックとログを提供できるリソース ログを生成します。 お客様はこれらのリソース ログを構成し、ストレージ アカウントやログ分析ワークスペースなどの独自のデータ シンクに送信できます。 詳細については、こちらをご覧ください。
| サポートされています | 既定で有効 | 設定の責任 |
|---|---|---|
| いいえ | 該当なし | 該当なし |
構成ガイダンス: この機能は、このサービスをセキュリティで保護するためにサポートされていません。