今日のクラウド環境では、セキュリティが重要です。 サイバー脅威は絶えず進化し、データ、アプリケーション、インフラストラクチャを保護するには、包括的で多層的なアプローチが必要です。 クラウドにおいてセキュリティは極めて重要であり、Azureのセキュリティに関する正確かつタイムリーな情報が必要です。
この記事では、Azureで使用できるセキュリティについて包括的に説明します。 保護、検出、応答の機能別に編成されたAzureセキュリティのエンド ツー エンドビューについては、「Azure の
Azureの多層防御のセキュリティ アプローチ
Azureは多層防御戦略を採用し、物理データセンターからコンピューティング、ストレージ、ネットワーク、アプリケーション、ID まで、スタック全体で複数のセキュリティ保護レイヤーを提供します。 この多層的なアプローチにより、一つの層が侵害されても、追加の層が資源を守り続けます。
Azureのインフラは、物理施設からアプリケーションまですべてを網羅し、何百万もの顧客を同時に安全にホストできるよう、ゼロから設計されています。 この強固な基盤は、企業がセキュリティ要件を満たすのに役立ちます。 Microsoft がAzure プラットフォーム自体をセキュリティで保護する方法については、「Azure インフラストラクチャのセキュリティを参照してください。 物理データセンターのセキュリティの詳細については、Azure物理セキュリティに関するページを参照してください。
Azureは、オペレーティング システム、プログラミング言語、フレームワーク、ツール、データベース、デバイスの幅広い選択をサポートするパブリック クラウド サービス プラットフォームです。 Docker 統合を使用して Linux コンテナーを実行できます。JavaScript、Python、.NET、PHP、Java、Node.jsを使用してアプリを構築し、iOS、Android、およびWindowsデバイス用のバックエンドを構築します。 パブリック クラウド サービスAzure、何百万人もの開発者と IT プロフェッショナルが既に信頼しているのと同じテクノロジをサポートしています。
組み込みのプラットフォーム セキュリティ
Azureは、デプロイされた時点からリソースを保護するのに役立つ、プラットフォームに組み込まれている既定のセキュリティ保護を提供します。 Azureのプラットフォーム セキュリティ機能に関する包括的な情報については、「Azure プラットフォームのセキュリティの概要を参照してください。
- Network Protection: Azure DDoS Protection は、分散型サービス拒否攻撃からリソースを自動的に保護します。
- Encryption by Default: Azure Storage、SQL Database、およびその他の多くのサービスでは、保存データの暗号化が既定で有効になっています。
- Identity Security: Microsoft Entra IDは、すべてのAzure サービスに対してセキュリティで保護された認証と承認を提供します。
- 脅威検出: 組み込みの脅威検出は、Azure リソース全体の疑わしいアクティビティを監視します。
- コンプライアンス: Azureは業界最大のコンプライアンス ポートフォリオを維持し、規制要件を満たすのに役立ちます。
これらの基本セキュリティ制御は、クラウド インフラストラクチャを保護するためにバックグラウンドで継続的に機能し、基本的な保護に追加の構成は必要ありません。
クラウドにおける共同責任
Azureは強力なプラットフォームセキュリティを提供しますが、クラウドのセキュリティはMicrosoftとあなたの間で共有される責任です。 責任の分割は、デプロイ モデル (IaaS、PaaS、または SaaS) によって異なります。
- Microsoft の責任: Azureは、物理データセンター、ハードウェア、ネットワーク インフラストラクチャ、ホスト オペレーティング システムなど、基になるインフラストラクチャをセキュリティで保護します。
- お客様の責任: データ、アプリケーション、ID、アクセス管理をセキュリティで保護する責任があります。
ワークロードとアプリケーションはそれぞれ異なり、業界の規制、データの機密性、ビジネス ニーズに基づく固有のセキュリティ要件があります。 Azureの高度なセキュリティサービスはこれらの要件に対応しています。 共有責任モデルの詳細については、「 クラウドでの共同責任」を参照してください。
Note
ここでは、アプリケーションやサービスをカスタマイズしてセキュリティを強化できる顧客向けの制御機能に重点を置いています。
すべてのワークロードの高度なセキュリティ サービス
独自のセキュリティ要件を満たすために、Azureは、特定のニーズに合わせて構成およびカスタマイズできる高度なセキュリティ サービスの包括的なスイートを提供します。 これらのサービスは、運用、アプリケーション、ストレージ、ネットワーク、コンピューティング、ID の 6 つの機能領域に分けられます。 セキュリティ サービスとテクノロジの包括的なカタログについては、「Azure セキュリティ サービスとテクノロジを参照してください。
さらに、Azureには、構成可能なさまざまなセキュリティ オプションと、それらを制御する機能が用意されており、組織の展開の固有の要件を満たすようにセキュリティをカスタマイズできます。 このドキュメントは、Azureセキュリティ機能がこれらの要件を満たすのにどのように役立つかを理解するのに役立ちます。
Azureセキュリティ制御とベースラインの構造化されたビューについては、Azure サービスの包括的なセキュリティ ガイダンスを提供する Microsoft クラウド セキュリティ ベンチマーク を参照してください。
コンピューティング のセキュリティ
仮想マシンとコンピューティング リソースのセキュリティ保護は、Azureでワークロードを保護するための基礎となります。 Azureでは、ハードウェア ベースの保護からソフトウェア ベースの脅威検出まで、複数のコンピューティング セキュリティレイヤーが提供されます。 仮想マシンのセキュリティ情報の詳細については、「Azure 仮想マシン セキュリティの概要を参照してください。
トラステッド起動
Trusted launch は、新しく作成された第 2 世代Azure VM とVirtual Machine Scale Setsの既定値です。 トラステッド起動は、ブート キット、ルートキット、カーネル レベルのマルウェアなど、高度で永続的な攻撃手法から保護します。
信頼できる起動では、次の機能が提供されます。
- セキュアブート:署名済みのオペレーティングシステムとドライバーのみが起動できるようにすることで、マルウェアベースのルートキットやブートキットのインストールを防ぎます。
- vTPM(仮想信頼プラットフォームモジュール):鍵と測定のための専用のセキュアボールトで、認証およびブート整合性検証を可能にします。
- ブート整合性監視:Microsoft Defender for Cloudを通じた認証を用いてブートチェーンの整合性を確認し、故障時のアラートを発します。
既存の VM とVirtual Machine Scale Setsで信頼された起動を有効にすることができます。
Azure機密コンピューティング
Azureコンフィデンシャル コンピューティングは、データ保護パズルの最終的な欠落部分を提供します。 この機能により、静止中、転送中、メモリ使用中でもデータを暗号化し続けることができます。 リモート構成証明を可能にすることで、データのロックを解除する前に、デプロイした VM が安全に起動され、正しく構成されていることを暗号で確認することもできます。
オプションの範囲は、既存のアプリケーションの "リフト アンド シフト" シナリオの有効化から、セキュリティ機能の完全な制御までです。 サービスとしてのインフラストラクチャ (IaaS) の場合は、次を使用できます。
- AMD SEV-SNP搭載の機密仮想マシン:最大256GBの暗号化メモリを備えたハードウェアベースのメモリ暗号化。
- Intel TDX搭載の機密VM:性能とセキュリティ向上を提供するIntelトラストドメイン拡張。
- NVIDIA H100 GPU搭載の機密VM:AI/MLワークロード向けのGPUアクセラレーションによる機密コンピューティング。
- Intel SGXによる機密アプリケーションエンクレーブ:機密コードとデータのアプリケーションレベルの隔離。
サービスとしてのプラットフォーム (PaaS) の場合、Azureでは、
マルウェア対策とウイルス対策
Azure IaaS を使用すると、Microsoft、Symantec、Trend Micro、McAfee、カスペルスキーなどのセキュリティ ベンダーのマルウェア対策ソフトウェアを使用して、悪意のあるファイル、アドウェア、その他の脅威から仮想マシンを保護できます。 Azure 仮想マシンのMicrosoft マルウェア対策は、ウイルス、スパイウェア、その他の悪意のあるソフトウェアを特定して削除するのに役立つ保護機能です。 Microsoft マルウェア対策は、既知の悪意のあるソフトウェアまたは不要なソフトウェアが自身をインストールしようとしたり、Azure システムで実行しようとしたりしたときに、構成可能なアラートを提供します。 Microsoft Defender for Cloudを使用して Microsoft マルウェア対策を展開することもできます。
Note
最新の保護については、Microsoft Defender for Endpointとの統合を通じてエンドポイントの検出と応答 (EDR) を含む高度な脅威保護を提供するMicrosoft Defender for Serversを検討してください。
ハードウェア セキュリティ モジュール
キー自体が保護されていなければ、暗号化や認証を適用してもセキュリティは向上しません。 重要なシークレットとキーを Azure Key Vault に格納することで、管理とセキュリティを簡素化できます。 Key Vaultでは、FIPS 140-3 レベル 3 標準に認定されたハードウェア セキュリティ モジュール (HSM) にキーを格納するオプションが提供されます。 SQL Serverの暗号化キーをバックアップ用に格納したり、トランスペアレント データ暗号化に使用したりするために、アプリケーションのキーやシークレットと共にKey Vaultに格納できます。 Microsoft Entra ID は、これらの保護された項目へのアクセス許可とアクセスを管理します。
Azure Key Vault、Managed HSM、Payment HSM などの主要な管理オプションの包括的な情報については、「Azure での
仮想マシンのバックアップ
Azure Backup は、設備投資をゼロにし、運用コストを最小限に抑えながら、アプリケーション データを保護するソリューションです。 アプリケーション エラーによってデータが破損する可能性があり、人的エラーにより、セキュリティの問題につながる可能性のあるバグがアプリケーションに発生する可能性があります。 Azure Backupでは、Windowsと Linux を実行している仮想マシンが保護されます。
Azure Site Recovery
組織のビジネス継続性/ディザスター リカバリー (BCDR) 戦略において重要となるのは、計画済みおよび計画外の停止が発生した場合に企業のワークロードとアプリを継続して実行する方法を見極めることです。 Azure Site Recovery は、プライマリロケーションがダウンした場合にセカンダリロケーションから使用できるように、ワークロードとアプリのレプリケーション、フェールオーバー、復旧を調整するのに役立ちます。
SQL VM TDE
Transparent Data Encryption (TDE) と列レベルの暗号化 (CLE) が SQL Server の暗号化機能です。 この形式の暗号化では、暗号化に使用される暗号化キーを管理して格納する必要があります。
Azure Key Vault (AKV) サービスは、セキュリティで保護された高可用性の場所でこれらのキーのセキュリティと管理を改善するように設計されています。 SQL Server コネクタを使用すると、SQL ServerはAzure Key Vaultからこれらのキーを使用できます。
オンプレミスのマシンでSQL Serverを実行している場合は、手順に従って、オンプレミスのSQL Server インスタンスからAzure Key Vaultにアクセスできます。 Azure VM でSQL Serverする場合は、Azure Key Vault統合機能を使用して時間を節約できます。 いくつかのAzure PowerShellコマンドレットを使用してこの機能を有効にすると、SQL VM がキー コンテナーにアクセスするために必要な構成を自動化できます。
データベース セキュリティのベスト プラクティスの包括的な一覧については、「Azure データベース セキュリティチェックリストを参照してください。
VM ディスクの暗号化
Important
Azure Disk Encryptionは、2028 年 15 月 15 日 に提供終了する予定です。 その日まで、中断することなくAzure Disk Encryptionを引き続き使用できます。 2028 年 9 月 15 日に、ADE 対応ワークロードは引き続き実行されますが、暗号化されたディスクは VM の再起動後にロック解除に失敗し、サービスが中断されます。
新しい VM の ホストで暗号化 を使用するか、 コンフィデンシャル コンピューティング ワークロード用の OS ディスク暗号化を使用して機密 VM サイズ を検討します。 サービスの中断を回避するために、すべての ADE 対応 VM (バックアップを含む) を提供終了日より前にホストで暗号化に移行する必要があります。 詳細については、「Azure Disk Encryptionをホストでの暗号化に移行する」を参照してください。
最新の仮想マシン暗号化の場合、Azureは次の機能を提供します。
- ホストでの暗号化: 一時ディスクや OS/データ ディスク キャッシュなど、VM データのエンドツーエンドの暗号化を提供します。
- 機密ディスク暗号化: ハードウェア ベースの暗号化用の機密 VM で使用できます。
- カスタマー マネージド キーを使用したサーバー側の暗号化: Azure Key Vaultまたはマネージド HSM を使用して独自の暗号化キー Azure Key Vault管理します。
詳細については、「マネージド ディスク暗号化オプションの概要を参照してください。
仮想ネットワーク
仮想マシンには、ネットワーク接続が必要です。 この要件をサポートするには、Azure仮想マシンをAzure Virtual Networkに接続する必要があります。 Azure Virtual Networkは、物理Azure ネットワーク ファブリックの上に構築された論理コンストラクトです。 各論理Azure Virtual Networkは、他のすべてのAzure仮想ネットワークから分離されます。 この分離により、デプロイ内のネットワーク トラフィックに他のMicrosoft Azureユーザーがアクセスできないようにすることができます。
パッチ更新
パッチ更新プログラムは、潜在的な問題を見つけて修正するための基礎を提供し、ソフトウェア更新プログラムの管理プロセスを簡素化します。 これにより、企業に展開する必要があるソフトウェア更新プログラムの数が減り、コンプライアンスを監視する能力が向上します。
セキュリティ ポリシーの管理とレポート
Defender for Cloud は、脅威の防御、検出、対応に役立ちます。 Azure リソースのセキュリティの可視性と制御が向上します。 Azure サブスクリプション全体のセキュリティ監視とポリシー管理が統合されています。 Security Center は、見つけにくい脅威の検出を支援すると共に、さまざまなセキュリティ ソリューションをまとめた広範なエコシステムとして機能します。
アプリケーションのセキュリティ
アプリケーションのセキュリティは、開発からデプロイ、ランタイムまで、ライフサイクル全体にわたる脅威からアプリケーションを保護することに重点を置いています。 Azureは、アプリケーションの開発、テスト、保護をセキュリティで保護するための包括的なツールを提供します。 セキュリティで保護されたアプリケーション開発ガイダンスについては、 Azure 上のセキュリティで保護されたアプリケーションの開発に関するトピックを参照してください。 PaaS 固有のセキュリティのベスト プラクティスについては、 PaaS デプロイのセキュリティ保護に関するページを参照してください。 IaaS デプロイのセキュリティについては、 Azure での IaaS ワークロードのセキュリティに関するベスト プラクティスを参照してください。
侵入テスト
Microsoft では、アプリケーションの 侵入テスト は実行しませんが、ユーザーが望み、独自のアプリケーションでテストを実行する必要があることを理解しています。 ペン テストアクティビティのMicrosoftに通知する必要はなくなりましたが、お客様 (またはお客様に代わって承認されたサード パーティのテスト) は、引き続き Microsoft Cloud 統合侵入テストの契約規則に準拠している必要があります。
Web アプリケーション ファイアウォール
Azure App Serviceでの認証と承認
App Service Authentication or Authorization(Authentication or Authorization )は、アプリケーションがユーザーをサインインできるようにし、アプリのバックエンドでコードを変更する必要がない機能です。 これにより、アプリケーションの保護が容易になり、またユーザーごとのデータにも対応できるようになります。
階層型セキュリティ アーキテクチャ
App Service EnvironmentはAzure Virtual Networkにデプロイされた分離されたランタイム環境を提供するため、開発者はアプリケーション層ごとに異なるレベルのネットワーク アクセスを提供する階層化されたセキュリティ アーキテクチャを作成できます。 APIバックエンドは一般的なインターネットアクセスから隠し、APIを上流のウェブアプリでのみ呼び出すことを許可するのが一般的です。 App Service Environment を含むAzure Virtual Networkサブネットで Network セキュリティ グループ (NSG) を使用して、API アプリケーションへのパブリック アクセスを制限できます。
App Serviceのウェブアプリ は、ウェブサーバーとウェブアプリケーションの両方からログを取得する強力な診断機能を提供します。 これらの診断は、Web サーバー診断とアプリケーション診断に分けられます。 Web サーバー診断には、サイトとアプリケーションの診断とトラブルシューティングを行うための大きな進歩が含まれています。
1 つ目の新機能は、アプリケーション プール、ワーカー プロセス、サイト、アプリケーション ドメイン、および実行中の要求に関するリアルタイムの状態情報です。 2 つ目の新機能は、要求と応答のプロセス全体で要求を追跡する詳細なトレース イベントです。
これらのトレース イベントの収集を有効にするには、特定の要求の XML 形式で包括的なトレース ログを自動的にキャプチャするように IIS 7 を構成できます。 収集は経過時間やエラー応答コードに依存します。
ストレージのセキュリティ
ストレージ セキュリティは、保存データと転送中のデータを保護するために不可欠です。 Azureでは、データのセキュリティを確保するために、複数のレイヤーの暗号化、アクセス制御、監視機能が提供されます。 データ暗号化の詳細については、「Azure 暗号化の概要を参照してください。 主要な管理オプションについては、「Azure での
Azureロールベースのアクセス制御 (Azure RBAC)
Azure ロールベースのアクセス制御 (Azure RBAC) を使用して、ストレージ アカウントをセキュリティで保護できます。 データ アクセスにセキュリティ ポリシーを適用するには、知 る必要性 と 最小限の特権 のセキュリティ原則に基づいてアクセスを制限します。 特定のスコープのグループとアプリケーションに適切なAzure ロールを割り当てることで、これらのアクセス権を付与します。 ストレージ アカウント共同作成者などのAzure組み込みロールを使用して、ユーザーに特権を割り当てます。 Azure RBAC を使用して Azure Resource Manager モデルを使用して、ストレージ アカウントのストレージ キーへのアクセスを制御できます。
共有アクセス署名
shared access signature (SAS) を使用すると、ストレージ アカウント内のリソースへの委任アクセスが可能になります。 SAS を使用すると、ストレージ アカウント内のオブジェクトに対する制限付きアクセス許可を、指定された一連のアクセス許可を使用して、クライアントに付与できます。 アカウント アクセス キーを共有することなく、これらの制限付きアクセス許可を付与します。
転送中の暗号化
転送中の暗号化は、ネットワーク間でデータを転送するときにデータを保護するメカニズムです。 Azure Storageを使用すると、次を使用してデータをセキュリティで保護できます。
Transport レベルの暗号化 (Azure Storageにデータを転送するときに HTTPS など)。
ワイヤー暗号化、たとえばAzure ファイル共有のためのSMB 3.0 暗号化など。
クライアント側の暗号化。データをストレージへの転送の前に暗号化したり、データをストレージからの転送の後に解読したりするため。
保存時の暗号化
多くの組織にとって、静止データ暗号化はデータプライバシー、コンプライアンス、データ主権に向けた必須のステップです。 Azureのストレージセキュリティ機能の3つが、静止データを暗号化します:
ストレージサービスの暗号化は、データをAzure Storageに書き込む際に自動的に暗号化します。
ブロブのクライアント側暗号化 は静止時の暗号化も提供します。
ストレージ分析
Azure Storage Analytics はログ記録を実行し、ストレージ アカウントのメトリック データを提供します。 このデータを使用して、要求のトレース、使用状況の傾向の分析、ストレージ アカウントに関する問題の診断を行うことができます。 Storage Analyticsは、ストレージ サービスに対する成功した要求と失敗した要求に関する詳細情報をログに記録します。 この情報を使用して、個々の要求を監視し、ストレージ サービスに関する問題を診断できます。 要求は、ベスト エフォートでログに記録されます。 次のタイプの認証済み要求が記録されます。
- 成功したリクエスト。
- 失敗した要求 (タイムアウト、帯域幅調整、ネットワーク、承認などに関する各種エラー)
- Shared Access Signature (SAS) を使用した要求 (失敗した要求と成功した要求を含む)
- データの分析要求
CORSでブラウザベースのクライアントを有効にする
クロスオリジン リソース共有 (CORS) は、ドメインが互いのリソースにアクセスするためのアクセス許可を互いに付与できるようにするメカニズムです。 ユーザー エージェントは、特定のドメインから読み込まれた JavaScript コードが別のドメインにあるリソースへのアクセスを許可されるように、追加のヘッダーを送信します。 次に、後者のドメインが元のドメイン リソースへのアクセスを許可または拒否する追加のヘッダーを使用して応答します。
Azureストレージ サービスで CORS がサポートされるようになりました。 サービスの CORS 規則を設定すると、別のドメインからサービスに対して行われた適切に認証された要求が評価され、指定した規則に従って許可されているかどうかを判断します。
ネットワークのセキュリティ
ネットワーク セキュリティは、Azure リソースとの間のトラフィックフローを制御します。 Azureは、基本的なファイアウォールから高度な脅威保護、グローバル負荷分散まで、包括的なネットワーク セキュリティ サービスのセットを提供します。 包括的なネットワーク セキュリティ情報については、「Azure ネットワーク セキュリティの概要を参照してください。 ネットワーク セキュリティのベスト プラクティスについては、「Azure ネットワーク セキュリティのベスト プラクティスを参照してください。
ネットワークレイヤーコントロール
ネットワーク アクセス制御は、特定のデバイスまたはサブネットとの間の接続を制限する機能で、ネットワーク セキュリティの中核をなすものです。 ネットワーク アクセス制御の目的は、承認したユーザーとデバイスのみが仮想マシンとサービスにアクセスできるようにすることです。
ネットワーク セキュリティ グループ
ネットワーク セキュリティ グループ (NSG) は、基本的なステートフル パケット フィルタリング ファイアウォールです。 これにより、5 タプルに基づいてアクセスを制御できます。 NSG はアプリケーション層における検査も、認証済みアクセス制御も提供しません。 これらはAzure Virtual Network内のサブネット間のトラフィックや、Azure Virtual Networkとインターネット間のトラフィックを制御するために使えます。
Azure Firewall
Azure Firewall は、クラウドネイティブでインテリジェントなネットワーク ファイアウォール セキュリティ サービスであり、Azureで実行されているクラウド ワークロードに脅威を保護します。 組み込みの高可用性とクラウドの無制限のスケーラビリティを備えた、完全にステートフルなサービスとしてのファイアウォールです。 これは、東西と北南の両方のトラフィック検査を提供します。
Azure Firewallは、Basic、Standard、Premium の 3 つの SKU で提供されます。
- Azure Firewall Basic - 中小企業向けに設計されており、手頃な価格で不可欠な保護を提供します。
- Azure Firewall Standard - L3-L7 フィルタリングを提供し、Microsoft の脅威インテリジェンス フィードを備え、最大 30 Gbps までスケールできます。
-
Azure Firewall Premium - 高度に機密性の高い規制された環境に対する高度な脅威の防止
- TLS 検査: 送信トラフィックを復号化し、脅威に対して処理した後、送信先に送信する前に再暗号化します。
- IDPS (侵入検出および防止システム): 50 を超えるカテゴリで 67,000 を超える署名を持つ署名ベースの IDPS。毎日 20 ~ 40 以上の新しいルールで更新されています。
- URL フィルタリング: FQDN フィルター処理を拡張して、URL パス全体を考慮します。
- 高度な Web カテゴリ: HTTP トラフィックと HTTPS トラフィックの両方の完全な URL に基づく拡張分類。
- パフォーマンスの向上: 10 Gbps の脂肪フローのサポートにより、最大 100 Gbps にスケールアップできます。
- PCI DSS コンプライアンス: 支払いカードの業界標準の要件を満たしています。
Azure Firewall Premium は、ランサムウェアが暗号化キーを取得するために使用する指揮・制御 (C&C) 接続を検出してブロックできるため、ランサムウェアから保護するために不可欠です。 Azure Firewall を使用したランサムウェア保護の詳細をご覧ください。
Azure DDoS Protection
Azure DDoS Protection は、アプリケーション設計のベスト プラクティスと組み合わせて、DDoS 攻撃から防御するための強化された機能を提供します。 Azure DDoS Protectionは、仮想ネットワーク内の特定のAzureリソースに対して自動的に保護を調整します。 新規または既存のすべての仮想ネットワークで保護を簡単に有効にでき、アプリケーションやリソースを変更する必要はありません。
Azure DDoS Protection には、DDoS ネットワーク保護と DDoS IP 保護の 2 つのレベルがあります。
DDoS ネットワーク保護 - 分散型サービス拒否 (DDoS) 攻撃から防御するための強化された機能を提供します。 ネットワーク レイヤー 3 と 4 で動作し、DDoS 迅速な応答サポート、コスト保護、Web Application Firewall (WAF) の割引などの高度な機能が含まれています。
DDoS IP 保護 - 保護対象 IP ごとの課金モデルを採用しています。 DDoSネットワーク保護と同じコアエンジニアリング機能を備えていますが、DDoSの迅速対応サポート、コスト保護、WAF割引などの追加サービスは提供していません。
ルート制御と強制トンネリング
Azure仮想ネットワークでのルーティング動作を制御する機能は、重要なネットワーク セキュリティとアクセス制御機能です。 たとえば、Azure Virtual Networkとの間のすべてのトラフィックがその仮想セキュリティ アプライアンスを通過することを確認する場合は、ルーティング動作を制御およびカスタマイズできる必要があります。 この制御とカスタマイズを行うには、Azureで User-Defined ルートを構成します。
User-Defined ルート を使用すると、可能な限り安全なルートを確保するために、個々の仮想マシンまたはサブネットとの間で送受信されるトラフィックの受信パスと送信パスをカスタマイズできます。 強制トンネリング は、インターネット上のデバイスへの接続を開始することをあなたのサービスが許可されないようにするための仕組みです。
この制限は、受信接続を受け入れて応答できることとは異なります。 フロントエンドのウェブサーバーはインターネットホストからのリクエストに応答する必要があります。 つまり、インターネット発信のトラフィックはこれらのウェブサーバーに受け入れられ、ウェブサーバーは応答できます。
一般的に、強制トンネリングを使ってインターネットへの送信トラフィックをオンプレミスのセキュリティプロキシやファイアウォールを経由させることが一般的です。
仮想ネットワークのセキュリティ アプライアンス
ネットワーク セキュリティ グループ、User-Defined ルート、強制トンネリングにより、 OSI モデルのネットワーク層とトランスポート層のセキュリティ レベルが提供されますが、スタックの上位レベルでセキュリティを有効にしたい場合があります。 これらの強化されたネットワーク セキュリティ機能には、Azure パートナーのネットワーク セキュリティ アプライアンス ソリューションを使用してアクセスできます。 Azure Marketplaceにアクセスし、securityとnetwork securityを検索することで、最新のAzureパートナー ネットワーク セキュリティ ソリューションを見つけることができます。
Azure 仮想ネットワーク
Azure仮想ネットワーク (VNet) は、クラウド内の独自のネットワークを表したものです。 これは、サブスクリプション専用のAzure ネットワーク ファブリックの論理的な分離です。 このネットワークでは、IP アドレス ブロック、DNS 設定、セキュリティ ポリシー、およびルート テーブルを完全に制御できます。 VNet をサブネットにセグメント化し、Azure IaaS 仮想マシン (VM) Azure仮想ネットワークに配置できます。
さらに、Azureで使用可能な 接続オプションのいずれかを使用して、仮想ネットワークをオンプレミス ネットワークに接続できます。 基本的には、エンタープライズ 規模のAzureが提供する利点を利用して、IP アドレス ブロックを完全に制御することで、ネットワークをAzureに拡張できます。
Azure ネットワークは、セキュリティで保護されたさまざまなリモート アクセス シナリオをサポートします。 次のようなシナリオが含まれます。
個々のワークステーションを Azure Virtual Network
Azure Virtual Network Manager
Azure Virtual Network Manager は、大規模な仮想ネットワークを管理およびセキュリティで保護するための一元化されたソリューションを提供します。 セキュリティ管理者ルールを使用して、組織全体にセキュリティ ポリシーを一元的に定義して適用します。 セキュリティ管理者ルールは、ネットワーク セキュリティ グループ (NSG) 規則よりも優先され、仮想ネットワークに適用されます。 この優先順位により、組織はセキュリティ管理者ルールを使用してコア ポリシーを適用しながら、ダウンストリーム チームはサブネットと NIC レベルでの特定のニーズに応じて NSG を調整できます。
組織のニーズに応じて、[ 許可]、[ 拒否]、または [常に許可 ] ルールのアクションを使用して、セキュリティ ポリシーを適用します。
| ルール アクション | Description |
|---|---|
| 許可 | 指定されたトラフィックを既定で許可します。 ダウンストリーム NSG は引き続きこのトラフィックを受信します。拒否する可能性もあります。 |
| 常に許可 | 他のルールの優先順位が低いかや NSG があるかどうかに関係なく、指定されたトラフィックを常に許可します。 監視エージェント、ドメイン コントローラー、または管理トラフィックがブロックされないようにするには、この規則を使用します。 |
| 打ち消す | 指定されたトラフィックをブロックします。 ダウンストリーム NSG は、セキュリティ管理者ルールによって拒否された後にこのトラフィックを評価しないため、既存および新しい仮想ネットワークの危険度の高いポートが既定で保護されます。 |
Azure Virtual Network Managerでは、network グループを使用すると、セキュリティ ポリシーの一元管理と適用のために仮想ネットワークをグループ化できます。 ネットワーク グループは、トポロジとセキュリティの観点からのニーズに基づいた仮想ネットワークの論理的グループ化です。 ネットワーク グループの仮想ネットワーク メンバーシップを手動で更新するか
Azure Private Link
Azure Private Linkは、プライベートエンドポイントを介して仮想ネットワーク上でプライベートにAzure PaaSサービス(例:Azure StorageやSQL Database)やAzureホスティングの顧客所有またはパートナーサービスにプライベートアクセスを可能にします。 Azure Private Linkを通じたセットアップと利用は、Azure PaaS、顧客所有、共有パートナーサービスで一貫しています。 仮想ネットワークからAzure サービスへのトラフィックは、常にMicrosoft Azureバックボーン ネットワークに残ります。
プライベートエンドポイントを使用することで、重要なAzureサービスリソースを仮想ネットワークからのみ保護できます。 Azureプライベート エンドポイントは、仮想ネットワークからのプライベート IP アドレスを使用して、Azure Private Linkを利用するサービスにプライベートかつ安全に接続し、サービスを仮想ネットワークに効果的に取り込みます。 Azureでサービスを使用するために、仮想ネットワークをパブリック インターネットに公開する必要がなくなりました。
仮想ネットワークに独自のプライベート リンク サービスを作成することもできます。 Azure Private Link serviceは、Azure Private Linkが機能するあなた自身のサービスへの参照です。 Azure Standard Load Balancerの背後で動作するサービスをPrivate Linkアクセスできるようにすれば、利用者は自分の仮想ネットワークからプライベートにアクセスできます。 顧客は、自分の仮想ネットワーク内にプライベート エンドポイントを作成し、それをこのサービスにマッピングすることができます。 Azure でサービスを提供するために、サービスをパブリック インターネットに公開する必要はもはやありません。
VPNゲートウェイ
Azure Virtual Networkとオンプレミス サイトの間でネットワーク トラフィックを送信するには、Azure Virtual Networkの VPN ゲートウェイを作成する必要があります。 VPN ゲートウェイは、パブリック接続を介して暗号化されたトラフィックを送信する仮想ネットワーク ゲートウェイの一種です。 VPN ゲートウェイを使用して、Azure ネットワーク ファブリック経由でAzure仮想ネットワーク間でトラフィックを送信することもできます。
ExpressRoute
ExpressRouteは専用のWANリンクで、接続プロバイダーによって支援される専用のプライベート接続を通じて、オンプレミスネットワークをMicrosoftクラウドへ拡張するのを支援します。
ExpressRoute を使用すると、Microsoft AzureやMicrosoft 365などの Microsoft クラウド サービスへの接続を確立できます。 接続には、任意の環境間 (IP VPN) 接続、ポイントツーポイントのイーサネット接続、共有施設での接続プロバイダーによる仮想交差接続があります。
ExpressRouteの接続は公共インターネットを使わず、VPNベースのソリューションよりも安全です。 この設計により、ExpressRoute接続はインターネット上の通常の接続よりも高い信頼性、高速な速度、低遅延、そして高いセキュリティを提供します。
アプリケーションゲートウェイ
Microsoft Azure Application Gatewayは、アプリケーション向けにさまざまなレイヤー7の負荷分散機能を提供するサービスとして、アプリケーションデリバリーコントローラー(ADC)を提供しています。
Application Gatewayは、CPU集約的なTLS終端をApplication Gatewayにオフロードすることで、ウェブファームの生産性を最適化できます( TLSオフロード または TLSブリッジングとも呼ばれます)。 アプリケーションゲートウェイは、着信トラフィックのラウンドロビン配信、クッキーベースのセッションアフィニティ、URLパスベースのルーティング、複数のウェブサイトを単一のアプリケーションゲートウェイの背後にホストする機能など、他のレイヤー7ルーティング機能も提供しています。 Azure Application Gatewayはレイヤー 7 ロード バランサーです。
アプリケーションゲートウェイは、クラウド上でもオンプレミスでも異なるサーバー間のHTTPリクエストに対してフェイルオーバーおよびパフォーマンスベースのルーティングを提供します。
アプリケーションゲートウェイは、HTTPロードバランシング、クッキーベースのセッションアフィニティ、 TLSオフロード、カスタムヘルスプローブ、マルチサイトサポートなど、多くのアプリケーションデリバリーコントローラ(ADC)機能を提供します。
Web アプリケーション ファイアウォール
Web Application Firewallは、標準的なアプリケーションデリバリー制御(ADC)機能のためにアプリケーションゲートウェイを使用するウェブアプリケーションを保護するAzure Application Gatewayの機能です。 Web アプリケーション ファイアウォールは、OWASP の上位 10 件の一般的な Web 脆弱性のほとんどから保護します。
SQL インジェクションからの保護
コマンド インジェクション、HTTP 要求の密輸、HTTP 応答の分割、リモート ファイルのインクルードなど、一般的な Web 攻撃に対する保護
HTTP プロトコル違反に対する保護
HTTP プロトコルの異常、例えば、ホストヘッダー、ユーザー エージェントヘッダー、および Accept ヘッダーの欠落に対する保護
ボット、クローラー、スキャナーの防止
一般的なアプリケーションの構成ミスの検出 (Apache、IIS など)
一元化された Web アプリケーション ファイアウォール (WAF) により、セキュリティ管理が簡素化され、Web 攻撃に対する保護が強化されます。 侵入脅威に対するより良い保証を提供し、既知の脆弱性を個別に保護するのではなく、中央でパッチを当てることでセキュリティ脅威により迅速に対応できます。 既存のアプリケーションゲートウェイをアップグレードしてウェブアプリケーションファイアウォールを含めることができます。
Azure Front Door
Azure Front Door は、Microsoft のグローバル エッジ ネットワークを使用して、高速でセキュリティで保護された、広くスケーラブルな Web アプリケーションを作成する、グローバルでスケーラブルなエントリ ポイントです。 Front Door には次の機能があります。
- グローバルロードバランシング:異なる地域の複数のバックエンドにトラフィックを分散させる。
- 統合型Web Application Firewall:一般的なウェブ脆弱性や攻撃から守ります。
- DDoS防御:分散型サービス拒否攻撃に対する組み込みの防御機能です。
- SSL/TLSオフロード:証明書管理とトラフィック暗号化を集中管理します。
- URLベースのルーティング:URLパターンに基づいてトラフィックを異なるバックエンドにルーティングします。
Front Door は、コンテンツ配信、アプリケーション高速化、セキュリティを 1 つのサービスに統合します。
Traffic Manager
Microsoft Azure Traffic Manager を使用すると、異なるデータセンター内のサービス エンドポイントのユーザー トラフィックの分散を制御できます。 Traffic Manager がサポートするサービス エンドポイントには、AZURE VM、Web Apps、クラウド サービスが含まれます。 外部のAzure以外のエンドポイントで Traffic Manager を使用することもできます。
Traffic Manager では、ドメイン ネーム システム (DNS) を使用して、 トラフィック ルーティング方法 とエンドポイントの正常性に基づいて、クライアント要求を最も適切なエンドポイントに転送します。 Traffic Manager には、さまざまなアプリケーションニーズ、エンドポイントの正常性 監視、自動フェールオーバーに適したさまざまなトラフィック ルーティング方法が用意されています。 Traffic Manager は、Azure リージョン全体の障害など、障害に対する回復性があります。
Azure Load Balancer
Azure Load Balancer は、高可用性とネットワーク パフォーマンスをアプリケーションに提供します。 これは、負荷分散セットで定義されているサービスの正常なインスタンス間で着信トラフィックを分散する、レイヤー 4 (TCP、UDP) ロード バランサーです。 Azure Load Balancerは次のように構成できます。
受信するインターネットトラフィックを仮想マシンにロードバランスします。 この構成は、パブリック負荷分散と呼ばれます。
仮想ネットワーク内の仮想マシン間、クラウド サービス内の仮想マシン間、クロスプレミスの仮想ネットワーク内のオンプレミスのコンピューターと仮想マシン間で、トラフィックを負荷分散します。 この構成は、 内部負荷分散と呼ばれます。
外部トラフィックを特定の仮想マシンに転送します。
内部 DNS
VNet で使用される DNS サーバーの一覧は、Azure ポータルまたはネットワーク構成ファイルで管理できます。 各 VNet に対して最大 12 台の DNS サーバーを追加できます。 DNS サーバーを指定する場合は、環境に合わせて正しい順序で DNS サーバーを一覧表示することを確認します。 DNS サーバーの一覧はラウンド ロビンに対応していません。 これらは、指定した順序で使用されます。 一覧の最初の DNS サーバーに到達できる場合、クライアントは DNS サーバーが正常に機能しているかどうかに関係なく、その DNS サーバーを使用します。 仮想ネットワークの DNS サーバーの順序を変更するには、一覧から DNS サーバーを削除し、必要な順序で再度追加します。 DNS では、セキュリティの 3 つの柱、"CIA" (機密性、整合性、可用性) の中の可用性がサポートされています。
Azure DNS
ドメイン ネーム システム (DNS) は、Web サイトまたはサービスの名前をその IP アドレスに変換する (または解決する) 役割を担います。 Azure DNS は DNS ドメインのホスティング サービスであり、Microsoft Azure インフラストラクチャを使用して名前解決を提供します。 Azureでドメインをホストすることで、他のAzure サービスと同じ資格情報、API、ツール、課金を使用して DNS レコードを管理できます。 DNS では、"CIA" セキュリティ トライアドの可用性の側面がサポートされています。
Azure Monitor が NSG をログに記録する
NSG に対して、以下の診断ログ カテゴリを有効にできます。
イベント: MAC アドレスに基づいた、VM とインスタンス ロールに適用される NSG ルールに関するエントリが含まれます。 これらのルールの状態は 60 秒ごとに収集されます。
ルール カウンター: トラフィックを許可または拒否するために各 NSG ルールが適用された回数に関するエントリが含まれます。
Microsoft Defender for Cloud
Microsoft Defender for Cloud は、ネットワーク セキュリティのベスト プラクティスのために、Azure リソースのセキュリティ状態を継続的に分析します。 Defender for Cloud は、潜在的なセキュリティの脆弱性を特定すると、リソースを強化および保護するために必要なコントロールを構成するプロセスをガイドする 推奨事項 を作成します。
アドバンスト コンテナー ネットワーク サービス (ACNS)
Advanced Container Networking Services (ACNS) は、Azure Kubernetes Service (AKS) クラスターの運用効率を高めるために設計された包括的なスイートです。 高度なセキュリティと監視機能が提供され、マイクロサービスのインフラストラクチャを大規模に管理する場合の複雑さに対処できます。
これらの機能は、次の 2 つの主要な柱に分かれています。
セキュリティ:Azure CNI Powered by Ciliumを使用するクラスターでは、ネットワークポリシーには完全限定ドメイン名(FQDN)フィルタリングが含まれ、設定の複雑さを解決します。
可観測性: Advanced Container Networking Services スイートのこの機能により、Hubble のコントロール プレーンの機能が Cilium と非 Cilium Linux の両方のデータ プレーンにもたらされ、ネットワークとパフォーマンスの可視性が向上します。
セキュリティの運用と管理
強力なセキュリティ体制を維持するには、Azure環境のセキュリティの管理と監視が不可欠です。 Azureには、セキュリティ運用、脅威検出、インシデント対応のための包括的なツールが用意されています。 セキュリティ管理と監視の詳細については、「Azureセキュリティ管理と監視の概要を参照してください。 運用セキュリティのベスト プラクティスについては、「Azure運用セキュリティのベスト プラクティスを参照してください。 包括的な運用セキュリティの概要については、「Azure運用セキュリティの概要を参照してください。
Microsoft Sentinel
Microsoft Sentinel は、スケーラブルなクラウドネイティブのセキュリティ情報およびイベント管理 (SIEM) およびセキュリティ オーケストレーション、自動化、応答 (SOAR) ソリューションです。 Microsoft Sentinelは、インテリジェントなセキュリティ分析と脅威インテリジェンスを企業全体に提供し、攻撃検出、脅威の可視性、プロアクティブハンティング、脅威対応のための単一のソリューションを提供します。
Microsoft Sentinelは、すべての顧客のMicrosoft Defender ポータルで利用できるようになりました。これにより、ワークフローを合理化し、可視性を向上させる統一されたセキュリティ運用エクスペリエンスが提供されます。 Security Copilot との統合により、アナリストは自然言語を使用してMicrosoft Sentinel データを操作し、ハンティング クエリを生成し、調査を自動化して脅威への迅速な対応を実現できます。
Microsoft Defender for Cloud
Microsoft Defender for Cloud は、Azure リソースのセキュリティの可視性と制御を強化することで、脅威の防止、検出、対応に役立ちます。 Microsoft Defender for Cloudは、Azure サブスクリプション全体で統合されたセキュリティ監視とポリシー管理を提供し、気付かない可能性のある脅威を検出し、セキュリティ ソリューションの広範なエコシステムと連携するのに役立ちます。
Microsoft Defender for Cloudは、次のようなワークロード固有のプランで包括的な保護を提供します。
- Defender for Servers - WindowsおよびLinuxサーバー向けの高度な脅威保護機能。
- Defender for Containers - コンテナ化アプリケーションおよびKubernetesのセキュリティ。
- Defender for Storage - マルウェアスキャンと機密データ検出による脅威検出。
- Defender for Databases - Azure SQL、Azure Database for MySQL、PostgreSQL 向けの保護。
- Defender for Foundry Tools - 脱獄未遂、データ露出、不審なアクセスパターンからFoundry Toolsのランタイム保護。
- Defender CSPM - 攻撃経路分析、セキュリティガバナンス、AIセキュリティポース管理を備えたクラウドセキュリティポスチャーマネジメント。
さらに、Defender for Cloud は、すぐに対処できるアラートと推奨事項を表示する 1 つのダッシュボードを提供することで、セキュリティ運用に役立ちます。 セキュリティ Copilot統合により、AI によって生成された概要、修復スクリプト、および委任機能が提供され、リスクの修復が高速化されます。
Azure全体にわたる包括的な脅威検出機能については、Azure脅威の防止を参照してください。
VM ディスクの暗号化
既定では、 ホストでの暗号化 は IaaS 仮想マシン ディスクの暗号化に役立ちます。 VMホストレベルでは、FIPS 140-2準拠のAES 256暗号化を通じてサーバー側の暗号化を提供します。 この暗号化は、VM CPU リソースを消費することなく行われ、一時ディスク、OS/データ ディスク キャッシュ、およびAzure Storageへのデータ フローに対するエンドツーエンドの暗号化が提供されます。 デフォルトでは、追加の設定は不要でプラットフォーム管理キーを使用します。 必要に応じて、独自のディスク暗号化キーを制御および管理する必要がある場合に、Azure Key Vaultまたは Azure Key Vault Managed HSM に格納されたカスタマー マネージド キーを使用してソリューションを構成できます。 このソリューションにより、仮想マシンのディスク上のすべてのデータはAzureストレージの静止時に暗号化されます。 キー管理オプションの詳細については、「Azure での
Azure Resource Manager
Azure Resource Manager を使用すると、ソリューション内のリソースをグループとして操作できます。 ソリューションのこれらすべてのリソースを、1 回の連携した操作でデプロイ、更新、または削除できます。 デプロイには Azure Resource Manager テンプレート を使用します。そのテンプレートは、テスト、ステージング、運用などのさまざまな環境で機能します。 Resource Managerは、デプロイ後にリソースを管理するのに役立つセキュリティ、監査、タグ付けの機能を提供します。
Azure Resource Managerのテンプレートベースのデプロイメントは、標準化されたテンプレートベースのデプロイにセキュリティ制御設定を統合できるため、Azureにデプロイされるソリューションのセキュリティ向上に役立ちます。 テンプレートを使えば、手動によるデプロイ時に発生する可能性のあるセキュリティ構成エラーのリスクが減ります。
Application Insights
Application Insights は、Web 開発者向けに設計された柔軟な Application Performance Management (APM) サービスです。 Application Insightsはライブウェブアプリケーションを監視し、パフォーマンス問題を自動的に検出することを可能にします。 強力な分析ツールを使用すると、問題を診断し、アプリとのユーザー操作に関する分析情報を得ることができます。 Application Insights は、開発からテスト、運用までアプリケーションを継続的に監視します。
Application Insights が生成する洞察に満ちたグラフや表を使えば、ユーザー アクティビティのピーク時、アプリの応答性、依存している外部サービスのパフォーマンスなどを明らかにできます。
クラッシュ、故障、パフォーマンスの問題が発生した場合、データを詳細に検索して原因を診断できます。 アプリの利用可能性やパフォーマンスに変化があった場合、サービスからメールが送られます。 Application Insights は、機密性、整合性、および可用性というセキュリティの 3 本柱の中の可用性に役立つ、貴重なセキュリティ ツールとなります。
Azure Monitor
Azure Monitor では、Azure サブスクリプション (Activity Log) と個々の Azure リソース (Resource Logs) のデータの視覚化、クエリ、ルーティング、アラート、自動スケーリング、自動化が提供されます。 Azure Monitorを使用すると、Azure ログで生成されるセキュリティ関連のイベントに関するアラートを生成できます。
Azure Monitor ログ
Azure Monitor ログ は、Azureリソースに加えて、オンプレミスとサードパーティの両方のクラウドベースインフラストラクチャ (アマゾン ウェブ サービスなど) 向けの IT 管理ソリューションを提供します。 Azure Monitorのデータは直接Azure Monitorのログにルーティングできるため、環境全体のメトリクスやログを一か所で確認できます。
Azure Monitorのログは、フォレンジックやその他のセキュリティ分析において有用なツールとなり得ます。なぜなら、柔軟なクエリ方式で大量のセキュリティ関連エントリーを素早く検索できるからです。 さらに、オンプレミスのファイアウォールやプロキシログをAzureにエクスポートし、Azure Monitorログを使って分析可能にすることもできます。
Azure Advisor
Azure Advisor は、Azureデプロイを最適化するのに役立つ、パーソナライズされたクラウド コンサルタントです。 リソースの構成と使用量データを分析できます。 次に、リソースのパフォーマンス、セキュリティ、および信頼性を向上させるソリューションを推奨し、全体的なAzure支出を抑制する機会を探します。 Azure Advisorにはセキュリティに関する推奨事項が用意されており、Azureにデプロイするソリューションの全体的なセキュリティ体制を大幅に向上させることができます。 これらの推奨事項は、Microsoft Defender for Cloud によって実行されるセキュリティ分析から得られます。
ID 管理とアクセス管理
ID は、クラウド コンピューティングの主要なセキュリティ境界です。 ID の保護とリソースへのアクセスの制御は、Azure環境をセキュリティで保護するための基本的な要素です。 Microsoft Entra IDは、包括的な ID およびアクセス管理機能を提供します。 詳細については、「Azure ID 管理の概要」を参照してください。 ID 管理のベスト プラクティスについては、「Azure ID 管理とアクセス制御のセキュリティのベスト プラクティスを参照してください。 ID インフラストラクチャのセキュリティ保護に関するガイダンスについては、 ID インフラストラクチャをセキュリティで保護するための 5 つの手順を参照してください。
Microsoft Entra ID
Microsoft Entra ID は、Microsoft のクラウドベースの ID およびアクセス管理サービスです。 次の機能を提供します。
- シングル Sign-On(SSO):ユーザーが1セットの認証情報で複数のアプリケーションにアクセスできることを可能にします。
- 多要素認証(MFA):サインインに複数の認証方法が必要です。
- 条件付きアクセス:ユーザー、デバイス、位置、リスクに基づいてリソースへのアクセスを制御します。
- 身元保護:身元に基づくリスクを検出し対応します。
- Privileged Identity Management (PIM):Azureリソースへのジャストインタイム特権アクセスを提供します。
- アイデンティティガバナンス:アイデンティティのライフサイクルとアクセス権を管理します。
ロール ベースのアクセス制御 (RBAC)
Azureロールベースのアクセス制御 (RBAC) は、Azure リソースにアクセスできるユーザー、それらのリソースに対して実行できること、アクセスできる領域を管理するのに役立ちます。 RBAC では、Azure リソースに対してきめ細かいアクセス管理が提供されるため、ジョブを実行するために必要な権限のみをユーザーに付与できます。
Microsoft Entra Privileged Identity Management
Microsoft Entra Privileged Identity Management (PIM) を使用すると、組織内の重要なリソースへのアクセスを管理、制御、監視できます。 PIM は、過剰なアクセス許可、不要なアクセス許可、または誤用されたアクセス許可のリスクを軽減するために、時間ベースおよび承認ベースのロールのアクティブ化を提供します。
Azure リソースのマネージド ID
Azure リソース用の管理 ID は、Microsoft Entra ID において Azure サービスに自動的に管理された ID を提供します。 この ID を使用して、コードに資格情報を含めることなく、Microsoft Entra認証をサポートするすべてのサービスに対して認証を行います。
パッチ更新プログラムは、潜在的な問題を見つけて修正するための基礎を提供し、ソフトウェア更新プログラムの管理プロセスを簡素化します。 これにより、企業に展開する必要があるソフトウェア更新プログラムの数が減り、コンプライアンスを監視する能力が向上します。
セキュリティ ポリシーの管理とレポート
Defender for Cloud は、脅威の防御、検出、対応に役立ちます。 Azure リソースのセキュリティの可視性と制御が向上します。 Azure サブスクリプション全体のセキュリティ監視とポリシー管理が統合されています。 Security Center は、見つけにくい脅威の検出を支援すると共に、さまざまなセキュリティ ソリューションをまとめた広範なエコシステムとして機能します。
セキュリティで保護された ID
Microsoft では、複数のセキュリティ上の方法およびテクノロジを製品やサービスに使用して、ID とアクセスを管理します。
多要素認証 では、ユーザーは、オンプレミスとクラウドのアクセスに複数の方法を使用する必要があります。 幅広い簡単な検証オプションによって強力な認証を提供する一方で、簡単なサインイン プロセスでユーザーの要求に応えます。
Microsoft Authenticator は、Microsoft Entra IDと Microsoft の両方のアカウントで動作するユーザー フレンドリな多要素認証エクスペリエンスを提供します。 ウェアラブルと指紋ベースの承認のサポートが含まれています。
パスワード ポリシーの適用によって、長さと複雑さの要件や定期的な変更を強制したり、認証試行の失敗後にアカウントをロックしたりすることで、従来のパスワードのセキュリティが強化されています。
トークンベースの認証により、Microsoft Entra IDによる認証が可能になります。
Azureロールベースのアクセス制御 (Azure RBAC) を使用すると、ユーザーの割り当てられたロールに基づいてアクセス権を付与できます。 職務を遂行するために必要なアクセス権のみをユーザーに与えるのは簡単です。 組織のビジネスモデルやリスク許容度に応じてAzure RBACをカスタマイズできます。
統合 ID 管理 (ハイブリッド ID) を使用すると、内部データセンターとクラウド プラットフォーム全体でユーザーのアクセスの制御を維持できます。 すべてのリソースに対する認証と承認のための単一のユーザー ID が作成されます。
アプリとデータをセキュリティで保護する
Microsoft Entra IDは、包括的な ID およびアクセス管理クラウド ソリューションであり、サイトおよびクラウド上のアプリケーション内のデータへのアクセスをセキュリティで保護し、ユーザーとグループの管理を簡素化します。 Azure Active Directory はコア ディレクトリ サービス、高度な ID ガバナンス、セキュリティ、アプリケーションへのアクセス管理を組み合わせたもので、開発者はポリシーベースの ID 管理をアプリケーションに簡単に組み込むことができます。 Microsoft Entra IDを強化するには、Microsoft Entra Basic、Premium P1、Premium P2 エディションを使用して有料機能を追加できます。
Cloud App Discovery は、組織内の従業員が使用するクラウド アプリケーションを識別できるMicrosoft Entra IDの優れた機能です。
Microsoft Entra ID 保護 は、Microsoft Entra異常検出機能を使用して、組織の ID に影響を与える可能性があるリスク検出と潜在的な脆弱性を統合したビューを提供するセキュリティ サービスです。
Microsoft Entra Domain Services を使用すると、ドメイン コントローラーを展開することなく、Azure VM をドメインに参加させることができます。 ユーザーは企業のActive Directory認証情報を使ってこれらのVMにサインインし、リソースにアクセスできます。
Microsoft Entra B2C は、数億の ID にスケーリングし、モバイルおよび Web プラットフォーム全体に統合できる、コンシューマー向けアプリ向けの高可用性グローバル ID 管理サービスです。 お客様は、既存のソーシャル メディア アカウントを使用するカスタマイズ可能な操作ですべてのアプリにサインインすることも、新しいスタンドアロンの資格情報を作成することもできます。
Microsoft Entra B2B Collaboration は、パートナーが自己管理 ID を使用して企業アプリケーションとデータに選択的にアクセスできるようにすることで、会社間の関係をサポートするセキュリティで保護されたパートナー統合ソリューションです。
Microsoft Entra参加済みを使用すると、一元管理のためにクラウド機能をWindows 10デバイスに拡張できます。 これにより、ユーザーはMicrosoft Entra IDを介して企業または組織のクラウドに接続でき、アプリやリソースへのアクセスが簡素化されます。
Microsoft Entra アプリケーション プロキシ は、オンプレミスでホストされている Web アプリケーションに SSO とセキュリティで保護されたリモート アクセスを提供します。
次のステップ
Microsoft Defender for Cloud を使用して、Azure リソースのセキュリティの可視性と制御を強化することで、脅威を防止、検出、対応する方法について説明します。
Azureのセキュリティベストプラクティスやパターンを探求し、さらなるセキュリティ推奨事項をご覧ください。
包括的なセキュリティ ガイダンスについては、 Microsoft クラウド セキュリティ ベンチマーク を確認してください。
Azureセキュリティ アーキテクチャにおける保護、検出、応答の視点については、Azure の End-to-end セキュリティに関する説明を参照してください。