API Management에 대한 Azure Policy 규정 준수 컨트롤

아티클
03/18/2024

적용 대상: 모든 API Management 계층

Azure Policy의 규정 준수는 서로 다른 규정 준수 표준과 관련된 규정 준수 도메인 및 보안 제어에 대해 기본 제공으로 알려진 Microsoft 생성 및 관리형 이니셔티브 정의를 제공합니다. 이 페이지에는 API Management에 대한 규정 준수 도메인 및 보안 제어가 나열되어 있습니다. 보안 제어에 대한 기본 제공 기능을 개별적으로 할당하여 Azure 리소스가 특정 표준을 준수하도록 할 수 있습니다.

Azure Portal의 정책 정의에 대한 각 기본 제공 정책 정의 링크의 이름입니다. Policy Version 열의 링크를 사용하여 Azure Policy GitHub 리포지토리에서 원본을 봅니다.

Important

각 컨트롤은 하나 이상의 Azure Policy 정의와 연결되어 있습니다. 이러한 정책은 컨트롤에 대한 규정 준수를 평가하는 데 도움이 될 수 있습니다. 그러나 컨트롤과 하나 이상의 정책 간에 일 대 일 또는 완전한 일치가 없는 경우가 많습니다. 따라서 Azure Policy의 규격 준수는 정책 자체만을 나타냅니다. 이는 컨트롤의 모든 요구 사항을 완전히 준수한다는 것을 보장하지 않습니다. 또한 규정 준수 표준에는 현재 Azure Policy 정의에서 처리되지 않은 컨트롤이 포함되어 있습니다. 따라서 Azure Policy의 규정 준수는 전반적인 규정 준수 상태를 부분적으로 표시할 뿐입니다. 이 규정 준수 표준에 대한 컨트롤과 Azure Policy 규정 준수 정의 간의 연결은 시간이 지나면 변경될 수 있습니다.

FedRAMP High

모든 Azure 서비스에서 사용할 수 있는 Azure Policy 기본 제공 사항이 이 규정 준수 표준에 매핑되는 방식을 검토하려면 Azure Policy 규정 준수 - FedRAMP High를 참조하세요. 이 규정 준수 표준에 관한 자세한 내용은 FedRAMP High를 참조하세요.

도메인	컨트롤 ID	컨트롤 제목	정책 _{(Azure Portal)}	정책 버전 _(GitHub)
액세스 제어	AC-4	정보 흐름 적용	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2
시스템 및 통신 보호	SC-7	경계 보호	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2
시스템 및 통신 보호	SC-7(3)	액세스 지점	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2

FedRAMP Moderate

모든 Azure 서비스에서 사용할 수 있는 Azure Policy 기본 제공 사항이 이 규정 준수 표준에 매핑되는 방식을 검토하려면 Azure Policy 규정 준수 - FedRAMP Moderate를 참조하세요. 이 규정 준수 표준에 관한 자세한 내용은 FedRAMP Moderate를 참조하세요.

도메인	컨트롤 ID	컨트롤 제목	정책 _{(Azure Portal)}	정책 버전 _(GitHub)
액세스 제어	AC-4	정보 흐름 적용	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2
시스템 및 통신 보호	SC-7	경계 보호	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2
시스템 및 통신 보호	SC-7(3)	액세스 지점	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2

Microsoft Cloud 보안 벤치마크

Microsoft 클라우드 보안 벤치마크는 Azure에서 클라우드 솔루션을 보호하는 방법에 대한 권장 사항을 제공합니다. 이 서비스가 Microsoft 클라우드 보안 벤치마크에 완전히 매핑되는 방법을 보려면 Azure Security Benchmark 매핑 파일을 참조하세요.

모든 Azure 서비스에 사용 가능한 Azure Policy 기본 제공이 이 규정 준수 표준에 매핑되는 방식을 검토하려면 Azure Policy 규정 준수 - Microsoft 클라우드 보안 벤치마크를 참조하세요.

도메인	컨트롤 ID	컨트롤 제목	정책 _{(Azure Portal)}	정책 버전 _(GitHub)
네트워크 보안	NS-2	네트워크 제어를 사용하여 클라우드 서비스 보호	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2
네트워크 보안	NS-2	네트워크 제어를 사용하여 클라우드 서비스 보호	API Management에서 서비스 구성 엔드포인트에 대한 공용 네트워크 액세스를 사용하지 않도록 설정해야 함	1.0.1
ID 관리	IM-4	서버 및 서비스 인증	Azure API Management의 API 엔드포인트를 인증해야 함	1.0.1
ID 관리	IM-4	서버 및 서비스 인증	API 백 엔드에 대한 API Management 호출을 인증해야 함	1.0.1
ID 관리	IM-4	서버 및 서비스 인증	API 백 엔드에 대한 API Management 호출은 인증서 지문 또는 이름 유효성 검사를 바이패스해서는 안 됨	1.0.2
ID 관리	IM-8	자격 증명 및 비밀 노출 제한	API Management 최소 API 버전은 2019-12-01 이상으로 설정해야 함	1.0.1
ID 관리	IM-8	자격 증명 및 비밀 노출 제한	API Management 비밀로 명명된 값은 Azure Key Vault에 저장해야 함	1.0.2
권한 있는 액세스	PA-7	꼭 필요한 만큼의 관리(최소 권한) 원칙 준수	API 관리 구독의 범위를 모든 API로 지정해서는 안 됨	1.1.0
데이터 보호	DP-3	전송 중인 중요한 데이터 암호화	API Management API는 암호화된 프로토콜만 사용해야 함	2.0.2
데이터 보호	DP-6	안전한 키 관리 프로세스 사용	API Management 비밀로 명명된 값은 Azure Key Vault에 저장해야 함	1.0.2
자산 관리	AM-2	승인된 서비스만 사용	Azure API Management 플랫폼 버전은 stv2여야 합니다.	1.0.0
자산 관리	AM-3	자산 수명 주기 관리의 보안 보장	사용하지 않는 API 엔드포인트는 사용하지 않도록 설정되고 Azure API Management 서비스에서 제거되어야 함	1.0.1
보안 상태 및 취약성 관리	PV-2	보안 구성 감사 및 적용	API Management 직접 관리 엔드포인트를 사용하도록 설정하면 안 됨	1.0.2
보안 상태 및 취약성 관리	PV-2	보안 구성 감사 및 적용	API Management 최소 API 버전은 2019-12-01 이상으로 설정해야 함	1.0.1
보안 상태 및 취약성 관리	PV-2	보안 구성 감사 및 적용	Azure API Management 플랫폼 버전은 stv2여야 합니다.	1.0.0

NIST SP 800-171 R2

모든 Azure 서비스에 사용 가능한 Azure Policy 기본 제공이 이 규정 준수 표준에 매핑되는 방식을 검토하려면 Azure Policy 규정 준수 - NIST SP 800-171 R2를 참조하세요. 이 규정 준수 표준에 대한 자세한 내용은 NIST SP 800-171 R2를 참조하세요.

도메인	컨트롤 ID	컨트롤 제목	정책 _{(Azure Portal)}	정책 버전 _(GitHub)
액세스 제어	3.1.3	승인된 권한 부여에 따라 CUI의 흐름을 제어합니다.	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2
시스템 및 통신 보호	3.13.1	조직 시스템의 외부 경계 및 핵심 내부 경계에서 통신(즉, 조직 시스템에서 전송 또는 수신하는 정보)을 모니터링하고 제어하고 보호합니다.	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2
시스템 및 통신 보호	3.13.2	조직 시스템 내에서 효과적인 정보 보안을 강화하는 아키텍처 설계, 소프트웨어 개발 기술 및 시스템 엔지니어링 원칙을 적용합니다.	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2
시스템 및 통신 보호	3.13.5	내부 네트워크에서 물리적으로 또는 논리적으로 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소에 대한 하위 네트워크를 구현합니다.	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2

NIST SP 800-53 Rev. 4

모든 Azure 서비스에서 사용할 수 있는 Azure Policy 기본 제공 사항이 이 규정 준수 표준에 매핑되는 방식을 검토하려면 Azure Policy 규정 준수 - NIST SP 800-53 개정 4를 참조하세요. 이 규정 준수 표준에 관한 자세한 내용은 NIST SP 800-53 개정 4를 참조하세요.

도메인	컨트롤 ID	컨트롤 제목	정책 _{(Azure Portal)}	정책 버전 _(GitHub)
액세스 제어	AC-4	정보 흐름 적용	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2
시스템 및 통신 보호	SC-7	경계 보호	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2
시스템 및 통신 보호	SC-7(3)	액세스 지점	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2

NIST SP 800-53 Rev. 5

모든 Azure 서비스에서 사용할 수 있는 Azure Policy 기본 제공 사항이 이 규정 준수 표준에 매핑되는 방식을 검토하려면 Azure Policy 규정 준수 - NIST SP 800-53 개정 5를 참조하세요. 이 규정 준수 표준에 관한 자세한 내용은 NIST SP 800-53 개정 5를 참조하세요.

도메인	컨트롤 ID	컨트롤 제목	정책 _{(Azure Portal)}	정책 버전 _(GitHub)
액세스 제어	AC-4	정보 흐름 적용	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2
시스템 및 통신 보호	SC-7	경계 보호	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2
시스템 및 통신 보호	SC-7(3)	액세스 지점	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2

NL BIO 클라우드 테마

모든 Azure 서비스에 사용할 수 있는 Azure Policy 기본 제공 기능이 이 규정 준수 표준에 매핑되는 방법을 검토하려면 NL BIO 클라우드 테마에 대한 Azure Policy 규정 준수 세부 정보를 참조하세요. 이 규정 준수 표준에 대한 자세한 내용은 기준 정보 보안 정부 사이버 보안 - 디지털 정부(digitaleoverheid.nl)를 참조하세요.

도메인	컨트롤 ID	컨트롤 제목	정책 _{(Azure Portal)}	정책 버전 _(GitHub)
U.07.1 데이터 격리 - 격리됨	U.07.1	데이터의 영구 격리는 다중 테넌트 아키텍처입니다. 패치는 제어된 방식으로 구현됩니다.	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2

Reserve Bank of India IT Framework for Banks v2016

모든 Azure 서비스에 사용 가능한 Azure Policy 기본 제공 기능이 이 규정 준수 표준에 어떻게 매핑되는지 검토하려면 Azure Policy 규정 준수 - RBI ITF Banks v2016을 참조하세요. 이 규정 준수 표준에 대한 자세한 내용은 RBI ITF Banks v2016(PDF)을 참조하세요.

도메인	컨트롤 ID	컨트롤 제목	정책 _{(Azure Portal)}	정책 버전 _(GitHub)
패치/취약성 및 변경 관리		패치/취약성 및 변경 관리-7.7	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2

RMIT 말레이시아

모든 Azure 서비스에 사용 가능한 Azure Policy 기본 제공이 이 규정 준수 표준에 매핑되는 방식을 검토하려면 Azure Policy 규정 준수 - RMIT 말레이시아를 참조하세요. 이 규정 준수 표준에 대한 자세한 내용은 RMIT 말레이시아를 참조하세요.

도메인	컨트롤 ID	컨트롤 제목	정책 _{(Azure Portal)}	정책 버전 _(GitHub)
네트워크 복원력	10.33	네트워크 복원력 - 10.33	API Management 서비스에서 가상 네트워크를 사용해야 함	1.0.2

다음 단계

Azure Policy 규정 준수에 대해 자세히 알아봅니다.
Azure Policy GitHub 리포지토리의 기본 제공 기능을 참조하세요.

다음을 통해 공유