Controles de Conformidade Regulatória de Política do Azure para Gerenciamento de API do Azure

APLICA-SE A: Todas as camadas de gerenciamento de API

A Conformidade Regulatória na Política do Azure fornece definições de iniciativa criadas e gerenciadas pela Microsoft, conhecidas como internas, para os domínios de conformidade e controles de segurança relacionados a diferentes padrões de conformidade. Esta página lista os domínios de conformidade e os controles de segurança para o Gerenciamento de API do Azure. Você pode atribuir os componentes integrados para um controle de segurança individualmente para assegurar que seus recursos do Azure estejam em conformidade com o padrão específico.

O título de cada definição de política interna vincula-se à definição de política no portal do Azure. Use o link na coluna Versão da Política para visualizar a fonte no repositório GitHub do Azure Policy.

Importante

Cada controle está associado a uma ou mais definições de Política do Azure. Essas políticas podem ajudá-lo a avaliar a conformidade com o controle. No entanto, muitas vezes não há uma correspondência direta ou completa entre um controlo e uma ou mais políticas. Como tal, Compatível na Política do Azure refere-se apenas às próprias políticas. Isso não garante que você esteja totalmente em conformidade com todos os requisitos de um controle. Além disso, o padrão de conformidade inclui controles que não são abordados por nenhuma definição de Política do Azure no momento. Portanto, a conformidade na Política do Azure é apenas uma exibição parcial do seu status geral de conformidade. As associações entre controles e definições de Conformidade Regulatória da Política do Azure para esses padrões de conformidade podem mudar ao longo do tempo.

FedRAMP Alto

Para analisar como os internos da Política do Azure disponíveis para todos os serviços do Azure são mapeados para esse padrão de conformidade, consulte Conformidade regulatória da política do Azure - FedRAMP High. Para obter mais informações sobre esse padrão de conformidade, consulte FedRAMP High.

Domínio	ID de controlo	Título do controlo	Política (Portal do Azure)	Versão da política (GitHub)
Controlo de Acesso	AC-4	Aplicação do fluxo de informações	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção de Sistemas e Comunicações	SC-7	Proteção de Fronteiras	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção de Sistemas e Comunicações	SC-7 (3)	Pontos de Acesso	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2

FedRAMP Moderado

Para rever como as políticas embutidas disponíveis para todos os serviços do Azure são mapeadas para este padrão de conformidade, consulte Conformidade Regulamentar da Política do Azure - FedRAMP Moderate. Para obter mais informações sobre esse padrão de conformidade, consulte FedRAMP Moderate.

Domínio	ID de controlo	Título do controlo	Política (Portal do Azure)	Versão da política (GitHub)
Controlo de Acesso	AC-4	Aplicação do fluxo de informações	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção de Sistemas e Comunicações	SC-7	Proteção de Fronteiras	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção de Sistemas e Comunicações	SC-7 (3)	Pontos de Acesso	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2

Referência de segurança da nuvem da Microsoft

O benchmark de segurança na nuvem da Microsoft fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. Para ver como esse serviço é completamente mapeado para o benchmark de segurança na nuvem da Microsoft, consulte os arquivos de mapeamento do Azure Security Benchmark.

Para analisar como os componentes internos da Política do Azure disponíveis para todos os serviços do Azure são mapeados para esse padrão de conformidade, consulte Conformidade regulatória da política do Azure - Referência de segurança na nuvem da Microsoft.

Domínio	ID de controlo	Título do controlo	Política (Portal do Azure)	Versão da política (GitHub)
Segurança de Rede	NS-2	Serviços de nuvem seguros com controles de rede	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2
Segurança de Rede	NS-2	Serviços de nuvem seguros com controles de rede	O Gerenciamento de API deve desabilitar o acesso de rede pública aos pontos de extremidade de configuração do serviço	1.0.1
Gestão de Identidades	IM-4	Autenticar servidor e serviços	Os endpoints de API no API Management do Azure devem ser autenticados	1.0.1
Gestão de Identidades	IM-4	Autenticar servidor e serviços	As chamadas de gerenciamento de API para back-ends de API devem ser autenticadas	1.0.1
Gestão de Identidades	IM-4	Autenticar servidor e serviços	As chamadas de gerenciamento de API para back-ends de API não devem ignorar a impressão digital do certificado ou a validação de nome	1.0.2
Gestão de Identidades	IM-8	Restrinja a exposição de credenciais e segredos	A versão mínima da API de Gerenciamento de API deve ser definida como 2019-12-01 ou superior	1.0.1
Gestão de Identidades	IM-8	Restrinja a exposição de credenciais e segredos	Os valores nomeados do segredo do Gerenciamento de API devem ser armazenados no Cofre de Chaves do Azure	1.0.2
Acesso Privilegiado	PA-7	Seguir o princípio do privilégio mínimo (administração mínima)	As assinaturas de Gerenciamento de API não devem ter escopo para todas as APIs	1.1.0
Proteção de Dados	DP-3	Criptografar dados confidenciais em trânsito	As APIs de gerenciamento de API devem usar apenas protocolos criptografados	2.0.2
Proteção de Dados	DP-6	Use um processo seguro de gerenciamento de chaves	Os valores nomeados do segredo do Gerenciamento de API devem ser armazenados no Cofre de Chaves do Azure	1.0.2
Gestão de Recursos	AM-2	Utilizar apenas serviços aprovados	A versão da plataforma de Gerenciamento de API do Azure deve ser stv2	1.0.0
Gestão de Recursos	AM-3	Garanta a segurança da gestão do ciclo de vida dos ativos	Os pontos de extremidade de API que não são usados devem ser desabilitados e removidos do serviço de Gerenciamento de API do Azure	1.0.1
Gestão da Postura e da Vulnerabilidade	PV-2	Auditar e impor configurações seguras	O ponto de extremidade de gerenciamento direto do Gerenciamento de API não deve ser habilitado	1.0.2
Gestão da Postura e da Vulnerabilidade	PV-2	Auditar e impor configurações seguras	A versão mínima da API de Gerenciamento de API deve ser definida como 2019-12-01 ou superior	1.0.1
Gestão da Postura e da Vulnerabilidade	PV-2	Auditar e impor configurações seguras	A versão da plataforma de Gerenciamento de API do Azure deve ser stv2	1.0.0

NIST SP 800-171 R2

Para analisar como os componentes internos da Política do Azure disponíveis para todos os serviços do Azure são mapeados para esse padrão de conformidade, consulte Conformidade regulatória da política do Azure - NIST SP 800-171 R2. Para obter mais informações sobre esse padrão de conformidade, consulte NIST SP 800-171 R2.

Domínio	ID de controlo	Título do controlo	Política (Portal do Azure)	Versão da política (GitHub)
Controlo de Acesso	3.1.3	Controlar o fluxo de CUI de acordo com as autorizações aprovadas.	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção de Sistemas e Comunicações	3.13.1	Monitorar, controlar e proteger as comunicações (ou seja, informações transmitidas ou recebidas pelos sistemas organizacionais) nos limites externos e nos principais limites internos dos sistemas organizacionais.	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção de Sistemas e Comunicações	3.13.2	Empregar projetos arquitetônicos, técnicas de desenvolvimento de software e princípios de engenharia de sistemas que promovam a segurança eficaz da informação nos sistemas organizacionais.	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção de Sistemas e Comunicações	3.13.5	Implementar sub-redes para componentes do sistema acessíveis publicamente que estejam física ou logicamente separados das redes internas.	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2

NIST SP 800-53 Rev. 4

Para rever como as políticas integradas do Azure disponíveis para todos os serviços do Azure são mapeadas para este padrão de conformidade, consulte Conformidade Regulamentar da Política do Azure - NIST SP 800-53 Rev. 4. Para obter mais informações sobre esse padrão de conformidade, consulte NIST SP 800-53 Rev. 4.

Domínio	ID de controlo	Título do controlo	Política (Portal do Azure)	Versão de política (GitHub)
Controlo de Acesso	AC-4	Aplicação do fluxo de informações	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção de Sistemas e Comunicações	SC-7	Proteção de Fronteiras	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção de Sistemas e Comunicações	SC-7 (3)	Pontos de Acesso	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2

NIST SP 800-53 Rev. 5

Para analisar como os componentes internos da Política do Azure disponíveis para todos os serviços do Azure são mapeados para esse padrão de conformidade, consulte Conformidade regulatória da política do Azure - NIST SP 800-53 Rev. 5. Para obter mais informações sobre esse padrão de conformidade, consulte NIST SP 800-53 Rev. 5.

Domínio	ID de controlo	Título do controlo	Política (Portal do Azure)	Versão da política (GitHub)
Controlo de Acesso	AC-4	Aplicação do fluxo de informações	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção de Sistemas e Comunicações	SC-7	Proteção de Fronteiras	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção de Sistemas e Comunicações	SC-7 (3)	Pontos de Acesso	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2

NL BIO Cloud Tema

Para analisar como os conjuntos de políticas incorporadas do Azure disponíveis para todos os serviços do Azure são mapeados para este padrão de conformidade, consulte Detalhes de Conformidade Regulatória da Política do Azure para NL BIO Cloud Theme. Para obter mais informações sobre esse padrão de conformidade, consulte Baseline Information Security Government Cybersecurity - Digital Government (digitaleoverheid.nl).

Domínio	ID de controlo	Título do controlo	Política (Portal do Azure)	Versão da política (GitHub)
U.07.1 Separação de dados - Isolado	U.07.1	O isolamento definitivo dos dados é uma arquitetura multicliente. Os patches são realizados de forma controlada.	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2

Estrutura de TI para Bancos do Reserve Bank of India v2016

Para analisar como os componentes internos da Política do Azure disponíveis para todos os serviços do Azure são mapeados para esse padrão de conformidade, consulte Conformidade regulatória da política do Azure - RBI ITF Banks v2016. Para obter mais informações sobre esse padrão de conformidade, consulte RBI ITF Banks v2016 (PDF).

Domínio	ID de controlo	Título do controlo	Política (Portal do Azure)	Versão da política (GitHub)
Gestão de Correções/Vulnerabilidades e Mudanças		Patch/Vulnerabilidade & Gestão de Mudanças-7.7	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2

RMIT Malásia

Para analisar como os construtos internos da Política do Azure disponíveis para todos os serviços do Azure estão relacionados com este padrão de conformidade, consulte Conformidade regulatória da política do Azure - RMIT Malásia. Para obter mais informações sobre esse padrão de conformidade, consulte RMIT Malásia.

Domínio	ID de controlo	Título do controlo	Política (Portal do Azure)	Versão da política (GitHub)
Resiliência da rede	10.33	Resiliência da Rede - 10.33	Os serviços de gerenciamento de API devem usar uma rede virtual	1.0.2

Conteúdo relacionado

• Saiba mais sobre a Conformidade Regulatória da Política do Azure.
• Veja as incorporações no repositório do GitHub do Azure Policy.