Konfigurera Microsoft Entra-ID så att det uppfyller FedRAMP-nivån med hög påverkan
FedRAMP (Federal Risk and Authorization Management Program) är en utvärderings- och auktoriseringsprocess för molntjänstleverantörer (CSP). Mer specifikt gäller processen för molnlösningsleverantörer som skapar molnlösningserbjudanden (CSO) för användning med federala myndigheter. Azure och Azure Government har fått en preliminär myndighet att arbeta (P-ATO) på hög effektnivå från Joint Authorization Board, det högsta fältet för FedRAMP-ackreditering.
Azure ger möjlighet att uppfylla alla kontrollkrav för att uppnå ett FedRAMP-högt omdöme för din CSO eller som en federal myndighet. Det är din organisations ansvar att slutföra ytterligare konfigurationer eller processer för att vara kompatibla. Detta ansvar gäller för både csp:er som söker ett FedRAMP-högt auktorisering för sin cso och federala myndigheter som söker en myndighet för drift (ATO).
Microsoft och FedRAMP
Microsoft Azure har stöd för fler tjänster på FedRAMP-nivåer med hög påverkan än någon annan CSP. Och även om den här nivån i det offentliga Azure-molnet uppfyller behoven hos många amerikanska myndighetskunder, kan myndigheter med strängare krav förlita sig på Azure Government-molnet. Azure Government ger ytterligare skydd, till exempel ökad personalkontroll.
Microsoft måste omcertifiera sina molntjänster varje år för att behålla sina auktoriseringar. För att göra det övervakar och utvärderar Microsoft kontinuerligt sina säkerhetskontroller och visar att säkerheten för tjänsterna fortfarande är i överensstämmelse. Mer information finns i FedRAMP-auktoriseringar för Microsoft-molntjänster och Microsoft FedRAMP-granskningsrapporter. Om du vill ta emot andra FedRAMP-rapporter skickar du e-post till Azure Federal Documentation.
Det finns flera sökvägar till FedRAMP-auktorisering. Du kan återanvända det befintliga auktoriseringspaketet i Azure och vägledningen här för att avsevärt minska den tid och det arbete som krävs för att få en ATO eller en P-ATO.
Vägledningens omfattning
FedRAMP:s höga baslinje består av 421 kontroller och kontrollförbättringar från NIST 800-53 Security Controls Catalog Revision 4. I tillämpliga fall inkluderade vi klargörande information från 800-53 Revision 5. Den här artikeluppsättningen beskriver en delmängd av dessa kontroller som är relaterade till identitet och som du måste konfigurera.
Vi ger vägledning som hjälper dig att uppnå efterlevnad med kontroller som du ansvarar för att konfigurera i Microsoft Entra-ID. Om du vill uppfylla vissa krav på identitetskontroll kan du behöva använda andra system. Andra system kan innehålla ett verktyg för säkerhetsinformation och händelsehantering, till exempel Microsoft Sentinel. Om du använder Azure-tjänster utanför Microsoft Entra-ID finns det andra kontroller som du behöver tänka på och du kan använda de funktioner som Azure redan har för att uppfylla kontrollerna.
Följande är en lista över FedRAMP-resurser: