Aracılığıyla paylaş

Azure Container Apps için Azure güvenlik temeli

  • Makale

Bu güvenlik temeli, Microsoft bulut güvenlik karşılaştırması sürüm 1.0'dan Azure Container Apps'e yönergeler uygular. Microsoft bulut güvenliği karşılaştırması, Azure'da bulut çözümlerinizin güvenliğini nasıl sağlayabileceğinize ilişkin öneriler sağlar. İçerik, Microsoft bulut güvenliği karşılaştırması tarafından tanımlanan güvenlik denetimlerine ve Azure Container Apps için geçerli olan ilgili yönergelere göre gruplandırılır.

Bulut için Microsoft Defender kullanarak bu güvenlik temelini ve önerilerini izleyebilirsiniz. Azure İlkesi tanımları, Bulut için Microsoft Defender portalı sayfasının Mevzuat Uyumluluğu bölümünde listelenir.

Bir özelliğin ilgili Azure İlkesi Tanımları olduğunda, Microsoft bulut güvenliği karşılaştırma denetimleri ve önerileriyle uyumluluğu ölçmenize yardımcı olmak için bu temelde listelenir. Bazı öneriler, belirli güvenlik senaryolarını etkinleştirmek için ücretli bir Microsoft Defender planı gerektirebilir.

Not

Azure Container Apps için geçerli olmayan özellikler dışlanmıştır. Azure Container Apps'in Microsoft bulut güvenlik karşılaştırmasına tamamen nasıl eşlediğini görmek için azure container apps güvenlik temeli eşleme dosyasının tamamına bakın.

Güvenlik profili

Güvenlik profili, Azure Container Apps'in yüksek etkili davranışlarını özetler ve bu da güvenlikle ilgili dikkat edilmesi gereken noktaların artmasına neden olabilir.

Hizmet Davranışı Özniteliği Değer
Ürün Kategorisi Kapsayıcılar
Müşteri HOST/ işletim sistemine erişebilir Erişim Yok
Hizmet müşterinin sanal ağına dağıtılabilir True
Bekleyen müşteri içeriğini depolar True

Ağ güvenliği

Daha fazla bilgi için bkz . Microsoft bulut güvenliği karşılaştırması: Ağ güvenliği.

NS-1: Ağ segmentasyonu sınırları oluşturma

Özellikler

Sanal Ağ Tümleştirmesi

Açıklama: Hizmet, müşterinin özel Sanal Ağ (VNet) dağıtımı destekler. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
Doğru Yanlış Customer

Yapılandırma Kılavuzu: Hizmeti bir sanal ağa dağıtın. Genel IP'leri kaynağa doğrudan atamak için güçlü bir neden olmadığı sürece kaynağa özel IP'ler atayın (varsa).

Başvuru: Azure Container Apps Sanal Ağ Tümleştirmesi

Ağ Güvenlik Grubu Desteği

Açıklama: Hizmet ağ trafiği, alt ağlarında Ağ Güvenlik Grupları kural atamasını dikkate alır. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
Doğru Yanlış Customer

Yapılandırma Kılavuzu: Trafiği bağlantı noktası, protokol, kaynak IP adresi veya hedef IP adresine göre kısıtlamak veya izlemek için ağ güvenlik gruplarını (NSG) kullanın. Hizmetinizin açık bağlantı noktalarını kısıtlamak için NSG kuralları oluşturun (örneğin, yönetim bağlantı noktalarına güvenilmeyen ağlardan erişilmesini engelleme). NSG'lerin varsayılan olarak tüm gelen trafiği reddettiklerine ancak sanal ağ ve Azure Load Balancer'lardan gelen trafiğe izin verdiğine dikkat edin.

Başvuru: Azure Container Apps'te özel bir sanal ağın güvenliğini sağlama

NS-2: Ağ denetimleriyle bulut hizmetlerinin güvenliğini sağlama

Özellikler

Genel Ağ Erişimini Devre Dışı Bırak

Açıklama: Hizmet, hizmet düzeyi IP ACL filtreleme kuralı (NSG veya Azure Güvenlik Duvarı değil) veya 'Genel Ağ Erişimini Devre Dışı Bırak' iki durumlu anahtarı kullanarak genel ağ erişimini devre dışı bırakmayı destekler. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
Doğru Yanlış Customer

Yapılandırma Kılavuzu: Yalnızca iç kapsayıcı uygulamaları ortam yapılandırmasını dağıtarak genel ağ erişimini devre dışı bırakın.

Başvuru: İç Azure Container Apps ortamına sanal ağ sağlama

Kimlik yönetimi

Daha fazla bilgi için bkz . Microsoft bulut güvenliği karşılaştırması: Kimlik yönetimi.

IM-1: Merkezi kimlik ve kimlik doğrulama sistemini kullanma

Özellikler

Veri Düzlemi Erişimi için Azure AD Kimlik Doğrulaması Gerekiyor

Açıklama: Hizmet, veri düzlemi erişimi için Azure AD kimlik doğrulamasını kullanmayı destekler. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
Doğru Yanlış Customer

Yapılandırma Kılavuzu: Veri düzlemi erişiminizi denetlemek için varsayılan kimlik doğrulama yöntemi olarak Azure Active Directory 'yi (Azure AD) kullanın.

Başvuru: Azure Active Directory ile Azure Container Apps'te kimlik doğrulamasını ve yetkilendirmeyi etkinleştirme

Veri Düzlemi Erişimi için Yerel Kimlik Doğrulama Yöntemleri

Açıklama: Yerel kullanıcı adı ve parola gibi veri düzlemi erişimi için desteklenen yerel kimlik doğrulama yöntemleri. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
False Geçerli değil Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

IM-3: Uygulama kimliklerini güvenli ve otomatik olarak yönetme

Özellikler

Yönetilen Kimlikler

Açıklama: Veri düzlemi eylemleri, yönetilen kimlikleri kullanarak kimlik doğrulamayı destekler. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
Doğru Yanlış Customer

Özellik notları: Yönetilen Kimlik, Container Apps ve Dapr bileşenleri için desteklenir, ancak henüz kapsayıcı uygulamasındaki ölçek kuralları için desteklenmez

Yapılandırma Kılavuzu: Mümkün olduğunda hizmet sorumluları yerine Azure tarafından yönetilen kimlikler kullanın. Bu kimlikler, Azure Active Directory (Azure AD) kimlik doğrulamasını destekleyen Azure hizmetleri ve kaynaklarında kimlik doğrulaması yapabilir. Yönetilen kimlik kimlik bilgileri platform tarafından tam olarak yönetilir, döndürülür ve korunur; kaynak kodunda veya yapılandırma dosyalarında sabit kodlanmış kimlik bilgileri önlenir.

Başvuru: Azure Container Apps'te Yönetilen Kimlik Kullanma

Hizmet Sorumluları

Açıklama: Veri düzlemi, hizmet sorumlularını kullanarak kimlik doğrulamayı destekler. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
Doğru Yanlış Customer

Yapılandırma Kılavuzu: Bu özellik yapılandırması için geçerli bir Microsoft kılavuzu yoktur. Lütfen kuruluşunuzun bu güvenlik özelliğini yapılandırmak isteyip istemediğini gözden geçirin ve belirleyin.

IM-7: Koşullara göre kaynak erişimini kısıtlama

Özellikler

Veri Düzlemi için Koşullu Erişim

Açıklama: Veri düzlemi erişimi Azure AD Koşullu Erişim İlkeleri kullanılarak denetlenebilir. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
False Geçerli değil Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

IM-8: Kimlik bilgilerinin ve gizli dizilerin açığa çıkarmasını kısıtlama

Özellikler

Azure Key Vault'ta Hizmet Kimlik Bilgileri ve Gizli Diziler Tümleştirme ve Depolama Desteği

Açıklama: Veri düzlemi, kimlik bilgileri ve gizli dizi deposu için Azure Key Vault'un yerel kullanımını destekler. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
True Uygulanabilir Uygulanabilir

Özellik notları: Müşteriler, Dapr özellikli Container Apps için gizli dizi başvuruları için Azure Key Vault'dan yararlanabilir.

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

Ayrıcalıklı erişim

Daha fazla bilgi için bkz . Microsoft bulut güvenliği karşılaştırması: Ayrıcalıklı erişim.

PA-1: Yüksek ayrıcalıklı/yönetici kullanıcıları ayırma ve sınırlama

Özellikler

Yerel Yönetici Hesapları

Açıklama: Hizmet, yerel bir yönetim hesabı kavramına sahiptir. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
False Geçerli değil Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

PA-7: Tam yetecek kadar yönetim uygulama (en düşük ayrıcalık) ilkesi

Özellikler

Veri Düzlemi için Azure RBAC

Açıklama: Hizmetin veri düzlemi eylemlerine yönetilen erişim için Azure Rol Tabanlı Erişim Denetimi (Azure RBAC) kullanılabilir. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
False Geçerli değil Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

PA-8: Bulut sağlayıcısı desteği için erişim sürecini belirleme

Özellikler

Müşteri Kasası

Açıklama: Müşteri Kasası, Microsoft destek erişimi için kullanılabilir. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
False Geçerli değil Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

Veri koruması

Daha fazla bilgi için bkz . Microsoft bulut güvenliği karşılaştırması: Veri koruma.

DP-1: Hassas verileri bulma, sınıflandırma ve etiketleme

Özellikler

Hassas Veri Bulma ve Sınıflandırma

Açıklama: Hizmette veri bulma ve sınıflandırma için araçlar (Azure Purview veya Azure Information Protection gibi) kullanılabilir. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
False Geçerli değil Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

DP-2: Hassas verileri hedefleyen anomalileri ve tehditleri izleme

Özellikler

Veri Sızıntısı/Kaybı Önleme

Açıklama: Hizmet, hassas veri hareketlerini izlemek için DLP çözümünü destekler (müşterinin içeriğinde). Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
False Geçerli değil Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

DP-3: Aktarımdaki hassas verileri şifreleme

Özellikler

Aktarım Şifrelemesindeki Veriler

Açıklama: Hizmet, veri düzlemi için aktarım içi veri şifrelemesini destekler. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
Doğru Yanlış Customer

Yapılandırma Kılavuzu: Yerleşik aktarım şifrelemesi özelliğinde yerel verilerin bulunduğu hizmetlerde güvenli aktarımı etkinleştirin. Herhangi bir web uygulaması ve hizmeti üzerinde HTTPS uygulayın ve TLS v1.2 veya üzerinin kullanıldığından emin olun. SSL 3.0, TLS v1.0 gibi eski sürümler devre dışı bırakılmalıdır. Sanal Makineler uzaktan yönetimi için şifrelenmemiş bir protokol yerine SSH (Linux için) veya RDP/TLS (Windows için) kullanın.

Başvuru: Azure Container Apps'te HTTPS veya TCP girişi ayarlama

DP-4: Bekleyen şifrelemedeki verileri varsayılan olarak etkinleştirme

Özellikler

Platform Anahtarlarını Kullanarak Bekleyen Şifrelemedeki Veriler

Açıklama: Platform anahtarları kullanılarak bekleyen veriler desteklenir, bekleyen tüm müşteri içerikleri bu Microsoft tarafından yönetilen anahtarlarla şifrelenir. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
True True Microsoft

Özellik notları: Azure Container Apps bekleyen veriler için Microsoft'un varsayılan şifrelemesini kullanır.

Yapılandırma Kılavuzu: Bu varsayılan dağıtımda etkinleştirildiğinden ek yapılandırma gerekmez.

Başvuru: Çift şifreleme

DP-5: Gerektiğinde bekleyen şifrelemede verilerde müşteri tarafından yönetilen anahtar seçeneğini kullanın

Özellikler

CMK Kullanarak Bekleyen Şifrelemedeki Veriler

Açıklama: Müşteri tarafından yönetilen anahtarlar kullanılarak bekleyen veriler, hizmet tarafından depolanan müşteri içeriği için desteklenir. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
False Geçerli değil Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

DP-6: Güvenli anahtar yönetimi işlemi kullanma

Özellikler

Azure Key Vault'ta Anahtar Yönetimi

Açıklama: Hizmet tüm müşteri anahtarları, gizli diziler veya sertifikalar için Azure Key Vault tümleştirmesini destekler. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
False Geçerli değil Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

DP-7: Güvenli bir sertifika yönetim işlemi kullanma

Özellikler

Azure Key Vault'ta Sertifika Yönetimi

Açıklama: Hizmet, tüm müşteri sertifikaları için Azure Key Vault tümleştirmesini destekler. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
False Geçerli değil Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

Varlık yönetimi

Daha fazla bilgi için bkz . Microsoft bulut güvenliği karşılaştırması: Varlık yönetimi.

-2: Yalnızca onaylanan hizmetleri kullanın

Özellikler

Azure İlkesi Desteği

Açıklama: Hizmet yapılandırmaları Azure İlkesi aracılığıyla izlenebilir ve zorunlu kılınabilir. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
Doğru Yanlış Customer

Yapılandırma Kılavuzu: Azure kaynaklarınızın yapılandırmalarını denetlemek ve zorunlu kılmak üzere Azure İlkesi yapılandırmak için Bulut için Microsoft Defender kullanın. Kaynaklarda bir yapılandırma sapması algılandığında uyarılar oluşturmak için Azure İzleyici'yi kullanın. Azure kaynakları arasında güvenli yapılandırmayı zorlamak için Azure İlkesi [reddet] ve [yoksa dağıt] efektlerini kullanın.

Başvuru: Azure Container Apps için yerleşik tanımları Azure İlkesi

Günlüğe kaydetme ve tehdit algılama

Daha fazla bilgi için bkz . Microsoft bulut güvenliği karşılaştırması: Günlüğe kaydetme ve tehdit algılama.

LT-1: Tehdit algılama özelliklerini etkinleştirme

Özellikler

Hizmet için Microsoft Defender / Ürün Teklifi

Açıklama: Hizmet, güvenlik sorunlarını izlemek ve uyarmak için teklife özgü bir Microsoft Defender çözümüne sahiptir. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
False Geçerli değil Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

LT-4: Güvenlik araştırması için günlüğe kaydetmeyi etkinleştirme

Özellikler

Azure Kaynak Günlükleri

Açıklama: Hizmet, hizmete özgü gelişmiş ölçümler ve günlükler sağlayabilen kaynak günlükleri oluşturur. Müşteri bu kaynak günlüklerini yapılandırabilir ve depolama hesabı veya Log Analytics çalışma alanı gibi kendi veri havuzuna gönderebilir. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
True True Microsoft

Yapılandırma Kılavuzu: Bu varsayılan dağıtımda etkinleştirildiğinden ek yapılandırma gerekmez.

Başvuru: Azure Container Apps'te günlük depolama ve izleme seçenekleri

Duruş ve Güvenlik Açığı Yönetimi

Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Duruş ve güvenlik açığı yönetimi.

PV-3: İşlem kaynakları için güvenli yapılandırmalar oluşturma

Özellikler

Özel Kapsayıcı Görüntüleri

Açıklama: Hizmet, önceden uygulanan belirli temel yapılandırmalarla kullanıcı tarafından sağlanan kapsayıcı görüntülerini veya marketten önceden oluşturulmuş görüntülerin kullanılmasını destekler. Daha fazla bilgi edinin

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
Doğru Yanlış Customer

Yapılandırma Kılavuzu: Yönetici kimlik bilgilerinin kullanılmasını önlemek için kimlik doğrulaması için yönetilen kimlikleri kullanarak Microsoft Azure Container Registry'deki özel depolardan görüntü çekebilirsiniz. Azure Container Registry ile kimlik doğrulaması yapmak için sistem tarafından atanan veya kullanıcı tarafından atanan yönetilen kimliği kullanabilirsiniz.

Başvuru: Yönetilen kimlikle Azure Container Apps görüntüsü çekme

PV-5: Güvenlik açığı değerlendirmeleri gerçekleştirme

Özellikler

Microsoft Defender kullanarak Güvenlik Açığı Değerlendirmesi

Açıklama: Hizmet, Bulut için Microsoft Defender veya diğer Microsoft Defender hizmetlerinin ekli güvenlik açığı değerlendirmesi özelliği (sunucu, kapsayıcı kayıt defteri, App Service, SQL ve DNS dahil) kullanılarak güvenlik açığı taraması için taranabilir. Daha fazla bilgi edinin

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
False Uygulanamaz Uygulanamaz

Yapılandırma Kılavuzu: Container Apps, Kapsayıcılar için Defender tarafından gerçekleştirilen güvenlik açığı değerlendirmesini desteklemese de, Container Apps ile tümleştirilebilen Azure Container Registry güvenlik açığı değerlendirmesini destekler.

Başvuru: Azure Container Registry görüntülerinizi güvenlik açıklarına karşı taramak için Kapsayıcılar için Defender'ı kullanma

Yedekleme ve kurtarma

Daha fazla bilgi için bkz . Microsoft bulut güvenliği karşılaştırması: Yedekleme ve kurtarma.

BR-1: Düzenli otomatik yedeklemelerden emin olun

Özellikler

Azure Backup

Açıklama: Hizmet, Azure Backup hizmeti tarafından yedeklenebilir. Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
False Geçerli değil Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

Hizmet Yerel Yedekleme Özelliği

Açıklama: Hizmet kendi yerel yedekleme özelliğini destekler (Azure Backup kullanmıyorsa). Daha fazla bilgi edinin.

Desteklenir Varsayılan Olarak Etkin Yapılandırma Sorumluluğu
False Geçerli değil Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

Sonraki adımlar