適用於 Azure 監視器的 Azure 原則內建定義

文章
11/05/2024

此頁面是 Azure 監視器 Azure 原則內建原則定義的索引。如需其他服務的其他內建 Azure 原則，請參閱 Azure 原則內建定義。

連結至 Azure 入口網站中原則定義的每個內建原則定義名稱。使用 [版本] 資料行中的連結來查看 Azure 原則 GitHub 存放庫上的來源。

Azure 監視器

下一步

請參閱 Azure 原則 GitHub 存放庫上的內建項目。
檢閱 Azure 原則定義結構。
檢閱了解原則效果。

分享方式：

適用於 Azure 監視器的 Azure 原則內建定義

Azure 監視器

下一步

意見反映

更多資源

名稱 _{(Azure 入口網站)}	描述	效果	版本 _(GitHub)
[預覽]：使用連線至預設 Log Analytics 工作區的 Log Analytics 代理程式來設定已啟用 Azure Arc 的 Linux 電腦	透過安裝 Log Analytics 代理程式，將資料傳送至由適用於雲端的 Microsoft Defender 所建立的預設 Log Analytics 工作區，以使用適用於雲端的 Microsoft Defender 功能來保護啟用 Azure Arc 的 Linux 電腦。	DeployIfNotExists, Disabled	1.0.0-preview
[預覽]：使用連線至預設 Log Analytics 工作區的 Log Analytics 代理程式來設定已啟用 Azure Arc 的 Windows 電腦	透過安裝 Log Analytics 代理程式，將資料傳送至由適用於雲端的 Microsoft Defender 所建立的預設 Log Analytics 工作區，以使用適用於雲端的 Microsoft Defender 功能來保護啟用 Azure Arc 的 Windows 電腦。	DeployIfNotExists, Disabled	1.1.0-preview
[預覽]：設定由系統指派的受控識別，以在 VM 上啟用 Azure 監視器指派	將系統指派的受控識別設定至 Azure 中裝載的虛擬機器，該虛擬機器受 Azure 監視器支援，但是沒有任何受控識別。系統指派的受控識別是所有 Azure 監視器指派的必要條件，必須先新增至電腦，才能使用任何 Azure 監視器延伸模組。目標虛擬機器必須位於支援的位置。	修改、停用	6.0.0-preview
[預覽]：列出的虛擬機器映像應啟用 Log Analytics 延伸模組	若虛擬機器映像不在定義的清單中，而且未安裝延伸模組，便會將虛擬機器回報為不符合規範。	AuditIfNotExists, Disabled	2.0.1-preview
[預覽]：Linux Azure Arc 機器上應安裝 Log Analytics 延伸模組	若未安裝 Log Analytics 延伸模組，則此原則會稽核 Linux Azure Arc 機器。	AuditIfNotExists, Disabled	1.0.1-preview
[預覽]：Windows Azure Arc 機器上應安裝 Log Analytics 延伸模組	若未安裝 Log Analytics 延伸模組，則此原則會稽核 Windows Azure Arc 機器。	AuditIfNotExists, Disabled	1.0.1-preview
[預覽版]：應在 Linux 虛擬機器上安裝網路流量資料收集代理程式	資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。	AuditIfNotExists, Disabled	1.0.2-preview
[預覽版]：應在 Windows 虛擬機器上安裝網路流量資料收集代理程式	資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。	AuditIfNotExists, Disabled	1.0.2-preview
活動記錄至少應保留一年	若保留期未設為 365 天或永久 (保留期設為 0)，此原則就會稽核活動記錄。	AuditIfNotExists, Disabled	1.0.0
特定系統管理作業應有活動記錄警示	此原則會稽核未設定活動記錄警示的特定系統管理作業。	AuditIfNotExists, Disabled	1.0.0
特定原則作業應有活動記錄警示	此原則會稽核未設定活動記錄警示的特定原則作業。	AuditIfNotExists, Disabled	3.0.0
特定安全性作業應有活動記錄警示	此原則會稽核未設定活動記錄警示的特定安全性作業。	AuditIfNotExists, Disabled	1.0.0
Application Insights 元件應封鎖來自公用網路的記錄擷取和查詢	藉由封鎖來自公用網路的記錄擷取和查詢，改善 Application Insights 安全性。只有私人連結連線的網路能夠內嵌和查詢此元件的記錄。深入了解：https://aka.ms/AzMonPrivateLink#configure-application-insights。	稽核、稽核、拒絕、拒絕、停用、停用	1.1.0
Application Insights 元件應該封鎖非以 Azure Active Directory 為基礎的擷取。	強制讓記錄擷取要求 Azure Active Directory 驗證，可防止攻擊者未經驗證的記錄，這可能會導致錯誤的狀態、錯誤警示及不正確的記錄儲存在系統中。	Deny, Audit, Disabled	1.0.0
已啟用 Private Link 的 Application Insights 元件應該針對分析工具和偵錯工具使用自備儲存體帳戶。	若要支援私人連結和客戶自控金鑰原則，請為分析工具和偵錯工具建立您自己的儲存體帳戶。在 https://docs.microsoft.com/azure/azure-monitor/app/profiler-bring-your-own-storage 中深入了解	Deny, Audit, Disabled	1.0.0
稽核所選取資源類型的診斷設定	稽核所選資源類型的診斷設定。務必只選取支援診斷設定的資源類型。	AuditIfNotExists	2.0.1
Azure 應用程式閘道應啟用資源記錄	啟用 Azure 應用程式閘道的資源記錄 (加上 WAF)，並串流至 Log Analytics 工作區。取得輸入 Web 流量的詳細可見度，以及針對減輕攻擊所採取的動作。	AuditIfNotExists, Disabled	1.0.0
Azure Front Door 應啟用資源記錄	啟用 Azure Front Door 的資源記錄 (加上 WAF)，並串流至 Log Analytics 工作區。取得輸入 Web 流量的詳細可見度，以及針對減輕攻擊所採取的動作。	AuditIfNotExists, Disabled	1.0.0
Azure Front Door 標準或進階 (以及 WAF) 應該已啟用資源記錄	啟用 Azure Front Door 標準或進階 (以及 WAF) 的資源記錄，並串流至 Log Analytics 工作區。取得輸入 Web 流量的詳細可見度，以及針對減輕攻擊所採取的動作。	AuditIfNotExists, Disabled	1.0.0
Log Analytics 工作區的 Azure 記錄搜尋警示應該使用客戶自控金鑰	請確定 Azure 記錄搜尋警示會實作客戶自控金鑰，方法是使用客戶為受到查詢的 Analytics 工作區提供的儲存體帳戶來儲存查詢文字。如需詳細資訊，請瀏覽 https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview。	稽核、停用、拒絕	1.0.0
Azure 監視器記錄設定檔應收集 [寫入]、[刪除] 和 [動作] 分類的記錄	此原則可確保記錄設定檔會收集「寫入」、「刪除」和「動作」類別的記錄	AuditIfNotExists, Disabled	1.0.0
Azure 監視器記錄叢集應在啟用基礎結構加密的情況下建立 (雙重加密)	為了確保使用兩個不同的加密演算法和兩個不同的金鑰，在服務層級和基礎結構層級啟用安全資料加密，請使用 Azure 監視器專用叢集。在區域支援時，預設會啟用此選項，請參閱 https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview。	稽核、稽核、拒絕、拒絕、停用、停用	1.1.0
Azure 監視器記錄叢集應使用客戶自控金鑰進行加密	使用客戶自控金鑰加密建立 Azure 監視器記錄叢集。依預設，記錄資料會使用服務代控金鑰進行加密，但若要遵循法規，通常需要有客戶自控金鑰。 Azure 監視器中的客戶自控金鑰可讓您更充分掌控資料的存取權，請參閱 https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys。	稽核、稽核、拒絕、拒絕、停用、停用	1.1.0
Application Insights 的 Azure 監視器記錄應連結到 Log Analytics 工作區	將 Application Insights 元件連結至 Log Analytics 工作區，以進行記錄加密。通常需要有客戶自控金鑰才能遵循法規，並進一步控制 Azure 監視器中的資料存取權。將您的元件連結至使用客戶自控金鑰啟用的 Log Analytics 工作區，可確保您的 Application Insights 記錄符合該合規性需求，請參閱 https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys。	稽核、稽核、拒絕、拒絕、停用、停用	1.1.0
Azure Monitor Private Link Scope 應該會禁止存取非私人連結資源	Azure Private Link 可讓您將連線至 Azure 資源的虛擬網路，透過私人端點連線到 Azure Monitor Private Link Scope (AMPLS)。 Private Link 存取模式是在 AMPLS 上設定，以控制來自網路的擷取和查詢要求是否可以連接到所有資源，或僅連接到 Private Link 資源 (以防止資料外流)。深入了解私人連結：https://docs.microsoft.com/azure/azure-monitor/logs/private-link-security#private-link-access-modes-private-only-vs-open。	Audit, Deny, Disabled	1.0.0
Azure Monitor Private Link Scope 應該使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。藉由將私人端點對應至 Azure 監視器私人連結範圍，可以降低資料外洩的風險。深入了解私人連結：https://docs.microsoft.com/azure/azure-monitor/logs/private-link-security。	AuditIfNotExists, Disabled	1.0.0
Azure 監視器應從所有區域收集活動記錄	此原則會稽核不從所有 Azure 支援區域 (包括全球) 匯出活動的 Azure 監視器記錄設定檔。	AuditIfNotExists, Disabled	2.0.0
必須部署 Azure 監視器解決方案「安全性與稽核」	此原則可確保已部署安全性與稽核。	AuditIfNotExists, Disabled	1.0.0
Azure 訂用帳戶應具有用於活動記錄的記錄設定檔	此原則可確保記錄設定檔已啟用，可用於匯出活動記錄。如果沒有建立記錄檔設定檔來將記錄匯出至儲存體帳戶或事件中樞，則會進行稽核。	AuditIfNotExists, Disabled	1.0.0
設定 Azure 活動記錄以串流至指定 Log Analytics 工作區	部署 Azure 活動的診斷設定，以將訂閱稽核記錄串流至 Log Analytics 工作區，以監視訂閱層級的事件	DeployIfNotExists, Disabled	1.0.0
設定 Azure Application Insights 元件，以停用記錄擷取和查詢的公用網路存取	停用來自公用網路存取的元件記錄擷取和查詢，以改善安全性。只有私人連結連線的網路能夠內嵌和查詢此工作區的記錄。請至https://aka.ms/AzMonPrivateLink#configure-application-insights，即可深入瞭解。	修改、停用	1.1.0
設定 Azure Log Analytics 工作區，以停用記錄擷取及查詢的公用網路存取	藉由封鎖來自公用網路的記錄擷取和查詢，以改善工作區安全性。只有私人連結連線的網路能夠內嵌和查詢此工作區的記錄。請至https://aka.ms/AzMonPrivateLink#configure-log-analytics，即可深入瞭解。	修改、停用	1.1.0
設定 Azure 監視器私人連結範圍以禁止存取非私人連結的資源	Azure Private Link 可讓您將連線至 Azure 資源的虛擬網路，透過私人端點連線到 Azure Monitor Private Link Scope (AMPLS)。 Private Link 存取模式是在 AMPLS 上設定，以控制來自網路的擷取和查詢要求是否可以連接到所有資源，或僅連接到 Private Link 資源 (以防止資料外流)。深入了解私人連結：https://docs.microsoft.com/azure/azure-monitor/logs/private-link-security#private-link-access-modes-private-only-vs-open。	修改、停用	1.0.0
設定 Azure 監視器私人連結範圍以使用私人 DNS 區域	使用私人 DNS 區域來覆寫私人端點的 DNS 解析。私人 DNS 區域會連結至您的虛擬網路，以針對 Azure 監視器私人連結範圍進行解析。深入了解：https://docs.microsoft.com/azure/azure-monitor/logs/private-link-security#connect-to-a-private-endpoint。	DeployIfNotExists, Disabled	1.0.0
使用私人端點設定 Azure 監視器私人連結範圍	私人端點會將您的虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。藉由將私人端點對應至 Azure 監視器私人連結範圍，您可以降低資料外洩的風險。深入了解私人連結：https://docs.microsoft.com/azure/azure-monitor/logs/private-link-security。	DeployIfNotExists, Disabled	1.0.0
在已啟用 Azure Arc 的 Linux 伺服器上設定 Dependency Agent	藉由安裝 Dependency Agent 虛擬機器擴充功能，透過已啟用 Arc 的伺服器，在連線至 Azure 的伺服器和機器上啟用 VM 深入解析。 VM 深入解析會使用 Dependency Agent 來收集網路計量，以及探索到的資料 (關於在機器上執行的處理序和外部處理序相依性)。查看更多 - https://aka.ms/vminsightsdocs。	DeployIfNotExists, Disabled	2.1.0
使用 Azure 監視代理程式設定，在已啟用 Azure Arc 的 Linux 伺服器上設定 Dependency Agent	使用 Azure 監視代理程式設定安裝 Dependency Agent 虛擬機器擴充功能，可透過已啟用 Arc 的伺服器，在連線至 Azure 的伺服器和機器上啟用 VM 深入解析。 VM 深入解析會使用 Dependency Agent 來收集網路計量，以及探索到的資料 (關於在機器上執行的處理序和外部處理序相依性)。查看更多 - https://aka.ms/vminsightsdocs。	DeployIfNotExists, Disabled	1.2.0
在已啟用 Azure Arc 的 Windows 伺服器上設定 Dependency Agent	藉由安裝 Dependency Agent 虛擬機器擴充功能，透過已啟用 Arc 的伺服器，在連線至 Azure 的伺服器和機器上啟用 VM 深入解析。 VM 深入解析會使用 Dependency Agent 來收集網路計量，以及探索到的資料 (關於在機器上執行的處理序和外部處理序相依性)。查看更多 - https://aka.ms/vminsightsdocs。	DeployIfNotExists, Disabled	2.1.0
使用 Azure 監視代理程式設定，在已啟用 Azure Arc 的 Windows 伺服器上設定 Dependency Agent	使用 Azure 監視代理程式設定安裝 Dependency Agent 虛擬機器擴充功能，可透過已啟用 Arc 的伺服器，在連線至 Azure 的伺服器和機器上啟用 VM 深入解析。 VM 深入解析會使用 Dependency Agent 來收集網路計量，以及探索到的資料 (關於在機器上執行的處理序和外部處理序相依性)。查看更多 - https://aka.ms/vminsightsdocs。	DeployIfNotExists, Disabled	1.2.0
設定 Linux Arc 機器以與資料收集規則或資料收集端點相關聯	部署關聯，以將 Linux Arc 機器連結至指定的資料收集規則或指定的資料收集端點。當支援增加時，位置清單會隨之更新。	DeployIfNotExists, Disabled	2.2.1