FedRAMP High 法規合規性內建計畫的詳細資料

下列文章詳細說明 Azure 原則法規合規性內建計畫定義如何對應至 FedRAMP High 中的合規性網域與控制項。 如需此合規性標準的詳細資訊，請參閱 FedRAMP High 若要了解所有權，請檢閱原則類型與雲端中共同承擔的責任。

以下是與 FedRAMP High 控制項的對應。 許多控制措施都是以 Azure 原則方案定義實作的。 若要檢閱完整方案定義，請在 Azure 入口網站中開啟 [原則]，然後選取 [定義] 頁面。 接著，尋找並選取 [FedRAMP High] 法規合規性內建計畫定義。

重要

下列每個控制措施都與一或多個 Azure 原則定義相關聯。 這些原則可協助您使用工具存取合規性；不過，控制措施和一或多個原則之間，通常不是一對一或完整對應。 因此，Azure 原則中的符合規範只是指原則定義本身，這不保證您完全符合所有控制措施需求的規範。 此外，合規性標準包含目前未由任何 Azure 原則定義解決的控制措施。 因此，Azure 原則中的合規性只是整體合規性狀態的部分觀點。 此合規性標準的合規性領域、控制措施與 Azure 原則定義之間的關聯，可能會隨著時間而改變。 若要檢視變更歷程記錄，請參閱 GitHub 認可歷程記錄 \(英文\)。

存取控制

存取控制原則和程序

識別碼：FedRAMP High AC-1 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
制定存取控制原則和程序	CMA_0144 - 制定存取控制原則和程序	手動、已停用	1.1.0
實施強制和判別存取控制原則	CMA_0246 - 實施強制和判別存取控制原則	手動、已停用	1.1.0
控管原則和程序	CMA_0292 - 控管原則和程序	手動、已停用	1.1.0
檢閱存取控制原則與程序	CMA_0457 - 檢閱存取控制原則與程序	手動、已停用	1.1.0

帳戶管理

識別碼：FedRAMP High AC-2 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
應針對您的訂用帳戶指定最多 3 位擁有者	建議您最多指定 3 位訂用帳戶擁有者，以降低遭入侵擁有者導致資料外洩的可能。	AuditIfNotExists, Disabled	3.0.0
應針對 SQL 伺服器佈建 Azure Active Directory 管理員	為 SQL Server 稽核 Azure Active Directory 系統管理員的佈建情況，以啟用 Azure AD 驗證。 Azure AD 驗證可針對資料庫使用者及其他 Microsoft 服務，簡化權限管理及集中管理身分識別	AuditIfNotExists, Disabled	1.0.0
App Service 應用程式應使用受控識別	使用受控識別來增強驗證安全性	AuditIfNotExists, Disabled	3.0.0
指派客戶經理	CMA_0015 - 指派客戶經理	手動、已停用	1.1.0
稽核自訂 RBAC 角色的使用方式	稽核內建角色，例如「擁有者、參與者、讀取者」，而不是自訂的 RBAC 角色，這些角色容易發生錯誤。 使用自訂角色會視為例外狀況，而且需要嚴格審查和威脅模型化	Audit, Disabled	1.0.1
稽核使用者帳戶狀態	CMA_0020 - 稽核使用者帳戶狀態	手動、已停用	1.1.0
Azure AI 服務資源應停用金鑰存取 (停用本機驗證)	建議停用金鑰存取 (本機驗證) 以確保安全性。 通常用於開發/測試的 Azure OpenAI 工作室需要金鑰存取，如果金鑰存取已停用，將無法運作。 停用之後，Microsoft Entra ID 會成為唯一的存取方法，允許維護最低權限準則和細微控制。 深入了解：https://aka.ms/AI/auth	Audit, Deny, Disabled	1.1.0
具有 Azure 資源擁有者權限的已封鎖帳戶應移除	具有擁有者權限的已取代帳戶應該從您的訂用帳戶中移除。 已取代帳戶是已封鎖而無法登入的帳戶。	AuditIfNotExists, Disabled	1.0.0
具有 Azure 資源讀取和寫入權限的已封鎖帳戶應移除	已取代帳戶應該從您的訂用帳戶中移除。 已取代帳戶是已封鎖而無法登入的帳戶。	AuditIfNotExists, Disabled	1.0.0
定義共用及群組帳戶的條件，並強制執行	CMA_0117 - 定義共用及群組帳戶的條件，並強制執行	手動、已停用	1.1.0
定義資訊系統帳戶類型	CMA_0121 - 定義資訊系統帳戶類型	手動、已停用	1.1.0
文件存取權限	CMA_0186 - 文件存取權限	手動、已停用	1.1.0
為角色成員資格建立條件	CMA_0269 - 為角色成員資格建立條件	手動、已停用	1.1.0
函數應用程式應使用受控識別	使用受控識別來增強驗證安全性	AuditIfNotExists, Disabled	3.0.0
應移除對 Azure 資源具有擁有者權限的來賓帳戶	具有擁有者權限的外部帳戶應從您訂用帳戶移除，以避免未受監視的存取。	AuditIfNotExists, Disabled	1.0.0
具有 Azure 資源讀取權限的來賓帳戶應移除	請移除您訂用帳戶中，具有讀取權限的外部帳戶，以避免出現未受監視的存取。	AuditIfNotExists, Disabled	1.0.0
具有 Azure 資源寫入權限的來賓帳戶應移除	請移除您訂用帳戶中，具有寫入權限的外部帳戶，以避免出現未受監視的存取。	AuditIfNotExists, Disabled	1.0.0
監視帳戶活動	CMA_0377 - 監視帳戶活動	手動、已停用	1.1.0
通知客戶控制帳戶的帳戶管理員	CMA_C1009 - 通知客戶控制帳戶的帳戶管理員	手動、已停用	1.1.0
為變更的群組和帳戶重新核發驗證器	CMA_0426 - 為變更的群組和帳戶重新核發驗證器	手動、已停用	1.1.0
需要核准建立帳戶	CMA_0431 - 需要核准建立帳戶	手動、已停用	1.1.0
限制特殊權限帳戶的存取	CMA_0446 - 限制特殊權限帳戶的存取	手動、已停用	1.1.0
檢閱帳戶佈建記錄	CMA_0460 - 檢閱帳戶佈建記錄	手動、已停用	1.1.0
檢閱使用者帳戶	CMA_0480 - 檢閱使用者帳戶	手動、已停用	1.1.0
Service Fabric 叢集應只能使用 Azure Active Directory 進行用戶端驗證	稽核 Service Fabric 中僅透過 Azure Active Directory 的用戶端驗證使用方式	Audit, Deny, Disabled	1.1.0

自動化系統帳戶管理

識別碼：FedRAMP High AC-2 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
應針對 SQL 伺服器佈建 Azure Active Directory 管理員	為 SQL Server 稽核 Azure Active Directory 系統管理員的佈建情況，以啟用 Azure AD 驗證。 Azure AD 驗證可針對資料庫使用者及其他 Microsoft 服務，簡化權限管理及集中管理身分識別	AuditIfNotExists, Disabled	1.0.0
自動化帳戶管理	CMA_0026 - 自動化帳戶管理	手動、已停用	1.1.0
Azure AI 服務資源應停用金鑰存取 (停用本機驗證)	建議停用金鑰存取 (本機驗證) 以確保安全性。 通常用於開發/測試的 Azure OpenAI 工作室需要金鑰存取，如果金鑰存取已停用，將無法運作。 停用之後，Microsoft Entra ID 會成為唯一的存取方法，允許維護最低權限準則和細微控制。 深入了解：https://aka.ms/AI/auth	Audit, Deny, Disabled	1.1.0
對系統和管理帳戶進行管理	CMA_0368 - 對系統和管理帳戶進行管理	手動、已停用	1.1.0
監視整個組織的存取	CMA_0376 - 監視整個組織的存取	手動、已停用	1.1.0
不需要帳戶時通知	CMA_0383 - 不需要帳戶時通知	手動、已停用	1.1.0
Service Fabric 叢集應只能使用 Azure Active Directory 進行用戶端驗證	稽核 Service Fabric 中僅透過 Azure Active Directory 的用戶端驗證使用方式	Audit, Deny, Disabled	1.1.0

停用非使用中帳戶

識別碼：FedRAMP High AC-2 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
終止時停用驗證器	CMA_0169 - 終止時停用驗證器	手動、已停用	1.1.0
視需要撤銷特殊權限角色	CMA_0483 - 視需要撤銷特殊權限角色	手動、已停用	1.1.0

自動化稽核動作

識別碼：FedRAMP High AC-2 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
稽核使用者帳戶狀態	CMA_0020 - 稽核使用者帳戶狀態	手動、已停用	1.1.0
自動化帳戶管理	CMA_0026 - 自動化帳戶管理	手動、已停用	1.1.0
對系統和管理帳戶進行管理	CMA_0368 - 對系統和管理帳戶進行管理	手動、已停用	1.1.0
監視整個組織的存取	CMA_0376 - 監視整個組織的存取	手動、已停用	1.1.0
不需要帳戶時通知	CMA_0383 - 不需要帳戶時通知	手動、已停用	1.1.0

非使用狀態登出

識別碼：FedRAMP High AC-2 (5) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
定義並強制執行非使用中記錄原則	CMA_C1017 - 定義並強制執行非使用中記錄原則	手動、已停用	1.1.0

角色型配置

識別碼：FedRAMP High AC-2 (7) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
應針對 SQL 伺服器佈建 Azure Active Directory 管理員	為 SQL Server 稽核 Azure Active Directory 系統管理員的佈建情況，以啟用 Azure AD 驗證。 Azure AD 驗證可針對資料庫使用者及其他 Microsoft 服務，簡化權限管理及集中管理身分識別	AuditIfNotExists, Disabled	1.0.0
稽核特殊權限功能	CMA_0019 - 稽核特殊權限功能	手動、已停用	1.1.0
稽核自訂 RBAC 角色的使用方式	稽核內建角色，例如「擁有者、參與者、讀取者」，而不是自訂的 RBAC 角色，這些角色容易發生錯誤。 使用自訂角色會視為例外狀況，而且需要嚴格審查和威脅模型化	Audit, Disabled	1.0.1
Azure AI 服務資源應停用金鑰存取 (停用本機驗證)	建議停用金鑰存取 (本機驗證) 以確保安全性。 通常用於開發/測試的 Azure OpenAI 工作室需要金鑰存取，如果金鑰存取已停用，將無法運作。 停用之後，Microsoft Entra ID 會成為唯一的存取方法，允許維護最低權限準則和細微控制。 深入了解：https://aka.ms/AI/auth	Audit, Deny, Disabled	1.1.0
監視帳戶活動	CMA_0377 - 監視帳戶活動	手動、已停用	1.1.0
稽核特殊權限功能	CMA_0378 - 監視特殊權限角色指派	手動、已停用	1.1.0
限制特殊權限帳戶的存取	CMA_0446 - 限制特殊權限帳戶的存取	手動、已停用	1.1.0
視需要撤銷特殊權限角色	CMA_0483 - 視需要撤銷特殊權限角色	手動、已停用	1.1.0
Service Fabric 叢集應只能使用 Azure Active Directory 進行用戶端驗證	稽核 Service Fabric 中僅透過 Azure Active Directory 的用戶端驗證使用方式	Audit, Deny, Disabled	1.1.0
使用具特殊權限身分識別管理	CMA_0533 - 使用具特殊權限身分識別管理	手動、已停用	1.1.0

共用群組 / 帳戶的使用限制

識別碼：FedRAMP High AC-2 (9) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
定義共用及群組帳戶的條件，並強制執行	CMA_0117 - 定義共用及群組帳戶的條件，並強制執行	手動、已停用	1.1.0

共用/群組帳戶認證終止

識別碼：FedRAMP High AC-2 (10) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
終止客戶控制的帳號憑證	CMA_C1022 - 終止客戶控制的帳號憑證	手動、已停用	1.1.0

使用狀況

識別碼：FedRAMP High AC-2 (11) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
強制使用所有帳戶	CMA_C1023 - 強制使用所有帳戶	手動、已停用	1.1.0

帳戶監視/非典型使用方式

識別碼：FedRAMP High AC-2 (12) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
[預覽]：啟用 Azure Arc 的 Kubernetes 叢集應該已安裝適用於雲端的 Microsoft Defender 延伸模組	適用於 Azure Arc 的適用於雲端的 Microsoft Defender 延伸模組可為已啟用 Arc 的 Kubernetes 叢集提供威脅防護。 該延伸模組會從叢集內的所有節點收集資料，並將其傳送到雲端的 Azure Defender for Kubernetes 後端，以進一步分析。 在 https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc 中深入了解。	AuditIfNotExists, Disabled	6.0.0-preview
應啟用適用於 App Service 的 Azure Defender	適用於 App Service 的 Azure Defender 利用雲端的規模及雲端提供者 Azure 擁有的廣大視野，監視常見的 Web 應用程式攻擊。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Azure SQL Database 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應啟用適用於 Key Vault 的 Azure Defender	適用於 Key Vault 的 Azure Defender 會透過偵測嘗試存取或惡意探索金鑰保存庫帳戶的異常及潛在有害威脅，提供一層額外的保護和安全情報。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Resource Manager 的 Azure Defender	適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於伺服器的 Azure Defender	適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於機器上 SQL 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender	在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。	AuditIfNotExists, Disabled	1.0.2
應使用 Just-In-Time 網路存取控制來保護虛擬機器的管理連接埠	Azure 資訊安全中心會依建議監視可能的網路 Just-In-Time (JIT) 存取	AuditIfNotExists, Disabled	3.0.0
應啟用適用於容器的 Microsoft Defender	適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於儲存體的 Microsoft Defender	適用於儲存體的 Microsoft Defender 會偵測儲存體帳戶的潛在威脅。 這有助於防止資料和工作負載受到三大影響：惡意檔案上傳、敏感性資料外流和資料損毀。 新的適用於儲存體的 Defender 方案包括惡意程式碼掃描和敏感性資料威脅偵測。 此方案也提供可預測的價格結構 (每一儲存體帳戶)，以控制涵蓋範圍和成本。	AuditIfNotExists, Disabled	1.0.0
監視帳戶活動	CMA_0377 - 監視帳戶活動	手動、已停用	1.1.0
回報使用者帳戶的非慣用行為	CMA_C1025 - 回報使用者帳戶的非慣用行為	手動、已停用	1.1.0

停用高風險個人的帳戶

識別碼：FedRAMP High AC-2 (13) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
停用造成重大風險的使用者帳戶	CMA_C1026 - 停用造成重大風險的使用者帳戶	手動、已停用	1.1.0

強制存取

識別碼：FedRAMP High AC-3 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
具有 Azure 資源擁有者權限的帳戶應啟用 MFA	具備擁有者權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。	AuditIfNotExists, Disabled	1.0.0
對 Azure 資源具有讀取權限的帳戶應啟用 MFA	具備讀取權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。	AuditIfNotExists, Disabled	1.0.0
具有 Azure 資源寫入權限的帳戶應啟用 MFA	具備寫入權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。	AuditIfNotExists, Disabled	1.0.0
在沒有任何身分識別的虛擬機器上新增系統指派的受控識別，以啟用客體設定指派	此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，但是沒有任何受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	修改	4.1.0
在具有使用者指派身分識別的 VM 上新增系統指派受控識別，以啟用客體設定指派	此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，而且至少有一個使用者指派的身分識別，但是沒有系統指派的受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	修改	4.1.0
應針對 SQL 伺服器佈建 Azure Active Directory 管理員	為 SQL Server 稽核 Azure Active Directory 系統管理員的佈建情況，以啟用 Azure AD 驗證。 Azure AD 驗證可針對資料庫使用者及其他 Microsoft 服務，簡化權限管理及集中管理身分識別	AuditIfNotExists, Disabled	1.0.0
App Service 應用程式應使用受控識別	使用受控識別來增強驗證安全性	AuditIfNotExists, Disabled	3.0.0
稽核有不需要密碼之帳戶的 Linux 電腦	需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果 Linux 電腦有不需要密碼的帳戶，則電腦不相容	AuditIfNotExists, Disabled	3.1.0
對 Linux 電腦進行驗證需要 SSH 金鑰	雖然 SSH 本身提供加密連線，但搭配使用密碼與 SSH 仍會讓 VM 容易受到暴力密碼破解攻擊。 透過 SSH 向 Azure Linux 虛擬機器進行驗證的最安全選項是使用公開-私密金鑰組，也稱為 SSH 金鑰。 深入了解：https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed。	AuditIfNotExists, Disabled	3.2.0
授權存取安全性功能和資訊	CMA_0022 - 授權存取安全性功能和資訊	手動、已停用	1.1.0
授權及管理存取權	CMA_0023 - 授權及管理存取權	手動、已停用	1.1.0
Azure AI 服務資源應停用金鑰存取 (停用本機驗證)	建議停用金鑰存取 (本機驗證) 以確保安全性。 通常用於開發/測試的 Azure OpenAI 工作室需要金鑰存取，如果金鑰存取已停用，將無法運作。 停用之後，Microsoft Entra ID 會成為唯一的存取方法，允許維護最低權限準則和細微控制。 深入了解：https://aka.ms/AI/auth	Audit, Deny, Disabled	1.1.0
部署 Linux 來賓設定延伸模組，以在 Linux 虛擬機器上啟用來賓設定指派	此原則會將受客體設定支援的 Linux 客體設定延伸模組部署至裝載於 Azure 的 Linux 虛擬機器主機。 Linux 客體設定延伸模組是所有 Linux 客體設定指派的必要條件，要使用任何 Linux 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	deployIfNotExists	3.1.0
強制執行邏輯存取	CMA_0245 - 強制執行邏輯存取	手動、已停用	1.1.0
實施強制和判別存取控制原則	CMA_0246 - 實施強制和判別存取控制原則	手動、已停用	1.1.0
函數應用程式應使用受控識別	使用受控識別來增強驗證安全性	AuditIfNotExists, Disabled	3.0.0
需要核准建立帳戶	CMA_0431 - 需要核准建立帳戶	手動、已停用	1.1.0
檢閱具有敏感性資料存取權的使用者群組和應用程式	CMA_0481 - 檢閱具有敏感性資料存取權的使用者群組和應用程式	手動、已停用	1.1.0
Service Fabric 叢集應只能使用 Azure Active Directory 進行用戶端驗證	稽核 Service Fabric 中僅透過 Azure Active Directory 的用戶端驗證使用方式	Audit, Deny, Disabled	1.1.0
儲存體帳戶應移轉至新的 Azure Resource Manager 資源	在您的儲存體帳戶使用新的 Azure Resource Manager 以加強安全性，除了增強存取控制 (RBAC)、改善稽核、提供以 Azure Resource Manager 為基礎的部署及治理、受控身分識別的存取、金鑰保存庫的祕密存取、以 Azure AD 為基礎的驗證，還支援標記和資源群組，讓安全性管理更加輕鬆	Audit, Deny, Disabled	1.0.0
虛擬機器應遷移到新的 Azure Resource Manager 資源	在您的虛擬機器使用新 Azure Resource Manager 以加強安全性，除了增強存取控制 (RBAC)、改善稽核、提供以 Azure Resource Manager 為基礎的部署及治理、受控身分識別的存取、金鑰保存庫的祕密存取、以 Azure AD 為基礎的驗證，還支援標記和資源群組，讓安全性管理更加輕鬆。	Audit, Deny, Disabled	1.0.0

資訊流程強制

識別碼：FedRAMP High AC-4 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
[已被取代]: Azure 認知搜尋服務應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure 認知搜尋，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。	Audit, Disabled	1.0.1-deprecated
[已被取代]：認知服務應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 透過將私人端點對應至認知服務，您可以降低資料洩漏的可能性。 深入了解私人連結：https://go.microsoft.com/fwlink/?linkid=2129800。	Audit, Disabled	3.0.1-deprecated
[預覽]：所有網際網路流量都應透過您部署的 Azure 防火牆路由	Azure 資訊安全中心已識別出您的部分子網路未受新一代防火牆的保護。 使用 Azure 防火牆或支援的新一代防火牆來限制對子網路的存取，以保護子網路免於遭受潛在威脅	AuditIfNotExists, Disabled	3.0.0-preview
[預覽]：應禁止儲存體帳戶公用存取	以匿名的公開讀取權限來存取 Azure 儲存體中的容器和 Blob，是共用資料的便利方式，但也可能會帶來安全性風險。 為了防止不想要的匿名存取所造成的資料缺口，Microsoft 建議除非您的案例需要，否則避免公開存取儲存體帳戶。	稽核、稽核、拒絕、拒絕、停用、停用	3.1.0-preview
所有網路連接埠均應限制在與虛擬機器建立關聯的網路安全性群組	Azure 資訊安全中心發現您某些網路安全性群組的輸入規則過於寬鬆。 輸入規則不應允許來自「任何」或「網際網路」範圍的存取。 這可能會讓攻擊者鎖定您的資源。	AuditIfNotExists, Disabled	3.0.0
API 管理服務應使用虛擬網路	Azure 虛擬網路部署提供增強的安全性、隔離，並可讓您將 API 管理服務放在可控制存取權的非網際網路可路由網路中。 這些網路接著可以使用各種 VPN 技術連線到您的內部部署網路，以存取網路和/或內部部署內的後端服務。 開發人員入口網站與 API 閘道，可設定為從網際網路存取或只從虛擬網路內存取。	Audit, Deny, Disabled	1.0.2
應用程式設定應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至應用程式組態而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/appconfig/private-endpoint。	AuditIfNotExists, Disabled	1.0.2
App Service 應用程式不應將 CORS 設定為允許每個資源存取您的應用程式	跨原始資源共用 (CORS) 不應允許所有網域存取您的應用程式。 僅允許必要的網域與您的應用程式互動即可。	AuditIfNotExists, Disabled	2.0.0
Kubernetes Services 上應定義授權 IP 範圍	僅將 API 存取權授與特定範圍內的 IP 位址，以限制對 Kubernetes Service 管理 API 的存取。 建議僅限存取授權 IP 範圍，以確保只有來自允許網路的應用程式可以存取叢集。	Audit, Disabled	2.0.1
Azure AI 服務資源應限制網路存取	藉由限制網路存取，您可以確保只有允許的網路可以存取服務。 可以藉由設定網路規則，只有來自允許網路的應用程式才能存取 Azure AI 服務來達成這項操作。	Audit, Deny, Disabled	3.2.0
Azure API for FHIR 應該使用私人連結	Azure API for FHIR 應該至少有一個已核准的私人端點連結。 虛擬網路中的用戶端可以安全地存取透過私人連結而擁有私人端點連線的資源。 如需詳細資訊，請瀏覽：https://aka.ms/fhir-privatelink。	Audit, Disabled	1.0.0
Azure Cache for Redis 應使用私人連結	私人端點可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 只要將私人端點對應到您的 Azure Cache for Redis 執行個體，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link。	AuditIfNotExists, Disabled	1.0.0
Azure 認知搜尋服務應使用支援私人連結的 SKU	使用支援 Azure 認知搜尋的 SKU，Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到您的搜尋服務，就能降低資料外洩的風險。 深入了解：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。	Audit, Deny, Disabled	1.0.0
Azure 認知搜尋服務應停用公用網路存取	停用公用網路存取可確保 Azure 認知搜尋服務不會在公用網際網路上公開，進而改善安全性。 建立私人端點可限制您搜尋服務的曝光。 深入了解：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。	Audit, Deny, Disabled	1.0.0
Azure Cosmos DB 帳戶應具有防火牆規則	應在您的 Azure Cosmos DB 帳戶上定義防火牆規則，以防止來自未經授權來源的流量。 若帳戶至少有一個已啟用虛擬網路篩選器定義之 IP 規則，系統會將其視為符合規範。 停用公用存取的帳戶也會視為符合規範。	Audit, Deny, Disabled	2.1.0
Azure Data Factory 應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure Data Factory，就能降低資料外洩的風險。 深入了解私人連結：https://docs.microsoft.com/azure/data-factory/data-factory-private-link。	AuditIfNotExists, Disabled	1.0.0
Azure 事件方格網域應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 網域而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。	Audit, Disabled	1.0.2
Azure 事件方格主題應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 主題而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。	Audit, Disabled	1.0.2
Azure 檔案同步應使用私人連結	為指定的儲存體同步服務資源建立私人端點，可讓您從組織網路的私人 IP 位址空間中定址儲存體同步服務資源，而非透過網際網路存取的公用端點。 建立私人端點並不會停用公用端點。	AuditIfNotExists, Disabled	1.0.0
Azure Key Vault 應該啟用防火牆	啟用金鑰保存庫防火牆，以便金鑰保存庫根據預設無法藉由任何公用 IP 進行存取。 (選擇性) 您可以設定特定的 IP 範圍以限制對這些網路的存取。 深入了解：https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Deny, Disabled	3.2.1
Azure Key Vault 應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的金鑰保存庫，就能降低資料外洩風險。 深入了解私人連結：https://aka.ms/akvprivatelink。	[parameters('audit_effect')]	1.2.1
Azure Machine Learning 工作區應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Azure Machine Learning 工作區，可降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link。	Audit, Disabled	1.0.0
Azure 服務匯流排命名空間應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到服務匯流排命名空間，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/service-bus-messaging/private-link-service。	AuditIfNotExists, Disabled	1.0.0
Azure SignalR Service 應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 Azure SignalR Service 資源而非整個服務，您可以降低資料外洩風險。 深入了解私人連結：https://aka.ms/asrs/privatelink。	Audit, Disabled	1.0.0
Azure Synapse 工作區應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至 Azure Synapse 工作區，藉此降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links。	Audit, Disabled	1.0.1
Azure Web PubSub 服務應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 Azure Web PubSub 服務，就可以降低資料外洩風險。 深入了解私人連結：https://aka.ms/awps/privatelink。	Audit, Disabled	1.0.0
不應允許不受限制的網路存取	根據預設，Azure 容器登錄會接受任何網路上的主機透過網際網路的連線。 為了保護登錄不受潛在威脅的影響，請只允許來自特定私人端點、公用 IP 位址或位址範圍的存取。 如果登錄沒有已設定的網路規則，則會出現在狀況不良的資源中。 在這裡深入了解 Azure Container Registry 網路規則：https://aka.ms/acr/privatelink、 https://aka.ms/acr/portal/public-network 和 https://aka.ms/acr/vnet。	Audit, Deny, Disabled	2.0.0
容器登錄應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。藉由將私人端點對應至容器登錄而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/acr/private-link。	Audit, Disabled	1.0.1
控制資訊流程	CMA_0079 - 控制資訊流程	手動、已停用	1.1.0
CosmosDB 帳戶應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的 CosmosDB 帳戶，資料外洩風險就會降低。 深入了解私人連結：https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints。	Audit, Disabled	1.0.0
磁碟存取資源應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 diskAccesses，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/disksprivatelinksdoc。	AuditIfNotExists, Disabled	1.0.0
採用加密資訊的流程控制機制	CMA_0211 - 採用加密資訊的流程控制機制	手動、已停用	1.1.0
事件中樞命名空間應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至事件中樞命名空間，可降低資料洩漏風險。 深入了解：https://docs.microsoft.com/azure/event-hubs/private-link-service。	AuditIfNotExists, Disabled	1.0.0
應使用網路安全性群組保護網際網路對應的虛擬機器	使用網路安全性群組 (NSG) 限制對虛擬機器的存取，以保護您的虛擬機器遠離潛在威脅。 若要深入了解如何使用 NSG 控制流量，請造訪 https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
IoT 中樞裝置佈建服務執行個體應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 IoT 中樞裝置佈建服務，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/iotdpsvnet。	Audit, Disabled	1.0.0
應停用虛擬機器上的 IP 轉送	在虛擬機器的 NIC 上啟用 IP 轉送可讓機器接收傳送到其他目的地的流量。 IP 轉送是極少需要的功能 (例如，當將 VM 作為網路虛擬設備使用時)，因此，這應經過網路安全性小組檢閱。	AuditIfNotExists, Disabled	3.0.0
應使用 Just-In-Time 網路存取控制來保護虛擬機器的管理連接埠	Azure 資訊安全中心會依建議監視可能的網路 Just-In-Time (JIT) 存取	AuditIfNotExists, Disabled	3.0.0
應關閉虛擬機器上的管理連接埠	開放的遠端管理連接埠會使您的 VM 暴露在網際網路攻擊的高風險之下。 這些攻擊會嘗試對認證發動暴力密碼破解攻擊，來取得機器的系統管理員存取權。	AuditIfNotExists, Disabled	3.0.0
應使用網路安全性群組保護非網際網路對應的虛擬機器	使用網路安全性群組 (NSG) 限制存取，以保護您非網際網路對應的虛擬機器遠離潛在威脅。 若要深入了解如何使用 NSG 控制流量，請造訪 https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
應對 Azure SQL Database 啟用私人端點連線	私人端點連線透過啟用與 Azure SQL Database 的私人連線，可強制執行安全通訊。	Audit, Disabled	1.1.0
MariaDB 伺服器應啟用私人端點	私人端點連線透過啟用與適用於 MariaDB 的 Azure 資料庫的私人連線，可強制執行安全通訊。 設定私人端點連線，僅存取來自已知網路的流量，並防止其他所有 IP 位址 (包括 Azure 內) 的存取。	AuditIfNotExists, Disabled	1.0.2
MySQL 伺服器應啟用私人端點	私人端點連線透過啟用與適用於 MySQL 的 Azure 資料庫的私人連線，可強制執行安全通訊。 設定私人端點連線，僅存取來自已知網路的流量，並防止其他所有 IP 位址 (包括 Azure 內) 的存取。	AuditIfNotExists, Disabled	1.0.2
PostgreSQL 伺服器應啟用私人端點	私人端點連線透過啟用與適用於 PostgreSQL 的 Azure 資料庫的私人連線，可強制執行安全通訊。 設定私人端點連線，僅存取來自已知網路的流量，並防止其他所有 IP 位址 (包括 Azure 內) 的存取。	AuditIfNotExists, Disabled	1.0.2
應對 Azure SQL Database 停用公用網路存取	停用公用網路存取屬性可確保您的 Azure SQL Database 只能從私人端點存取，藉此改善安全性。 此設定會拒絕所有符合 IP 或虛擬網路型防火牆規則的登入。	Audit, Deny, Disabled	1.1.0
應為 MariaDB 伺服器停用公用網路存取	停用公用網路存取屬性可確保適用於 MariaDB 的 Azure 資料庫只能從私人端點存取，藉此改善安全性。 此設定會嚴格停用從 Azure IP 範圍外任何公用位址空間進行的存取，並拒絕所有符合 IP 或虛擬網路型防火牆規則的登入。	Audit, Deny, Disabled	2.0.0
應為 MySQL 伺服器停用公用網路存取	停用公用網路存取屬性可確保適用於 MySQL 的 Azure 資料庫只能從私人端點存取，藉此改善安全性。 此設定會嚴格停用從 Azure IP 範圍外任何公用位址空間進行的存取，並拒絕所有符合 IP 或虛擬網路型防火牆規則的登入。	Audit, Deny, Disabled	2.0.0
應為 PostgreSQL 伺服器停用公用網路存取	停用公用網路存取屬性可確保適用於 PostgreSQL 的 Azure 資料庫只能從私人端點存取，藉此改善安全性。 此設定會停用從 Azure IP 範圍外任何公用位址空間進行的存取，並拒絕所有符合 IP 或虛擬網路型防火牆規則的登入。	Audit, Deny, Disabled	2.0.1
儲存體帳戶應限制網路存取	應限制對儲存體帳戶的網路存取。 請設定網路規則，只允許來自認可之網路的應用程式存取儲存體帳戶。 若要允許來自特定網際網路或內部部署用戶端的連線，可將存取權授與來自特定 Azure 虛擬網路的流量，或授與公用網際網路 IP 位址範圍	Audit, Deny, Disabled	1.1.1
儲存體帳戶應使用虛擬網路規則來限制網路存取	使用虛擬網路規則作為慣用方法而非 IP 型篩選，可為您的儲存體帳戶抵禦潛在威脅。 停用 IP 型篩選可防止公用 IP 存取您的儲存體帳戶。	Audit, Deny, Disabled	1.0.1
儲存體帳戶應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的儲存體帳戶，資料外洩風險就會降低。 深入了解私人連結，請造訪 https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, Disabled	2.0.0
子網路應該與網路安全性群組建立關聯	使用網路安全性群組 (NSG) 限制 VM 的存取，保護您的子網路遠離潛在威脅。 NSG 包含存取控制清單 (ACL) 規則的清單，可允許或拒絕子網路的網路流量。	AuditIfNotExists, Disabled	3.0.0
VM 映像產生器範本應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 VM Image Builder 建置資源，資料外洩風險就會降低。 深入了解私人連結：https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet。	稽核、停用、拒絕	1.1.0

安全性原則篩選

識別碼：FedRAMP High AC-4 (8) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
使用安全性原則篩選的資訊流量控制	CMA_C1029 - 使用安全性原則篩選的資訊流量控制	手動、已停用	1.1.0

資訊流程的實體/邏輯分隔

識別碼：FedRAMP High AC-4 (21) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
控制資訊流程	CMA_0079 - 控制資訊流程	手動、已停用	1.1.0
建立防火牆和路由器設定標準	CMA_0272 - 建立防火牆和路由器設定標準	手動、已停用	1.1.0
建立持卡人資料環境的網路分割	CMA_0273 - 建立持卡人資料環境的網路分割	手動、已停用	1.1.0
識別並管理下游資訊交換	CMA_0298 - 識別並管理下游資訊交換	手動、已停用	1.1.0

職責區分

識別碼：FedRAMP High AC-5 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
定義存取授權以支援職能分工	CMA_0116 - 定義存取授權以支援職能分工	手動、已停用	1.1.0
記錄職責區分	CMA_0204 - 記錄職責區分	手動、已停用	1.1.0
個人職責劃分	CMA_0492 - 個人職責劃分	手動、已停用	1.1.0
應將一個以上的擁有者指派給您的訂用帳戶	建議指定多位訂用帳戶擁有者，如此才能設定系統管理員存取備援。	AuditIfNotExists, Disabled	3.0.0

最小特殊權限

識別碼：FedRAMP High AC-6 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
應針對您的訂用帳戶指定最多 3 位擁有者	建議您最多指定 3 位訂用帳戶擁有者，以降低遭入侵擁有者導致資料外洩的可能。	AuditIfNotExists, Disabled	3.0.0
稽核自訂 RBAC 角色的使用方式	稽核內建角色，例如「擁有者、參與者、讀取者」，而不是自訂的 RBAC 角色，這些角色容易發生錯誤。 使用自訂角色會視為例外狀況，而且需要嚴格審查和威脅模型化	Audit, Disabled	1.0.1
設計存取控制模型	CMA_0129 - 設計存取控制模型	手動、已停用	1.1.0
採用最低權限存取權	CMA_0212 - 採用最低權限存取權	手動、已停用	1.1.0

授權存取安全性功能

識別碼：FedRAMP High AC-6 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
授權存取安全性功能和資訊	CMA_0022 - 授權存取安全性功能和資訊	手動、已停用	1.1.0
授權及管理存取權	CMA_0023 - 授權及管理存取權	手動、已停用	1.1.0
實施強制和判別存取控制原則	CMA_0246 - 實施強制和判別存取控制原則	手動、已停用	1.1.0

具特殊權限的帳戶

識別碼：FedRAMP High AC-6 (5) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
限制特殊權限帳戶的存取	CMA_0446 - 限制特殊權限帳戶的存取	手動、已停用	1.1.0

對於使用者權限的檢閱

識別碼：FedRAMP High AC-6 (7) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
應針對您的訂用帳戶指定最多 3 位擁有者	建議您最多指定 3 位訂用帳戶擁有者，以降低遭入侵擁有者導致資料外洩的可能。	AuditIfNotExists, Disabled	3.0.0
稽核自訂 RBAC 角色的使用方式	稽核內建角色，例如「擁有者、參與者、讀取者」，而不是自訂的 RBAC 角色，這些角色容易發生錯誤。 使用自訂角色會視為例外狀況，而且需要嚴格審查和威脅模型化	Audit, Disabled	1.0.1
視需要重新指派或移除使用者權限	CMA_C1040 - 根據需要重新指派或移除使用者權限	手動、已停用	1.1.0
檢閱使用者權限	CMA_C1039 - 檢閱使用者權限	手動、已停用	1.1.0

適用於程式碼執行的權限層級

識別碼：FedRAMP High AC-6 (8) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
強制執行軟體權限	CMA_C1041 - 強制執行軟體權限	手動、已停用	1.1.0

稽核具特殊權限功能的使用

識別碼：FedRAMP High AC-6 (9) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
稽核特殊權限功能	CMA_0019 - 稽核特殊權限功能	手動、已停用	1.1.0
針對記錄的特權命令進行全文檢索分析	CMA_0056 - 針對記錄的特權命令進行全文檢索分析	手動、已停用	1.1.0
稽核特殊權限功能	CMA_0378 - 監視特殊權限角色指派	手動、已停用	1.1.0
限制特殊權限帳戶的存取	CMA_0446 - 限制特殊權限帳戶的存取	手動、已停用	1.1.0
視需要撤銷特殊權限角色	CMA_0483 - 視需要撤銷特殊權限角色	手動、已停用	1.1.0
使用具特殊權限身分識別管理	CMA_0533 - 使用具特殊權限身分識別管理	手動、已停用	1.1.0

不成功的登入嘗試

識別碼：FedRAMP High AC-7 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
強制限制連續失敗的登入嘗試	CMA_C1044 - 強制限制連續失敗的登入嘗試	手動、已停用	1.1.0

並行工作階段控制項

識別碼：FedRAMP High AC-10 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
定義並強制執行並行工作階段的限制	CMA_C1050 - 定義並強制執行並行工作階段的限制	手動、已停用	1.1.0

工作階段終止

識別碼：FedRAMP High AC-12 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
自動終止使用者工作階段	CMA_C1054 - 自動終止使用者工作階段	手動、已停用	1.1.0

使用者起始的登出/訊息顯示

識別碼：FedRAMP High AC-12 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
顯示明確登出訊息	CMA_C1056 - 顯示明確登出訊息	手動、已停用	1.1.0
提供登出功能	CMA_C1055 - 提供登出功能	手動、已停用	1.1.0

不具識別或驗證的允許動作

識別碼：FedRAMP High AC-14 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
識別在沒有驗證的情況下允許的動作	CMA_0295 - 識別在沒有驗證的情況下允許的動作	手動、已停用	1.1.0

遠端存取

識別碼：FedRAMP High AC-17 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
[已被取代]: Azure 認知搜尋服務應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure 認知搜尋，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。	Audit, Disabled	1.0.1-deprecated
[已被取代]：認知服務應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 透過將私人端點對應至認知服務，您可以降低資料洩漏的可能性。 深入了解私人連結：https://go.microsoft.com/fwlink/?linkid=2129800。	Audit, Disabled	3.0.1-deprecated
在沒有任何身分識別的虛擬機器上新增系統指派的受控識別，以啟用客體設定指派	此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，但是沒有任何受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	修改	4.1.0
在具有使用者指派身分識別的 VM 上新增系統指派受控識別，以啟用客體設定指派	此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，而且至少有一個使用者指派的身分識別，但是沒有系統指派的受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	修改	4.1.0
應用程式設定應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至應用程式組態而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/appconfig/private-endpoint。	AuditIfNotExists, Disabled	1.0.2
App Service 應用程式應關閉遠端偵錯	遠端偵錯需要在 App Service 應用程式上開啟輸入連接埠。 應關閉遠端偵錯。	AuditIfNotExists, Disabled	2.0.0
稽核允許不使用密碼從帳戶遠端連線的 Linux 電腦	需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果允許不使用密碼從帳戶遠端連線的 Linux 電腦，則電腦不相容	AuditIfNotExists, Disabled	3.1.0
授權遠端存取	CMA_0024 - 授權遠端存取	手動、已停用	1.1.0
Azure API for FHIR 應該使用私人連結	Azure API for FHIR 應該至少有一個已核准的私人端點連結。 虛擬網路中的用戶端可以安全地存取透過私人連結而擁有私人端點連線的資源。 如需詳細資訊，請瀏覽：https://aka.ms/fhir-privatelink。	Audit, Disabled	1.0.0
Azure Cache for Redis 應使用私人連結	私人端點可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 只要將私人端點對應到您的 Azure Cache for Redis 執行個體，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link。	AuditIfNotExists, Disabled	1.0.0
Azure 認知搜尋服務應使用支援私人連結的 SKU	使用支援 Azure 認知搜尋的 SKU，Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到您的搜尋服務，就能降低資料外洩的風險。 深入了解：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。	Audit, Deny, Disabled	1.0.0
Azure Data Factory 應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure Data Factory，就能降低資料外洩的風險。 深入了解私人連結：https://docs.microsoft.com/azure/data-factory/data-factory-private-link。	AuditIfNotExists, Disabled	1.0.0
Azure 事件方格網域應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 網域而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。	Audit, Disabled	1.0.2
Azure 事件方格主題應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 主題而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。	Audit, Disabled	1.0.2
Azure 檔案同步應使用私人連結	為指定的儲存體同步服務資源建立私人端點，可讓您從組織網路的私人 IP 位址空間中定址儲存體同步服務資源，而非透過網際網路存取的公用端點。 建立私人端點並不會停用公用端點。	AuditIfNotExists, Disabled	1.0.0
Azure Key Vault 應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的金鑰保存庫，就能降低資料外洩風險。 深入了解私人連結：https://aka.ms/akvprivatelink。	[parameters('audit_effect')]	1.2.1
Azure Machine Learning 工作區應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Azure Machine Learning 工作區，可降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link。	Audit, Disabled	1.0.0
Azure 服務匯流排命名空間應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到服務匯流排命名空間，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/service-bus-messaging/private-link-service。	AuditIfNotExists, Disabled	1.0.0
Azure SignalR Service 應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 Azure SignalR Service 資源而非整個服務，您可以降低資料外洩風險。 深入了解私人連結：https://aka.ms/asrs/privatelink。	Audit, Disabled	1.0.0
Azure Spring Cloud 應使用網路插入	Azure Spring Cloud 執行個體應該使用虛擬網路插入來實現下列目的：1. 將 Azure Spring Cloud 與網際網路隔離。 2. 讓 Azure Spring Cloud 能夠與內部部署資料中心或其他虛擬網路中 Azure 服務內的系統進行互動。 3. 讓客戶得以控制 Azure Spring Cloud 的輸入和輸出網路通訊	稽核、停用、拒絕	1.2.0
Azure Synapse 工作區應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至 Azure Synapse 工作區，藉此降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links。	Audit, Disabled	1.0.1
Azure Web PubSub 服務應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 Azure Web PubSub 服務，就可以降低資料外洩風險。 深入了解私人連結：https://aka.ms/awps/privatelink。	Audit, Disabled	1.0.0
容器登錄應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。藉由將私人端點對應至容器登錄而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/acr/private-link。	Audit, Disabled	1.0.1
CosmosDB 帳戶應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的 CosmosDB 帳戶，資料外洩風險就會降低。 深入了解私人連結：https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints。	Audit, Disabled	1.0.0
部署 Linux 來賓設定延伸模組，以在 Linux 虛擬機器上啟用來賓設定指派	此原則會將受客體設定支援的 Linux 客體設定延伸模組部署至裝載於 Azure 的 Linux 虛擬機器主機。 Linux 客體設定延伸模組是所有 Linux 客體設定指派的必要條件，要使用任何 Linux 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	deployIfNotExists	3.1.0
在 Windows VM 上部署 Windows 客體設定擴充功能，以啟用客體設定指派	此原則會將受客體設定支援的 Windows 客體設定延伸模組部署至裝載於 Azure 的 Windows 虛擬機器主機。 Windows 客體設定延伸模組是所有 Windows 客體設定指派的必要條件，要使用任何 Windows 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	deployIfNotExists	1.2.0
磁碟存取資源應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 diskAccesses，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/disksprivatelinksdoc。	AuditIfNotExists, Disabled	1.0.0
記錄行動訓練	CMA_0191 - 記錄行動訓練	手動、已停用	1.1.0
記錄遠端存取方針	CMA_0196 - 記錄遠端存取方針	手動、已停用	1.1.0
事件中樞命名空間應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至事件中樞命名空間，可降低資料洩漏風險。 深入了解：https://docs.microsoft.com/azure/event-hubs/private-link-service。	AuditIfNotExists, Disabled	1.0.0
函數應用程式應關閉遠端偵錯	遠端偵錯需要在函數應用程式上開啟輸入連接埠。 應關閉遠端偵錯。	AuditIfNotExists, Disabled	2.0.0
實作控制以保護替代工作站台	CMA_0315 - 實作控制以保護替代工作站台	手動、已停用	1.1.0
IoT 中樞裝置佈建服務執行個體應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 IoT 中樞裝置佈建服務，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/iotdpsvnet。	Audit, Disabled	1.0.0
應對 Azure SQL Database 啟用私人端點連線	私人端點連線透過啟用與 Azure SQL Database 的私人連線，可強制執行安全通訊。	Audit, Disabled	1.1.0
MariaDB 伺服器應啟用私人端點	私人端點連線透過啟用與適用於 MariaDB 的 Azure 資料庫的私人連線，可強制執行安全通訊。 設定私人端點連線，僅存取來自已知網路的流量，並防止其他所有 IP 位址 (包括 Azure 內) 的存取。	AuditIfNotExists, Disabled	1.0.2
MySQL 伺服器應啟用私人端點	私人端點連線透過啟用與適用於 MySQL 的 Azure 資料庫的私人連線，可強制執行安全通訊。 設定私人端點連線，僅存取來自已知網路的流量，並防止其他所有 IP 位址 (包括 Azure 內) 的存取。	AuditIfNotExists, Disabled	1.0.2
PostgreSQL 伺服器應啟用私人端點	私人端點連線透過啟用與適用於 PostgreSQL 的 Azure 資料庫的私人連線，可強制執行安全通訊。 設定私人端點連線，僅存取來自已知網路的流量，並防止其他所有 IP 位址 (包括 Azure 內) 的存取。	AuditIfNotExists, Disabled	1.0.2
提供隱私權訓練	CMA_0415 - 提供隱私權訓練	手動、已停用	1.1.0
儲存體帳戶應限制網路存取	應限制對儲存體帳戶的網路存取。 請設定網路規則，只允許來自認可之網路的應用程式存取儲存體帳戶。 若要允許來自特定網際網路或內部部署用戶端的連線，可將存取權授與來自特定 Azure 虛擬網路的流量，或授與公用網際網路 IP 位址範圍	Audit, Deny, Disabled	1.1.1
儲存體帳戶應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的儲存體帳戶，資料外洩風險就會降低。 深入了解私人連結，請造訪 https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, Disabled	2.0.0
VM 映像產生器範本應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 VM Image Builder 建置資源，資料外洩風險就會降低。 深入了解私人連結：https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet。	稽核、停用、拒絕	1.1.0

自動化監視/控制

識別碼：FedRAMP High AC-17 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
[已被取代]: Azure 認知搜尋服務應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure 認知搜尋，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。	Audit, Disabled	1.0.1-deprecated
[已被取代]：認知服務應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 透過將私人端點對應至認知服務，您可以降低資料洩漏的可能性。 深入了解私人連結：https://go.microsoft.com/fwlink/?linkid=2129800。	Audit, Disabled	3.0.1-deprecated
在沒有任何身分識別的虛擬機器上新增系統指派的受控識別，以啟用客體設定指派	此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，但是沒有任何受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	修改	4.1.0
在具有使用者指派身分識別的 VM 上新增系統指派受控識別，以啟用客體設定指派	此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，而且至少有一個使用者指派的身分識別，但是沒有系統指派的受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	修改	4.1.0
應用程式設定應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至應用程式組態而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/appconfig/private-endpoint。	AuditIfNotExists, Disabled	1.0.2
App Service 應用程式應關閉遠端偵錯	遠端偵錯需要在 App Service 應用程式上開啟輸入連接埠。 應關閉遠端偵錯。	AuditIfNotExists, Disabled	2.0.0
稽核允許不使用密碼從帳戶遠端連線的 Linux 電腦	需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果允許不使用密碼從帳戶遠端連線的 Linux 電腦，則電腦不相容	AuditIfNotExists, Disabled	3.1.0
Azure API for FHIR 應該使用私人連結	Azure API for FHIR 應該至少有一個已核准的私人端點連結。 虛擬網路中的用戶端可以安全地存取透過私人連結而擁有私人端點連線的資源。 如需詳細資訊，請瀏覽：https://aka.ms/fhir-privatelink。	Audit, Disabled	1.0.0
Azure Cache for Redis 應使用私人連結	私人端點可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 只要將私人端點對應到您的 Azure Cache for Redis 執行個體，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link。	AuditIfNotExists, Disabled	1.0.0
Azure 認知搜尋服務應使用支援私人連結的 SKU	使用支援 Azure 認知搜尋的 SKU，Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到您的搜尋服務，就能降低資料外洩的風險。 深入了解：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。	Audit, Deny, Disabled	1.0.0
Azure Data Factory 應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure Data Factory，就能降低資料外洩的風險。 深入了解私人連結：https://docs.microsoft.com/azure/data-factory/data-factory-private-link。	AuditIfNotExists, Disabled	1.0.0
Azure 事件方格網域應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 網域而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。	Audit, Disabled	1.0.2
Azure 事件方格主題應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 主題而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。	Audit, Disabled	1.0.2
Azure 檔案同步應使用私人連結	為指定的儲存體同步服務資源建立私人端點，可讓您從組織網路的私人 IP 位址空間中定址儲存體同步服務資源，而非透過網際網路存取的公用端點。 建立私人端點並不會停用公用端點。	AuditIfNotExists, Disabled	1.0.0
Azure Key Vault 應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的金鑰保存庫，就能降低資料外洩風險。 深入了解私人連結：https://aka.ms/akvprivatelink。	[parameters('audit_effect')]	1.2.1
Azure Machine Learning 工作區應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Azure Machine Learning 工作區，可降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link。	Audit, Disabled	1.0.0
Azure 服務匯流排命名空間應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到服務匯流排命名空間，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/service-bus-messaging/private-link-service。	AuditIfNotExists, Disabled	1.0.0
Azure SignalR Service 應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 Azure SignalR Service 資源而非整個服務，您可以降低資料外洩風險。 深入了解私人連結：https://aka.ms/asrs/privatelink。	Audit, Disabled	1.0.0
Azure Spring Cloud 應使用網路插入	Azure Spring Cloud 執行個體應該使用虛擬網路插入來實現下列目的：1. 將 Azure Spring Cloud 與網際網路隔離。 2. 讓 Azure Spring Cloud 能夠與內部部署資料中心或其他虛擬網路中 Azure 服務內的系統進行互動。 3. 讓客戶得以控制 Azure Spring Cloud 的輸入和輸出網路通訊	稽核、停用、拒絕	1.2.0
Azure Synapse 工作區應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至 Azure Synapse 工作區，藉此降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links。	Audit, Disabled	1.0.1
Azure Web PubSub 服務應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 Azure Web PubSub 服務，就可以降低資料外洩風險。 深入了解私人連結：https://aka.ms/awps/privatelink。	Audit, Disabled	1.0.0
容器登錄應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。藉由將私人端點對應至容器登錄而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/acr/private-link。	Audit, Disabled	1.0.1
CosmosDB 帳戶應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的 CosmosDB 帳戶，資料外洩風險就會降低。 深入了解私人連結：https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints。	Audit, Disabled	1.0.0
部署 Linux 來賓設定延伸模組，以在 Linux 虛擬機器上啟用來賓設定指派	此原則會將受客體設定支援的 Linux 客體設定延伸模組部署至裝載於 Azure 的 Linux 虛擬機器主機。 Linux 客體設定延伸模組是所有 Linux 客體設定指派的必要條件，要使用任何 Linux 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	deployIfNotExists	3.1.0
在 Windows VM 上部署 Windows 客體設定擴充功能，以啟用客體設定指派	此原則會將受客體設定支援的 Windows 客體設定延伸模組部署至裝載於 Azure 的 Windows 虛擬機器主機。 Windows 客體設定延伸模組是所有 Windows 客體設定指派的必要條件，要使用任何 Windows 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	deployIfNotExists	1.2.0
磁碟存取資源應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 diskAccesses，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/disksprivatelinksdoc。	AuditIfNotExists, Disabled	1.0.0
事件中樞命名空間應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至事件中樞命名空間，可降低資料洩漏風險。 深入了解：https://docs.microsoft.com/azure/event-hubs/private-link-service。	AuditIfNotExists, Disabled	1.0.0
函數應用程式應關閉遠端偵錯	遠端偵錯需要在函數應用程式上開啟輸入連接埠。 應關閉遠端偵錯。	AuditIfNotExists, Disabled	2.0.0
IoT 中樞裝置佈建服務執行個體應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 IoT 中樞裝置佈建服務，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/iotdpsvnet。	Audit, Disabled	1.0.0
監視整個組織的存取	CMA_0376 - 監視整個組織的存取	手動、已停用	1.1.0
應對 Azure SQL Database 啟用私人端點連線	私人端點連線透過啟用與 Azure SQL Database 的私人連線，可強制執行安全通訊。	Audit, Disabled	1.1.0
MariaDB 伺服器應啟用私人端點	私人端點連線透過啟用與適用於 MariaDB 的 Azure 資料庫的私人連線，可強制執行安全通訊。 設定私人端點連線，僅存取來自已知網路的流量，並防止其他所有 IP 位址 (包括 Azure 內) 的存取。	AuditIfNotExists, Disabled	1.0.2
MySQL 伺服器應啟用私人端點	私人端點連線透過啟用與適用於 MySQL 的 Azure 資料庫的私人連線，可強制執行安全通訊。 設定私人端點連線，僅存取來自已知網路的流量，並防止其他所有 IP 位址 (包括 Azure 內) 的存取。	AuditIfNotExists, Disabled	1.0.2
PostgreSQL 伺服器應啟用私人端點	私人端點連線透過啟用與適用於 PostgreSQL 的 Azure 資料庫的私人連線，可強制執行安全通訊。 設定私人端點連線，僅存取來自已知網路的流量，並防止其他所有 IP 位址 (包括 Azure 內) 的存取。	AuditIfNotExists, Disabled	1.0.2
儲存體帳戶應限制網路存取	應限制對儲存體帳戶的網路存取。 請設定網路規則，只允許來自認可之網路的應用程式存取儲存體帳戶。 若要允許來自特定網際網路或內部部署用戶端的連線，可將存取權授與來自特定 Azure 虛擬網路的流量，或授與公用網際網路 IP 位址範圍	Audit, Deny, Disabled	1.1.1
儲存體帳戶應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的儲存體帳戶，資料外洩風險就會降低。 深入了解私人連結，請造訪 https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, Disabled	2.0.0
VM 映像產生器範本應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 VM Image Builder 建置資源，資料外洩風險就會降低。 深入了解私人連結：https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet。	稽核、停用、拒絕	1.1.0

使用加密保護機密性/完整性

識別碼：FedRAMP High AC-17 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
通知使用者系統登入或存取	CMA_0382 - 通知使用者系統登入或存取	手動、已停用	1.1.0
使用加密保護傳輸中的資料	CMA_0403 - 使用加密保護傳輸中的資料	手動、已停用	1.1.0

受控存取控制點

識別碼：FedRAMP High AC-17 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
透過受控網路存取點路由流量	CMA_0484 - 透過受控網路存取點路由流量	手動、已停用	1.1.0

具特殊權限的命令/存取

識別碼：FedRAMP High AC-17 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
授權遠端存取	CMA_0024 - 授權遠端存取	手動、已停用	1.1.0
授權遠端存取特殊權限命令	CMA_C1064 - 授權遠端存取特殊權限命令	手動、已停用	1.1.0
記錄遠端存取方針	CMA_0196 - 記錄遠端存取方針	手動、已停用	1.1.0
實作控制以保護替代工作站台	CMA_0315 - 實作控制以保護替代工作站台	手動、已停用	1.1.0
提供隱私權訓練	CMA_0415 - 提供隱私權訓練	手動、已停用	1.1.0

中斷連線/停用存取

識別碼：FedRAMP High AC-17 (9) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
提供中斷連線或停用遠端存取功能	CMA_C1066 - 提供中斷連線或停用遠端存取功能	手動、已停用	1.1.0

無線存取

識別碼：FedRAMP High AC-18 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
記錄並實作無線存取方針	CMA_0190 - 記錄並實作無線存取方針	手動、已停用	1.1.0
保護無線存取	CMA_0411 - 保護無線存取	手動、已停用	1.1.0

驗證和加密

識別碼：FedRAMP High AC-18 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
記錄並實作無線存取方針	CMA_0190 - 記錄並實作無線存取方針	手動、已停用	1.1.0
識別並驗證網路裝置	CMA_0296 - 識別並驗證網路裝置	手動、已停用	1.1.0
保護無線存取	CMA_0411 - 保護無線存取	手動、已停用	1.1.0

行動裝置存取控制

識別碼：FedRAMP High AC-19 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
定義行動裝置需求	CMA_0122 - 定義行動裝置需求	手動、已停用	1.1.0

完整裝置/容器型加密

識別碼：FedRAMP High AC-19 (5) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
定義行動裝置需求	CMA_0122 - 定義行動裝置需求	手動、已停用	1.1.0
使用加密保護傳輸中的資料	CMA_0403 - 使用加密保護傳輸中的資料	手動、已停用	1.1.0

使用外部資訊系統

識別碼：FedRAMP High AC-20 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立存取資源的條款及條件	CMA_C1076 - 建立存取資源的條款及條件	手動、已停用	1.1.0
建立處理資源的條款及條件	CMA_C1077 - 建立處理資源的條款及條件	手動、已停用	1.1.0

授權使用的限制

識別碼：FedRAMP High AC-20 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
確認外部資訊系統的安全性控制項	CMA_0541 - 確認外部資訊系統的安全性控制項	手動、已停用	1.1.0

可攜式儲存裝置

識別碼：FedRAMP High AC-20 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
封鎖從 USB 執行的未受信任與未簽署處理序	CMA_0050 - 封鎖從 USB 執行的未受信任與未簽署處理序	手動、已停用	1.1.0
控制可攜式儲存裝置的使用	CMA_0083 - 控制可攜式儲存裝置的使用	手動、已停用	1.1.0
實作控制以保護所有媒體	CMA_0314 - 實作控制以保護所有媒體	手動、已停用	1.1.0

資訊共用

識別碼：FedRAMP High AC-21 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
自動化資訊共用決策	CMA_0028 - 自動化資訊共用決策	手動、已停用	1.1.0
輔助資訊共用	CMA_0284 - 輔助資訊共用	手動、已停用	1.1.0

可公開存取的內容

識別碼：FedRAMP High AC-22 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
指定授權的人員以張貼可公開存取的資訊	CMA_C1083 - 指定授權的人員以張貼可公開存取的資訊	手動、已停用	1.1.0
在張貼可公開存取的資訊之前檢閱內容	CMA_C1085 - 在張貼可公開存取的資訊之前檢閱內容	手動、已停用	1.1.0
檢閱可公開存取的非公用資訊內容	CMA_C1086 - 檢閱可公開存取的非公用資訊內容	手動、已停用	1.1.0
對人員進行公開揭示非公用資訊的訓練	CMA_C1084 - 對人員進行公開揭示非公用資訊的訓練	手動、已停用	1.1.0

認知和訓練

安全性意識及訓練原則與程序

識別碼：FedRAMP High AT-1 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
記錄安全性和隱私權訓練活動	CMA_0198 - 記錄安全性和隱私權訓練活動	手動、已停用	1.1.0
更新資訊安全性原則	CMA_0518 - 更新資訊安全性原則	手動、已停用	1.1.0

安全性意識訓練

識別碼：FedRAMP High AT-2 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
提供定期安全性意識訓練	CMA_C1091 - 提供定期安全性意識訓練	手動、已停用	1.1.0
為新使用者提供安全性訓練	CMA_0419 - 為新使用者提供安全性訓練	手動、已停用	1.1.0
提供更新的安全性認知訓練	CMA_C1090 - 提供更新的安全性認知訓練	手動、已停用	1.1.0

內部威脅

識別碼：FedRAMP High AT-2 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
提供有關內部威脅的安全性意識訓練	CMA_0417 - 提供有關內部威脅的安全性意識訓練	手動、已停用	1.1.0

角色型安全性訓練

識別碼：FedRAMP High AT-3 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
提供定期角色型安全性訓練	CMA_C1095 - 提供定期角色型安全性訓練	手動、已停用	1.1.0
提供角色型安全性訓練	CMA_C1094 - 提供角色型安全性訓練	手動、已停用	1.1.0
提供存取權之前提供安全性訓練	CMA_0418 - 提供存取權之前提供安全性訓練	手動、已停用	1.1.0

實務練習

識別碼：FedRAMP High AT-3 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
提供以角色為基礎的實用練習	CMA_C1096 - 提供以角色為基礎的實用練習	手動、已停用	1.1.0

可疑的通訊和異常系統行為

識別碼：FedRAMP High AT-3 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
針對可疑活動提供角色型訓練	CMA_C1097 - 針對可疑活動提供角色型訓練	手動、已停用	1.1.0

安全性訓練記錄

識別碼：FedRAMP High AT-4 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
記錄安全性和隱私權訓練活動	CMA_0198 - 記錄安全性和隱私權訓練活動	手動、已停用	1.1.0
監視安全性和隱私權訓練完成	CMA_0379 - 監視安全性和隱私權訓練完成	手動、已停用	1.1.0
保留訓練記錄	CMA_0456 - 保留訓練記錄	手動、已停用	1.1.0

稽核和責任

稽核和權責原則與程序

識別碼：FedRAMP High AU-1 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
制定稽核與責任原則和程序	CMA_0154 - 制定稽核與責任原則和程序	手動、已停用	1.1.0
制定資訊安全原則和程序	CMA_0158 - 制定資訊安全原則和程序	手動、已停用	1.1.0
控管原則和程序	CMA_0292 - 控管原則和程序	手動、已停用	1.1.0
更新資訊安全性原則	CMA_0518 - 更新資訊安全性原則	手動、已停用	1.1.0

稽核事件

識別碼：FedRAMP High AU-2 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
決定可稽核的事件	CMA_0137 - 決定可稽核的事件	手動、已停用	1.1.0

檢閱和更新

識別碼：FedRAMP High AU-2 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
檢閱及更新 AU-02 中定義的事件	CMA_C1106 - 檢閱及更新 AU-02 中定義的事件	手動、已停用	1.1.0

稽核記錄的內容

識別碼：FedRAMP High AU-3 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
決定可稽核的事件	CMA_0137 - 決定可稽核的事件	手動、已停用	1.1.0

其他稽核資訊

識別碼：FedRAMP High AU-3 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
設定 Azure 稽核功能	CMA_C1108 - 設定 Azure 稽核功能	手動、已停用	1.1.1

稽核儲存體容量

識別碼：FedRAMP High AU-4 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
控管並監視稽核處理活動	CMA_0289 - 控管並監視稽核處理活動	手動、已停用	1.1.0

稽核處理失敗時的回應

識別碼：FedRAMP High AU-5 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
控管並監視稽核處理活動	CMA_0289 - 控管並監視稽核處理活動	手動、已停用	1.1.0

即時警示

識別碼：FedRAMP High AU-5 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
為稽核事件失敗提供即時警示	CMA_C1114 - 為稽核事件失敗提供即時警示	手動、已停用	1.1.0

稽核檢閱、分析和報告

識別碼：FedRAMP High AU-6 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
[預覽]：啟用 Azure Arc 的 Kubernetes 叢集應該已安裝適用於雲端的 Microsoft Defender 延伸模組	適用於 Azure Arc 的適用於雲端的 Microsoft Defender 延伸模組可為已啟用 Arc 的 Kubernetes 叢集提供威脅防護。 該延伸模組會從叢集內的所有節點收集資料，並將其傳送到雲端的 Azure Defender for Kubernetes 後端，以進一步分析。 在 https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc 中深入了解。	AuditIfNotExists, Disabled	6.0.0-preview
[預覽版]：應在 Linux 虛擬機器上安裝網路流量資料收集代理程式	資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。	AuditIfNotExists, Disabled	1.0.2-preview
[預覽版]：應在 Windows 虛擬機器上安裝網路流量資料收集代理程式	資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。	AuditIfNotExists, Disabled	1.0.2-preview
應啟用適用於 App Service 的 Azure Defender	適用於 App Service 的 Azure Defender 利用雲端的規模及雲端提供者 Azure 擁有的廣大視野，監視常見的 Web 應用程式攻擊。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Azure SQL Database 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應啟用適用於 Key Vault 的 Azure Defender	適用於 Key Vault 的 Azure Defender 會透過偵測嘗試存取或惡意探索金鑰保存庫帳戶的異常及潛在有害威脅，提供一層額外的保護和安全情報。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Resource Manager 的 Azure Defender	適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於伺服器的 Azure Defender	適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於機器上 SQL 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender	在沒有「進階資料安全性」的情況下稽核 SQL 伺服器	AuditIfNotExists, Disabled	2.0.1
應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender	在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。	AuditIfNotExists, Disabled	1.0.2
關聯稽核記錄	CMA_0087 - 關聯稽核記錄	手動、已停用	1.1.0
建立稽核檢閱和報告的需求	CMA_0277 - 建立稽核檢閱和報告的需求	手動、已停用	1.1.0
整合稽核檢閱、分析及報告	CMA_0339 - 整合稽核檢閱、分析及報告	手動、已停用	1.1.0
整合 Cloud App Security 與 SIEM	CMA_0340 - 整合 Cloud App Security 與 SIEM	手動、已停用	1.1.0
應啟用適用於容器的 Microsoft Defender	適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於儲存體的 Microsoft Defender	適用於儲存體的 Microsoft Defender 會偵測儲存體帳戶的潛在威脅。 這有助於防止資料和工作負載受到三大影響：惡意檔案上傳、敏感性資料外流和資料損毀。 新的適用於儲存體的 Defender 方案包括惡意程式碼掃描和敏感性資料威脅偵測。 此方案也提供可預測的價格結構 (每一儲存體帳戶)，以控制涵蓋範圍和成本。	AuditIfNotExists, Disabled	1.0.0
應啟用網路監看員	網路監看員是一項區域性服務，可讓您監視與診斷位於和進出 Azure 的網路案例層級條件。 案例層級監視可讓您在端對端網路層級檢視診斷問題。 您必須在存在虛擬網路的每個區域中，建立網路監看員資源群組。 如果特定區域無法使用網路監看員資源群組，就會啟用警示。	AuditIfNotExists, Disabled	3.0.0
檢閱帳戶佈建記錄	CMA_0460 - 檢閱帳戶佈建記錄	手動、已停用	1.1.0
每週檢閱系統管理員指派	CMA_0461 - 每週檢閱系統管理員指派	手動、已停用	1.1.0
檢閱稽核資料	CMA_0466 - 檢閱稽核資料	手動、已停用	1.1.0
檢閱雲端識別報告概觀	CMA_0468 - 檢閱雲端識別報告概觀	手動、已停用	1.1.0
檢閱受控資料夾存取事件	CMA_0471 - 檢閱受控資料夾存取事件	手動、已停用	1.1.0
檢閱檔案和資料夾活動	CMA_0473 - 檢閱檔案和資料夾活動	手動、已停用	1.1.0
每週檢閱角色群組變更	CMA_0476 - 每週檢閱角色群組變更	手動、已停用	1.1.0

流程整合

識別碼：FedRAMP High AU-6 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
關聯稽核記錄	CMA_0087 - 關聯稽核記錄	手動、已停用	1.1.0
建立稽核檢閱和報告的需求	CMA_0277 - 建立稽核檢閱和報告的需求	手動、已停用	1.1.0
整合稽核檢閱、分析及報告	CMA_0339 - 整合稽核檢閱、分析及報告	手動、已停用	1.1.0
整合 Cloud App Security 與 SIEM	CMA_0340 - 整合 Cloud App Security 與 SIEM	手動、已停用	1.1.0
檢閱帳戶佈建記錄	CMA_0460 - 檢閱帳戶佈建記錄	手動、已停用	1.1.0
每週檢閱系統管理員指派	CMA_0461 - 每週檢閱系統管理員指派	手動、已停用	1.1.0
檢閱稽核資料	CMA_0466 - 檢閱稽核資料	手動、已停用	1.1.0
檢閱雲端識別報告概觀	CMA_0468 - 檢閱雲端識別報告概觀	手動、已停用	1.1.0
檢閱受控資料夾存取事件	CMA_0471 - 檢閱受控資料夾存取事件	手動、已停用	1.1.0
檢閱檔案和資料夾活動	CMA_0473 - 檢閱檔案和資料夾活動	手動、已停用	1.1.0
每週檢閱角色群組變更	CMA_0476 - 每週檢閱角色群組變更	手動、已停用	1.1.0

將稽核存放庫相互關聯

識別碼：FedRAMP High AU-6 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
關聯稽核記錄	CMA_0087 - 關聯稽核記錄	手動、已停用	1.1.0
整合 Cloud App Security 與 SIEM	CMA_0340 - 整合 Cloud App Security 與 SIEM	手動、已停用	1.1.0

集中式檢閱與分析

識別碼：FedRAMP High AU-6 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
[預覽]：啟用 Azure Arc 的 Kubernetes 叢集應該已安裝適用於雲端的 Microsoft Defender 延伸模組	適用於 Azure Arc 的適用於雲端的 Microsoft Defender 延伸模組可為已啟用 Arc 的 Kubernetes 叢集提供威脅防護。 該延伸模組會從叢集內的所有節點收集資料，並將其傳送到雲端的 Azure Defender for Kubernetes 後端，以進一步分析。 在 https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc 中深入了解。	AuditIfNotExists, Disabled	6.0.0-preview
[預覽]：Linux Azure Arc 機器上應安裝 Log Analytics 延伸模組	若未安裝 Log Analytics 延伸模組，則此原則會稽核 Linux Azure Arc 機器。	AuditIfNotExists, Disabled	1.0.1-preview
[預覽]：Windows Azure Arc 機器上應安裝 Log Analytics 延伸模組	若未安裝 Log Analytics 延伸模組，則此原則會稽核 Windows Azure Arc 機器。	AuditIfNotExists, Disabled	1.0.1-preview
[預覽版]：應在 Linux 虛擬機器上安裝網路流量資料收集代理程式	資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。	AuditIfNotExists, Disabled	1.0.2-preview
[預覽版]：應在 Windows 虛擬機器上安裝網路流量資料收集代理程式	資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。	AuditIfNotExists, Disabled	1.0.2-preview
App Service 應用程式應啟用資源記錄	稽核應用程式上資源記錄的啟用。 如果發生安全性事件或網路遭到損害，這可讓您重新建立活動線索供調查之用。	AuditIfNotExists, Disabled	2.0.1
應啟用 SQL 伺服器上的稽核	應在 SQL Server 上啟用稽核，以追蹤伺服器上所有資料庫的活動，並儲存在稽核記錄中。	AuditIfNotExists, Disabled	2.0.0
應啟用適用於 App Service 的 Azure Defender	適用於 App Service 的 Azure Defender 利用雲端的規模及雲端提供者 Azure 擁有的廣大視野，監視常見的 Web 應用程式攻擊。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Azure SQL Database 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應啟用適用於 Key Vault 的 Azure Defender	適用於 Key Vault 的 Azure Defender 會透過偵測嘗試存取或惡意探索金鑰保存庫帳戶的異常及潛在有害威脅，提供一層額外的保護和安全情報。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Resource Manager 的 Azure Defender	適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於伺服器的 Azure Defender	適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於機器上 SQL 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender	在沒有「進階資料安全性」的情況下稽核 SQL 伺服器	AuditIfNotExists, Disabled	2.0.1
應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender	在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。	AuditIfNotExists, Disabled	1.0.2
應在您的電腦上安裝來賓設定延伸模組	若要確保電腦來賓內設定的安全設定，請安裝來賓設定延伸模組。 延伸模組會監視的客體內設定包括作業系統的設定、應用程式設定或目前狀態，以及環境設定。 安裝後便可使用客體內原則，例如「應啟用 Windows 惡意探索防護」。 深入了解：https://aka.ms/gcpol。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於容器的 Microsoft Defender	適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於儲存體的 Microsoft Defender	適用於儲存體的 Microsoft Defender 會偵測儲存體帳戶的潛在威脅。 這有助於防止資料和工作負載受到三大影響：惡意檔案上傳、敏感性資料外流和資料損毀。 新的適用於儲存體的 Defender 方案包括惡意程式碼掃描和敏感性資料威脅偵測。 此方案也提供可預測的價格結構 (每一儲存體帳戶)，以控制涵蓋範圍和成本。	AuditIfNotExists, Disabled	1.0.0
應啟用網路監看員	網路監看員是一項區域性服務，可讓您監視與診斷位於和進出 Azure 的網路案例層級條件。 案例層級監視可讓您在端對端網路層級檢視診斷問題。 您必須在存在虛擬網路的每個區域中，建立網路監看員資源群組。 如果特定區域無法使用網路監看員資源群組，就會啟用警示。	AuditIfNotExists, Disabled	3.0.0
應啟用 Azure Data Lake Store 中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 Azure 串流分析中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 Batch 帳戶中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 Data Lake Analytics 中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用事件中樞內的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 IoT 中樞內的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	3.1.0
應啟用 Key Vault 中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 Logic Apps 中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.1.0
應啟用搜尋服務中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用服務匯流排中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應使用系統指派的受控識別，部署虛擬機器的來賓設定延伸模組	來賓設定擴充功能需要系統指派的受控識別。 安裝客體設定延伸模組但是沒有系統指派受控識別時，此原則範圍內的 Azure 虛擬機器將會不符合規範。 深入了解：https://aka.ms/gcpol	AuditIfNotExists, Disabled	1.0.1

整合/掃描和監視功能

識別碼：FedRAMP High AU-6 (5) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
[預覽]：啟用 Azure Arc 的 Kubernetes 叢集應該已安裝適用於雲端的 Microsoft Defender 延伸模組	適用於 Azure Arc 的適用於雲端的 Microsoft Defender 延伸模組可為已啟用 Arc 的 Kubernetes 叢集提供威脅防護。 該延伸模組會從叢集內的所有節點收集資料，並將其傳送到雲端的 Azure Defender for Kubernetes 後端，以進一步分析。 在 https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc 中深入了解。	AuditIfNotExists, Disabled	6.0.0-preview
[預覽]：Linux Azure Arc 機器上應安裝 Log Analytics 延伸模組	若未安裝 Log Analytics 延伸模組，則此原則會稽核 Linux Azure Arc 機器。	AuditIfNotExists, Disabled	1.0.1-preview
[預覽]：Windows Azure Arc 機器上應安裝 Log Analytics 延伸模組	若未安裝 Log Analytics 延伸模組，則此原則會稽核 Windows Azure Arc 機器。	AuditIfNotExists, Disabled	1.0.1-preview
[預覽版]：應在 Linux 虛擬機器上安裝網路流量資料收集代理程式	資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。	AuditIfNotExists, Disabled	1.0.2-preview
[預覽版]：應在 Windows 虛擬機器上安裝網路流量資料收集代理程式	資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。	AuditIfNotExists, Disabled	1.0.2-preview
App Service 應用程式應啟用資源記錄	稽核應用程式上資源記錄的啟用。 如果發生安全性事件或網路遭到損害，這可讓您重新建立活動線索供調查之用。	AuditIfNotExists, Disabled	2.0.1
應啟用 SQL 伺服器上的稽核	應在 SQL Server 上啟用稽核，以追蹤伺服器上所有資料庫的活動，並儲存在稽核記錄中。	AuditIfNotExists, Disabled	2.0.0
應啟用適用於 App Service 的 Azure Defender	適用於 App Service 的 Azure Defender 利用雲端的規模及雲端提供者 Azure 擁有的廣大視野，監視常見的 Web 應用程式攻擊。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Azure SQL Database 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應啟用適用於 Key Vault 的 Azure Defender	適用於 Key Vault 的 Azure Defender 會透過偵測嘗試存取或惡意探索金鑰保存庫帳戶的異常及潛在有害威脅，提供一層額外的保護和安全情報。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Resource Manager 的 Azure Defender	適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於伺服器的 Azure Defender	適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於機器上 SQL 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender	在沒有「進階資料安全性」的情況下稽核 SQL 伺服器	AuditIfNotExists, Disabled	2.0.1
應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender	在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。	AuditIfNotExists, Disabled	1.0.2
應在您的電腦上安裝來賓設定延伸模組	若要確保電腦來賓內設定的安全設定，請安裝來賓設定延伸模組。 延伸模組會監視的客體內設定包括作業系統的設定、應用程式設定或目前狀態，以及環境設定。 安裝後便可使用客體內原則，例如「應啟用 Windows 惡意探索防護」。 深入了解：https://aka.ms/gcpol。	AuditIfNotExists, Disabled	1.0.3
整合稽核記錄分析	CMA_C1120 - 整合稽核記錄分析	手動、已停用	1.1.0
應啟用適用於容器的 Microsoft Defender	適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於儲存體的 Microsoft Defender	適用於儲存體的 Microsoft Defender 會偵測儲存體帳戶的潛在威脅。 這有助於防止資料和工作負載受到三大影響：惡意檔案上傳、敏感性資料外流和資料損毀。 新的適用於儲存體的 Defender 方案包括惡意程式碼掃描和敏感性資料威脅偵測。 此方案也提供可預測的價格結構 (每一儲存體帳戶)，以控制涵蓋範圍和成本。	AuditIfNotExists, Disabled	1.0.0
應啟用網路監看員	網路監看員是一項區域性服務，可讓您監視與診斷位於和進出 Azure 的網路案例層級條件。 案例層級監視可讓您在端對端網路層級檢視診斷問題。 您必須在存在虛擬網路的每個區域中，建立網路監看員資源群組。 如果特定區域無法使用網路監看員資源群組，就會啟用警示。	AuditIfNotExists, Disabled	3.0.0
應啟用 Azure Data Lake Store 中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 Azure 串流分析中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 Batch 帳戶中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 Data Lake Analytics 中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用事件中樞內的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 IoT 中樞內的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	3.1.0
應啟用 Key Vault 中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 Logic Apps 中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.1.0
應啟用搜尋服務中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用服務匯流排中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應使用系統指派的受控識別，部署虛擬機器的來賓設定延伸模組	來賓設定擴充功能需要系統指派的受控識別。 安裝客體設定延伸模組但是沒有系統指派受控識別時，此原則範圍內的 Azure 虛擬機器將會不符合規範。 深入了解：https://aka.ms/gcpol	AuditIfNotExists, Disabled	1.0.1

允許的動作

識別碼：FedRAMP High AU-6 (7) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
指定與客戶稽核資訊相關聯的允許動作	CMA_C1122 - 指定與客戶稽核資訊相關聯的允許動作	手動、已停用	1.1.0

稽核層級調整

識別碼：FedRAMP High AU-6 (10) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
調整稽核檢閱、分析及報告的層級	CMA_C1123 - 調整稽核檢閱、分析及報告的層級	手動、已停用	1.1.0

縮減稽核與產生報告

識別碼：FedRAMP High AU-7 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
確認稽核記錄未變更	CMA_C1125 - 確認稽核記錄未變更	手動、已停用	1.1.0
提供稽核檢閱、分析及報告功能	CMA_C1124 - 提供稽核檢閱、分析及報告功能	手動、已停用	1.1.0

自動化處理

識別碼：FedRAMP High AU-7 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
提供處理客戶控制稽核記錄的功能	CMA_C1126 - 提供處理客戶控制稽核記錄的功能	手動、已停用	1.1.0

時間戳記

識別碼：FedRAMP High AU-8 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
在稽核記錄上使用系統時鐘	CMA_0535 - 在稽核記錄上使用系統時鐘	手動、已停用	1.1.0

與權威時間來源進行同步處理

識別碼：FedRAMP High AU-8 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
在稽核記錄上使用系統時鐘	CMA_0535 - 在稽核記錄上使用系統時鐘	手動、已停用	1.1.0

保護稽核資訊

識別碼：FedRAMP High AU-9 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
啟用雙重或聯合授權	CMA_0226 - 啟用雙重或聯合授權	手動、已停用	1.1.0
保護稽核資訊	CMA_0401 - 保護稽核資訊	手動、已停用	1.1.0

在個別的實體系統/元件上進行稽核備份

識別碼：FedRAMP High AU-9 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立備份原則和程序	CMA_0268 - 建立備份原則和程序	手動、已停用	1.1.0

密碼編譯保護

識別碼：FedRAMP High AU-9 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
維護稽核系統的完整性	CMA_C1133 - 維護稽核系統的完整性	手動、已停用	1.1.0

以特殊權限使用者子集存取

識別碼：FedRAMP High AU-9 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
保護稽核資訊	CMA_0401 - 保護稽核資訊	手動、已停用	1.1.0

不可否認性

識別碼：FedRAMP High AU-10 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立電子簽章和憑證需求	CMA_0271 - 建立電子簽章和憑證需求	手動、已停用	1.1.0

保留稽核記錄

識別碼：FedRAMP High AU-11 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
遵守已定義的保留期間	CMA_0004 - 遵守已定義的保留期間	手動、已停用	1.1.0
保留安全性原則及程序	CMA_0454 - 保留安全性原則及程序	手動、已停用	1.1.0
保留離職的使用者資料	CMA_0455 - 保留離職的使用者資料	手動、已停用	1.1.0
對儲存體帳戶目的地進行稽核的 SQL 伺服器保留期應設定為 90 天 (含) 以上	為了進行事件調查，建議您將 SQL Server 稽核儲存體帳戶目的地的資料保留設定為至少 90 天。 確認您符合您正在操作區域所需的保留規則。 有時候必須如此才能符合法規標準。	AuditIfNotExists, Disabled	3.0.0

稽核產生

識別碼：FedRAMP High AU-12 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
[預覽]：啟用 Azure Arc 的 Kubernetes 叢集應該已安裝適用於雲端的 Microsoft Defender 延伸模組	適用於 Azure Arc 的適用於雲端的 Microsoft Defender 延伸模組可為已啟用 Arc 的 Kubernetes 叢集提供威脅防護。 該延伸模組會從叢集內的所有節點收集資料，並將其傳送到雲端的 Azure Defender for Kubernetes 後端，以進一步分析。 在 https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc 中深入了解。	AuditIfNotExists, Disabled	6.0.0-preview
[預覽]：Linux Azure Arc 機器上應安裝 Log Analytics 延伸模組	若未安裝 Log Analytics 延伸模組，則此原則會稽核 Linux Azure Arc 機器。	AuditIfNotExists, Disabled	1.0.1-preview
[預覽]：Windows Azure Arc 機器上應安裝 Log Analytics 延伸模組	若未安裝 Log Analytics 延伸模組，則此原則會稽核 Windows Azure Arc 機器。	AuditIfNotExists, Disabled	1.0.1-preview
[預覽版]：應在 Linux 虛擬機器上安裝網路流量資料收集代理程式	資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。	AuditIfNotExists, Disabled	1.0.2-preview
[預覽版]：應在 Windows 虛擬機器上安裝網路流量資料收集代理程式	資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。	AuditIfNotExists, Disabled	1.0.2-preview
App Service 應用程式應啟用資源記錄	稽核應用程式上資源記錄的啟用。 如果發生安全性事件或網路遭到損害，這可讓您重新建立活動線索供調查之用。	AuditIfNotExists, Disabled	2.0.1
稽核特殊權限功能	CMA_0019 - 稽核特殊權限功能	手動、已停用	1.1.0
稽核使用者帳戶狀態	CMA_0020 - 稽核使用者帳戶狀態	手動、已停用	1.1.0
應啟用 SQL 伺服器上的稽核	應在 SQL Server 上啟用稽核，以追蹤伺服器上所有資料庫的活動，並儲存在稽核記錄中。	AuditIfNotExists, Disabled	2.0.0
應啟用適用於 App Service 的 Azure Defender	適用於 App Service 的 Azure Defender 利用雲端的規模及雲端提供者 Azure 擁有的廣大視野，監視常見的 Web 應用程式攻擊。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Azure SQL Database 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應啟用適用於 Key Vault 的 Azure Defender	適用於 Key Vault 的 Azure Defender 會透過偵測嘗試存取或惡意探索金鑰保存庫帳戶的異常及潛在有害威脅，提供一層額外的保護和安全情報。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Resource Manager 的 Azure Defender	適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於伺服器的 Azure Defender	適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於機器上 SQL 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender	在沒有「進階資料安全性」的情況下稽核 SQL 伺服器	AuditIfNotExists, Disabled	2.0.1
應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender	在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。	AuditIfNotExists, Disabled	1.0.2
決定可稽核的事件	CMA_0137 - 決定可稽核的事件	手動、已停用	1.1.0
應在您的電腦上安裝來賓設定延伸模組	若要確保電腦來賓內設定的安全設定，請安裝來賓設定延伸模組。 延伸模組會監視的客體內設定包括作業系統的設定、應用程式設定或目前狀態，以及環境設定。 安裝後便可使用客體內原則，例如「應啟用 Windows 惡意探索防護」。 深入了解：https://aka.ms/gcpol。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於容器的 Microsoft Defender	適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於儲存體的 Microsoft Defender	適用於儲存體的 Microsoft Defender 會偵測儲存體帳戶的潛在威脅。 這有助於防止資料和工作負載受到三大影響：惡意檔案上傳、敏感性資料外流和資料損毀。 新的適用於儲存體的 Defender 方案包括惡意程式碼掃描和敏感性資料威脅偵測。 此方案也提供可預測的價格結構 (每一儲存體帳戶)，以控制涵蓋範圍和成本。	AuditIfNotExists, Disabled	1.0.0
應啟用網路監看員	網路監看員是一項區域性服務，可讓您監視與診斷位於和進出 Azure 的網路案例層級條件。 案例層級監視可讓您在端對端網路層級檢視診斷問題。 您必須在存在虛擬網路的每個區域中，建立網路監看員資源群組。 如果特定區域無法使用網路監看員資源群組，就會啟用警示。	AuditIfNotExists, Disabled	3.0.0
應啟用 Azure Data Lake Store 中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 Azure 串流分析中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 Batch 帳戶中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 Data Lake Analytics 中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用事件中樞內的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 IoT 中樞內的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	3.1.0
應啟用 Key Vault 中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 Logic Apps 中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.1.0
應啟用搜尋服務中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用服務匯流排中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
檢閱稽核資料	CMA_0466 - 檢閱稽核資料	手動、已停用	1.1.0
應使用系統指派的受控識別，部署虛擬機器的來賓設定延伸模組	來賓設定擴充功能需要系統指派的受控識別。 安裝客體設定延伸模組但是沒有系統指派受控識別時，此原則範圍內的 Azure 虛擬機器將會不符合規範。 深入了解：https://aka.ms/gcpol	AuditIfNotExists, Disabled	1.0.1

全系統/時間相互關聯的稽核記錄

識別碼：FedRAMP High AU-12 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
[預覽]：啟用 Azure Arc 的 Kubernetes 叢集應該已安裝適用於雲端的 Microsoft Defender 延伸模組	適用於 Azure Arc 的適用於雲端的 Microsoft Defender 延伸模組可為已啟用 Arc 的 Kubernetes 叢集提供威脅防護。 該延伸模組會從叢集內的所有節點收集資料，並將其傳送到雲端的 Azure Defender for Kubernetes 後端，以進一步分析。 在 https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc 中深入了解。	AuditIfNotExists, Disabled	6.0.0-preview
[預覽]：Linux Azure Arc 機器上應安裝 Log Analytics 延伸模組	若未安裝 Log Analytics 延伸模組，則此原則會稽核 Linux Azure Arc 機器。	AuditIfNotExists, Disabled	1.0.1-preview
[預覽]：Windows Azure Arc 機器上應安裝 Log Analytics 延伸模組	若未安裝 Log Analytics 延伸模組，則此原則會稽核 Windows Azure Arc 機器。	AuditIfNotExists, Disabled	1.0.1-preview
[預覽版]：應在 Linux 虛擬機器上安裝網路流量資料收集代理程式	資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。	AuditIfNotExists, Disabled	1.0.2-preview
[預覽版]：應在 Windows 虛擬機器上安裝網路流量資料收集代理程式	資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。	AuditIfNotExists, Disabled	1.0.2-preview
App Service 應用程式應啟用資源記錄	稽核應用程式上資源記錄的啟用。 如果發生安全性事件或網路遭到損害，這可讓您重新建立活動線索供調查之用。	AuditIfNotExists, Disabled	2.0.1
應啟用 SQL 伺服器上的稽核	應在 SQL Server 上啟用稽核，以追蹤伺服器上所有資料庫的活動，並儲存在稽核記錄中。	AuditIfNotExists, Disabled	2.0.0
應啟用適用於 App Service 的 Azure Defender	適用於 App Service 的 Azure Defender 利用雲端的規模及雲端提供者 Azure 擁有的廣大視野，監視常見的 Web 應用程式攻擊。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Azure SQL Database 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應啟用適用於 Key Vault 的 Azure Defender	適用於 Key Vault 的 Azure Defender 會透過偵測嘗試存取或惡意探索金鑰保存庫帳戶的異常及潛在有害威脅，提供一層額外的保護和安全情報。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Resource Manager 的 Azure Defender	適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於伺服器的 Azure Defender	適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於機器上 SQL 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender	在沒有「進階資料安全性」的情況下稽核 SQL 伺服器	AuditIfNotExists, Disabled	2.0.1
應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender	在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。	AuditIfNotExists, Disabled	1.0.2
將稽核記錄編譯為全系統稽核	CMA_C1140 - 將稽核記錄編譯為全系統稽核	手動、已停用	1.1.0
應在您的電腦上安裝來賓設定延伸模組	若要確保電腦來賓內設定的安全設定，請安裝來賓設定延伸模組。 延伸模組會監視的客體內設定包括作業系統的設定、應用程式設定或目前狀態，以及環境設定。 安裝後便可使用客體內原則，例如「應啟用 Windows 惡意探索防護」。 深入了解：https://aka.ms/gcpol。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於容器的 Microsoft Defender	適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於儲存體的 Microsoft Defender	適用於儲存體的 Microsoft Defender 會偵測儲存體帳戶的潛在威脅。 這有助於防止資料和工作負載受到三大影響：惡意檔案上傳、敏感性資料外流和資料損毀。 新的適用於儲存體的 Defender 方案包括惡意程式碼掃描和敏感性資料威脅偵測。 此方案也提供可預測的價格結構 (每一儲存體帳戶)，以控制涵蓋範圍和成本。	AuditIfNotExists, Disabled	1.0.0
應啟用網路監看員	網路監看員是一項區域性服務，可讓您監視與診斷位於和進出 Azure 的網路案例層級條件。 案例層級監視可讓您在端對端網路層級檢視診斷問題。 您必須在存在虛擬網路的每個區域中，建立網路監看員資源群組。 如果特定區域無法使用網路監看員資源群組，就會啟用警示。	AuditIfNotExists, Disabled	3.0.0
應啟用 Azure Data Lake Store 中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 Azure 串流分析中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 Batch 帳戶中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 Data Lake Analytics 中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用事件中樞內的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 IoT 中樞內的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	3.1.0
應啟用 Key Vault 中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用 Logic Apps 中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.1.0
應啟用搜尋服務中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應啟用服務匯流排中的資源記錄	稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用	AuditIfNotExists, Disabled	5.0.0
應使用系統指派的受控識別，部署虛擬機器的來賓設定延伸模組	來賓設定擴充功能需要系統指派的受控識別。 安裝客體設定延伸模組但是沒有系統指派受控識別時，此原則範圍內的 Azure 虛擬機器將會不符合規範。 深入了解：https://aka.ms/gcpol	AuditIfNotExists, Disabled	1.0.1

已授權的個人所做的變更

識別碼：FedRAMP High AU-12 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
提供擴充或限制客戶部署資源稽核的功能	CMA_C1141 - 提供擴充或限制客戶部署資源稽核的功能	手動、已停用	1.1.0

安全性評量和授權

安全性評量和授權原則及程序

識別碼：FedRAMP High CA-1 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
檢閱安全性評量和授權原則及程序	CMA_C1143 - 檢閱安全性評量與授權原則與程序	手動、已停用	1.1.0

安全性評量

識別碼：FedRAMP High CA-2 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
評定安全性控制項	CMA_C1145 - 評定安全性控制項	手動、已停用	1.1.0
傳遞安全性評量結果	CMA_C1147 - 傳遞安全性評量結果	手動、已停用	1.1.0
開發安全性評量計劃	CMA_C1144 - 開發安全性評量計劃	手動、已停用	1.1.0
產生安全性評量報告	CMA_C1146 - 產生安全性評量報告	手動、已停用	1.1.0

獨立評估者

識別碼：FedRAMP High CA-2 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
採用獨立評量器以進行安全性控制評量	CMA_C1148 - 採用獨立評量器以進行安全性控制評量	手動、已停用	1.1.0

專業評定

識別碼：FedRAMP High CA-2 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
選取安全性控制評量的其他測試	CMA_C1149 - 選取安全性控制評量的其他測試	手動、已停用	1.1.0

外部組織

識別碼：FedRAMP High CA-2 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
接受評量結果	CMA_C1150 - 接受評量結果	手動、已停用	1.1.0

系統互相連線

識別碼：FedRAMP High CA-3 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
需要互連安全性合約	CMA_C1151 - 需要互連安全性合約	手動、已停用	1.1.0
更新互連安全性合約	CMA_0519 - 更新互連安全性合約	手動、已停用	1.1.0

未分類的非國家/地區安全性系統連線

識別碼：FedRAMP High CA-3 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作系統邊界保護	CMA_0328 - 實作系統邊界保護	手動、已停用	1.1.0

對外部系統連線的限制

識別碼：FedRAMP High CA-3 (5) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
對外部系統互連採用限制	CMA_C1155 - 對外部系統互連採用限制	手動、已停用	1.1.0

動作計畫和里程碑

識別碼：FedRAMP High CA-5 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
開發 POA&M	CMA_C1156 - 開發 POA&M	手動、已停用	1.1.0
更新 POA&M 項目	CMA_C1157 - 更新 POA&M 項目	手動、已停用	1.1.0

安全性授權

識別碼：FedRAMP High CA-6 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
指派授權正式 (AO)	CMA_C1158 - 指派授權正式 (AO)	手動、已停用	1.1.0
確認資源已獲授權	CMA_C1159 - 確認資源已獲授權	手動、已停用	1.1.0
更新安全性授權	CMA_C1160 - 更新安全性授權	手動、已停用	1.1.0

持續監視

識別碼：FedRAMP High CA-7 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
設定偵測允許清單	CMA_0068 - 設定偵測允許清單	手動、已停用	1.1.0
開啟端點安全性解決方案的感應器	CMA_0514 - 開啟端點安全性解決方案的感應器	手動、已停用	1.1.0
進行獨立安全性檢閱	CMA_0515 - 進行獨立安全性檢閱	手動、已停用	1.1.0

獨立評量

識別碼：FedRAMP High CA-7 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
採用獨立評定器以持續監視	CMA_C1168 - 採用獨立評定器以持續監視	手動、已停用	1.1.0

趨勢分析

識別碼：FedRAMP High CA-7 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
從持續監視取得的分析資料	CMA_C1169 - 從持續監視取得的分析資料	手動、已停用	1.1.0

獨立滲透代理人或小組

識別碼：FedRAMP High CA-8 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
採用獨立小組進行滲透測試	CMA_C1171 - 採用獨立小組進行滲透測試	手動、已停用	1.1.0

內部系統連線

識別碼：FedRAMP High CA-9 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立內部連線之前先檢查隱私權及安全性合規性	CMA_0053 - 建立內部連線之前先檢查隱私權及安全性合規性	手動、已停用	1.1.0

組態管理

組態管理原則和程序

識別碼：FedRAMP High CM-1 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
檢閱並更新組態管理原則與程序	CMA_C1175 -檢閱並更新組態管理原則與程序	手動、已停用	1.1.0

基準組態

識別碼：FedRAMP High CM-2 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
為不相容的裝置設定動作	CMA_0062 - 為不相容的裝置設定動作	手動、已停用	1.1.0
開發並維護基準設定	CMA_0153 - 開發並維護基準設定	手動、已停用	1.1.0
強制執行安全性組態設定	CMA_0249 - 強制執行安全性組態設定	手動、已停用	1.1.0
建立組態控制委員會	CMA_0254 - 建立組態控制委員會	手動、已停用	1.1.0
建立並記錄組態管理方案	CMA_0264 - 建立並記錄組態管理方案	手動、已停用	1.1.0
實作自動化組態管理工具	CMA_0311 - 實作自動化組態管理工具	手動、已停用	1.1.0

正確性/流通性的自動化支援

識別碼：FedRAMP High CM-2 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
為不相容的裝置設定動作	CMA_0062 - 為不相容的裝置設定動作	手動、已停用	1.1.0
開發並維護基準設定	CMA_0153 - 開發並維護基準設定	手動、已停用	1.1.0
強制執行安全性組態設定	CMA_0249 - 強制執行安全性組態設定	手動、已停用	1.1.0
建立組態控制委員會	CMA_0254 - 建立組態控制委員會	手動、已停用	1.1.0
建立並記錄組態管理方案	CMA_0264 - 建立並記錄組態管理方案	手動、已停用	1.1.0
實作自動化組態管理工具	CMA_0311 - 實作自動化組態管理工具	手動、已停用	1.1.0

保留先前設定

識別碼：FedRAMP High CM-2 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
保留舊版的基準設定	CMA_C1181 - 保留舊版的基準設定	手動、已停用	1.1.0

為高風險區域設定系統、元件或裝置

識別碼：FedRAMP High CM-2 (7) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
確認在個人返回時不需要安全性保護	CMA_C1183 - 確認在個人返回時不需要安全性保護	手動、已停用	1.1.0
不允許資訊系統隨附於個人	CMA_C1182 - 不允許資訊系統隨附於個人	手動、已停用	1.1.0

組態變更控制措施

識別碼：FedRAMP High CM-3 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
進行安全性影響分析	CMA_0057 - 進行安全性影響分析	手動、已停用	1.1.0
制定並維護弱點管理標準	CMA_0152 - 制定並維護弱點管理標準	手動、已停用	1.1.0
建立風險管理策略	CMA_0258 - 建立風險管理策略	手動、已停用	1.1.0
建立並記錄變更控制流程	CMA_0265 - 建立並記錄變更控制流程	手動、已停用	1.1.0
建立開發人員的組態管理需求	CMA_0270 - 建立開發人員的組態管理需求	手動、已停用	1.1.0
執行隱私權影響評量	CMA_0387 - 執行隱私權影響評量	手動、已停用	1.1.0
執行風險評量	CMA_0388 - 執行風險評量	手動、已停用	1.1.0
對設定變更控制執行稽核	CMA_0390 - 對設定變更控制執行稽核	手動、已停用	1.1.0

自動化記載/通知/禁止變更

識別碼：FedRAMP High CM-3 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
將建議變更的核准要求自動化	CMA_C1192 - 將建議變更的核准要求自動化	手動、已停用	1.1.0
自動化已核准的變更通知實作	CMA_C1196 - 自動化已核准的變更通知實作	手動、已停用	1.1.0
將流程自動化以記錄實作的變更	CMA_C1195 - 將流程自動化以記錄實作的變更	手動、已停用	1.1.0
醒目提示未檢閱變更提案的自動化流程	CMA_C1193 - 醒目提示未檢閱變更提案的自動化流程	手動、已停用	1.1.0
將程式自動化，以禁止執行未核准的變更	CMA_C1194 - 將程式自動化，以禁止執行未核准的變更	手動、已停用	1.1.0
將建議的已記錄變更自動化	CMA_C1191 - 將建議的已記錄變更自動化	手動、已停用	1.1.0

測試/驗證/記載變更

識別碼：FedRAMP High CM-3 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立並記錄變更控制流程	CMA_0265 - 建立並記錄變更控制流程	手動、已停用	1.1.0
建立開發人員的組態管理需求	CMA_0270 - 建立開發人員的組態管理需求	手動、已停用	1.1.0
對設定變更控制執行稽核	CMA_0390 - 對設定變更控制執行稽核	手動、已停用	1.1.0

安全性代表

識別碼：FedRAMP High CM-3 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
指派資訊安全性代表以變更控制項	CMA_C1198 - 指派資訊安全性代表以變更控制項	手動、已停用	1.1.0

加密管理

識別碼：FedRAMP High CM-3 (6) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
確認密碼編譯機制在組態管理之下	CMA_C1199 - 確認密碼編譯機制在組態管理之下	手動、已停用	1.1.0

安全性影響分析

識別碼：FedRAMP High CM-4 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
進行安全性影響分析	CMA_0057 - 進行安全性影響分析	手動、已停用	1.1.0
制定並維護弱點管理標準	CMA_0152 - 制定並維護弱點管理標準	手動、已停用	1.1.0
建立風險管理策略	CMA_0258 - 建立風險管理策略	手動、已停用	1.1.0
建立並記錄變更控制流程	CMA_0265 - 建立並記錄變更控制流程	手動、已停用	1.1.0
建立開發人員的組態管理需求	CMA_0270 - 建立開發人員的組態管理需求	手動、已停用	1.1.0
執行隱私權影響評量	CMA_0387 - 執行隱私權影響評量	手動、已停用	1.1.0
執行風險評量	CMA_0388 - 執行風險評量	手動、已停用	1.1.0
對設定變更控制執行稽核	CMA_0390 - 對設定變更控制執行稽核	手動、已停用	1.1.0

個別測試環境

識別碼：FedRAMP High CM-4 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
進行安全性影響分析	CMA_0057 - 進行安全性影響分析	手動、已停用	1.1.0
建立並記錄變更控制流程	CMA_0265 - 建立並記錄變更控制流程	手動、已停用	1.1.0
建立開發人員的組態管理需求	CMA_0270 - 建立開發人員的組態管理需求	手動、已停用	1.1.0
執行隱私權影響評量	CMA_0387 - 執行隱私權影響評量	手動、已停用	1.1.0
對設定變更控制執行稽核	CMA_0390 - 對設定變更控制執行稽核	手動、已停用	1.1.0

變更的存取限制

識別碼：FedRAMP High CM-5 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立並記錄變更控制流程	CMA_0265 - 建立並記錄變更控制流程	手動、已停用	1.1.0

自動化存取強制/稽核

識別碼：FedRAMP High CM-5 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
強制執行並稽核存取限制	CMA_C1203 - 強制執行並稽核存取限制	手動、已停用	1.1.0

檢閱系統變更

識別碼：FedRAMP High CM-5 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
檢閱變更中是否有任何未經授權的變更	CMA_C1204 - 檢閱變更中是否有任何未經授權的變更	手動、已停用	1.1.0

簽署的元件

識別碼：FedRAMP High CM-5 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
限制未經授權的軟體和韌體安裝	CMA_C1205 - 限制未經授權的軟體和韌體安裝	手動、已停用	1.1.0

限制生產/操作權限

識別碼：FedRAMP High CM-5 (5) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
限制特殊權限以在生產環境中進行變更	CMA_C1206 - 限制特殊權限以在生產環境中進行變更	手動、已停用	1.1.0
檢閱並重新評估權限	CMA_C1207 - 檢閱並重新評估權限	手動、已停用	1.1.0

組態設定

識別碼：FedRAMP High CM-6 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
App Service 應用程式應啟用「用戶端憑證 (傳入用戶端憑證)」	用戶端憑證可讓應用程式針對連入要求來要求憑證。 只有具備有效憑證的用戶端才能存取該應用程式。 此原則適用於 HTTP 版本設定為 1.1 的應用程式。	AuditIfNotExists, Disabled	1.0.0
App Service 應用程式應關閉遠端偵錯	遠端偵錯需要在 App Service 應用程式上開啟輸入連接埠。 應關閉遠端偵錯。	AuditIfNotExists, Disabled	2.0.0
App Service 應用程式不應將 CORS 設定為允許每個資源存取您的應用程式	跨原始資源共用 (CORS) 不應允許所有網域存取您的應用程式。 僅允許必要的網域與您的應用程式互動即可。	AuditIfNotExists, Disabled	2.0.0
您的叢集應安裝及啟用適用於 Kubernetes Service (AKS) 的 Azure 原則附加元件	適用於 Kubernetes Service (AKS) 的 Azure 原則附加元件是 Gatekeeper v3 (Gatekeeper v3 是開放原則代理程式 (OPA) 的許可控制器 Webhook) 的延伸，可以統一集中的方式，大規模地對您的叢集實施及施行保護。	Audit, Disabled	1.0.2
強制執行安全性組態設定	CMA_0249 - 強制執行安全性組態設定	手動、已停用	1.1.0
函數應用程式應啟用「用戶端憑證 (傳入用戶端憑證)」	用戶端憑證可讓應用程式針對連入要求來要求憑證。 只有具備有效憑證的用戶端才能存取該應用程式。 此原則適用於 HTTP 版本設定為 1.1 的應用程式。	AuditIfNotExists, Disabled	1.0.0
函數應用程式應關閉遠端偵錯	遠端偵錯需要在函數應用程式上開啟輸入連接埠。 應關閉遠端偵錯。	AuditIfNotExists, Disabled	2.0.0
函數應用程式不應將 CORS 設定為允許每個資源存取您的應用程式	跨原始資源共用 (CORS) 不應允許所有網域存取函式應用程式。 請只允許必要網域與您的函式應用程式互動。	AuditIfNotExists, Disabled	2.0.0
容器 CPU 及記憶體資源限制不應超過 Kubernetes 叢集內指定的限制	強制執行容器 CPU 和記憶體資源限制，以防止 Kubernetes 叢集內的資源耗盡攻擊。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。	稽核、稽核、拒絕、拒絕、停用、停用	9.3.0
Kubernetes 叢集中的容器不得共用主機處理序識別碼或主機 IPC 命名空間	禁止 Kubernetes 叢集內的 Pod 容器，共用主機處理序識別碼命名空間與主機 IPC 命名空間。 這項建議是 CIS 5.2.2 和 CIS 5.2.3 的一部分，旨在改善 Kubernetes 環境的安全性。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。	稽核、稽核、拒絕、拒絕、停用、停用	5.2.0
Kubernetes 叢集中的容器只能使用允許的 AppArmor 設定檔	Kubernetes 叢集內的容器應該只使用允許的 AppArmor 設定檔。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。	稽核、稽核、拒絕、拒絕、停用、停用	6.2.0
Kubernetes 叢集中的容器只能使用允許的功能	限制功能以減少 Kubernetes 叢集內容器的受攻擊面。 這項建議是 CIS 5.2.8 和 CIS 5.2.9 的一部分，旨在改善 Kubernetes 環境的安全性。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。	稽核、稽核、拒絕、拒絕、停用、停用	6.2.0
Kubernetes 叢集容器應該只使用允許的映像檔	使用來自受信任登錄的映像，以減少 Kubernetes 叢集暴露在未知弱點、安全性問題和惡意映像的風險。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。	稽核、稽核、拒絕、拒絕、停用、停用	9.3.0
Kubernetes 叢集中的容器應使用唯讀的根檔案系統執行	使用唯讀根檔案系統執行容器，以防止在執行階段發生變更，讓惡意二進位檔新增至 Kubernetes 叢集的 PATH 中。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。	稽核、稽核、拒絕、拒絕、停用、停用	6.3.0
Kubernetes 叢集中的 Pod hostPath 磁碟區只能使用允許的主機路徑	限制 Pod HostPath 磁碟區裝載到 Kubernetes 叢集內允許的主機路徑。 這個原則通常適合 Kubernetes 服務 (AKS)，以及啟用 Azure Arc 的 Kubernetes。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。	稽核、稽核、拒絕、拒絕、停用、停用	6.2.0
Kubernetes 叢集中的 Pod 及容器只能使用核准的使用者與群組識別碼執行	控制 Pod 及容器可用來在 Kubernetes 叢集內執行的使用者、主要群組、增補群組與檔案系統群組識別碼。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。	稽核、稽核、拒絕、拒絕、停用、停用	6.2.0
Kubernetes 叢集中的 Pod 只能使用核准的主機網路及連接埠範圍	限制 Pod 存取 Kubernetes 叢集中的主機網路與允許的主機連接埠範圍。 這項建議是 CIS 5.2.4 的一部分，旨在改善 Kubernetes 環境的安全性。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。	稽核、稽核、拒絕、拒絕、停用、停用	6.2.0
確保服務只會接聽 Kubernetes 叢集內允許的連接埠	限制服務只會接聽允許的連接埠，以保護 Kubernetes 叢集的存取權。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。	稽核、稽核、拒絕、拒絕、停用、停用	8.2.0
在 Kubernetes 叢集內不應允許具有特殊權限的容器	請勿允許在 Kubernetes 叢集內建立具有特殊權限的容器。 這項建議是 CIS 5.2.1 的一部分，旨在改善 Kubernetes 環境的安全性。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。	稽核、稽核、拒絕、拒絕、停用、停用	9.2.0
Kubernetes 叢集不應允許容器提升權限	請勿允許容器在 Kubernetes 叢集內以提升的根權限來執行。 這項建議是 CIS 5.2.5 的一部分，旨在改善 Kubernetes 環境的安全性。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。	稽核、稽核、拒絕、拒絕、停用、停用	7.2.0
Linux 機器應符合 Azure 計算安全性基準的需求	需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果電腦未針對 Azure 計算安全性基準中的其中一項建議正確設定，則電腦不符合規範。	AuditIfNotExists, Disabled	2.2.0
補救資訊系統漏洞	CMA_0427 - 補救資訊系統漏洞	手動、已停用	1.1.0
Windows 機器應符合 Azure 計算安全性基準的需求	需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果電腦未針對 Azure 計算安全性基準中的其中一項建議正確設定，則電腦不符合規範。	AuditIfNotExists, Disabled	2.0.0

自動化集中管理/應用/驗證

識別碼：FedRAMP High CM-6 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
強制執行安全性組態設定	CMA_0249 - 強制執行安全性組態設定	手動、已停用	1.1.0
控管雲端服務提供者的合規性	CMA_0290 - 控管雲端服務提供者的合規性	手動、已停用	1.1.0
檢視和設定系統診斷資料	CMA_0544 - 檢視和設定系統診斷資料	手動、已停用	1.1.0

最少的功能

識別碼：FedRAMP High CM-7 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
應啟用適用於伺服器的 Azure Defender	適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。	AuditIfNotExists, Disabled	1.0.3

資訊系統元件詳細目錄

識別碼：FedRAMP High CM-8 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立資料庫存	CMA_0096 - 建立資料庫存	手動、已停用	1.1.0
維護個人資料的處理記錄	CMA_0353 - 維護個人資料的處理記錄	手動、已停用	1.1.0

安裝/移除期間的更新

識別碼：FedRAMP High CM-8 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立資料庫存	CMA_0096 - 建立資料庫存	手動、已停用	1.1.0
維護個人資料的處理記錄	CMA_0353 - 維護個人資料的處理記錄	手動、已停用	1.1.0

自動化未經授權元件偵測

識別碼：FedRAMP High CM-8 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
啟用網路裝置的偵測	CMA_0220 - 啟用網路裝置的偵測	手動、已停用	1.1.0
設定組織中新雲端應用程式和熱門雲端應用程式的自動通知	CMA_0495 - 設定組織中新雲端應用程式和熱門雲端應用程式的自動通知	手動、已停用	1.1.0

責任資訊

識別碼：FedRAMP High CM-8 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立資料庫存	CMA_0096 - 建立資料庫存	手動、已停用	1.1.0
建立並維護資產清查	CMA_0266 - 建立並維護資產清查	手動、已停用	1.1.0

組態管理計畫

識別碼：FedRAMP High CM-9 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立設定計劃保護	CMA_C1233 - 建立設定計劃保護	手動、已停用	1.1.0
開發並維護基準設定	CMA_0153 - 開發並維護基準設定	手動、已停用	1.1.0
開發設定項目識別計畫	CMA_C1231 - 開發設定項目識別計畫	手動、已停用	1.1.0
開發組態管理計畫	CMA_C1232 - 開發組態管理計畫	手動、已停用	1.1.0
建立並記錄組態管理方案	CMA_0264 - 建立並記錄組態管理方案	手動、已停用	1.1.0
實作自動化組態管理工具	CMA_0311 - 實作自動化組態管理工具	手動、已停用	1.1.0

軟體使用限制

識別碼：FedRAMP High CM-10 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
要求遵守智慧財產權	CMA_0432 - 要求遵守智慧財產權	手動、已停用	1.1.0
追蹤軟體授權使用量	CMA_C1235 - 追蹤軟體授權使用量	手動、已停用	1.1.0

開放原始碼軟體

識別碼：FedRAMP High CM-10 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
限制使用開放原始碼軟體	CMA_C1237 - 限制使用開放原始碼軟體	手動、已停用	1.1.0

應變計劃

應變計劃原則和程序

識別碼：FedRAMP High CP-1 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
檢閱並更新應變計劃原則與程序	CMA_C1243 - 檢閱並更新應變計劃原則與程序	手動、已停用	1.1.0

應變計劃

識別碼：FedRAMP High CP-2 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
溝通應變計劃變更	CMA_C1249 - 溝通應變計劃變更	手動、已停用	1.1.0
使用相關方案協調應變計劃	CMA_0086 - 使用相關方案協調應變計劃	手動、已停用	1.1.0
制定並記錄商務持續性和災害復原方案	CMA_0146 - 制定並記錄商務持續性和災害復原方案	手動、已停用	1.1.0
開發應變計劃	CMA_C1244 - 開發應變計劃	手動、已停用	1.1.0
制定應變計劃原則和程序	CMA_0156 - 制定應變計劃原則和程序	手動、已停用	1.1.0
散發原則和程序	CMA_0185 - 散發原則和程序	手動、已停用	1.1.0
檢閱應變計劃	CMA_C1247 - 檢閱應變計劃	手動、已停用	1.1.0
更新應變計劃	CMA_C1248 - 更新應變計劃	手動、已停用	1.1.0

協調相關計劃

識別碼：FedRAMP High CP-2 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
使用相關方案協調應變計劃	CMA_0086 - 使用相關方案協調應變計劃	手動、已停用	1.1.0

容量規劃

識別碼：FedRAMP High CP-2 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
執行容量規劃	CMA_C1252 - 執行容量規劃	手動、已停用	1.1.0

恢復基本任務/商務功能

識別碼：FedRAMP High CP-2 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
繼續基本商務功能的方案	CMA_C1253 - 繼續基本商務功能的方案	手動、已停用	1.1.0

恢復所有任務/商務功能

識別碼：FedRAMP High CP-2 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
繼續所有任務和商務功能	CMA_C1254 - 繼續所有任務和商務功能	手動、已停用	1.1.0

繼續基本任務/商務功能

識別碼：FedRAMP High CP-2 (5) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
規劃基本商務功能的持續性	CMA_C1255 - 規劃基本商務功能的持續性	手動、已停用	1.1.0

識別關鍵資產

識別碼：FedRAMP High CP-2 (8) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
執行業務衝擊評量和應用程式重要性評量	CMA_0386 - 執行業務衝擊評量和應用程式重要性評量	手動、已停用	1.1.0

應變訓練

識別碼：FedRAMP High CP-3 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
提供應變訓練	CMA_0412 - 提供應變訓練	手動、已停用	1.1.0

模擬的事件

識別碼：FedRAMP High CP-3 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
結合模擬應變訓練	CMA_C1260 - 結合模擬應變訓練	手動、已停用	1.1.0

應變計劃測試

識別碼：FedRAMP High CP-4 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
起始應變計劃測試矯正措施	CMA_C1263 - 起始應變計劃測試矯正措施	手動、已停用	1.1.0
檢閱應變計劃測試的結果	CMA_C1262 - 檢閱應變計劃測試的結果	手動、已停用	1.1.0
測試商務持續性和災害復原計劃	CMA_0509 - 測試商務持續性和災害復原計劃	手動、已停用	1.1.0

協調相關計劃

識別碼：FedRAMP High CP-4 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
使用相關方案協調應變計劃	CMA_0086 - 使用相關方案協調應變計劃	手動、已停用	1.1.0

替代處理地點

識別碼：FedRAMP High CP-4 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
評估替代處理網站功能	CMA_C1266 - 評估替代處理網站功能	手動、已停用	1.1.0
在替代處理位置測試應變計劃	CMA_C1265 - 在替代處理位置測試應變計劃	手動、已停用	1.1.0

替代儲存地點

識別碼：FedRAMP High CP-6 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
確認替代儲存網站保護等同於主要網站	CMA_C1268 - 請確認替代儲存網站保護等同於主要網站	手動、已停用	1.1.0
建立替代儲存網站以儲存並擷取備份資訊	CMA_C1267 - 建立替代儲存網站以儲存並擷取備份資訊	手動、已停用	1.1.0
應為適用於 MariaDB 的 Azure 資料庫啟用異地備援備份	適用於 MariaDB 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。	Audit, Disabled	1.0.1
應為適用於 MySQL 的 Azure 資料庫啟用異地備援備份	適用於 MySQL 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。	Audit, Disabled	1.0.1
應為適用於 PostgreSQL 的 Azure 資料庫啟用異地備援備份	適用於 PostgreSQL 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。	Audit, Disabled	1.0.1
應為儲存體帳戶啟用異地備援儲存體	使用異地備援、建立高可用性的應用程式	Audit, Disabled	1.0.0
應為 Azure SQL Database 啟用長期異地備援備份	此原則會稽核所有未啟用長期異地備援備份的 Azure SQL Database。	AuditIfNotExists, Disabled	2.0.0

與主要站台的區隔

識別碼：FedRAMP High CP-6 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立個別的替代和主要儲存網站	CMA_C1269 - 建立個別的替代和主要儲存網站	手動、已停用	1.1.0
應為適用於 MariaDB 的 Azure 資料庫啟用異地備援備份	適用於 MariaDB 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。	Audit, Disabled	1.0.1
應為適用於 MySQL 的 Azure 資料庫啟用異地備援備份	適用於 MySQL 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。	Audit, Disabled	1.0.1
應為適用於 PostgreSQL 的 Azure 資料庫啟用異地備援備份	適用於 PostgreSQL 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。	Audit, Disabled	1.0.1
應為儲存體帳戶啟用異地備援儲存體	使用異地備援、建立高可用性的應用程式	Audit, Disabled	1.0.0
應為 Azure SQL Database 啟用長期異地備援備份	此原則會稽核所有未啟用長期異地備援備份的 Azure SQL Database。	AuditIfNotExists, Disabled	2.0.0

復原時間/復原點目標

識別碼：FedRAMP High CP-6 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立可協助復原作業的替代儲存站台	CMA_C1270 - 建立可協助復原作業的替代儲存網站	手動、已停用	1.1.0

協助工具選項

識別碼：FedRAMP High CP-6 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
找出並降低替代儲存網站的潛在問題	CMA_C1271 - 找出並降低替代儲存網站的潛在問題	手動、已停用	1.1.0

替代處理地點

識別碼：FedRAMP High CP-7 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
稽核未設定災害復原的虛擬機器	稽核未設定災害復原的虛擬機器。 若要深入了解災害復原，請造訪 https://aka.ms/asr-doc。	auditIfNotExists	1.0.0
建立替代處理站台	CMA_0262 - 建立替代處理站台	手動、已停用	1.1.0

與主要站台的區隔

識別碼：FedRAMP High CP-7 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立替代處理站台	CMA_0262 - 建立替代處理站台	手動、已停用	1.1.0

協助工具選項

識別碼：FedRAMP High CP-7 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立替代處理站台	CMA_0262 - 建立替代處理站台	手動、已停用	1.1.0

服務優先順序

識別碼：FedRAMP High CP-7 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立替代處理站台	CMA_0262 - 建立替代處理站台	手動、已停用	1.1.0
建立網際網路服務提供者的需求	CMA_0278 - 建立網際網路服務提供者的需求	手動、已停用	1.1.0

準備使用

識別碼：FedRAMP High CP-7 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
準備替代處理站台以作為操作站台使用	CMA_C1278 - 準備替代處理網站以作為操作網站使用	手動、已停用	1.1.0

服務佈建優先順序

識別碼：FedRAMP High CP-8 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立網際網路服務提供者的需求	CMA_0278 - 建立網際網路服務提供者的需求	手動、已停用	1.1.0

資訊系統備份

識別碼：FedRAMP High CP-9 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
應該為虛擬機器啟用 Azure 備份	藉由啟用 Azure 備份，確保您的 Azure 虛擬機器受到保護。 Azure 備份是適用於 Azure 安全且符合成本效益的資料保護解決方案。	AuditIfNotExists, Disabled	3.0.0
執行資訊系統文件的備份	CMA_C1289 - 執行資訊系統文件的備份	手動、已停用	1.1.0
建立備份原則和程序	CMA_0268 - 建立備份原則和程序	手動、已停用	1.1.0
應為適用於 MariaDB 的 Azure 資料庫啟用異地備援備份	適用於 MariaDB 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。	Audit, Disabled	1.0.1
應為適用於 MySQL 的 Azure 資料庫啟用異地備援備份	適用於 MySQL 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。	Audit, Disabled	1.0.1
應為適用於 PostgreSQL 的 Azure 資料庫啟用異地備援備份	適用於 PostgreSQL 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。	Audit, Disabled	1.0.1
實作控制以保護所有媒體	CMA_0314 - 實作控制以保護所有媒體	手動、已停用	1.1.0
金鑰保存庫應啟用刪除保護	惡意刪除金鑰保存庫可能會導致永久的資料遺失。 您可以啟用清除保護和虛刪除來防止永久遺失資料。 清除保護可對虛刪除的金鑰保存庫強制執行必要的保留期間，以保護您免於遭受內部攻擊。 您的組織內部人員或 Microsoft 在虛刪除保留期間內都無法清除您的金鑰保存庫。 請記住，在 2019 年 9 月 1 日之後建立的金鑰保存庫依預設會啟用虛刪除。	Audit, Deny, Disabled	2.1.0
金鑰保存庫應已啟用虛刪除	刪除未啟用虛刪除的金鑰保存庫時，將會永久刪除儲存在金鑰保存庫中的所有秘密、金鑰和憑證。 意外刪除金鑰保存庫可能會導致永久的資料遺失。 虛刪除可讓您在可設定的保留期間內復原意外刪除的金鑰保存庫。	Audit, Deny, Disabled	3.0.0

分隔關鍵資訊的儲存體

識別碼：FedRAMP High CP-9 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
個別存放備份資訊	CMA_C1293 - 個別存放備份資訊	手動、已停用	1.1.0

傳輸至替代儲存站台

識別碼：FedRAMP High CP-9 (5) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
將備份資訊傳輸到替代儲存站台	CMA_C1294 - 將備份資訊傳輸到替代儲存網站	手動、已停用	1.1.0

資訊系統復原和重建

識別碼：FedRAMP High CP-10 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
在任何中斷後復原並重新組成資源	CMA_C1295 - 在任何中斷後復原並重新組成資源	手動、已停用	1.1.1

交易復原

識別碼：FedRAMP High CP-10 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作交易式復原	CMA_C1296 - 實作交易式復原	手動、已停用	1.1.0

在時間週期內還原

識別碼：FedRAMP High CP-10 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
還原資源至作業狀態	CMA_C1297 - 還原資源至作業狀態	手動、已停用	1.1.1

驗證與授權

識別與驗證原則和程序

識別碼：FedRAMP High IA-1 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
檢閱並更新識別和驗證原則與程序	CMA_C1299 - 檢閱並更新識別和驗證原則與程序	手動、已停用	1.1.0

識別與驗證 (組織使用者)

識別碼：FedRAMP High IA-2 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
具有 Azure 資源擁有者權限的帳戶應啟用 MFA	具備擁有者權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。	AuditIfNotExists, Disabled	1.0.0
對 Azure 資源具有讀取權限的帳戶應啟用 MFA	具備讀取權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。	AuditIfNotExists, Disabled	1.0.0
具有 Azure 資源寫入權限的帳戶應啟用 MFA	具備寫入權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。	AuditIfNotExists, Disabled	1.0.0
應針對 SQL 伺服器佈建 Azure Active Directory 管理員	為 SQL Server 稽核 Azure Active Directory 系統管理員的佈建情況，以啟用 Azure AD 驗證。 Azure AD 驗證可針對資料庫使用者及其他 Microsoft 服務，簡化權限管理及集中管理身分識別	AuditIfNotExists, Disabled	1.0.0
App Service 應用程式應使用受控識別	使用受控識別來增強驗證安全性	AuditIfNotExists, Disabled	3.0.0
Azure AI 服務資源應停用金鑰存取 (停用本機驗證)	建議停用金鑰存取 (本機驗證) 以確保安全性。 通常用於開發/測試的 Azure OpenAI 工作室需要金鑰存取，如果金鑰存取已停用，將無法運作。 停用之後，Microsoft Entra ID 會成為唯一的存取方法，允許維護最低權限準則和細微控制。 深入了解：https://aka.ms/AI/auth	Audit, Deny, Disabled	1.1.0
強制執行使用者唯一性	CMA_0250 - 強制執行使用者唯一性	手動、已停用	1.1.0
函數應用程式應使用受控識別	使用受控識別來增強驗證安全性	AuditIfNotExists, Disabled	3.0.0
Service Fabric 叢集應只能使用 Azure Active Directory 進行用戶端驗證	稽核 Service Fabric 中僅透過 Azure Active Directory 的用戶端驗證使用方式	Audit, Deny, Disabled	1.1.0
支援由法律授權機構所核發的個人驗證認證	CMA_0507 - 支援由法律授權機構所核發的個人驗證認證	手動、已停用	1.1.0

特殊權限帳戶的網路存取

識別碼：FedRAMP High IA-2 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
具有 Azure 資源擁有者權限的帳戶應啟用 MFA	具備擁有者權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。	AuditIfNotExists, Disabled	1.0.0
具有 Azure 資源寫入權限的帳戶應啟用 MFA	具備寫入權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。	AuditIfNotExists, Disabled	1.0.0
採用生物特徵驗證機制	CMA_0005 - 採用生物特徵驗證機制	手動、已停用	1.1.0

非特殊權限帳戶的網路存取

識別碼：FedRAMP High IA-2 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
具有 Azure 資源讀取權限的帳戶應啟用 MFA	具備讀取權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。	AuditIfNotExists, Disabled	1.0.0
採用生物特徵驗證機制	CMA_0005 - 採用生物特徵驗證機制	手動、已停用	1.1.0

對具特殊權限的帳戶進行本機存取

識別碼：FedRAMP High IA-2 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
採用生物特徵驗證機制	CMA_0005 - 採用生物特徵驗證機制	手動、已停用	1.1.0

群組驗證

識別碼：FedRAMP High IA-2 (5) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
需要使用個別驗證器	CMA_C1305 - 需要使用個別驗證器	手動、已停用	1.1.0

遠端存取 - 個別裝置

識別碼：FedRAMP High IA-2 (11) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
採用生物特徵驗證機制	CMA_0005 - 採用生物特徵驗證機制	手動、已停用	1.1.0
識別並驗證網路裝置	CMA_0296 - 識別並驗證網路裝置	手動、已停用	1.1.0

接受 PIV 認證

識別碼：FedRAMP High IA-2 (12) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
支援由法律授權機構所核發的個人驗證認證	CMA_0507 - 支援由法律授權機構所核發的個人驗證認證	手動、已停用	1.1.0

識別碼管理

識別碼：FedRAMP High IA-4 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
應針對 SQL 伺服器佈建 Azure Active Directory 管理員	為 SQL Server 稽核 Azure Active Directory 系統管理員的佈建情況，以啟用 Azure AD 驗證。 Azure AD 驗證可針對資料庫使用者及其他 Microsoft 服務，簡化權限管理及集中管理身分識別	AuditIfNotExists, Disabled	1.0.0
App Service 應用程式應使用受控識別	使用受控識別來增強驗證安全性	AuditIfNotExists, Disabled	3.0.0
指派系統識別碼	CMA_0018 - 指派系統識別碼	手動、已停用	1.1.0
Azure AI 服務資源應停用金鑰存取 (停用本機驗證)	建議停用金鑰存取 (本機驗證) 以確保安全性。 通常用於開發/測試的 Azure OpenAI 工作室需要金鑰存取，如果金鑰存取已停用，將無法運作。 停用之後，Microsoft Entra ID 會成為唯一的存取方法，允許維護最低權限準則和細微控制。 深入了解：https://aka.ms/AI/auth	Audit, Deny, Disabled	1.1.0
函數應用程式應使用受控識別	使用受控識別來增強驗證安全性	AuditIfNotExists, Disabled	3.0.0
防止在定義的時間週期重複使用識別碼	CMA_C1314 - 防止在定義的時間週期重複使用識別碼	手動、已停用	1.1.0
Service Fabric 叢集應只能使用 Azure Active Directory 進行用戶端驗證	稽核 Service Fabric 中僅透過 Azure Active Directory 的用戶端驗證使用方式	Audit, Deny, Disabled	1.1.0

識別使用者狀態

識別碼：FedRAMP High IA-4 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
識別個別使用者的狀態	CMA_C1316 - 識別個別使用者的狀態	手動、已停用	1.1.0

驗證器管理

識別碼：FedRAMP High IA-5 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
在沒有任何身分識別的虛擬機器上新增系統指派的受控識別，以啟用客體設定指派	此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，但是沒有任何受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	修改	4.1.0
在具有使用者指派身分識別的 VM 上新增系統指派受控識別，以啟用客體設定指派	此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，而且至少有一個使用者指派的身分識別，但是沒有系統指派的受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	修改	4.1.0
稽核密碼檔權限未設為 0644 的 Linux 電腦	需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果密碼檔案權限未設為 0644 的 Linux 電腦，則電腦不相容	AuditIfNotExists, Disabled	3.1.0
稽核未使用可逆加密來儲存密碼的 Windows 電腦	需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果 Windows 電腦未使用可逆加密來儲存密碼，則電腦不相容	AuditIfNotExists, Disabled	2.0.0
對 Linux 電腦進行驗證需要 SSH 金鑰	雖然 SSH 本身提供加密連線，但搭配使用密碼與 SSH 仍會讓 VM 容易受到暴力密碼破解攻擊。 透過 SSH 向 Azure Linux 虛擬機器進行驗證的最安全選項是使用公開-私密金鑰組，也稱為 SSH 金鑰。 深入了解：https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed。	AuditIfNotExists, Disabled	3.2.0
憑證應具有指定的有效期間上限	藉由指定憑證在金鑰保存庫中的有效期間上限，來管理組織的合規性需求。	audit， Audit， deny， Deny， Deny， disabled， Disabled	2.2.1
部署 Linux 來賓設定延伸模組，以在 Linux 虛擬機器上啟用來賓設定指派	此原則會將受客體設定支援的 Linux 客體設定延伸模組部署至裝載於 Azure 的 Linux 虛擬機器主機。 Linux 客體設定延伸模組是所有 Linux 客體設定指派的必要條件，要使用任何 Linux 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	deployIfNotExists	3.1.0
在 Windows VM 上部署 Windows 客體設定擴充功能，以啟用客體設定指派	此原則會將受客體設定支援的 Windows 客體設定延伸模組部署至裝載於 Azure 的 Windows 虛擬機器主機。 Windows 客體設定延伸模組是所有 Windows 客體設定指派的必要條件，要使用任何 Windows 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	deployIfNotExists	1.2.0
建立驗證器類型和程序	CMA_0267 - 建立驗證器類型和程序	手動、已停用	1.1.0
建立初始驗證器散發的程序	CMA_0276 - 建立初始驗證器散發的程序	手動、已停用	1.1.0
實作保護驗證器的訓練	CMA_0329 - 實作保護驗證器的訓練	手動、已停用	1.1.0
Key Vault 金鑰應具有到期日	密碼編譯金鑰應具有已定義的到期日，而不是永久有效。 永久有效的金鑰會讓潛在攻擊者有更多的時間來危害金鑰。 建議的安全性做法是在密碼編譯金鑰上設定到期日。	Audit, Deny, Disabled	1.0.2
Key Vault 祕密應設定到期日	祕密應具有已定義的到期日，而不是永久有效。 永久有效的祕密會讓潛在攻擊者有更多的時間來危害祕密。 建議的安全性做法是在祕密上設定到期日。	Audit, Deny, Disabled	1.0.2
管理驗證器存留期和重複使用	CMA_0355 - 管理驗證器存留期和重複使用	手動、已停用	1.1.0
管理驗證器	CMA_C1321 - 管理驗證器	手動、已停用	1.1.0
重新整理驗證器	CMA_0425 - 重新整理驗證器	手動、已停用	1.1.0
為變更的群組和帳戶重新核發驗證器	CMA_0426 - 為變更的群組和帳戶重新核發驗證器	手動、已停用	1.1.0
散發驗證器之前先驗證身分識別	CMA_0538 - 散發驗證器之前先驗證身分識別	手動、已停用	1.1.0

密碼式驗證

識別碼：FedRAMP High IA-5 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
在沒有任何身分識別的虛擬機器上新增系統指派的受控識別，以啟用客體設定指派	此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，但是沒有任何受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	修改	4.1.0
在具有使用者指派身分識別的 VM 上新增系統指派受控識別，以啟用客體設定指派	此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，而且至少有一個使用者指派的身分識別，但是沒有系統指派的受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	修改	4.1.0
稽核密碼檔權限未設為 0644 的 Linux 電腦	需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果密碼檔案權限未設為 0644 的 Linux 電腦，則電腦不相容	AuditIfNotExists, Disabled	3.1.0
稽核允許在指定的唯一密碼數目之後重複使用密碼的 Windows 機器	需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果 Windows 機器允許在指定的唯一密碼數目之後重複使用密碼，則機器不符合規範。 唯一密碼的預設值為 24	AuditIfNotExists, Disabled	2.1.0
稽核未將密碼最長有效期設定為指定天數的 Windows 機器	需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果 Windows 機器未將密碼最長有效期設定為指定天數，則機器不符合規範。 密碼最長有效期的預設值為 70 天	AuditIfNotExists, Disabled	2.1.0
稽核未將密碼最短有效期設定為指定天數的 Windows 機器	需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果 Windows 機器未將密碼最短有效期設定為指定天數，則機器不符合規範。 密碼最短有效期的預設值為 1 天	AuditIfNotExists, Disabled	2.1.0
稽核未啟用密碼複雜度設定的 Windows 電腦	需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果 Windows 電腦未啟用密碼複雜度設定，則電腦不相容	AuditIfNotExists, Disabled	2.0.0
稽核未將密碼長度下限限制為指定字元數的 Windows 機器	需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果 Windows 機器未將密碼長度下限限制為指定的字元數，機器就不符合規範。 密碼長度下限的預設值為 14 個字元	AuditIfNotExists, Disabled	2.1.0
稽核未使用可逆加密來儲存密碼的 Windows 電腦	需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果 Windows 電腦未使用可逆加密來儲存密碼，則電腦不相容	AuditIfNotExists, Disabled	2.0.0
部署 Linux 來賓設定延伸模組，以在 Linux 虛擬機器上啟用來賓設定指派	此原則會將受客體設定支援的 Linux 客體設定延伸模組部署至裝載於 Azure 的 Linux 虛擬機器主機。 Linux 客體設定延伸模組是所有 Linux 客體設定指派的必要條件，要使用任何 Linux 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	deployIfNotExists	3.1.0
在 Windows VM 上部署 Windows 客體設定擴充功能，以啟用客體設定指派	此原則會將受客體設定支援的 Windows 客體設定延伸模組部署至裝載於 Azure 的 Windows 虛擬機器主機。 Windows 客體設定延伸模組是所有 Windows 客體設定指派的必要條件，要使用任何 Windows 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。	deployIfNotExists	1.2.0
記錄收購合約中的安全性強度需求	CMA_0203 - 記錄收購合約中的安全性強度需求	手動、已停用	1.1.0
建立密碼原則	CMA_0256 - 建立密碼原則	手動、已停用	1.1.0
實作記憶祕密檢查器的參數	CMA_0321 - 實作記憶祕密檢查器的參數	手動、已停用	1.1.0
使用加密保護密碼	CMA_0408 - 使用加密保護密碼	手動、已停用	1.1.0

PKI 型驗證

識別碼：FedRAMP High IA-5 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
動態繫結驗證器和身分識別	CMA_0035 - 動態繫結驗證器和身分識別	手動、已停用	1.1.0
建立驗證器類型和程序	CMA_0267 - 建立驗證器類型和程序	手動、已停用	1.1.0
建立用於搜尋祕密驗證器和檢查器的參數	CMA_0274 - 建立用於搜尋祕密驗證器和檢查器的參數	手動、已停用	1.1.0
建立初始驗證器散發的程序	CMA_0276 - 建立初始驗證器散發的程序	手動、已停用	1.1.0
將經過驗證的身分識別對應到個人	CMA_0372 - 將經過驗證的身分識別對應到個人	手動、已停用	1.1.0
限制私密金鑰的存取	CMA_0445 - 限制私密金鑰的存取	手動、已停用	1.1.0
散發驗證器之前先驗證身分識別	CMA_0538 - 散發驗證器之前先驗證身分識別	手動、已停用	1.1.0

本人或信任的協力廠商註冊

識別碼：FedRAMP High IA-5 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
散發驗證器	CMA_0184 - 散發驗證器	手動、已停用	1.1.0

自動化密碼強度判斷支援

識別碼：FedRAMP High IA-5 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
記錄收購合約中的安全性強度需求	CMA_0203 - 記錄收購合約中的安全性強度需求	手動、已停用	1.1.0
建立密碼原則	CMA_0256 - 建立密碼原則	手動、已停用	1.1.0
實作記憶祕密檢查器的參數	CMA_0321 - 實作記憶祕密檢查器的參數	手動、已停用	1.1.0

保護驗證器

識別碼：FedRAMP High IA-5 (6) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
確認授權的使用者保護提供的驗證器	CMA_C1339 - 確認授權的使用者保護提供的驗證器	手動、已停用	1.1.0

沒有內嵌的未加密靜態驗證器

識別碼：FedRAMP High IA-5 (7) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
確認沒有未加密的靜態驗證器	CMA_C1340 - 確認沒有未加密的靜態驗證器	手動、已停用	1.1.0

硬體權杖型驗證

識別碼：FedRAMP High IA-5 (11) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
滿足權杖品質需求	CMA_0487 - 滿足權杖品質需求	手動、已停用	1.1.0

快取的驗證器到期

識別碼：FedRAMP High IA-5 (13) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
強制過期的快取驗證器	CMA_C1343 - 強制過期的快取驗證器	手動、已停用	1.1.0

驗證器意見回應

識別碼：FedRAMP High IA-6 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
在驗證程式期間模糊意見反應資訊	CMA_C1344 - 在驗證程式期間模糊意見反應資訊	手動、已停用	1.1.0

密碼編譯模組驗證

識別碼：FedRAMP High IA-7 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
驗證密碼編譯模組	CMA_0021 - 驗證密碼編譯模組	手動、已停用	1.1.0

識別與驗證 (非組織使用者)

識別碼：FedRAMP High IA-8 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
識別並驗證非組織使用者	CMA_C1346 - 識別及驗證非組織使用者	手動、已停用	1.1.0

接受來自其他機構的 PIV 認證

識別碼：FedRAMP High IA-8 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
接受 PIV 認證	CMA_C1347 - 接受 PIV 認證	手動、已停用	1.1.0

接受協力廠商認證

識別碼：FedRAMP High IA-8 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
只接受 FICAM 核准的協力廠商認證	CMA_C1348 - 只接受 FICAM 核准的協力廠商認證	手動、已停用	1.1.0

使用 FICAM 核准的產品

識別碼：FedRAMP High IA-8 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
採用 FICAM 核准的資源以接受協力廠商認證	CMA_C1349 - 採用 FICAM 核准的資源以接受協力廠商認證	手動、已停用	1.1.0

使用 FICAM 發行的設定檔

識別碼：FedRAMP High IA-8 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
符合 FICAM 發行的設定檔	CMA_C1350 - C符合 FICAM 發行的設定檔	手動、已停用	1.1.0

事件回應

事件回應原則和程序

識別碼：FedRAMP High IR-1 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
檢閱並更新事件回應原則與程式	CMA_C1352 - 檢閱並更新事件回應原則與程式	手動、已停用	1.1.0

事件回應訓練

識別碼：FedRAMP High IR-2 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
提供資訊洩漏訓練	CMA_0413 - 提供資訊洩漏訓練	手動、已停用	1.1.0

模擬的事件

識別碼：FedRAMP High IR-2 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
將模擬事件併入事件回應訓練	CMA_C1356 - 將模擬事件併入事件回應訓練	手動、已停用	1.1.0

自動化訓練環境

識別碼：FedRAMP High IR-2 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
採用自動化訓練環境	CMA_C1357 - 採用自動化訓練環境	手動、已停用	1.1.0

事件回應測試

識別碼：FedRAMP High IR-3 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
進行事件回應測試	CMA_0060 - 進行事件回應測試	手動、已停用	1.1.0
建立資訊安全計畫	CMA_0263 - 建立資訊安全計畫	手動、已停用	1.1.0
執行模擬攻擊	CMA_0486 - 執行模擬攻擊	手動、已停用	1.1.0

協調相關計劃

識別碼：FedRAMP High IR-3 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
進行事件回應測試	CMA_0060 - 進行事件回應測試	手動、已停用	1.1.0
建立資訊安全計畫	CMA_0263 - 建立資訊安全計畫	手動、已停用	1.1.0
執行模擬攻擊	CMA_0486 - 執行模擬攻擊	手動、已停用	1.1.0

事件處理

識別碼：FedRAMP High IR-4 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
評估資訊安全性事件	CMA_0013 - 評估資訊安全性事件	手動、已停用	1.1.0
應啟用適用於 App Service 的 Azure Defender	適用於 App Service 的 Azure Defender 利用雲端的規模及雲端提供者 Azure 擁有的廣大視野，監視常見的 Web 應用程式攻擊。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Azure SQL Database 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應啟用適用於 Key Vault 的 Azure Defender	適用於 Key Vault 的 Azure Defender 會透過偵測嘗試存取或惡意探索金鑰保存庫帳戶的異常及潛在有害威脅，提供一層額外的保護和安全情報。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Resource Manager 的 Azure Defender	適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於伺服器的 Azure Defender	適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於機器上 SQL 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender	在沒有「進階資料安全性」的情況下稽核 SQL 伺服器	AuditIfNotExists, Disabled	2.0.1
應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender	在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。	AuditIfNotExists, Disabled	1.0.2
使用相關方案協調應變計劃	CMA_0086 - 使用相關方案協調應變計劃	手動、已停用	1.1.0
制定事件回應計畫	CMA_0145 - 制定事件回應計畫	手動、已停用	1.1.0
開發安全性保護	CMA_0161 - 開發安全性保護	手動、已停用	1.1.0
應針對高嚴重性警示啟用電子郵件通知	為確保在您的其中一個訂用帳戶有潛在安全性缺口時，您組織中的相關人員會收到通知，請在資訊安全中心內啟用高嚴重性警示的電子郵件通知。	AuditIfNotExists, Disabled	1.2.0
應已針對高嚴重性警示啟用傳送給訂用帳戶擁有者的電子郵件通知	為確保訂用帳戶擁有者會在其訂用帳戶有潛在安全性缺口時收到通知，請在資訊安全中心內設定發送對象為訂用帳戶擁有者的高嚴重性警示電子郵件通知。	AuditIfNotExists, Disabled	2.1.0
啟用網路保護	CMA_0238 - 啟用網路保護	手動、已停用	1.1.0
消除洩漏的資訊	CMA_0253 - 消除洩漏的資訊	手動、已停用	1.1.0
執行動作以回應資訊洩漏	CMA_0281 - 執行動作以回應資訊洩漏	手動、已停用	1.1.0
實作事件處理	CMA_0318 - 實作事件處理	手動、已停用	1.1.0
維護事件回應計劃	CMA_0352 - 維護事件回應計劃	手動、已停用	1.1.0
應啟用適用於容器的 Microsoft Defender	適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於儲存體的 Microsoft Defender	適用於儲存體的 Microsoft Defender 會偵測儲存體帳戶的潛在威脅。 這有助於防止資料和工作負載受到三大影響：惡意檔案上傳、敏感性資料外流和資料損毀。 新的適用於儲存體的 Defender 方案包括惡意程式碼掃描和敏感性資料威脅偵測。 此方案也提供可預測的價格結構 (每一儲存體帳戶)，以控制涵蓋範圍和成本。	AuditIfNotExists, Disabled	1.0.0
對威脅執行趨勢分析	CMA_0389 - 對威脅執行趨勢分析	手動、已停用	1.1.0
訂用帳戶應具有連絡人電子郵件地址以處理安全性問題	為確保在您的其中一個訂用帳戶有潛在安全性缺口時，您組織中的相關人員會收到通知，請設定要接收資訊安全中心所傳來電子郵件通知的安全性連絡人。	AuditIfNotExists, Disabled	1.0.1
檢視和調查受限的使用者	CMA_0545 - 檢視和調查受限的使用者	手動、已停用	1.1.0

自動化事件處理流程

識別碼：FedRAMP High IR-4 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
制定事件回應計畫	CMA_0145 - 制定事件回應計畫	手動、已停用	1.1.0
啟用網路保護	CMA_0238 - 啟用網路保護	手動、已停用	1.1.0
實作事件處理	CMA_0318 - 實作事件處理	手動、已停用	1.1.0

動態重新組態

識別碼：FedRAMP High IR-4 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
包含客戶部署資源的動態重新設定	CMA_C1364 - 包含客戶部署資源的動態重新設定	手動、已停用	1.1.0

作業持續性

識別碼：FedRAMP High IR-4 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
識別事件類別和已採取的動作	CMA_C1365 - 識別已採取的事件和動作類別	手動、已停用	1.1.0

資訊相互關聯

識別碼：FedRAMP High IR-4 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作事件處理	CMA_0318 - 實作事件處理	手動、已停用	1.1.0

內部威脅 - 特定功能

識別碼：FedRAMP High IR-4 (6) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作事件處理功能	CMA_C1367 - 實作事件處理功能	手動、已停用	1.1.0

與外部組織相互關聯

識別碼：FedRAMP High IR-4 (8) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
與外部組織協調以達成跨組織檢視	CMA_C1368 - 與外部組織協調以達成跨組織檢視	手動、已停用	1.1.0

事件監視

識別碼：FedRAMP High IR-5 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
應啟用適用於 App Service 的 Azure Defender	適用於 App Service 的 Azure Defender 利用雲端的規模及雲端提供者 Azure 擁有的廣大視野，監視常見的 Web 應用程式攻擊。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Azure SQL Database 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應啟用適用於 Key Vault 的 Azure Defender	適用於 Key Vault 的 Azure Defender 會透過偵測嘗試存取或惡意探索金鑰保存庫帳戶的異常及潛在有害威脅，提供一層額外的保護和安全情報。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Resource Manager 的 Azure Defender	適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於伺服器的 Azure Defender	適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於機器上 SQL 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender	在沒有「進階資料安全性」的情況下稽核 SQL 伺服器	AuditIfNotExists, Disabled	2.0.1
應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender	在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。	AuditIfNotExists, Disabled	1.0.2
應針對高嚴重性警示啟用電子郵件通知	為確保在您的其中一個訂用帳戶有潛在安全性缺口時，您組織中的相關人員會收到通知，請在資訊安全中心內啟用高嚴重性警示的電子郵件通知。	AuditIfNotExists, Disabled	1.2.0
應已針對高嚴重性警示啟用傳送給訂用帳戶擁有者的電子郵件通知	為確保訂用帳戶擁有者會在其訂用帳戶有潛在安全性缺口時收到通知，請在資訊安全中心內設定發送對象為訂用帳戶擁有者的高嚴重性警示電子郵件通知。	AuditIfNotExists, Disabled	2.1.0
應啟用適用於容器的 Microsoft Defender	適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於儲存體的 Microsoft Defender	適用於儲存體的 Microsoft Defender 會偵測儲存體帳戶的潛在威脅。 這有助於防止資料和工作負載受到三大影響：惡意檔案上傳、敏感性資料外流和資料損毀。 新的適用於儲存體的 Defender 方案包括惡意程式碼掃描和敏感性資料威脅偵測。 此方案也提供可預測的價格結構 (每一儲存體帳戶)，以控制涵蓋範圍和成本。	AuditIfNotExists, Disabled	1.0.0
訂用帳戶應具有連絡人電子郵件地址以處理安全性問題	為確保在您的其中一個訂用帳戶有潛在安全性缺口時，您組織中的相關人員會收到通知，請設定要接收資訊安全中心所傳來電子郵件通知的安全性連絡人。	AuditIfNotExists, Disabled	1.0.1

自動化報告

識別碼：FedRAMP High IR-6 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
記錄安全性作業	CMA_0202 - 記錄安全性作業	手動、已停用	1.1.0

事件回應協助

識別碼：FedRAMP High IR-7 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
記錄安全性作業	CMA_0202 - 記錄安全性作業	手動、已停用	1.1.0

自動支援資訊/支援的可用性

識別碼：FedRAMP High IR-7 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
制定事件回應計畫	CMA_0145 - 制定事件回應計畫	手動、已停用	1.1.0
啟用網路保護	CMA_0238 - 啟用網路保護	手動、已停用	1.1.0
消除洩漏的資訊	CMA_0253 - 消除洩漏的資訊	手動、已停用	1.1.0
執行動作以回應資訊洩漏	CMA_0281 - 執行動作以回應資訊洩漏	手動、已停用	1.1.0
實作事件處理	CMA_0318 - 實作事件處理	手動、已停用	1.1.0
對威脅執行趨勢分析	CMA_0389 - 對威脅執行趨勢分析	手動、已停用	1.1.0
檢視和調查受限的使用者	CMA_0545 - 檢視和調查受限的使用者	手動、已停用	1.1.0

與外部提供者協調

識別碼：FedRAMP High IR-7 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立事件回應功能與外部提供者之間的關係	CMA_C1376 - 建立事件回應功能與外部提供者之間的關係	手動、已停用	1.1.0
識別事件回應人員	CMA_0301 - 識別事件回應人員	手動、已停用	1.1.0

事件回應計劃

識別碼：FedRAMP High IR-8 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
評估資訊安全性事件	CMA_0013 - 評估資訊安全性事件	手動、已停用	1.1.0
制定事件回應計畫	CMA_0145 - 制定事件回應計畫	手動、已停用	1.1.0
實作事件處理	CMA_0318 - 實作事件處理	手動、已停用	1.1.0
維護資料外洩記錄	CMA_0351 - 維護資料外洩記錄	手動、已停用	1.1.0
維護事件回應計劃	CMA_0352 - 維護事件回應計劃	手動、已停用	1.1.0
保護事件回應計劃	CMA_0405 - 保護事件回應計劃	手動、已停用	1.1.0

資訊洩漏應對

識別碼：FedRAMP High IR-9 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
警示人員資訊洩漏	CMA_0007 - 警示人員資訊洩漏	手動、已停用	1.1.0
制定事件回應計畫	CMA_0145 - 制定事件回應計畫	手動、已停用	1.1.0
消除洩漏的資訊	CMA_0253 - 消除洩漏的資訊	手動、已停用	1.1.0
執行動作以回應資訊洩漏	CMA_0281 - 執行動作以回應資訊洩漏	手動、已停用	1.1.0
識別受病毒感染的系統和元件	CMA_0300 - 識別受病毒感染的系統和元件	手動、已停用	1.1.0
識別洩漏的資訊	CMA_0303 - 識別洩漏的資訊	手動、已停用	1.1.0
隔離資訊洩漏	CMA_0346 - 隔離資訊洩漏	手動、已停用	1.1.0

負責人員

識別碼：FedRAMP High IR-9 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
識別事件回應人員	CMA_0301 - 識別事件回應人員	手動、已停用	1.1.0

訓練

識別碼：FedRAMP High IR-9 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
提供資訊洩漏訓練	CMA_0413 - 提供資訊洩漏訓練	手動、已停用	1.1.0

外洩後的作業

識別碼：FedRAMP High IR-9 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
制定洩漏回應程序	CMA_0162 - 制定洩漏回應程序	手動、已停用	1.1.0

向未經授權的人員公開

識別碼：FedRAMP High IR-9 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
開發安全性保護	CMA_0161 - 開發安全性保護	手動、已停用	1.1.0

維護

系統維護原則和程序

識別碼：FedRAMP High MA-1 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
檢閱並更新系統維護原則與程序	CMA_C1395 - 檢閱並更新系統維護原則與程序	手動、已停用	1.1.0

受控制維護

識別碼：FedRAMP High MA-2 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
控制維修及修復活動	CMA_0080 - 控制維修及修復活動	手動、已停用	1.1.0
採用媒體清理機制	CMA_0208 - 採用媒體清理機制	手動、已停用	1.1.0
實作控制以保護所有媒體	CMA_0314 - 實作控制以保護所有媒體	手動、已停用	1.1.0
管理非本機維護和診斷活動	CMA_0364 - 管理非本機維護和診斷活動	手動、已停用	1.1.0

自動化維護活動

識別碼：FedRAMP High MA-2 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
自動化遠端維護活動	CMA_C1402 - 自動化遠端維護活動	手動、已停用	1.1.0
產生完整的遠端維護活動記錄	CMA_C1403 - 產生完整的遠端維護活動記錄	手動、已停用	1.1.0

維護工具

識別碼：FedRAMP High MA-3 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
控制維修及修復活動	CMA_0080 - 控制維修及修復活動	手動、已停用	1.1.0
管理非本機維護和診斷活動	CMA_0364 - 管理非本機維護和診斷活動	手動、已停用	1.1.0

檢查工具

識別碼：FedRAMP High MA-3 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
控制維修及修復活動	CMA_0080 - 控制維修及修復活動	手動、已停用	1.1.0
管理非本機維護和診斷活動	CMA_0364 - 管理非本機維護和診斷活動	手動、已停用	1.1.0

檢查媒體

識別碼：FedRAMP High MA-3 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
控制維修及修復活動	CMA_0080 - 控制維修及修復活動	手動、已停用	1.1.0
管理非本機維護和診斷活動	CMA_0364 - 管理非本機維護和診斷活動	手動、已停用	1.1.0

防止未經授權的移除

識別碼：FedRAMP High MA-3 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
控制維修及修復活動	CMA_0080 - 控制維修及修復活動	手動、已停用	1.1.0
採用媒體清理機制	CMA_0208 - 採用媒體清理機制	手動、已停用	1.1.0
實作控制以保護所有媒體	CMA_0314 - 實作控制以保護所有媒體	手動、已停用	1.1.0
管理非本機維護和診斷活動	CMA_0364 - 管理非本機維護和診斷活動	手動、已停用	1.1.0

非本機維護

識別碼：FedRAMP High MA-4 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
管理非本機維護和診斷活動	CMA_0364 - 管理非本機維護和診斷活動	手動、已停用	1.1.0

記載非本機維護

識別碼：FedRAMP High MA-4 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
管理非本機維護和診斷活動	CMA_0364 - 管理非本機維護和診斷活動	手動、已停用	1.1.0

同等級安全性/清理

識別碼：FedRAMP High MA-4 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
執行所有非本機維護	CMA_C1417 - 執行所有非本機維護	手動、已停用	1.1.0

密碼編譯保護

識別碼：FedRAMP High MA-4 (6) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作密碼編譯機制	CMA_C1419 - 實作密碼編譯機制	手動、已停用	1.1.0

維護人員

識別碼：FedRAMP High MA-5 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
指定人員以管理未經授權的維護活動	CMA_C1422 - 指定人員以管理未經授權的維護活動	手動、已停用	1.1.0
維護授權的遠端維修人員清單	CMA_C1420 - 維護授權的遠端維修人員清單	手動、已停用	1.1.0
管理維護人員	CMA_C1421 - 管理維護人員	手動、已停用	1.1.0

不具適當存取權的個人

識別碼：FedRAMP High MA-5 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
採用媒體清理機制	CMA_0208 - 採用媒體清理機制	手動、已停用	1.1.0
實作控制以保護所有媒體	CMA_0314 - 實作控制以保護所有媒體	手動、已停用	1.1.0

及時維護

識別碼：FedRAMP High MA-6 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
提供及時維護支援	CMA_C1425 - 提供及時維護支援	手動、已停用	1.1.0

媒體保護

媒體保護原則和程序

識別碼：FedRAMP High MP-1 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
檢閱並更新媒體保護原則與程序	CMA_C1427 - 檢閱並更新媒體保護原則與程序	手動、已停用	1.1.0

媒體存取

識別碼：FedRAMP High MP-2 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作控制以保護所有媒體	CMA_0314 - 實作控制以保護所有媒體	手動、已停用	1.1.0

媒體標記

識別碼：FedRAMP High MP-3 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作控制以保護所有媒體	CMA_0314 - 實作控制以保護所有媒體	手動、已停用	1.1.0

媒體儲存

識別碼：FedRAMP High MP-4 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
採用媒體清理機制	CMA_0208 - 採用媒體清理機制	手動、已停用	1.1.0
實作控制以保護所有媒體	CMA_0314 - 實作控制以保護所有媒體	手動、已停用	1.1.0

媒體傳輸

識別碼：FedRAMP High MP-5 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作控制以保護所有媒體	CMA_0314 - 實作控制以保護所有媒體	手動、已停用	1.1.0
管理資產的運輸	CMA_0370 - 管理資產的運輸	手動、已停用	1.1.0

密碼編譯保護

識別碼：FedRAMP High MP-5 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作控制以保護所有媒體	CMA_0314 - 實作控制以保護所有媒體	手動、已停用	1.1.0
管理資產的運輸	CMA_0370 - 管理資產的運輸	手動、已停用	1.1.0

媒體清理

識別碼：FedRAMP High MP-6 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
採用媒體清理機制	CMA_0208 - 採用媒體清理機制	手動、已停用	1.1.0
實作控制以保護所有媒體	CMA_0314 - 實作控制以保護所有媒體	手動、已停用	1.1.0

檢閱/核准/追蹤/記載/驗證

識別碼：FedRAMP High MP-6 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
採用媒體清理機制	CMA_0208 - 採用媒體清理機制	手動、已停用	1.1.0
實作控制以保護所有媒體	CMA_0314 - 實作控制以保護所有媒體	手動、已停用	1.1.0

設備測試

識別碼：FedRAMP High MP-6 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
採用媒體清理機制	CMA_0208 - 採用媒體清理機制	手動、已停用	1.1.0
實作控制以保護所有媒體	CMA_0314 - 實作控制以保護所有媒體	手動、已停用	1.1.0

媒體使用

識別碼：FedRAMP High MP-7 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
封鎖從 USB 執行的未受信任與未簽署處理序	CMA_0050 - 封鎖從 USB 執行的未受信任與未簽署處理序	手動、已停用	1.1.0
控制可攜式儲存裝置的使用	CMA_0083 - 控制可攜式儲存裝置的使用	手動、已停用	1.1.0
實作控制以保護所有媒體	CMA_0314 - 實作控制以保護所有媒體	手動、已停用	1.1.0
限制媒體使用	CMA_0450 - 限制媒體使用	手動、已停用	1.1.0

禁止在沒有擁有者的情況下使用

識別碼：FedRAMP High MP-7 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
封鎖從 USB 執行的未受信任與未簽署處理序	CMA_0050 - 封鎖從 USB 執行的未受信任與未簽署處理序	手動、已停用	1.1.0
控制可攜式儲存裝置的使用	CMA_0083 - 控制可攜式儲存裝置的使用	手動、已停用	1.1.0
實作控制以保護所有媒體	CMA_0314 - 實作控制以保護所有媒體	手動、已停用	1.1.0
限制媒體使用	CMA_0450 - 限制媒體使用	手動、已停用	1.1.0

實體和環境保護

實際與環境保護原則和程序

識別碼：FedRAMP High PE-1 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
檢閱及更新實體和環境原則及程序	CMA_C1446 - 檢閱及更新實體和環境原則及程序	手動、已停用	1.1.0

實際存取授權

識別碼：FedRAMP High PE-2 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
控制實體存取	CMA_0081 - 控制實體存取	手動、已停用	1.1.0

實際存取控制措施

識別碼：FedRAMP High PE-3 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
控制實體存取	CMA_0081 - 控制實體存取	手動、已停用	1.1.0
定義實體金鑰管理流程	CMA_0115 - 定義實體金鑰管理流程	手動、已停用	1.1.0
建立並維護資產清查	CMA_0266 - 建立並維護資產清查	手動、已停用	1.1.0
為辦公室、工作區域及安全區域實作實體安全性	CMA_0323 - 為辦公室、工作區域及安全區域實作實體安全性	手動、已停用	1.1.0

適用於傳輸媒體的存取控制措施

識別碼：FedRAMP High PE-4 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
控制實體存取	CMA_0081 - 控制實體存取	手動、已停用	1.1.0
為辦公室、工作區域及安全區域實作實體安全性	CMA_0323 - 為辦公室、工作區域及安全區域實作實體安全性	手動、已停用	1.1.0

適用於輸出裝置的存取控制措施

識別碼：FedRAMP High PE-5 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
控制實體存取	CMA_0081 - 控制實體存取	手動、已停用	1.1.0
為辦公室、工作區域及安全區域實作實體安全性	CMA_0323 - 為辦公室、工作區域及安全區域實作實體安全性	手動、已停用	1.1.0
管理資料的輸入、輸出、處理及儲存	CMA_0369 - 管理資料的輸入、輸出、處理及儲存	手動、已停用	1.1.0

入侵警報/監視設備

識別碼：FedRAMP High PE-6 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
安裝警報系統	CMA_0338 - 安裝警報系統	手動、已停用	1.1.0
管理安全監視錄影系統	CMA_0354 - 管理安全監視錄影系統	手動、已停用	1.1.0

訪客存取記錄

識別碼：FedRAMP High PE-8 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
控制實體存取	CMA_0081 - 控制實體存取	手動、已停用	1.1.0
為辦公室、工作區域及安全區域實作實體安全性	CMA_0323 - 為辦公室、工作區域及安全區域實作實體安全性	手動、已停用	1.1.0

緊急照明

識別碼：FedRAMP High PE-12 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
採用自動緊急照明	CMA_0209 - 採用自動緊急照明	手動、已停用	1.1.0

消防措施

識別碼：FedRAMP High PE-13 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
為辦公室、工作區域及安全區域實作實體安全性	CMA_0323 - 為辦公室、工作區域及安全區域實作實體安全性	手動、已停用	1.1.0

偵測裝置/系統

識別碼：FedRAMP High PE-13 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作滲透測試方法	CMA_0306 - 實作滲透測試方法	手動、已停用	1.1.0
為辦公室、工作區域及安全區域實作實體安全性	CMA_0323 - 為辦公室、工作區域及安全區域實作實體安全性	手動、已停用	1.1.0
執行模擬攻擊	CMA_0486 - 執行模擬攻擊	手動、已停用	1.1.0

滅火裝置/系統

識別碼：FedRAMP High PE-13 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
為辦公室、工作區域及安全區域實作實體安全性	CMA_0323 - 為辦公室、工作區域及安全區域實作實體安全性	手動、已停用	1.1.0

自動滅火

識別碼：FedRAMP High PE-13 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
為辦公室、工作區域及安全區域實作實體安全性	CMA_0323 - 為辦公室、工作區域及安全區域實作實體安全性	手動、已停用	1.1.0

溫度和溼度的控制措施

識別碼：FedRAMP High PE-14 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
為辦公室、工作區域及安全區域實作實體安全性	CMA_0323 - 為辦公室、工作區域及安全區域實作實體安全性	手動、已停用	1.1.0

使用警報/通知進行監視

識別碼：FedRAMP High PE-14 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
為辦公室、工作區域及安全區域實作實體安全性	CMA_0323 - 為辦公室、工作區域及安全區域實作實體安全性	手動、已停用	1.1.0
安裝警報系統	CMA_0338 - 安裝警報系統	手動、已停用	1.1.0

因水損毀的防護

識別碼：FedRAMP High PE-15 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
為辦公室、工作區域及安全區域實作實體安全性	CMA_0323 - 為辦公室、工作區域及安全區域實作實體安全性	手動、已停用	1.1.0

傳遞和移除

識別碼：FedRAMP High PE-16 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
定義管理資產的需求	CMA_0125 - 定義管理資產的需求	手動、已停用	1.1.0
管理資產的運輸	CMA_0370 - 管理資產的運輸	手動、已停用	1.1.0

備用工作場所

識別碼：FedRAMP High PE-17 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作控制以保護替代工作站台	CMA_0315 - 實作控制以保護替代工作站台	手動、已停用	1.1.0

資訊系統元件的位置

識別碼：FedRAMP High PE-18 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
為辦公室、工作區域及安全區域實作實體安全性	CMA_0323 - 為辦公室、工作區域及安全區域實作實體安全性	手動、已停用	1.1.0

規劃

安全性規劃原則和程序

識別碼：FedRAMP High PL-1 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
檢閱並更新規劃原則與程序	CMA_C1491 - 檢閱並更新規劃原則與程序	手動、已停用	1.1.0

系統安全性計畫

識別碼：FedRAMP High PL-2 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
制定並建立系統安全性計劃	CMA_0151 - 制定並建立系統安全性計劃	手動、已停用	1.1.0
制定資訊安全原則和程序	CMA_0158 - 制定資訊安全原則和程序	手動、已停用	1.1.0
開發符合準則的 SSP	CMA_C1492 - 開發符合準則的 SSP	手動、已停用	1.1.0
建立隱私權計畫	CMA_0257 - 建立隱私權計畫	手動、已停用	1.1.0
建立製造已連線裝置的安全性需求	CMA_0279 - 建立製造已連線裝置的安全性需求	手動、已停用	1.1.0
實作資訊系統的資訊安全工程原則	CMA_0325 - 實作資訊系統的資訊安全工程原則	手動、已停用	1.1.0

與其他組織實體一起規劃/協調合作

識別碼：FedRAMP High PL-2 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
制定並建立系統安全性計劃	CMA_0151 - 制定並建立系統安全性計劃	手動、已停用	1.1.0
建立製造已連線裝置的安全性需求	CMA_0279 - 建立製造已連線裝置的安全性需求	手動、已停用	1.1.0
實作資訊系統的資訊安全工程原則	CMA_0325 - 實作資訊系統的資訊安全工程原則	手動、已停用	1.1.0

行為規則

識別碼：FedRAMP High PL-4 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
制定可接受的使用原則與程序	CMA_0143 - 制定可接受的使用原則與程序	手動、已停用	1.1.0
制定組織管理辦法原則	CMA_0159 - 制定組織管理辦法原則	手動、已停用	1.1.0
記錄人員接受隱私權需求的情況	CMA_0193 - 記錄人員接受隱私權需求的情況	手動、已停用	1.1.0
強制執行行為和存取協定的規則	CMA_0248 - 強制執行行為和存取協定的規則	手動、已停用	1.1.0
禁止不公平做法	CMA_0396 - 禁止不公平做法	手動、已停用	1.1.0
檢閱並簽署已修訂的行為規則	CMA_0465 - 檢閱並簽署已修訂的行為規則	手動、已停用	1.1.0
更新資訊安全性原則	CMA_0518 - 更新資訊安全性原則	手動、已停用	1.1.0
更新行為和存取合約的規則	CMA_0521 - 更新行為和存取合約的規則	手動、已停用	1.1.0
每 3 年更新行為和存取合約的規則一次	CMA_0522 - 每 3 年更新行為和存取合約的規則一次	手動、已停用	1.1.0

社交媒體與網路限制

識別碼：FedRAMP High PL-4 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
制定可接受的使用原則與程序	CMA_0143 - 制定可接受的使用原則與程序	手動、已停用	1.1.0

資訊安全性架構

識別碼：FedRAMP High PL-8 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
制定操作概念文件 (CONOPS)	CMA_0141 - 制定操作概念文件 (CONOPS)	手動、已停用	1.1.0
檢閱並更新資訊安全性架構	CMA_C1504 - 檢閱並更新資訊安全性架構	手動、已停用	1.1.0

人員安全性

人員安全性原則和程序

識別碼：FedRAMP High PS-1 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
檢閱並更新人員安全性原則與程序	CMA_C1507 - 檢閱並更新人員安全性原則與程序	手動、已停用	1.1.0

職位風險指定

識別碼：FedRAMP High PS-2 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
指派風險指定	CMA_0016 - 指派風險指定	手動、已停用	1.1.0

人員篩選

識別碼：FedRAMP High PS-3 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
清除具有機密資訊存取權的人員	CMA_0054 - 清除具有機密資訊存取權的人員	手動、已停用	1.1.0
實作人員篩選	CMA_0322 - 實作人員篩選	手動、已停用	1.1.0
以定義的頻率重新篩選個人	CMA_C1512 - 以定義的頻率重新篩選個人	手動、已停用	1.1.0

具備特殊保護措施的資訊

識別碼：FedRAMP High PS-3 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
保護特殊資訊	CMA_0409 - 保護特殊資訊	手動、已停用	1.1.0

人員終止

識別碼：FedRAMP High PS-4 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
離職時進行離職面試	CMA_0058 - 離職時進行離職面試	手動、已停用	1.1.0
終止時停用驗證器	CMA_0169 - 終止時停用驗證器	手動、已停用	1.1.0
在離職或調職時通知	CMA_0381 - 在離職或調職時通知	手動、已停用	1.1.0
防止和預防離職員工竊取資料	CMA_0398 - 防止和預防離職員工竊取資料	手動、已停用	1.1.0
保留離職的使用者資料	CMA_0455 - 保留離職的使用者資料	手動、已停用	1.1.0

自動化通知

識別碼：FedRAMP High PS-4 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
自動化員工離職通知	CMA_C1521 - 自動化員工離職通知	手動、已停用	1.1.0

人員轉移

識別碼：FedRAMP High PS-5 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
起始調職或重新指派動作	CMA_0333 - 起始調職或重新指派動作	手動、已停用	1.1.0
在人事調動時修改存取授權	CMA_0374 - 在人事調動時修改存取授權	手動、已停用	1.1.0
在離職或調職時通知	CMA_0381 - 在離職或調職時通知	手動、已停用	1.1.0
在人員轉調時重新評估存取權	CMA_0424 - 在人員轉調時重新評估存取權	手動、已停用	1.1.0

存取協議

識別碼：FedRAMP High PS-6 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
記錄組織存取合約	CMA_0192 - 記錄組織存取合約	手動、已停用	1.1.0
強制執行行為和存取協定的規則	CMA_0248 - 強制執行行為和存取協定的規則	手動、已停用	1.1.0
確認已及時簽署或重新簽署存取協定	CMA_C1528 - 確保存取合約已及時簽署或符合規定	手動、已停用	1.1.0
要求使用者簽署存取合約	CMA_0440 - 要求使用者簽署存取合約	手動、已停用	1.1.0
更新組織存取合約	CMA_0520 - 更新組織存取合約	手動、已停用	1.1.0

協力廠商的人員安全性

識別碼：FedRAMP High PS-7 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
文件協力廠商人員安全性需求	CMA_C1531 - 文件協力廠商人員安全性需求	手動、已停用	1.1.0
建立協力廠商人員安全性需求	CMA_C1529 - 建立協力廠商人員安全性需求	手動、已停用	1.1.0
監視協力廠商提供者合規性	CMA_C1533 - 監視協力廠商提供者合規性	手動、已停用	1.1.0
需要協力廠商人員轉移或終止通知	CMA_C1532 - 需要協力廠商人員轉移或終止通知	手動、已停用	1.1.0
要求協力廠商提供者符合人員安全性原則與程式	CMA_C1530 - 要求協力廠商提供者符合人員安全性原則與程式	手動、已停用	1.1.0

人員獎懲

識別碼：FedRAMP High PS-8 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作正式制裁流程	CMA_0317 - 實作正式制裁流程	手動、已停用	1.1.0
制裁時通知人員	CMA_0380 - 制裁時通知人員	手動、已停用	1.1.0

風險評定

風險評量原則和程序

識別碼：FedRAMP High RA-1 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
檢閱並更新風險評量原則與程序	CMA_C1537 - 檢閱並更新風險評量原則與程序	手動、已停用	1.1.0

安全性分類

識別碼：FedRAMP High RA-2 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
分類資訊	CMA_0052 - 分類資訊	手動、已停用	1.1.0
制定商務分類方案	CMA_0155 - 制定商務分類方案	手動、已停用	1.1.0
確認安全性分類已核准	CMA_C1540 - 確認安全性分類已核准	手動、已停用	1.1.0
檢閱標籤活動與分析	CMA_0474 - 檢閱標籤活動與分析	手動、已停用	1.1.0

風險評定

識別碼：FedRAMP High RA-3 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
執行風險評量	CMA_C1543 - 執行風險評量	手動、已停用	1.1.0
進行風險評量並散發其結果	CMA_C1544 - 進行風險評量並散發其結果	手動、已停用	1.1.0
進行風險評量並記錄其結果	CMA_C1542 - 進行風險評量並記錄其結果	手動、已停用	1.1.0
執行風險評量	CMA_0388 - 執行風險評量	手動、已停用	1.1.0

弱點掃描

識別碼：FedRAMP High RA-5 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
虛擬機器上應啟用弱點評估解決方案	稽核虛擬機器，以偵測其是否正在執行支援的弱點評估解決方案。 每個網路風險和安全性計畫的核心部分都在於識別和分析弱點。 Azure 資訊安全中心的標準定價層包含掃描虛擬機器的弱點，不需額外費用。 此外，資訊安全中心可以自動為您部署此工具。	AuditIfNotExists, Disabled	3.0.0
應啟用適用於 App Service 的 Azure Defender	適用於 App Service 的 Azure Defender 利用雲端的規模及雲端提供者 Azure 擁有的廣大視野，監視常見的 Web 應用程式攻擊。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Azure SQL Database 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應啟用適用於 Key Vault 的 Azure Defender	適用於 Key Vault 的 Azure Defender 會透過偵測嘗試存取或惡意探索金鑰保存庫帳戶的異常及潛在有害威脅，提供一層額外的保護和安全情報。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Resource Manager 的 Azure Defender	適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於伺服器的 Azure Defender	適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於機器上 SQL 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender	在沒有「進階資料安全性」的情況下稽核 SQL 伺服器	AuditIfNotExists, Disabled	2.0.1
應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender	在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。	AuditIfNotExists, Disabled	1.0.2
應啟用適用於容器的 Microsoft Defender	適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於儲存體的 Microsoft Defender	適用於儲存體的 Microsoft Defender 會偵測儲存體帳戶的潛在威脅。 這有助於防止資料和工作負載受到三大影響：惡意檔案上傳、敏感性資料外流和資料損毀。 新的適用於儲存體的 Defender 方案包括惡意程式碼掃描和敏感性資料威脅偵測。 此方案也提供可預測的價格結構 (每一儲存體帳戶)，以控制涵蓋範圍和成本。	AuditIfNotExists, Disabled	1.0.0
執行弱點掃描	CMA_0393 - 執行弱點掃描	手動、已停用	1.1.0
補救資訊系統漏洞	CMA_0427 - 補救資訊系統漏洞	手動、已停用	1.1.0
SQL 資料庫應已解決發現的弱點	監視弱點評量掃描結果及如何補救資料庫弱點的建議。	AuditIfNotExists, Disabled	4.1.0
機器上的 SQL Server 應已解決發現的弱點	SQL 弱點評估會掃描您的資料庫以尋找安全性弱點，並顯示與最佳做法不符的偏差動作，例如設定錯誤、過度授權或未保護敏感性資料。 解決找到的弱點可以大幅改進資料庫的安全性態勢。	AuditIfNotExists, Disabled	1.0.0
您應在機器上修復安全性組態的弱點	Azure 資訊安全中心會依建議監視不符合設定基準的伺服器	AuditIfNotExists, Disabled	3.1.0
應在 SQL 受控執行個體上啟用弱點評定	稽核每個未啟用週期性弱點評估掃描的 SQL 受控執行個體。 弱點評估可發現、追蹤並協助您補救資料庫的潛在弱點。	AuditIfNotExists, Disabled	1.0.1
弱點評估應於您的 SQL 伺服器上啟用	稽核未正確設定弱點評量的 Azure SQL 伺服器。 弱點評估可發現、追蹤並協助您補救資料庫的潛在弱點。	AuditIfNotExists, Disabled	3.0.0
應在您的 Synapse 工作區上啟用弱點評量	在您的 Synapse 工作區上設定週期性 SQL 弱點評量掃描，以探索、追蹤及補救潛在弱點。	AuditIfNotExists, Disabled	1.0.0

更新工具功能

識別碼：FedRAMP High RA-5 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
執行弱點掃描	CMA_0393 - 執行弱點掃描	手動、已停用	1.1.0
補救資訊系統漏洞	CMA_0427 - 補救資訊系統漏洞	手動、已停用	1.1.0

依頻率/進行新掃描之前/在識別時進行更新

識別碼：FedRAMP High RA-5 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
執行弱點掃描	CMA_0393 - 執行弱點掃描	手動、已停用	1.1.0
補救資訊系統漏洞	CMA_0427 - 補救資訊系統漏洞	手動、已停用	1.1.0

涵蓋範圍的廣度/深度

識別碼：FedRAMP High RA-5 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
執行弱點掃描	CMA_0393 - 執行弱點掃描	手動、已停用	1.1.0
補救資訊系統漏洞	CMA_0427 - 補救資訊系統漏洞	手動、已停用	1.1.0

可探索的資訊

識別碼：FedRAMP High RA-5 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
採取動作以回應客戶資訊	CMA_C1554 - 採取動作以回應客戶資訊	手動、已停用	1.1.0

特殊權限存取

識別碼：FedRAMP High RA-5 (5) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作執行弱點掃描活動的特殊權限存取	CMA_C1555 - 實作執行弱點掃描活動的特殊權限存取	手動、已停用	1.1.0

自動化趨勢分析

識別碼：FedRAMP High RA-5 (6) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
觀察並回報安全性弱點	CMA_0384 - 觀察並回報安全性弱點	手動、已停用	1.1.0
對威脅執行趨勢分析	CMA_0389 - 對威脅執行趨勢分析	手動、已停用	1.1.0
執行威脅模型化	CMA_0392 - 執行威脅模型化	手動、已停用	1.1.0
執行弱點掃描	CMA_0393 - 執行弱點掃描	手動、已停用	1.1.0
補救資訊系統漏洞	CMA_0427 - 補救資訊系統漏洞	手動、已停用	1.1.0

檢閱歷史稽核記錄

識別碼：FedRAMP High RA-5 (8) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
稽核特殊權限功能	CMA_0019 - 稽核特殊權限功能	手動、已停用	1.1.0
稽核使用者帳戶狀態	CMA_0020 - 稽核使用者帳戶狀態	手動、已停用	1.1.0
關聯稽核記錄	CMA_0087 - 關聯稽核記錄	手動、已停用	1.1.0
決定可稽核的事件	CMA_0137 - 決定可稽核的事件	手動、已停用	1.1.0
建立稽核檢閱和報告的需求	CMA_0277 - 建立稽核檢閱和報告的需求	手動、已停用	1.1.0
整合稽核檢閱、分析及報告	CMA_0339 - 整合稽核檢閱、分析及報告	手動、已停用	1.1.0
整合 Cloud App Security 與 SIEM	CMA_0340 - 整合 Cloud App Security 與 SIEM	手動、已停用	1.1.0
檢閱帳戶佈建記錄	CMA_0460 - 檢閱帳戶佈建記錄	手動、已停用	1.1.0
每週檢閱系統管理員指派	CMA_0461 - 每週檢閱系統管理員指派	手動、已停用	1.1.0
檢閱稽核資料	CMA_0466 - 檢閱稽核資料	手動、已停用	1.1.0
檢閱雲端識別報告概觀	CMA_0468 - 檢閱雲端識別報告概觀	手動、已停用	1.1.0
檢閱受控資料夾存取事件	CMA_0471 - 檢閱受控資料夾存取事件	手動、已停用	1.1.0
檢閱惡意探索保護事件	CMA_0472 - 檢閱惡意探索保護事件	手動、已停用	1.1.0
檢閱檔案和資料夾活動	CMA_0473 - 檢閱檔案和資料夾活動	手動、已停用	1.1.0
每週檢閱角色群組變更	CMA_0476 - 每週檢閱角色群組變更	手動、已停用	1.1.0

將掃描資訊相互關聯

識別碼：FedRAMP High RA-5 (10) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
相互關聯弱點掃描資訊	CMA_C1558 - 相互關聯弱點掃描資訊	手動、已停用	1.1.1

系統和服務擷取

系統和服務擷取原則和程序

識別碼：FedRAMP High SA-1 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
檢閱並更新系統與服務擷取原則與程序	CMA_C1560 - 檢閱並更新系統與服務擷取原則與程序	手動、已停用	1.1.0

資源配置

識別碼：FedRAMP High SA-2 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
使業務目標和 IT 目標保持一致	CMA_0008 - 使業務目標和 IT 目標保持一致	手動、已停用	1.1.0
配置資源以判斷資訊系統需求	CMA_C1561 - 配置資源以判斷資訊系統需求	手動、已停用	1.1.0
在預算檔中建立離散線條項目	CMA_C1563 - 在預算檔中建立離散線條項目	手動、已停用	1.1.0
建立隱私權計畫	CMA_0257 - 建立隱私權計畫	手動、已停用	1.1.0
控管資源的配置	CMA_0293 - 控管資源的配置	手動、已停用	1.1.0
確保領導者的承諾	CMA_0489 - 確保領導者的承諾	手動、已停用	1.1.0

系統開發生命週期

識別碼：FedRAMP High SA-3 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
定義資訊安全角色與責任	CMA_C1565 - 定義資訊安全性角色與責任	手動、已停用	1.1.0
識別具有安全性角色與責任的使用者	CMA_C1566 - 識別具有安全性角色與責任的使用者	手動、已停用	1.1.1
將風險管理程式整合至 SDLC	CMA_C1567 - 將風險管理程式整合至 SDLC	手動、已停用	1.1.0

擷取程序

識別碼：FedRAMP High SA-4 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
決定供應商合約義務	CMA_0140 - 決定供應商合約義務	手動、已停用	1.1.0
記錄收購合約驗收準則	CMA_0187 - 記錄收購合約驗收準則	手動、已停用	1.1.0
記錄收購合約中個人資料的保護	CMA_0194 - 記錄收購合約中個人資料的保護	手動、已停用	1.1.0
在收購合約中記錄安全性資訊的保護	CMA_0195 - 在收購合約中記錄安全性資訊的保護	手動、已停用	1.1.0
記錄合約中使用共用資料的需求	CMA_0197 - 記錄合約中使用共用資料的需求	手動、已停用	1.1.0
記錄收購合約中的安全性保證需求	CMA_0199 - 記錄收購合約中的安全性保證需求	手動、已停用	1.1.0
記錄收購合約中的安全性文件集需求	CMA_0200 - 記錄收購合約中的安全性文件集需求	手動、已停用	1.1.0
記錄收購合約中的安全性功能需求	CMA_0201 - 記錄收購合約中的安全性功能需求	手動、已停用	1.1.0
記錄收購合約中的安全性強度需求	CMA_0203 - 記錄收購合約中的安全性強度需求	手動、已停用	1.1.0
記錄收購合約中的資訊系統環境	CMA_0205 - 記錄收購合約中的資訊系統環境	手動、已停用	1.1.0
記錄協力廠商合約中持卡人資料的保護	CMA_0207 - 記錄協力廠商合約中持卡人資料的保護	手動、已停用	1.1.0

安全性控制的功能屬性

識別碼：FedRAMP High SA-4 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
取得安全性控制項的功能屬性	CMA_C1575 - 取得安全性控制項的功能屬性	手動、已停用	1.1.0

安全性控制的設計/實作資訊

識別碼：FedRAMP High SA-4 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
取得安全性控制項的設計與實作資訊	CMA_C1576 - 取得安全性控制項的設計與實作資訊	手動、已停用	1.1.1

持續監視方案

識別碼：FedRAMP High SA-4 (8) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
取得安全性控制持續監視計畫	CMA_C1577 - 取得安全性控制持續監視計畫	手動、已停用	1.1.0

使用中的功能/連接埠/通訊協定/服務

識別碼：FedRAMP High SA-4 (9) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
需要開發人員來識別 SDLC 連接埠、通訊協定及服務	CMA_C1578 - 需要開發人員來識別 SDLC 連接埠、通訊協定及服務	手動、已停用	1.1.0

使用核准的 PIV 產品

識別碼：FedRAMP High SA-4 (10) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
為 PIV 採用 FIPS 201 核准的技術	CMA_C1579 - 為 PIV 採用 FIPS 201 核准的技術	手動、已停用	1.1.0

資訊系統文件

識別碼：FedRAMP High SA-5 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
散發資訊系統文件	CMA_C1584 - 散發資訊系統文件	手動、已停用	1.1.0
記錄客戶定義的動作	CMA_C1582 - 記錄客戶定義的動作	手動、已停用	1.1.0
取得系統管理文件	CMA_C1580 - 取得系統管理文件	手動、已停用	1.1.0
取得使用者安全性功能文件	CMA_C1581 - 取得使用者安全性功能文件	手動、已停用	1.1.0
保護系統管理員和使用者文件	CMA_C1583 - 保護系統管理員和使用者文件	手動、已停用	1.1.0

外部資訊系統服務

識別碼：FedRAMP High SA-9 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
定義及記錄政府管理	CMA_C1587 - 定義及記錄政府管理	手動、已停用	1.1.0
要求外部服務提供者符合安全性需求	CMA_C1586 - 要求外部服務提供者符合安全性需求	手動、已停用	1.1.0
檢閱雲端服務提供者符合原則與合約規範的情況	CMA_0469 - 檢閱雲端服務提供者符合原則與合約規範的情況	手動、已停用	1.1.0
進行獨立安全性檢閱	CMA_0515 - 進行獨立安全性檢閱	手動、已停用	1.1.0

風險評量/組織核准

識別碼：FedRAMP High SA-9 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
評估協力廠商關聯性中的風險	CMA_0014 - 評估協力廠商關聯性中的風險	手動、已停用	1.1.0
取得收購和外包的核准	CMA_C1590 - 取得收購和外包的核准	手動、已停用	1.1.0

識別功能/連接埠/通訊協定/服務

識別碼：FedRAMP High SA-9 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
識別外部服務提供者	CMA_C1591 - 識別外部服務提供者	手動、已停用	1.1.0

取用者和提供者的利益一致

識別碼：FedRAMP High SA-9 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
確保外部提供者一致符合客戶的興趣	CMA_C1592 - 確保外部提供者一致符合客戶的興趣	手動、已停用	1.1.0

處理、儲存及服務位置

識別碼：FedRAMP High SA-9 (5) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
限制資訊處理、儲存和服務的位置	CMA_C1593 - 限制資訊處理、儲存和服務的位置	手動、已停用	1.1.0

開發人員組態管理

識別碼：FedRAMP High SA-10 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
解決編碼弱點	CMA_0003 - 解決編碼弱點	手動、已停用	1.1.0
制定及記錄應用程式安全性需求	CMA_0148 - 制定及記錄應用程式安全性需求	手動、已停用	1.1.0
記錄收購合約中的資訊系統環境	CMA_0205 - 記錄收購合約中的資訊系統環境	手動、已停用	1.1.0
建立安全的軟體開發計畫	CMA_0259 - 建立安全的軟體開發計畫	手動、已停用	1.1.0
執行弱點掃描	CMA_0393 - 執行弱點掃描	手動、已停用	1.1.0
補救資訊系統漏洞	CMA_0427 - 補救資訊系統漏洞	手動、已停用	1.1.0
需要開發人員記錄核准的變更和潛在影響	CMA_C1597 - 需要開發人員記錄核准的變更和潛在影響	手動、已停用	1.1.0
要求開發人員只實作核准的變更	CMA_C1596 - 要求開發人員只實作核准的變更	手動、已停用	1.1.0
需要開發人員管理變更完整性	CMA_C1595 - 要求開發人員管理變更完整性	手動、已停用	1.1.0

軟體/韌體完整性驗證

識別碼：FedRAMP High SA-10 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
驗證軟體、韌體和資訊完整性	CMA_0542 - 驗證軟體、韌體和資訊完整性	手動、已停用	1.1.0

開發人員安全性測試和評估

識別碼：FedRAMP High SA-11 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
執行弱點掃描	CMA_0393 - 執行弱點掃描	手動、已停用	1.1.0
補救資訊系統漏洞	CMA_0427 - 補救資訊系統漏洞	手動、已停用	1.1.0
需要開發人員產生安全性評量計劃執行的證明	CMA_C1602 - 需要開發人員產生安全性評量計劃執行的證明	手動、已停用	1.1.0

供應鏈保護

識別碼：FedRAMP High SA-12 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
評估協力廠商關聯性中的風險	CMA_0014 - 評估協力廠商關聯性中的風險	手動、已停用	1.1.0
定義供應商品及服務的需求	CMA_0126 - 定義供應商品及服務的需求	手動、已停用	1.1.0
決定供應商合約義務	CMA_0140 - 決定供應商合約義務	手動、已停用	1.1.0
建立供應鏈風險管理的原則	CMA_0275 - 建立供應鏈風險管理的原則	手動、已停用	1.1.0

開發程序、標準和工具

識別碼：FedRAMP High SA-15 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
檢閱開發程式、標準和工具	CMA_C1610 - 檢閱開發程式、標準和工具	手動、已停用	1.1.0

開發人員提供的定型

識別碼：FedRAMP High SA-16 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
需要開發人員提供訓練	CMA_C1611 - 需要開發人員提供訓練	手動、已停用	1.1.0

開發人員安全性架構和設計

識別碼：FedRAMP High SA-17 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
需要開發人員建置安全性架構	CMA_C1612 - 需要開發人員建置安全性架構	手動、已停用	1.1.0
需要開發人員描述正確的安全性功能	CMA_C1613 - 要求開發人員描述正確的安全性功能	手動、已停用	1.1.0
需要開發人員提供統一的安全性保護方法	CMA_C1614 - 需要開發人員提供統一的安全性保護方法	手動、已停用	1.1.0

系統與通訊保護

系統與通訊保護原則和程序

識別碼：FedRAMP High SC-1 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
檢閱並更新系統與通訊保護原則與程序	CMA_C1616 - 檢閱並更新系統與通訊保護原則與程序	手動、已停用	1.1.0

應用程式分割

識別碼：FedRAMP High SC-2 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
授權遠端存取	CMA_0024 - 授權遠端存取	手動、已停用	1.1.0
分隔使用者與資訊系統管理功能	CMA_0493 - 分隔使用者與資訊系統管理功能	手動、已停用	1.1.0
使用系統管理工作專用的電腦	CMA_0527 - 使用系統管理工作專用的電腦	手動、已停用	1.1.0

安全性功能隔離

識別碼：FedRAMP High SC-3 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
應啟用適用於伺服器的 Azure Defender	適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。	AuditIfNotExists, Disabled	1.0.3
應在您的機器上啟用 Windows Defender 惡意探索防護	Windows Defender 惡意探索防護會使用 Azure 原則客體設定代理程式。 「惡意探索防護」有四個元件，設計用來鎖定裝置，使其免於遭受惡意程式碼攻擊的各種攻擊和封鎖行為，同時讓企業能夠平衡本身的安全性風險和生產力需求 (僅限 Windows)。	AuditIfNotExists, Disabled	2.0.0

阻斷服務保護

識別碼：FedRAMP High SC-5 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
應該啟用 Azure DDoS 保護	所有虛擬網路只要其子網路屬於使用公用 IP 的應用程式閘道，就應啟用 DDoS 保護。	AuditIfNotExists, Disabled	3.0.1
Azure Front Door 進入點應啟用 Azure Web 應用程式防火牆	在公開的 Web 應用程式前方部署 Azure Web 應用程式防火牆 (WAF)，以另外檢查傳入的流量。 Web 應用程式防火牆 (WAF) 可集中保護 Web 應用程式，使其免於遭受常見惡意探索和弱點的攻擊，例如 SQL 插入式攻擊、跨網站指令碼攻擊、本機和遠端檔案執行。 您也可以透過自訂規則，來依國家/地區、IP 位址範圍和其他 http(s) 參數限制對 Web 應用程式的存取。	Audit, Deny, Disabled	1.0.2
制定並記錄 DDoS 回應計劃	CMA_0147 - 制定並記錄 DDoS 回應計劃	手動、已停用	1.1.0
應停用虛擬機器上的 IP 轉送	在虛擬機器的 NIC 上啟用 IP 轉送可讓機器接收傳送到其他目的地的流量。 IP 轉送是極少需要的功能 (例如，當將 VM 作為網路虛擬設備使用時)，因此，這應經過網路安全性小組檢閱。	AuditIfNotExists, Disabled	3.0.0
應為應用程式閘道啟用 Web 應用程式防火牆 (WAF)	在公開的 Web 應用程式前方部署 Azure Web 應用程式防火牆 (WAF)，以另外檢查傳入的流量。 Web 應用程式防火牆 (WAF) 可集中保護 Web 應用程式，使其免於遭受常見惡意探索和弱點的攻擊，例如 SQL 插入式攻擊、跨網站指令碼攻擊、本機和遠端檔案執行。 您也可以透過自訂規則，來依國家/地區、IP 位址範圍和其他 http(s) 參數限制對 Web 應用程式的存取。	Audit, Deny, Disabled	2.0.0

資源可用性

識別碼：FedRAMP High SC-6 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
控管資源的配置	CMA_0293 - 控管資源的配置	手動、已停用	1.1.0
管理可用性和容量	CMA_0356 - 管理可用性與容量	手動、已停用	1.1.0
確保領導者的承諾	CMA_0489 - 確保領導者的承諾	手動、已停用	1.1.0

界限保護

識別碼：FedRAMP High SC-7 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
[已被取代]: Azure 認知搜尋服務應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure 認知搜尋，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。	Audit, Disabled	1.0.1-deprecated
[已被取代]：認知服務應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 透過將私人端點對應至認知服務，您可以降低資料洩漏的可能性。 深入了解私人連結：https://go.microsoft.com/fwlink/?linkid=2129800。	Audit, Disabled	3.0.1-deprecated
[預覽]：所有網際網路流量都應透過您部署的 Azure 防火牆路由	Azure 資訊安全中心已識別出您的部分子網路未受新一代防火牆的保護。 使用 Azure 防火牆或支援的新一代防火牆來限制對子網路的存取，以保護子網路免於遭受潛在威脅	AuditIfNotExists, Disabled	3.0.0-preview
[預覽]：應禁止儲存體帳戶公用存取	以匿名的公開讀取權限來存取 Azure 儲存體中的容器和 Blob，是共用資料的便利方式，但也可能會帶來安全性風險。 為了防止不想要的匿名存取所造成的資料缺口，Microsoft 建議除非您的案例需要，否則避免公開存取儲存體帳戶。	稽核、稽核、拒絕、拒絕、停用、停用	3.1.0-preview
所有網路連接埠均應限制在與虛擬機器建立關聯的網路安全性群組	Azure 資訊安全中心發現您某些網路安全性群組的輸入規則過於寬鬆。 輸入規則不應允許來自「任何」或「網際網路」範圍的存取。 這可能會讓攻擊者鎖定您的資源。	AuditIfNotExists, Disabled	3.0.0
API 管理服務應使用虛擬網路	Azure 虛擬網路部署提供增強的安全性、隔離，並可讓您將 API 管理服務放在可控制存取權的非網際網路可路由網路中。 這些網路接著可以使用各種 VPN 技術連線到您的內部部署網路，以存取網路和/或內部部署內的後端服務。 開發人員入口網站與 API 閘道，可設定為從網際網路存取或只從虛擬網路內存取。	Audit, Deny, Disabled	1.0.2
應用程式設定應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至應用程式組態而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/appconfig/private-endpoint。	AuditIfNotExists, Disabled	1.0.2
Kubernetes Services 上應定義授權 IP 範圍	僅將 API 存取權授與特定範圍內的 IP 位址，以限制對 Kubernetes Service 管理 API 的存取。 建議僅限存取授權 IP 範圍，以確保只有來自允許網路的應用程式可以存取叢集。	Audit, Disabled	2.0.1
Azure AI 服務資源應限制網路存取	藉由限制網路存取，您可以確保只有允許的網路可以存取服務。 可以藉由設定網路規則，只有來自允許網路的應用程式才能存取 Azure AI 服務來達成這項操作。	Audit, Deny, Disabled	3.2.0
Azure API for FHIR 應該使用私人連結	Azure API for FHIR 應該至少有一個已核准的私人端點連結。 虛擬網路中的用戶端可以安全地存取透過私人連結而擁有私人端點連線的資源。 如需詳細資訊，請瀏覽：https://aka.ms/fhir-privatelink。	Audit, Disabled	1.0.0
Azure Cache for Redis 應使用私人連結	私人端點可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 只要將私人端點對應到您的 Azure Cache for Redis 執行個體，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link。	AuditIfNotExists, Disabled	1.0.0
Azure 認知搜尋服務應使用支援私人連結的 SKU	使用支援 Azure 認知搜尋的 SKU，Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到您的搜尋服務，就能降低資料外洩的風險。 深入了解：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。	Audit, Deny, Disabled	1.0.0
Azure 認知搜尋服務應停用公用網路存取	停用公用網路存取可確保 Azure 認知搜尋服務不會在公用網際網路上公開，進而改善安全性。 建立私人端點可限制您搜尋服務的曝光。 深入了解：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。	Audit, Deny, Disabled	1.0.0
Azure Cosmos DB 帳戶應具有防火牆規則	應在您的 Azure Cosmos DB 帳戶上定義防火牆規則，以防止來自未經授權來源的流量。 若帳戶至少有一個已啟用虛擬網路篩選器定義之 IP 規則，系統會將其視為符合規範。 停用公用存取的帳戶也會視為符合規範。	Audit, Deny, Disabled	2.1.0
Azure Data Factory 應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure Data Factory，就能降低資料外洩的風險。 深入了解私人連結：https://docs.microsoft.com/azure/data-factory/data-factory-private-link。	AuditIfNotExists, Disabled	1.0.0
Azure 事件方格網域應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 網域而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。	Audit, Disabled	1.0.2
Azure 事件方格主題應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 主題而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。	Audit, Disabled	1.0.2
Azure 檔案同步應使用私人連結	為指定的儲存體同步服務資源建立私人端點，可讓您從組織網路的私人 IP 位址空間中定址儲存體同步服務資源，而非透過網際網路存取的公用端點。 建立私人端點並不會停用公用端點。	AuditIfNotExists, Disabled	1.0.0
Azure Key Vault 應該啟用防火牆	啟用金鑰保存庫防火牆，以便金鑰保存庫根據預設無法藉由任何公用 IP 進行存取。 (選擇性) 您可以設定特定的 IP 範圍以限制對這些網路的存取。 深入了解：https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Deny, Disabled	3.2.1
Azure Key Vault 應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的金鑰保存庫，就能降低資料外洩風險。 深入了解私人連結：https://aka.ms/akvprivatelink。	[parameters('audit_effect')]	1.2.1
Azure Machine Learning 工作區應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Azure Machine Learning 工作區，可降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link。	Audit, Disabled	1.0.0
Azure 服務匯流排命名空間應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到服務匯流排命名空間，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/service-bus-messaging/private-link-service。	AuditIfNotExists, Disabled	1.0.0
Azure SignalR Service 應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 Azure SignalR Service 資源而非整個服務，您可以降低資料外洩風險。 深入了解私人連結：https://aka.ms/asrs/privatelink。	Audit, Disabled	1.0.0
Azure Synapse 工作區應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至 Azure Synapse 工作區，藉此降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links。	Audit, Disabled	1.0.1
Azure Front Door 進入點應啟用 Azure Web 應用程式防火牆	在公開的 Web 應用程式前方部署 Azure Web 應用程式防火牆 (WAF)，以另外檢查傳入的流量。 Web 應用程式防火牆 (WAF) 可集中保護 Web 應用程式，使其免於遭受常見惡意探索和弱點的攻擊，例如 SQL 插入式攻擊、跨網站指令碼攻擊、本機和遠端檔案執行。 您也可以透過自訂規則，來依國家/地區、IP 位址範圍和其他 http(s) 參數限制對 Web 應用程式的存取。	Audit, Deny, Disabled	1.0.2
Azure Web PubSub 服務應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 Azure Web PubSub 服務，就可以降低資料外洩風險。 深入了解私人連結：https://aka.ms/awps/privatelink。	Audit, Disabled	1.0.0
不應允許不受限制的網路存取	根據預設，Azure 容器登錄會接受任何網路上的主機透過網際網路的連線。 為了保護登錄不受潛在威脅的影響，請只允許來自特定私人端點、公用 IP 位址或位址範圍的存取。 如果登錄沒有已設定的網路規則，則會出現在狀況不良的資源中。 在這裡深入了解 Azure Container Registry 網路規則：https://aka.ms/acr/privatelink、 https://aka.ms/acr/portal/public-network 和 https://aka.ms/acr/vnet。	Audit, Deny, Disabled	2.0.0
容器登錄應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。藉由將私人端點對應至容器登錄而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/acr/private-link。	Audit, Disabled	1.0.1
CosmosDB 帳戶應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的 CosmosDB 帳戶，資料外洩風險就會降低。 深入了解私人連結：https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints。	Audit, Disabled	1.0.0
磁碟存取資源應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 diskAccesses，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/disksprivatelinksdoc。	AuditIfNotExists, Disabled	1.0.0
事件中樞命名空間應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至事件中樞命名空間，可降低資料洩漏風險。 深入了解：https://docs.microsoft.com/azure/event-hubs/private-link-service。	AuditIfNotExists, Disabled	1.0.0
實作系統邊界保護	CMA_0328 - 實作系統邊界保護	手動、已停用	1.1.0
應使用網路安全性群組保護網際網路對應的虛擬機器	使用網路安全性群組 (NSG) 限制對虛擬機器的存取，以保護您的虛擬機器遠離潛在威脅。 若要深入了解如何使用 NSG 控制流量，請造訪 https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
IoT 中樞裝置佈建服務執行個體應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 IoT 中樞裝置佈建服務，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/iotdpsvnet。	Audit, Disabled	1.0.0
應停用虛擬機器上的 IP 轉送	在虛擬機器的 NIC 上啟用 IP 轉送可讓機器接收傳送到其他目的地的流量。 IP 轉送是極少需要的功能 (例如，當將 VM 作為網路虛擬設備使用時)，因此，這應經過網路安全性小組檢閱。	AuditIfNotExists, Disabled	3.0.0
應使用 Just-In-Time 網路存取控制來保護虛擬機器的管理連接埠	Azure 資訊安全中心會依建議監視可能的網路 Just-In-Time (JIT) 存取	AuditIfNotExists, Disabled	3.0.0
應關閉虛擬機器上的管理連接埠	開放的遠端管理連接埠會使您的 VM 暴露在網際網路攻擊的高風險之下。 這些攻擊會嘗試對認證發動暴力密碼破解攻擊，來取得機器的系統管理員存取權。	AuditIfNotExists, Disabled	3.0.0
應使用網路安全性群組保護非網際網路對應的虛擬機器	使用網路安全性群組 (NSG) 限制存取，以保護您非網際網路對應的虛擬機器遠離潛在威脅。 若要深入了解如何使用 NSG 控制流量，請造訪 https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
應對 Azure SQL Database 啟用私人端點連線	私人端點連線透過啟用與 Azure SQL Database 的私人連線，可強制執行安全通訊。	Audit, Disabled	1.1.0
MariaDB 伺服器應啟用私人端點	私人端點連線透過啟用與適用於 MariaDB 的 Azure 資料庫的私人連線，可強制執行安全通訊。 設定私人端點連線，僅存取來自已知網路的流量，並防止其他所有 IP 位址 (包括 Azure 內) 的存取。	AuditIfNotExists, Disabled	1.0.2
MySQL 伺服器應啟用私人端點	私人端點連線透過啟用與適用於 MySQL 的 Azure 資料庫的私人連線，可強制執行安全通訊。 設定私人端點連線，僅存取來自已知網路的流量，並防止其他所有 IP 位址 (包括 Azure 內) 的存取。	AuditIfNotExists, Disabled	1.0.2
PostgreSQL 伺服器應啟用私人端點	私人端點連線透過啟用與適用於 PostgreSQL 的 Azure 資料庫的私人連線，可強制執行安全通訊。 設定私人端點連線，僅存取來自已知網路的流量，並防止其他所有 IP 位址 (包括 Azure 內) 的存取。	AuditIfNotExists, Disabled	1.0.2
應對 Azure SQL Database 停用公用網路存取	停用公用網路存取屬性可確保您的 Azure SQL Database 只能從私人端點存取，藉此改善安全性。 此設定會拒絕所有符合 IP 或虛擬網路型防火牆規則的登入。	Audit, Deny, Disabled	1.1.0
應為 MariaDB 伺服器停用公用網路存取	停用公用網路存取屬性可確保適用於 MariaDB 的 Azure 資料庫只能從私人端點存取，藉此改善安全性。 此設定會嚴格停用從 Azure IP 範圍外任何公用位址空間進行的存取，並拒絕所有符合 IP 或虛擬網路型防火牆規則的登入。	Audit, Deny, Disabled	2.0.0
應為 MySQL 伺服器停用公用網路存取	停用公用網路存取屬性可確保適用於 MySQL 的 Azure 資料庫只能從私人端點存取，藉此改善安全性。 此設定會嚴格停用從 Azure IP 範圍外任何公用位址空間進行的存取，並拒絕所有符合 IP 或虛擬網路型防火牆規則的登入。	Audit, Deny, Disabled	2.0.0
應為 PostgreSQL 伺服器停用公用網路存取	停用公用網路存取屬性可確保適用於 PostgreSQL 的 Azure 資料庫只能從私人端點存取，藉此改善安全性。 此設定會停用從 Azure IP 範圍外任何公用位址空間進行的存取，並拒絕所有符合 IP 或虛擬網路型防火牆規則的登入。	Audit, Deny, Disabled	2.0.1
儲存體帳戶應限制網路存取	應限制對儲存體帳戶的網路存取。 請設定網路規則，只允許來自認可之網路的應用程式存取儲存體帳戶。 若要允許來自特定網際網路或內部部署用戶端的連線，可將存取權授與來自特定 Azure 虛擬網路的流量，或授與公用網際網路 IP 位址範圍	Audit, Deny, Disabled	1.1.1
儲存體帳戶應使用虛擬網路規則來限制網路存取	使用虛擬網路規則作為慣用方法而非 IP 型篩選，可為您的儲存體帳戶抵禦潛在威脅。 停用 IP 型篩選可防止公用 IP 存取您的儲存體帳戶。	Audit, Deny, Disabled	1.0.1
儲存體帳戶應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的儲存體帳戶，資料外洩風險就會降低。 深入了解私人連結，請造訪 https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, Disabled	2.0.0
子網路應該與網路安全性群組建立關聯	使用網路安全性群組 (NSG) 限制 VM 的存取，保護您的子網路遠離潛在威脅。 NSG 包含存取控制清單 (ACL) 規則的清單，可允許或拒絕子網路的網路流量。	AuditIfNotExists, Disabled	3.0.0
VM 映像產生器範本應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 VM Image Builder 建置資源，資料外洩風險就會降低。 深入了解私人連結：https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet。	稽核、停用、拒絕	1.1.0
應為應用程式閘道啟用 Web 應用程式防火牆 (WAF)	在公開的 Web 應用程式前方部署 Azure Web 應用程式防火牆 (WAF)，以另外檢查傳入的流量。 Web 應用程式防火牆 (WAF) 可集中保護 Web 應用程式，使其免於遭受常見惡意探索和弱點的攻擊，例如 SQL 插入式攻擊、跨網站指令碼攻擊、本機和遠端檔案執行。 您也可以透過自訂規則，來依國家/地區、IP 位址範圍和其他 http(s) 參數限制對 Web 應用程式的存取。	Audit, Deny, Disabled	2.0.0

存取點

識別碼：FedRAMP High SC-7 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
[已被取代]: Azure 認知搜尋服務應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure 認知搜尋，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。	Audit, Disabled	1.0.1-deprecated
[已被取代]：認知服務應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 透過將私人端點對應至認知服務，您可以降低資料洩漏的可能性。 深入了解私人連結：https://go.microsoft.com/fwlink/?linkid=2129800。	Audit, Disabled	3.0.1-deprecated
[預覽]：所有網際網路流量都應透過您部署的 Azure 防火牆路由	Azure 資訊安全中心已識別出您的部分子網路未受新一代防火牆的保護。 使用 Azure 防火牆或支援的新一代防火牆來限制對子網路的存取，以保護子網路免於遭受潛在威脅	AuditIfNotExists, Disabled	3.0.0-preview
[預覽]：應禁止儲存體帳戶公用存取	以匿名的公開讀取權限來存取 Azure 儲存體中的容器和 Blob，是共用資料的便利方式，但也可能會帶來安全性風險。 為了防止不想要的匿名存取所造成的資料缺口，Microsoft 建議除非您的案例需要，否則避免公開存取儲存體帳戶。	稽核、稽核、拒絕、拒絕、停用、停用	3.1.0-preview
所有網路連接埠均應限制在與虛擬機器建立關聯的網路安全性群組	Azure 資訊安全中心發現您某些網路安全性群組的輸入規則過於寬鬆。 輸入規則不應允許來自「任何」或「網際網路」範圍的存取。 這可能會讓攻擊者鎖定您的資源。	AuditIfNotExists, Disabled	3.0.0
API 管理服務應使用虛擬網路	Azure 虛擬網路部署提供增強的安全性、隔離，並可讓您將 API 管理服務放在可控制存取權的非網際網路可路由網路中。 這些網路接著可以使用各種 VPN 技術連線到您的內部部署網路，以存取網路和/或內部部署內的後端服務。 開發人員入口網站與 API 閘道，可設定為從網際網路存取或只從虛擬網路內存取。	Audit, Deny, Disabled	1.0.2
應用程式設定應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至應用程式組態而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/appconfig/private-endpoint。	AuditIfNotExists, Disabled	1.0.2
Kubernetes Services 上應定義授權 IP 範圍	僅將 API 存取權授與特定範圍內的 IP 位址，以限制對 Kubernetes Service 管理 API 的存取。 建議僅限存取授權 IP 範圍，以確保只有來自允許網路的應用程式可以存取叢集。	Audit, Disabled	2.0.1
Azure AI 服務資源應限制網路存取	藉由限制網路存取，您可以確保只有允許的網路可以存取服務。 可以藉由設定網路規則，只有來自允許網路的應用程式才能存取 Azure AI 服務來達成這項操作。	Audit, Deny, Disabled	3.2.0
Azure API for FHIR 應該使用私人連結	Azure API for FHIR 應該至少有一個已核准的私人端點連結。 虛擬網路中的用戶端可以安全地存取透過私人連結而擁有私人端點連線的資源。 如需詳細資訊，請瀏覽：https://aka.ms/fhir-privatelink。	Audit, Disabled	1.0.0
Azure Cache for Redis 應使用私人連結	私人端點可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 只要將私人端點對應到您的 Azure Cache for Redis 執行個體，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link。	AuditIfNotExists, Disabled	1.0.0
Azure 認知搜尋服務應使用支援私人連結的 SKU	使用支援 Azure 認知搜尋的 SKU，Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到您的搜尋服務，就能降低資料外洩的風險。 深入了解：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。	Audit, Deny, Disabled	1.0.0
Azure 認知搜尋服務應停用公用網路存取	停用公用網路存取可確保 Azure 認知搜尋服務不會在公用網際網路上公開，進而改善安全性。 建立私人端點可限制您搜尋服務的曝光。 深入了解：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。	Audit, Deny, Disabled	1.0.0
Azure Cosmos DB 帳戶應具有防火牆規則	應在您的 Azure Cosmos DB 帳戶上定義防火牆規則，以防止來自未經授權來源的流量。 若帳戶至少有一個已啟用虛擬網路篩選器定義之 IP 規則，系統會將其視為符合規範。 停用公用存取的帳戶也會視為符合規範。	Audit, Deny, Disabled	2.1.0
Azure Data Factory 應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure Data Factory，就能降低資料外洩的風險。 深入了解私人連結：https://docs.microsoft.com/azure/data-factory/data-factory-private-link。	AuditIfNotExists, Disabled	1.0.0
Azure 事件方格網域應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 網域而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。	Audit, Disabled	1.0.2
Azure 事件方格主題應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 主題而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。	Audit, Disabled	1.0.2
Azure 檔案同步應使用私人連結	為指定的儲存體同步服務資源建立私人端點，可讓您從組織網路的私人 IP 位址空間中定址儲存體同步服務資源，而非透過網際網路存取的公用端點。 建立私人端點並不會停用公用端點。	AuditIfNotExists, Disabled	1.0.0
Azure Key Vault 應該啟用防火牆	啟用金鑰保存庫防火牆，以便金鑰保存庫根據預設無法藉由任何公用 IP 進行存取。 (選擇性) 您可以設定特定的 IP 範圍以限制對這些網路的存取。 深入了解：https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Deny, Disabled	3.2.1
Azure Key Vault 應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的金鑰保存庫，就能降低資料外洩風險。 深入了解私人連結：https://aka.ms/akvprivatelink。	[parameters('audit_effect')]	1.2.1
Azure Machine Learning 工作區應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Azure Machine Learning 工作區，可降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link。	Audit, Disabled	1.0.0
Azure 服務匯流排命名空間應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到服務匯流排命名空間，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/service-bus-messaging/private-link-service。	AuditIfNotExists, Disabled	1.0.0
Azure SignalR Service 應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 Azure SignalR Service 資源而非整個服務，您可以降低資料外洩風險。 深入了解私人連結：https://aka.ms/asrs/privatelink。	Audit, Disabled	1.0.0
Azure Synapse 工作區應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至 Azure Synapse 工作區，藉此降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links。	Audit, Disabled	1.0.1
Azure Front Door 進入點應啟用 Azure Web 應用程式防火牆	在公開的 Web 應用程式前方部署 Azure Web 應用程式防火牆 (WAF)，以另外檢查傳入的流量。 Web 應用程式防火牆 (WAF) 可集中保護 Web 應用程式，使其免於遭受常見惡意探索和弱點的攻擊，例如 SQL 插入式攻擊、跨網站指令碼攻擊、本機和遠端檔案執行。 您也可以透過自訂規則，來依國家/地區、IP 位址範圍和其他 http(s) 參數限制對 Web 應用程式的存取。	Audit, Deny, Disabled	1.0.2
Azure Web PubSub 服務應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 Azure Web PubSub 服務，就可以降低資料外洩風險。 深入了解私人連結：https://aka.ms/awps/privatelink。	Audit, Disabled	1.0.0
不應允許不受限制的網路存取	根據預設，Azure 容器登錄會接受任何網路上的主機透過網際網路的連線。 為了保護登錄不受潛在威脅的影響，請只允許來自特定私人端點、公用 IP 位址或位址範圍的存取。 如果登錄沒有已設定的網路規則，則會出現在狀況不良的資源中。 在這裡深入了解 Azure Container Registry 網路規則：https://aka.ms/acr/privatelink、 https://aka.ms/acr/portal/public-network 和 https://aka.ms/acr/vnet。	Audit, Deny, Disabled	2.0.0
容器登錄應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。藉由將私人端點對應至容器登錄而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/acr/private-link。	Audit, Disabled	1.0.1
CosmosDB 帳戶應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的 CosmosDB 帳戶，資料外洩風險就會降低。 深入了解私人連結：https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints。	Audit, Disabled	1.0.0
磁碟存取資源應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 diskAccesses，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/disksprivatelinksdoc。	AuditIfNotExists, Disabled	1.0.0
事件中樞命名空間應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至事件中樞命名空間，可降低資料洩漏風險。 深入了解：https://docs.microsoft.com/azure/event-hubs/private-link-service。	AuditIfNotExists, Disabled	1.0.0
應使用網路安全性群組保護網際網路對應的虛擬機器	使用網路安全性群組 (NSG) 限制對虛擬機器的存取，以保護您的虛擬機器遠離潛在威脅。 若要深入了解如何使用 NSG 控制流量，請造訪 https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
IoT 中樞裝置佈建服務執行個體應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 IoT 中樞裝置佈建服務，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/iotdpsvnet。	Audit, Disabled	1.0.0
應停用虛擬機器上的 IP 轉送	在虛擬機器的 NIC 上啟用 IP 轉送可讓機器接收傳送到其他目的地的流量。 IP 轉送是極少需要的功能 (例如，當將 VM 作為網路虛擬設備使用時)，因此，這應經過網路安全性小組檢閱。	AuditIfNotExists, Disabled	3.0.0
應使用 Just-In-Time 網路存取控制來保護虛擬機器的管理連接埠	Azure 資訊安全中心會依建議監視可能的網路 Just-In-Time (JIT) 存取	AuditIfNotExists, Disabled	3.0.0
應關閉虛擬機器上的管理連接埠	開放的遠端管理連接埠會使您的 VM 暴露在網際網路攻擊的高風險之下。 這些攻擊會嘗試對認證發動暴力密碼破解攻擊，來取得機器的系統管理員存取權。	AuditIfNotExists, Disabled	3.0.0
應使用網路安全性群組保護非網際網路對應的虛擬機器	使用網路安全性群組 (NSG) 限制存取，以保護您非網際網路對應的虛擬機器遠離潛在威脅。 若要深入了解如何使用 NSG 控制流量，請造訪 https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
應對 Azure SQL Database 啟用私人端點連線	私人端點連線透過啟用與 Azure SQL Database 的私人連線，可強制執行安全通訊。	Audit, Disabled	1.1.0
MariaDB 伺服器應啟用私人端點	私人端點連線透過啟用與適用於 MariaDB 的 Azure 資料庫的私人連線，可強制執行安全通訊。 設定私人端點連線，僅存取來自已知網路的流量，並防止其他所有 IP 位址 (包括 Azure 內) 的存取。	AuditIfNotExists, Disabled	1.0.2
MySQL 伺服器應啟用私人端點	私人端點連線透過啟用與適用於 MySQL 的 Azure 資料庫的私人連線，可強制執行安全通訊。 設定私人端點連線，僅存取來自已知網路的流量，並防止其他所有 IP 位址 (包括 Azure 內) 的存取。	AuditIfNotExists, Disabled	1.0.2
PostgreSQL 伺服器應啟用私人端點	私人端點連線透過啟用與適用於 PostgreSQL 的 Azure 資料庫的私人連線，可強制執行安全通訊。 設定私人端點連線，僅存取來自已知網路的流量，並防止其他所有 IP 位址 (包括 Azure 內) 的存取。	AuditIfNotExists, Disabled	1.0.2
應對 Azure SQL Database 停用公用網路存取	停用公用網路存取屬性可確保您的 Azure SQL Database 只能從私人端點存取，藉此改善安全性。 此設定會拒絕所有符合 IP 或虛擬網路型防火牆規則的登入。	Audit, Deny, Disabled	1.1.0
應為 MariaDB 伺服器停用公用網路存取	停用公用網路存取屬性可確保適用於 MariaDB 的 Azure 資料庫只能從私人端點存取，藉此改善安全性。 此設定會嚴格停用從 Azure IP 範圍外任何公用位址空間進行的存取，並拒絕所有符合 IP 或虛擬網路型防火牆規則的登入。	Audit, Deny, Disabled	2.0.0
應為 MySQL 伺服器停用公用網路存取	停用公用網路存取屬性可確保適用於 MySQL 的 Azure 資料庫只能從私人端點存取，藉此改善安全性。 此設定會嚴格停用從 Azure IP 範圍外任何公用位址空間進行的存取，並拒絕所有符合 IP 或虛擬網路型防火牆規則的登入。	Audit, Deny, Disabled	2.0.0
應為 PostgreSQL 伺服器停用公用網路存取	停用公用網路存取屬性可確保適用於 PostgreSQL 的 Azure 資料庫只能從私人端點存取，藉此改善安全性。 此設定會停用從 Azure IP 範圍外任何公用位址空間進行的存取，並拒絕所有符合 IP 或虛擬網路型防火牆規則的登入。	Audit, Deny, Disabled	2.0.1
儲存體帳戶應限制網路存取	應限制對儲存體帳戶的網路存取。 請設定網路規則，只允許來自認可之網路的應用程式存取儲存體帳戶。 若要允許來自特定網際網路或內部部署用戶端的連線，可將存取權授與來自特定 Azure 虛擬網路的流量，或授與公用網際網路 IP 位址範圍	Audit, Deny, Disabled	1.1.1
儲存體帳戶應使用虛擬網路規則來限制網路存取	使用虛擬網路規則作為慣用方法而非 IP 型篩選，可為您的儲存體帳戶抵禦潛在威脅。 停用 IP 型篩選可防止公用 IP 存取您的儲存體帳戶。	Audit, Deny, Disabled	1.0.1
儲存體帳戶應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的儲存體帳戶，資料外洩風險就會降低。 深入了解私人連結，請造訪 https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, Disabled	2.0.0
子網路應該與網路安全性群組建立關聯	使用網路安全性群組 (NSG) 限制 VM 的存取，保護您的子網路遠離潛在威脅。 NSG 包含存取控制清單 (ACL) 規則的清單，可允許或拒絕子網路的網路流量。	AuditIfNotExists, Disabled	3.0.0
VM 映像產生器範本應使用私人連結	Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 VM Image Builder 建置資源，資料外洩風險就會降低。 深入了解私人連結：https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet。	稽核、停用、拒絕	1.1.0
應為應用程式閘道啟用 Web 應用程式防火牆 (WAF)	在公開的 Web 應用程式前方部署 Azure Web 應用程式防火牆 (WAF)，以另外檢查傳入的流量。 Web 應用程式防火牆 (WAF) 可集中保護 Web 應用程式，使其免於遭受常見惡意探索和弱點的攻擊，例如 SQL 插入式攻擊、跨網站指令碼攻擊、本機和遠端檔案執行。 您也可以透過自訂規則，來依國家/地區、IP 位址範圍和其他 http(s) 參數限制對 Web 應用程式的存取。	Audit, Deny, Disabled	2.0.0

外部電信服務

識別碼：FedRAMP High SC-7 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
為每個外部服務實作受管理介面	CMA_C1626 - 為每個外部服務實作受管理介面	手動、已停用	1.1.0
實作系統邊界保護	CMA_0328 - 實作系統邊界保護	手動、已停用	1.1.0
保護外部系統介面的安全	CMA_0491 - 保護外部系統介面的安全	手動、已停用	1.1.0

防止遠端裝置分割通道

識別碼：FedRAMP High SC-7 (7) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
防止遠端裝置分割通道	CMA_C1632 - 防止遠端裝置分割通道	手動、已停用	1.1.0

將流量路由傳送到已驗證的 Proxy 伺服器

識別碼：FedRAMP High SC-7 (8) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
透過已驗證的 Proxy 網路路由傳送流量	CMA_C1633 - 透過已驗證的 Proxy 網路路由傳送流量	手動、已停用	1.1.0

主機型保護

識別碼：FedRAMP High SC-7 (12) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作系統邊界保護	CMA_0328 - 實作系統邊界保護	手動、已停用	1.1.0

隔離安全性工具/機制/支援元件

識別碼：FedRAMP High SC-7 (13) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
隔離 SecurID 系統、安全性事件管理系統	CMA_C1636 - 隔離 SecurID 系統、安全性事件管理系統	手動、已停用	1.1.0

保護失敗

識別碼：FedRAMP High SC-7 (18) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作系統邊界保護	CMA_0328 - 實作系統邊界保護	手動、已停用	1.1.0
管理待命和使用中系統元件之間的傳輸	CMA_0371 - 管理待命和使用中系統元件之間的傳輸	手動、已停用	1.1.0

動態隔離/分隔

識別碼：FedRAMP High SC-7 (20) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
確認系統能夠動態隔離資源	CMA_C1638 - 確認系統能夠動態隔離資源	手動、已停用	1.1.0

隔離資訊系統元件

識別碼：FedRAMP High SC-7 (21) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
採用界限保護來隔離資訊系統	CMA_C1639 - 採用界限保護來隔離資訊系統	手動、已停用	1.1.0

傳輸機密性和完整性

識別碼：FedRAMP High SC-8 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
應該僅限透過 HTTPS 來存取 App Service 應用程式	使用 HTTPS 可確保伺服器/服務驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。	稽核、停用、拒絕	4.0.0
App Service 應用程式應只需要 FTPS	啟用 FTPS 強制執行以增強安全性。	AuditIfNotExists, Disabled	3.0.0
App Service 應用程式應使用最新的 TLS 版本	基於安全性缺陷，TLS 會定期發行較新的版本，包含其他功能與加速。 針對 App Service 應用程式升級至最新的 TLS 版本，以充分運用最新版本的安全性修正程式和/或新功能 (如果有的話)。	AuditIfNotExists, Disabled	2.1.0
Azure HDInsight 叢集在傳輸時應使用加密，對 Azure HDInsight 叢集節點之間的通訊進行加密	在 Azure HDInsight 叢集節點之間傳輸期間，資料可能會遭到竄改。 啟用傳輸中加密可解決在此傳輸期間誤用和竄改的問題。	Audit, Deny, Disabled	1.0.0
應為 MySQL 資料庫伺服器啟用 [強制執行 SSL 連線]	適用於 MySQL 的 Azure 資料庫支援使用安全通訊端層 (SSL)，將適用於 MySQL 的 Azure 資料庫伺服器連線至用戶端應用程式。 在您的資料庫伺服器和用戶端應用程式之間強制使用 SSL 連線，可將兩者之間的資料流加密，有助於抵禦「中間人」攻擊。 此設定會強制一律啟用 SSL，以存取您的資料庫伺服器。	Audit, Disabled	1.0.1
應為 PostgreSQL 資料庫伺服器啟用 [強制執行 SSL 連線]	適用於 PostgreSQL 的 Azure 資料庫支援使用安全通訊端層 (SSL)，將適用於 PostgreSQL 的 Azure 資料庫伺服器連線至用戶端應用程式。 在您的資料庫伺服器和用戶端應用程式之間強制使用 SSL 連線，可將兩者之間的資料流加密，有助於抵禦「中間人」攻擊。 此設定會強制一律啟用 SSL，以存取您的資料庫伺服器。	Audit, Disabled	1.0.1
應只能透過 HTTPS 存取函數應用程式	使用 HTTPS 可確保伺服器/服務驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。	稽核、停用、拒絕	5.0.0
函數應用程式應只需要 FTPS	啟用 FTPS 強制執行以增強安全性。	AuditIfNotExists, Disabled	3.0.0
函數應用程式應使用最新的 TLS 版本	基於安全性缺陷，TLS 會定期發行較新的版本，包含其他功能與加速。 針對函數應用程式升級至最新的 TLS 版本，以充分運用最新版本的安全性修正程式和/或新功能 (如果有的話)。	AuditIfNotExists, Disabled	2.1.0
Kubernetes 叢集應只能經由 HTTPS 存取	使用 HTTPS 可確保驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。 這個功能目前正常適合 Kubernetes 服務 (AKS)，以及已啟用 Azure Arc 的 Kubernetes 的預覽版。 如需詳細資訊，請造訪 https://aka.ms/kubepolicydoc	稽核、稽核、拒絕、拒絕、停用、停用	8.2.0
只允許對您 Azure Cache for Redis 的安全連線	稽核只允許透過 SSL 對 Azure Cache for Redis 進行連線。 使用安全連線可確保伺服器與服務之間的驗證，避免傳輸中的資料遭受網路層的攻擊，例如中間人攻擊、竊聽及工作階段劫持	Audit, Deny, Disabled	1.0.0
使用加密保護傳輸中的資料	CMA_0403 - 使用加密保護傳輸中的資料	手動、已停用	1.1.0
使用加密保護密碼	CMA_0408 - 使用加密保護密碼	手動、已停用	1.1.0
應啟用儲存體帳戶的安全傳輸	稽核儲存體帳戶中安全傳輸的需求。 安全傳輸這個選項會強制您的儲存體帳戶僅接受來自安全連線 (HTTPS) 的要求。 使用 HTTPS 可確保伺服器與服務之間的驗證，避免傳輸中的資料遭受網路層的攻擊，例如中間人攻擊、竊聽及工作階段劫持	Audit, Deny, Disabled	2.0.0
Windows 機器應設定為使用安全通訊協定	若要保護透過網際網路通訊的資訊隱私權，您的機器應使用最新版的業界標準密碼編譯通訊協定，即傳輸層安全性 (TLS)。 TLS 會藉由加密機器之間的連線來保護透過網路的通訊。	AuditIfNotExists, Disabled	4.1.1

密碼編譯或替代實體保護

識別碼：FedRAMP High SC-8 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
應該僅限透過 HTTPS 來存取 App Service 應用程式	使用 HTTPS 可確保伺服器/服務驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。	稽核、停用、拒絕	4.0.0
App Service 應用程式應只需要 FTPS	啟用 FTPS 強制執行以增強安全性。	AuditIfNotExists, Disabled	3.0.0
App Service 應用程式應使用最新的 TLS 版本	基於安全性缺陷，TLS 會定期發行較新的版本，包含其他功能與加速。 針對 App Service 應用程式升級至最新的 TLS 版本，以充分運用最新版本的安全性修正程式和/或新功能 (如果有的話)。	AuditIfNotExists, Disabled	2.1.0
Azure HDInsight 叢集在傳輸時應使用加密，對 Azure HDInsight 叢集節點之間的通訊進行加密	在 Azure HDInsight 叢集節點之間傳輸期間，資料可能會遭到竄改。 啟用傳輸中加密可解決在此傳輸期間誤用和竄改的問題。	Audit, Deny, Disabled	1.0.0
設定工作站以檢查數位憑證	CMA_0073 - 設定工作站以檢查數位憑證	手動、已停用	1.1.0
應為 MySQL 資料庫伺服器啟用 [強制執行 SSL 連線]	適用於 MySQL 的 Azure 資料庫支援使用安全通訊端層 (SSL)，將適用於 MySQL 的 Azure 資料庫伺服器連線至用戶端應用程式。 在您的資料庫伺服器和用戶端應用程式之間強制使用 SSL 連線，可將兩者之間的資料流加密，有助於抵禦「中間人」攻擊。 此設定會強制一律啟用 SSL，以存取您的資料庫伺服器。	Audit, Disabled	1.0.1
應為 PostgreSQL 資料庫伺服器啟用 [強制執行 SSL 連線]	適用於 PostgreSQL 的 Azure 資料庫支援使用安全通訊端層 (SSL)，將適用於 PostgreSQL 的 Azure 資料庫伺服器連線至用戶端應用程式。 在您的資料庫伺服器和用戶端應用程式之間強制使用 SSL 連線，可將兩者之間的資料流加密，有助於抵禦「中間人」攻擊。 此設定會強制一律啟用 SSL，以存取您的資料庫伺服器。	Audit, Disabled	1.0.1
應只能透過 HTTPS 存取函數應用程式	使用 HTTPS 可確保伺服器/服務驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。	稽核、停用、拒絕	5.0.0
函數應用程式應只需要 FTPS	啟用 FTPS 強制執行以增強安全性。	AuditIfNotExists, Disabled	3.0.0
函數應用程式應使用最新的 TLS 版本	基於安全性缺陷，TLS 會定期發行較新的版本，包含其他功能與加速。 針對函數應用程式升級至最新的 TLS 版本，以充分運用最新版本的安全性修正程式和/或新功能 (如果有的話)。	AuditIfNotExists, Disabled	2.1.0
Kubernetes 叢集應只能經由 HTTPS 存取	使用 HTTPS 可確保驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。 這個功能目前正常適合 Kubernetes 服務 (AKS)，以及已啟用 Azure Arc 的 Kubernetes 的預覽版。 如需詳細資訊，請造訪 https://aka.ms/kubepolicydoc	稽核、稽核、拒絕、拒絕、停用、停用	8.2.0
只允許對您 Azure Cache for Redis 的安全連線	稽核只允許透過 SSL 對 Azure Cache for Redis 進行連線。 使用安全連線可確保伺服器與服務之間的驗證，避免傳輸中的資料遭受網路層的攻擊，例如中間人攻擊、竊聽及工作階段劫持	Audit, Deny, Disabled	1.0.0
應啟用儲存體帳戶的安全傳輸	稽核儲存體帳戶中安全傳輸的需求。 安全傳輸這個選項會強制您的儲存體帳戶僅接受來自安全連線 (HTTPS) 的要求。 使用 HTTPS 可確保伺服器與服務之間的驗證，避免傳輸中的資料遭受網路層的攻擊，例如中間人攻擊、竊聽及工作階段劫持	Audit, Deny, Disabled	2.0.0
Windows 機器應設定為使用安全通訊協定	若要保護透過網際網路通訊的資訊隱私權，您的機器應使用最新版的業界標準密碼編譯通訊協定，即傳輸層安全性 (TLS)。 TLS 會藉由加密機器之間的連線來保護透過網路的通訊。	AuditIfNotExists, Disabled	4.1.1

網路中斷連線

識別碼：FedRAMP High SC-10 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
重新驗證或終止使用者工作階段	CMA_0421 - 重新驗證或終止使用者工作階段	手動、已停用	1.1.0

密碼編譯金鑰建立和管理

識別碼：FedRAMP High SC-12 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
[預覽版]：Azure 復原服務保存庫應使用客戶自控金鑰來加密備份資料	使用客戶自控金鑰來管理備份資料的待用加密。 根據預設，客戶資料會使用服務管理的金鑰進行加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/AB-CmkEncryption。	Audit, Deny, Disabled	1.0.0-preview
[預覽版]：IoT 中樞裝置佈建服務資料應使用客戶自控金鑰 (CMK) 進行加密	使用客戶自控金鑰來管理 IoT 中樞裝置佈建服務的待用加密。 會使用服務代控金鑰進行待用加密，但若要遵循法規標準，通常需要有客戶自控金鑰 (CMK)。 CMK 可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 在 https://aka.ms/dps/CMK 深入了解 CMK 加密。	Audit, Deny, Disabled	1.0.0-preview
Azure AI 服務資源應使用客戶管理的金鑰加密待用資料 (CMK)	使用客戶管理的金鑰來加密待用資料，可提供對金鑰生命週期的更多控制，包括輪替和管理。 這與具有相關合規性需求的組織特別相關。 根據預設，這不會進行評估，而且只有在合規性或限制性原則需求需要時才應套用。 如果未啟用，則會使用平台管理的金鑰來加密資料。 若要實作此作業，請在適用範圍的安全原則中更新 'Effect' 參數。	Audit, Deny, Disabled	2.2.0
Azure API for FHIR 應使用客戶自控金鑰為待用資料加密	若需要符合法規或合規性需求，請使用客戶管理的金鑰來控制 Azure API for FHIR 中儲存的待用資料加密。 客戶管理的金鑰也會在使用服務管理的金鑰完成的預設加密以外新增第二層加密，來提供雙重加密。	稽核、稽核、停用、停用	1.1.0
Azure 自動化帳戶應使用客戶自控金鑰加密待用資料	使用客戶自控金鑰來管理 Azure 自動化帳戶的待用加密。 根據預設，客戶資料會使用服務管理的金鑰進行加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/automation-cmk。	Audit, Deny, Disabled	1.0.0
Azure Batch 帳戶應使用客戶自控金鑰加密資料	使用客戶自控金鑰來管理 Batch 帳戶資料的待用加密。 根據預設，客戶資料會使用服務管理的金鑰進行加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/Batch-CMK。	Audit, Deny, Disabled	1.0.1
Azure 容器執行個體容器群組應使用客戶自控金鑰進行加密	使用客戶自控金鑰，以更具彈性的方式保護您的容器。 當您指定客戶自控金鑰時，該金鑰會用來保護及控制加密資料所需金鑰的存取權。 客戶自控金鑰提供額外的功能，可用於控制金鑰輪替，或以密碼編譯的方式清除資料。	稽核、停用、拒絕	1.0.0
Azure Cosmos DB 帳戶應使用客戶自控金鑰加密待用資料	使用客戶自控金鑰來管理 Azure Cosmos DB 的待用加密。 根據預設，資料會使用服務管理的金鑰進行待用加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/cosmosdb-cmk。	稽核、稽核、拒絕、拒絕、停用、停用	1.1.0
Azure 資料箱作業應使用客戶自控金鑰加密裝置解除鎖定密碼	使用客戶自控金鑰控制 Azure 資料箱的裝置解除鎖定密碼加密。 客戶自控金鑰也有助於管理資料箱服務對裝置解除鎖定密碼的存取權，以便準備裝置並自動複製資料。 裝置本身上的資料已使用進階加密標準 256 位加密進行待用加密，而裝置解除鎖定密碼預設會使用 Microsoft 受控金鑰加密。	Audit, Deny, Disabled	1.0.0
Azure 資料總管待用加密應使用客戶自控金鑰	在 Azure 資料總管叢集上使用客戶自控金鑰來啟用待用加密，可讓您進一步控制待用加密所使用的金鑰。 這項功能通常適用於具有特殊合規性需求的客戶，而且需要 Key Vault 來管理金鑰。	Audit, Deny, Disabled	1.0.0
Azure 資料處理站應使用客戶自控金鑰進行加密	使用客戶自控金鑰來管理 Azure Data Factory 的待用加密。 根據預設，客戶資料會使用服務管理的金鑰進行加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/adf-cmk。	Audit, Deny, Disabled	1.0.1
Azure HDInsight 叢集應使用客戶自控金鑰加密待用資料	使用客戶自控金鑰來管理 Azure HDInsight 叢集的待用加密。 根據預設，客戶資料會使用服務管理的金鑰進行加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/hdi.cmk。	Audit, Deny, Disabled	1.0.1
Azure HDInsight 叢集應使用主機加密來加密待用資料	啟用主機上的加密可協助保護資料安全，以符合貴組織安全性和合規性承諾。 當您啟用主機上的加密時，儲存在 VM 主機上的資料會在待用時加密，並將流量加密至儲存體服務。	Audit, Deny, Disabled	1.0.0
應該使用客戶自控金鑰來加密 Azure Machine Learning 工作區	使用客戶自控金鑰來管理 Azure Machine Learning 工作區資料的待用加密。 根據預設，客戶資料會使用服務管理的金鑰進行加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/azureml-workspaces-cmk。	Audit, Deny, Disabled	1.1.0
Azure 監視器記錄叢集應使用客戶自控金鑰進行加密	使用客戶自控金鑰加密建立 Azure 監視器記錄叢集。 依預設，記錄資料會使用服務代控金鑰進行加密，但若要遵循法規，通常需要有客戶自控金鑰。 Azure 監視器中的客戶自控金鑰可讓您更充分掌控資料的存取權，請參閱 https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys。	稽核、稽核、拒絕、拒絕、停用、停用	1.1.0
Azure 串流分析作業應使用客戶自控金鑰來加密資料	要將串流分析作業的任何中繼資料和私人資料資產安全地儲存在儲存體帳戶中時，請使用客戶自控金鑰。 這可讓您完全控管串流分析資料的加密方式。	稽核、稽核、拒絕、拒絕、停用、停用	1.1.0
Azure Synapse 工作區應使用客戶自控金鑰來加密待用資料	使用客戶自控金鑰來控制 Azure Synapse 工作區中所儲存資料的待用加密。 客戶管理的金鑰會在使用服務管理的金鑰完成的預設加密以外新增第二層加密，來提供雙重加密。	Audit, Deny, Disabled	1.0.0
Bot Service 應使用客戶自控金鑰進行加密	Azure Bot Service 會自動加密您的資源，以保護您的資料，並符合組織安全性和合規性承諾。 依預設，系統會使用 Microsoft 代控加密金鑰。 若要在管理金鑰或控制訂用帳戶存取權方面有更大的彈性，請選取客戶自控金鑰，也稱為攜帶您自己的金鑰 (BYOK)。 深入了解 Azure Bot Service 加密：https://docs.microsoft.com/azure/bot-service/bot-service-encryption。	稽核、稽核、拒絕、拒絕、停用、停用	1.1.0
Azure Kubernetes Service 叢集中的作業系統和資料磁碟都應該使用客戶自控金鑰加密	使用客戶自控金鑰加密 OS 和資料磁碟，可在金鑰管理方面提供更大的控制能力和彈性。 這是許多法規和業界合規性標準的常見需求。	Audit, Deny, Disabled	1.0.1
容器登錄應使用客戶自控金鑰加密	使用客戶自控金鑰來管理登錄內容的待用加密。 根據預設，資料會使用服務管理的金鑰進行待用加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/acr/CMK。	Audit, Deny, Disabled	1.1.2
定義實體金鑰管理流程	CMA_0115 - 定義實體金鑰管理流程	手動、已停用	1.1.0
定義密碼編譯使用	CMA_0120 - 定義密碼編譯使用	手動、已停用	1.1.0
定義密碼編譯金鑰管理的組織需求	CMA_0123 - 定義密碼編譯金鑰管理的組織需求	手動、已停用	1.1.0
決定判斷提示需求	CMA_0136 - 決定判斷提示需求	手動、已停用	1.1.0
事件中樞命名空間應使用客戶自控金鑰進行加密	Azure 事件中樞支援使用 Microsoft 代控金鑰 (預設) 或客戶自控金鑰來加密待用資料的選項。 選擇使用客戶自控金鑰來加密資料，可讓您指派、輪替、停用及撤銷事件中樞將用來加密命名空間中資料的金鑰存取權。 請注意，事件中樞僅支援使用客戶自控金鑰來加密專用叢集中的命名空間。	Audit, Disabled	1.0.0
HPC Cache 帳戶應使用客戶自控金鑰加密	使用客戶自控金鑰管理 Azure HPC Cache 待用加密。 根據預設，客戶資料會使用服務管理的金鑰進行加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。	稽核、停用、拒絕	2.0.0
發行公開金鑰憑證	CMA_0347 - 發行公開金鑰憑證	手動、已停用	1.1.0
Logic Apps 整合服務環境應使用客戶自控金鑰進行加密	部署至整合服務環境，以使用客戶自控金鑰來管理 Logic Apps 資料的待用加密。 根據預設，客戶資料會使用服務管理的金鑰進行加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。	Audit, Deny, Disabled	1.0.0
管理對稱式密碼編譯金鑰	CMA_0367 - 管理對稱式密碼編譯金鑰	手動、已停用	1.1.0
受控磁碟應同時使用平台管理的金鑰和客戶自控金鑰進行雙重加密	要求高安全性，且擔憂與任何特定加密演算法、實作或金鑰遭盜用相關風險的客戶，可以選擇使用平台代控加密金鑰，在基礎結構層使用不同的加密演算法/模式，多一層加密的保障。 需要有磁碟加密集，才能使用雙重加密。 深入了解：https://aka.ms/disks-doubleEncryption。	Audit, Deny, Disabled	1.0.0
MySQL 伺服器應使用客戶自控金鑰為待用資料加密	使用客戶自控金鑰來管理 MySQL 伺服器的待用加密。 根據預設，資料會使用服務管理的金鑰進行待用加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。	AuditIfNotExists, Disabled	1.0.4
OS 和資料磁碟應使用客戶自控金鑰進行加密	使用客戶自控金鑰來管理受控磁碟內容的待用加密。 依預設，資料會使用平台代控金鑰進行待用加密，但若要遵循法規，通常需要有客戶自控金鑰。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/disks-cmk。	Audit, Deny, Disabled	3.0.0
PostgreSQL 伺服器應使用客戶自控金鑰加密待用資料	使用客戶自控金鑰來管理 PostgreSQL 伺服器的待用加密。 根據預設，資料會使用服務管理的金鑰進行待用加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。	AuditIfNotExists, Disabled	1.0.4
限制私密金鑰的存取	CMA_0445 - 限制私密金鑰的存取	手動、已停用	1.1.0
Azure 監視器中儲存的查詢，應儲存在客戶儲存體帳戶中，以進行記錄加密	將儲存體帳戶連結至 Log Analytics 工作區，以使用儲存體帳戶加密來保護已儲存的查詢。 客戶自控金鑰通常需要符合法規合規性，並進一步控制 Azure 監視器中已儲存查詢的存取權。 如需上述項目的詳細資料，請參閱 https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys?tabs=portal#customer-managed-key-for-saved-queries。	稽核、稽核、拒絕、拒絕、停用、停用	1.1.0
服務匯流排進階命名空間應使用客戶自控金鑰進行加密	Azure 服務匯流排支援使用 Microsoft 代控金鑰 (預設) 或客戶自控金鑰來加密待用資料的選項。 選擇使用客戶自控金鑰來加密資料，可讓您指派、輪替、停用及撤銷服務匯流排將用來加密命名空間中資料的金鑰存取權。 請注意，服務匯流排僅支援使用客戶自控金鑰來加密進階命名空間。	Audit, Disabled	1.0.0
SQL 受控執行個體應使用客戶自控金鑰來加密待用資料	實作具有自備金鑰的透明資料加密 (TDE)，能夠增加 TDE 保護裝置的透明度及控制權、透過 HSM 支援的外部服務提高安全性，以及提升職權劃分。 這項建議適用於具有相關合規性需求的組織。	Audit, Deny, Disabled	2.0.0
SQL 伺服器應使用客戶自控金鑰來加密待用資料	實作具有自備金鑰的透明資料加密 (TDE)，能夠增加 TDE 保護裝置的透明度及控制權、透過 HSM 支援的外部服務提高安全性，以及提升職權劃分。 這項建議適用於具有相關合規性需求的組織。	Audit, Deny, Disabled	2.0.1
儲存體帳戶加密範圍應使用客戶自控金鑰來加密待用資料	使用客戶自控金鑰來管理儲存體帳戶加密範圍的待用加密。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 若要深入了解儲存體帳戶加密範圍，請參閱https://aka.ms/encryption-scopes-overview。	Audit, Deny, Disabled	1.0.0
儲存體帳戶應使用客戶自控金鑰進行加密	使用客戶自控金鑰，以更具彈性的方式保護您的 blob 和檔案儲存體帳戶。 當您指定客戶自控金鑰時，該金鑰會用來保護及控制加密資料所需金鑰的存取權。 客戶自控金鑰提供額外的功能，可用於控制金鑰輪替，或以密碼編譯的方式清除資料。	Audit, Disabled	1.0.3

可用性

識別碼：FedRAMP High SC-12 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
維護資訊的可用性	CMA_C1644 - 維護資訊的可用性	手動、已停用	1.1.0

對稱金鑰

識別碼：FedRAMP High SC-12 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
產生、控制及散發對稱式密碼編譯金鑰	CMA_C1645 - 產生、控制及散發對稱式密碼編譯金鑰	手動、已停用	1.1.0

非對稱金鑰

識別碼：FedRAMP High SC-12 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
產生、控制及散發對稱式密碼編譯金鑰	CMA_C1646 - 產生、控制及散發非對稱密碼編譯金鑰	手動、已停用	1.1.0

密碼編譯保護

識別碼：FedRAMP High SC-13 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
定義密碼編譯使用	CMA_0120 - 定義密碼編譯使用	手動、已停用	1.1.0

共同作業計算裝置

識別碼：FedRAMP High SC-15 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
明確通知使用共同作業運算裝置	CMA_C1649 - 明確通知使用共同作業運算裝置	手動、已停用	1.1.1
禁止遠端啟用共同作業運算裝置	CMA_C1648 - 禁止遠端啟用共同作業運算裝置	手動、已停用	1.1.0

公開金鑰基礎結構憑證

識別碼：FedRAMP High SC-17 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
發行公開金鑰憑證	CMA_0347 - 發行公開金鑰憑證	手動、已停用	1.1.0

行動程式碼

識別碼：FedRAMP High SC-18 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
授權、監視及控制行動程式碼技術的使用方式	CMA_C1653 - 授權、監視及控制行動程式碼技術的使用方式	手動、已停用	1.1.0
定義可接受和無法接受的行動程式碼技術	CMA_C1651 - 定義可接受和無法接受的行動程式碼技術	手動、已停用	1.1.0
建立行動程式碼技術的使用限制	CMA_C1652 - 建立行動程式碼技術的使用限制	手動、已停用	1.1.0

VoIP

識別碼：FedRAMP High SC-19 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
授權、監視及控制 VoIP	CMA_0025 - 授權、監視及控制 VoIP	手動、已停用	1.1.0
建立 VoIP 使用限制	CMA_0280 - 建立 VoIP 使用限制	手動、已停用	1.1.0

安全的名稱/位址解析服務 (權威來源)

識別碼：FedRAMP High SC-20 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作容錯名稱/位址服務	CMA_0305 - 實作容錯名稱/位址服務	手動、已停用	1.1.0
提供安全的名稱和位址解析服務	CMA_0416 - 提供安全的名稱和位址解析服務	手動、已停用	1.1.0

安全的名稱/位址解析服務 (遞迴或快取解析程式)

識別碼：FedRAMP High SC-21 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作容錯名稱/位址服務	CMA_0305 - 實作容錯名稱/位址服務	手動、已停用	1.1.0
驗證軟體、韌體和資訊完整性	CMA_0542 - 驗證軟體、韌體和資訊完整性	手動、已停用	1.1.0

名稱/位址解析服務的架構和佈建

識別碼：FedRAMP High SC-22 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
實作容錯名稱/位址服務	CMA_0305 - 實作容錯名稱/位址服務	手動、已停用	1.1.0

工作階段真確性

識別碼：FedRAMP High SC-23 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
設定工作站以檢查數位憑證	CMA_0073 - 設定工作站以檢查數位憑證	手動、已停用	1.1.0
強制執行隨機唯一工作階段識別碼	CMA_0247 - 強制執行隨機唯一工作階段識別碼	手動、已停用	1.1.0

登出時使工作階段識別碼失效

識別碼：FedRAMP High SC-23 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
登出時使工作階段識別碼失效	CMA_C1661 - 登出時工作階段識別碼無效	手動、已停用	1.1.0

在已知狀態失敗

識別碼：FedRAMP High SC-24 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
確認資訊系統在已知狀態下失敗	CMA_C1662 - 確認資訊系統在已知狀態下失敗	手動、已停用	1.1.0

保護待用資訊

識別碼：FedRAMP High SC-28 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
App Service 環境應啟用內部加密	將 InternalEncryption 設定為 True，會讓 App Service 環境中前端與背景工作角色之間的分頁檔、背景工作角色磁碟和內部網路流量加密。 若要深入了解，請參閱 https://docs.microsoft.com/azure/app-service/environment/app-service-app-service-environment-custom-settings#enable-internal-encryption。	Audit, Disabled	1.0.1
應加密自動化帳戶變數	儲存敏感性資料時，請務必為自動化帳戶變數資產啟用加密	Audit, Deny, Disabled	1.1.0
Azure 資料箱作業應針對裝置上的待用資料啟用雙重加密	針對裝置上的待用資料啟用軟體型的第二層加密。 裝置已透過進階加密標準的 256 位加密來保護待用資料。 此選項會新增第二層資料加密。	Audit, Deny, Disabled	1.0.0
Azure 監視器記錄叢集應在啟用基礎結構加密的情況下建立 (雙重加密)	為了確保使用兩個不同的加密演算法和兩個不同的金鑰，在服務層級和基礎結構層級啟用安全資料加密，請使用 Azure 監視器專用叢集。 在區域支援時，預設會啟用此選項，請參閱 https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview。	稽核、稽核、拒絕、拒絕、停用、停用	1.1.0
Azure Stack Edge 裝置應該使用雙重加密	若要保護裝置上待用的資料，請確定其已雙重加密並已控制對資料的存取，以及在裝置停用之後，會安全地從資料磁碟清除資料。 雙重加密是使用兩個層級的加密：資料磁碟區上的 BitLocker XTS-AES 256 位元加密，以及硬碟的內建加密。 若要深入了解，請參閱特定Stack Edge 裝置的安全性概觀文件。	稽核、稽核、拒絕、拒絕、停用、停用	1.1.0
應該在 Azure 資料總管上啟用磁碟加密	啟用磁碟加密可協助保護資料安全，以符合貴組織安全性和合規性承諾。	Audit, Deny, Disabled	2.0.0
應該在 Azure 資料總管上啟用雙重加密	啟用雙重加密可協助保護資料安全，以符合貴組織安全性和合規性承諾。 啟用雙重加密時，儲存體帳戶中的資料會加密兩次；一次在服務層級，一次在基礎結構層級，且會使用兩個不同的加密演算法和兩個不同的金鑰。	Audit, Deny, Disabled	2.0.0
建立資料外洩管理程序	CMA_0255 - 建立資料外洩管理程序	手動、已停用	1.1.0
應為適用於 MySQL 的 Azure 資料庫伺服器啟用基礎結構加密	為適用於 MySQL 的 Azure 資料庫伺服器啟用基礎結構加密，讓資料有更高層級的安全保證。 啟用基礎結構加密時，待用資料會使用與 FIPS 140-2 相容的 Microsoft 管理金鑰進行兩次加密。	Audit, Deny, Disabled	1.0.0
應為適用於 PostgreSQL 的 Azure 資料庫伺服器啟用基礎結構加密	為適用於 PostgreSQL 的 Azure 資料庫伺服器啟用基礎結構加密，讓資料有更高層級的安全保證。 啟用基礎結構加密時，待用資料會使用與 FIPS 140-2 相容的 Microsoft 管理金鑰進行兩次加密	Audit, Deny, Disabled	1.0.0
保護特殊資訊	CMA_0409 - 保護特殊資訊	手動、已停用	1.1.0
Service Fabric 叢集應將 ClusterProtectionLevel 屬性設定為 EncryptAndSign	Service Fabric 使用主要叢集憑證，可為節點對節點的通訊提供三層保護 (None、Sign 及 EncryptAndSign)。 設定保護層級可確保所有節點對節點的訊息皆經過加密及數位簽署	Audit, Deny, Disabled	1.1.0
儲存體帳戶應具有基礎結構加密	啟用基礎結構加密，以取得資料安全的更高層級保證。 啟用基礎結構加密時，儲存體帳戶中的資料會加密兩次。	Audit, Deny, Disabled	1.0.0
在 Azure Kubernetes Service 叢集內，代理程式節點集區的暫存磁碟及快取應在主機上加密	為了增強資料安全性，儲存在 Azure Kubernetes Service 節點 VM 的虛擬機器 (VM) 主機上的資料，應該進行待用加密。 這是許多法規和業界合規性標準的常見需求。	Audit, Deny, Disabled	1.0.1
應在 SQL 資料庫上啟用透明資料加密	應啟用透明資料加密，以保護待用資料，並滿足合規性需求	AuditIfNotExists, Disabled	2.0.0
虛擬機器和虛擬機器擴展集應啟用主機上的加密	使用主機上的加密可進行虛擬機器和虛擬機器擴展集資料的端對端加密。 主機上的加密可讓您對暫存磁碟和 OS/資料磁碟快取進行待用加密。 啟用主機上的加密時，暫存和暫時性 OS 磁碟會使用平台代控金鑰進行加密。 視磁碟上選取的加密類型而定，OS/資料磁碟快取會使用客戶自控金鑰或平台代控金鑰進行待用加密。 深入了解：https://aka.ms/vm-hbe。	Audit, Deny, Disabled	1.0.0

密碼編譯保護

識別碼：FedRAMP High SC-28 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
App Service 環境應啟用內部加密	將 InternalEncryption 設定為 True，會讓 App Service 環境中前端與背景工作角色之間的分頁檔、背景工作角色磁碟和內部網路流量加密。 若要深入了解，請參閱 https://docs.microsoft.com/azure/app-service/environment/app-service-app-service-environment-custom-settings#enable-internal-encryption。	Audit, Disabled	1.0.1
應加密自動化帳戶變數	儲存敏感性資料時，請務必為自動化帳戶變數資產啟用加密	Audit, Deny, Disabled	1.1.0
Azure 資料箱作業應針對裝置上的待用資料啟用雙重加密	針對裝置上的待用資料啟用軟體型的第二層加密。 裝置已透過進階加密標準的 256 位加密來保護待用資料。 此選項會新增第二層資料加密。	Audit, Deny, Disabled	1.0.0
Azure 監視器記錄叢集應在啟用基礎結構加密的情況下建立 (雙重加密)	為了確保使用兩個不同的加密演算法和兩個不同的金鑰，在服務層級和基礎結構層級啟用安全資料加密，請使用 Azure 監視器專用叢集。 在區域支援時，預設會啟用此選項，請參閱 https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview。	稽核、稽核、拒絕、拒絕、停用、停用	1.1.0
Azure Stack Edge 裝置應該使用雙重加密	若要保護裝置上待用的資料，請確定其已雙重加密並已控制對資料的存取，以及在裝置停用之後，會安全地從資料磁碟清除資料。 雙重加密是使用兩個層級的加密：資料磁碟區上的 BitLocker XTS-AES 256 位元加密，以及硬碟的內建加密。 若要深入了解，請參閱特定Stack Edge 裝置的安全性概觀文件。	稽核、稽核、拒絕、拒絕、停用、停用	1.1.0
應該在 Azure 資料總管上啟用磁碟加密	啟用磁碟加密可協助保護資料安全，以符合貴組織安全性和合規性承諾。	Audit, Deny, Disabled	2.0.0
應該在 Azure 資料總管上啟用雙重加密	啟用雙重加密可協助保護資料安全，以符合貴組織安全性和合規性承諾。 啟用雙重加密時，儲存體帳戶中的資料會加密兩次；一次在服務層級，一次在基礎結構層級，且會使用兩個不同的加密演算法和兩個不同的金鑰。	Audit, Deny, Disabled	2.0.0
實作控制以保護所有媒體	CMA_0314 - 實作控制以保護所有媒體	手動、已停用	1.1.0
應為適用於 MySQL 的 Azure 資料庫伺服器啟用基礎結構加密	為適用於 MySQL 的 Azure 資料庫伺服器啟用基礎結構加密，讓資料有更高層級的安全保證。 啟用基礎結構加密時，待用資料會使用與 FIPS 140-2 相容的 Microsoft 管理金鑰進行兩次加密。	Audit, Deny, Disabled	1.0.0
應為適用於 PostgreSQL 的 Azure 資料庫伺服器啟用基礎結構加密	為適用於 PostgreSQL 的 Azure 資料庫伺服器啟用基礎結構加密，讓資料有更高層級的安全保證。 啟用基礎結構加密時，待用資料會使用與 FIPS 140-2 相容的 Microsoft 管理金鑰進行兩次加密	Audit, Deny, Disabled	1.0.0
使用加密保護傳輸中的資料	CMA_0403 - 使用加密保護傳輸中的資料	手動、已停用	1.1.0
Service Fabric 叢集應將 ClusterProtectionLevel 屬性設定為 EncryptAndSign	Service Fabric 使用主要叢集憑證，可為節點對節點的通訊提供三層保護 (None、Sign 及 EncryptAndSign)。 設定保護層級可確保所有節點對節點的訊息皆經過加密及數位簽署	Audit, Deny, Disabled	1.1.0
儲存體帳戶應具有基礎結構加密	啟用基礎結構加密，以取得資料安全的更高層級保證。 啟用基礎結構加密時，儲存體帳戶中的資料會加密兩次。	Audit, Deny, Disabled	1.0.0
在 Azure Kubernetes Service 叢集內，代理程式節點集區的暫存磁碟及快取應在主機上加密	為了增強資料安全性，儲存在 Azure Kubernetes Service 節點 VM 的虛擬機器 (VM) 主機上的資料，應該進行待用加密。 這是許多法規和業界合規性標準的常見需求。	Audit, Deny, Disabled	1.0.1
應在 SQL 資料庫上啟用透明資料加密	應啟用透明資料加密，以保護待用資料，並滿足合規性需求	AuditIfNotExists, Disabled	2.0.0
虛擬機器和虛擬機器擴展集應啟用主機上的加密	使用主機上的加密可進行虛擬機器和虛擬機器擴展集資料的端對端加密。 主機上的加密可讓您對暫存磁碟和 OS/資料磁碟快取進行待用加密。 啟用主機上的加密時，暫存和暫時性 OS 磁碟會使用平台代控金鑰進行加密。 視磁碟上選取的加密類型而定，OS/資料磁碟快取會使用客戶自控金鑰或平台代控金鑰進行待用加密。 深入了解：https://aka.ms/vm-hbe。	Audit, Deny, Disabled	1.0.0

程序隔離

識別碼：FedRAMP High SC-39 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
為執行中的處理常式維護個別的執行網域	CMA_C1665 - 為執行中的處理常式維護個別的執行網域	手動、已停用	1.1.0

系統和資訊完整性

系統與資訊完整性原則和程序

識別碼：FedRAMP High SI-1 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
檢閱並更新資訊完整性原則與程序	CMA_C1667 - 檢閱並更新資訊完整性原則與程序	手動、已停用	1.1.0

瑕疵補救

識別碼：FedRAMP High SI-2 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
虛擬機器上應啟用弱點評估解決方案	稽核虛擬機器，以偵測其是否正在執行支援的弱點評估解決方案。 每個網路風險和安全性計畫的核心部分都在於識別和分析弱點。 Azure 資訊安全中心的標準定價層包含掃描虛擬機器的弱點，不需額外費用。 此外，資訊安全中心可以自動為您部署此工具。	AuditIfNotExists, Disabled	3.0.0
App Service 應用程式應使用最新的「HTTP 版本」	HTTP 會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 請使用適用於 Web 應用程式的最新 HTTP 版本，以利用較新版本的安全性修正 (如果有的話) 及 (或) 新功能。	AuditIfNotExists, Disabled	4.0.0
應啟用適用於 App Service 的 Azure Defender	適用於 App Service 的 Azure Defender 利用雲端的規模及雲端提供者 Azure 擁有的廣大視野，監視常見的 Web 應用程式攻擊。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Azure SQL Database 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應啟用適用於 Key Vault 的 Azure Defender	適用於 Key Vault 的 Azure Defender 會透過偵測嘗試存取或惡意探索金鑰保存庫帳戶的異常及潛在有害威脅，提供一層額外的保護和安全情報。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Resource Manager 的 Azure Defender	適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於伺服器的 Azure Defender	適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於機器上 SQL 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
函數應用程式應使用最新的「HTTP 版本」	HTTP 會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 請使用適用於 Web 應用程式的最新 HTTP 版本，以利用較新版本的安全性修正 (如果有的話) 及 (或) 新功能。	AuditIfNotExists, Disabled	4.0.0
將缺陷補救納入組態管理中	CMA_C1671 - 將缺陷補救納入組態管理中	手動、已停用	1.1.0
Kubernetes 服務應升級為不易受攻擊的 Kubernetes 版本	將您的 Kubernetes 服務叢集升級為較新的 Kubernetes 版本，以防禦您目前 Kubernetes 版本中的已知弱點。 Kubernetes 版本 1.11.9 +、1.12.7+、1.13.5+ 及 1.14.0+ 中已修補弱點 CVE-2019-9946	Audit, Disabled	1.0.2
應啟用適用於容器的 Microsoft Defender	適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於儲存體的 Microsoft Defender	適用於儲存體的 Microsoft Defender 會偵測儲存體帳戶的潛在威脅。 這有助於防止資料和工作負載受到三大影響：惡意檔案上傳、敏感性資料外流和資料損毀。 新的適用於儲存體的 Defender 方案包括惡意程式碼掃描和敏感性資料威脅偵測。 此方案也提供可預測的價格結構 (每一儲存體帳戶)，以控制涵蓋範圍和成本。	AuditIfNotExists, Disabled	1.0.0
補救資訊系統漏洞	CMA_0427 - 補救資訊系統漏洞	手動、已停用	1.1.0
SQL 資料庫應已解決發現的弱點	監視弱點評量掃描結果及如何補救資料庫弱點的建議。	AuditIfNotExists, Disabled	4.1.0
您應在機器上修復安全性組態的弱點	Azure 資訊安全中心會依建議監視不符合設定基準的伺服器	AuditIfNotExists, Disabled	3.1.0

自動化瑕疵補救狀態

識別碼：FedRAMP High SI-2 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
自動缺陷補救	CMA_0027 - 自動缺陷補救	手動、已停用	1.1.0
補救資訊系統漏洞	CMA_0427 - 補救資訊系統漏洞	手動、已停用	1.1.0

針對矯正措施補救缺陷/基準的時機

識別碼：FedRAMP High SI-2 (3) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
建立瑕疵補救的基準	CMA_C1675 - 建立瑕疵補救的基準	手動、已停用	1.1.0
測量瑕疵識別與瑕疵補救之間的時間	CMA_C1674 - 測量瑕疵識別與瑕疵修復之間的時間	手動、已停用	1.1.0

惡意程式碼防護

識別碼：FedRAMP High SI-3 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
應啟用適用於伺服器的 Azure Defender	適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。	AuditIfNotExists, Disabled	1.0.3
封鎖從 USB 執行的未受信任與未簽署處理序	CMA_0050 - 封鎖從 USB 執行的未受信任與未簽署處理序	手動、已停用	1.1.0
管理閘道	CMA_0363 - 管理閘道	手動、已停用	1.1.0
對威脅執行趨勢分析	CMA_0389 - 對威脅執行趨勢分析	手動、已停用	1.1.0
執行弱點掃描	CMA_0393 - 執行弱點掃描	手動、已停用	1.1.0
每週檢閱惡意程式碼偵測報告	CMA_0475 - 每週檢閱惡意程式碼偵測報告	手動、已停用	1.1.0
每週檢閱威脅防護狀態	CMA_0479 - 每週檢閱威脅防護狀態	手動、已停用	1.1.0
更新防毒定義	CMA_0517 - 更新防毒定義	手動、已停用	1.1.0
應在您的機器上啟用 Windows Defender 惡意探索防護	Windows Defender 惡意探索防護會使用 Azure 原則客體設定代理程式。 「惡意探索防護」有四個元件，設計用來鎖定裝置，使其免於遭受惡意程式碼攻擊的各種攻擊和封鎖行為，同時讓企業能夠平衡本身的安全性風險和生產力需求 (僅限 Windows)。	AuditIfNotExists, Disabled	2.0.0

中央管理

識別碼：FedRAMP High SI-3 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
應啟用適用於伺服器的 Azure Defender	適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。	AuditIfNotExists, Disabled	1.0.3
封鎖從 USB 執行的未受信任與未簽署處理序	CMA_0050 - 封鎖從 USB 執行的未受信任與未簽署處理序	手動、已停用	1.1.0
管理閘道	CMA_0363 - 管理閘道	手動、已停用	1.1.0
對威脅執行趨勢分析	CMA_0389 - 對威脅執行趨勢分析	手動、已停用	1.1.0
執行弱點掃描	CMA_0393 - 執行弱點掃描	手動、已停用	1.1.0
每週檢閱惡意程式碼偵測報告	CMA_0475 - 每週檢閱惡意程式碼偵測報告	手動、已停用	1.1.0
更新防毒定義	CMA_0517 - 更新防毒定義	手動、已停用	1.1.0
應在您的機器上啟用 Windows Defender 惡意探索防護	Windows Defender 惡意探索防護會使用 Azure 原則客體設定代理程式。 「惡意探索防護」有四個元件，設計用來鎖定裝置，使其免於遭受惡意程式碼攻擊的各種攻擊和封鎖行為，同時讓企業能夠平衡本身的安全性風險和生產力需求 (僅限 Windows)。	AuditIfNotExists, Disabled	2.0.0

自動更新

識別碼：FedRAMP High SI-3 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
封鎖從 USB 執行的未受信任與未簽署處理序	CMA_0050 - 封鎖從 USB 執行的未受信任與未簽署處理序	手動、已停用	1.1.0
管理閘道	CMA_0363 - 管理閘道	手動、已停用	1.1.0
對威脅執行趨勢分析	CMA_0389 - 對威脅執行趨勢分析	手動、已停用	1.1.0
執行弱點掃描	CMA_0393 - 執行弱點掃描	手動、已停用	1.1.0
每週檢閱惡意程式碼偵測報告	CMA_0475 - 每週檢閱惡意程式碼偵測報告	手動、已停用	1.1.0
更新防毒定義	CMA_0517 - 更新防毒定義	手動、已停用	1.1.0

非簽章型偵測

識別碼：FedRAMP High SI-3 (7) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
封鎖從 USB 執行的未受信任與未簽署處理序	CMA_0050 - 封鎖從 USB 執行的未受信任與未簽署處理序	手動、已停用	1.1.0
管理閘道	CMA_0363 - 管理閘道	手動、已停用	1.1.0
對威脅執行趨勢分析	CMA_0389 - 對威脅執行趨勢分析	手動、已停用	1.1.0
執行弱點掃描	CMA_0393 - 執行弱點掃描	手動、已停用	1.1.0
每週檢閱惡意程式碼偵測報告	CMA_0475 - 每週檢閱惡意程式碼偵測報告	手動、已停用	1.1.0
更新防毒定義	CMA_0517 - 更新防毒定義	手動、已停用	1.1.0

資訊系統監視

識別碼：FedRAMP High SI-4 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
[預覽]：所有網際網路流量都應透過您部署的 Azure 防火牆路由	Azure 資訊安全中心已識別出您的部分子網路未受新一代防火牆的保護。 使用 Azure 防火牆或支援的新一代防火牆來限制對子網路的存取，以保護子網路免於遭受潛在威脅	AuditIfNotExists, Disabled	3.0.0-preview
[預覽]：啟用 Azure Arc 的 Kubernetes 叢集應該已安裝適用於雲端的 Microsoft Defender 延伸模組	適用於 Azure Arc 的適用於雲端的 Microsoft Defender 延伸模組可為已啟用 Arc 的 Kubernetes 叢集提供威脅防護。 該延伸模組會從叢集內的所有節點收集資料，並將其傳送到雲端的 Azure Defender for Kubernetes 後端，以進一步分析。 在 https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc 中深入了解。	AuditIfNotExists, Disabled	6.0.0-preview
[預覽]：Linux Azure Arc 機器上應安裝 Log Analytics 延伸模組	若未安裝 Log Analytics 延伸模組，則此原則會稽核 Linux Azure Arc 機器。	AuditIfNotExists, Disabled	1.0.1-preview
[預覽]：Windows Azure Arc 機器上應安裝 Log Analytics 延伸模組	若未安裝 Log Analytics 延伸模組，則此原則會稽核 Windows Azure Arc 機器。	AuditIfNotExists, Disabled	1.0.1-preview
[預覽版]：應在 Linux 虛擬機器上安裝網路流量資料收集代理程式	資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。	AuditIfNotExists, Disabled	1.0.2-preview
[預覽版]：應在 Windows 虛擬機器上安裝網路流量資料收集代理程式	資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。	AuditIfNotExists, Disabled	1.0.2-preview
應啟用適用於 App Service 的 Azure Defender	適用於 App Service 的 Azure Defender 利用雲端的規模及雲端提供者 Azure 擁有的廣大視野，監視常見的 Web 應用程式攻擊。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Azure SQL Database 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應啟用適用於 Key Vault 的 Azure Defender	適用於 Key Vault 的 Azure Defender 會透過偵測嘗試存取或惡意探索金鑰保存庫帳戶的異常及潛在有害威脅，提供一層額外的保護和安全情報。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於 Resource Manager 的 Azure Defender	適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於伺服器的 Azure Defender	適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於機器上 SQL 伺服器的 Azure Defender	適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。	AuditIfNotExists, Disabled	1.0.2
應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender	在沒有「進階資料安全性」的情況下稽核 SQL 伺服器	AuditIfNotExists, Disabled	2.0.1
應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender	在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。	AuditIfNotExists, Disabled	1.0.2
應在您的電腦上安裝來賓設定延伸模組	若要確保電腦來賓內設定的安全設定，請安裝來賓設定延伸模組。 延伸模組會監視的客體內設定包括作業系統的設定、應用程式設定或目前狀態，以及環境設定。 安裝後便可使用客體內原則，例如「應啟用 Windows 惡意探索防護」。 深入了解：https://aka.ms/gcpol。	AuditIfNotExists, Disabled	1.0.3
應啟用適用於容器的 Microsoft Defender	適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。	AuditIfNotExists, Disabled	1.0.0
應啟用適用於儲存體的 Microsoft Defender	適用於儲存體的 Microsoft Defender 會偵測儲存體帳戶的潛在威脅。 這有助於防止資料和工作負載受到三大影響：惡意檔案上傳、敏感性資料外流和資料損毀。 新的適用於儲存體的 Defender 方案包括惡意程式碼掃描和敏感性資料威脅偵測。 此方案也提供可預測的價格結構 (每一儲存體帳戶)，以控制涵蓋範圍和成本。	AuditIfNotExists, Disabled	1.0.0
應啟用網路監看員	網路監看員是一項區域性服務，可讓您監視與診斷位於和進出 Azure 的網路案例層級條件。 案例層級監視可讓您在端對端網路層級檢視診斷問題。 您必須在存在虛擬網路的每個區域中，建立網路監看員資源群組。 如果特定區域無法使用網路監看員資源群組，就會啟用警示。	AuditIfNotExists, Disabled	3.0.0
取得監視系統活動的法律意見	CMA_C1688 - 取得監視系統活動的法律意見	手動、已停用	1.1.0
對威脅執行趨勢分析	CMA_0389 - 對威脅執行趨勢分析	手動、已停用	1.1.0
視需要提供監視資訊	CMA_C1689 - 視需要提供監視資訊	手動、已停用	1.1.0
應使用系統指派的受控識別，部署虛擬機器的來賓設定延伸模組	來賓設定擴充功能需要系統指派的受控識別。 安裝客體設定延伸模組但是沒有系統指派受控識別時，此原則範圍內的 Azure 虛擬機器將會不符合規範。 深入了解：https://aka.ms/gcpol	AuditIfNotExists, Disabled	1.0.1

適用於即時分析的自動化工具

識別碼：FedRAMP High SI-4 (2) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
記錄安全性作業	CMA_0202 - 記錄安全性作業	手動、已停用	1.1.0
開啟端點安全性解決方案的感應器	CMA_0514 - 開啟端點安全性解決方案的感應器	手動、已停用	1.1.0

輸入和輸出通訊流量

識別碼：FedRAMP High SI-4 (4) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
授權、監視及控制 VoIP	CMA_0025 - 授權、監視及控制 VoIP	手動、已停用	1.1.0
實作系統邊界保護	CMA_0328 - 實作系統邊界保護	手動、已停用	1.1.0
管理閘道	CMA_0363 - 管理閘道	手動、已停用	1.1.0
透過受控網路存取點路由流量	CMA_0484 - 透過受控網路存取點路由流量	手動、已停用	1.1.0

系統產生的警示

識別碼：FedRAMP High SI-4 (5) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
警示人員資訊洩漏	CMA_0007 - 警示人員資訊洩漏	手動、已停用	1.1.0
制定事件回應計畫	CMA_0145 - 制定事件回應計畫	手動、已停用	1.1.0
設定組織中新雲端應用程式和熱門雲端應用程式的自動通知	CMA_0495 - 設定組織中新雲端應用程式和熱門雲端應用程式的自動通知	手動、已停用	1.1.0

無線入侵偵測

識別碼：FedRAMP High SI-4 (14) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
記錄無線存取安全性控制	CMA_C1695 - 記錄無線存取安全性控制	手動、已停用	1.1.0

未經授權的網路服務

識別碼：FedRAMP High SI-4 (22) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
偵測未獲授權或核准的網路服務	CMA_C1700 - 偵測尚未獲得授權或核准的網路服務	手動、已停用	1.1.0

入侵指標

識別碼：FedRAMP High SI-4 (24) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
探索任何洩露的指標	CMA_C1702 - 探索任何洩露的指標	手動、已停用	1.1.0

安全性警示、建議及指示

識別碼：FedRAMP High SI-5 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
向人員發出安全性警示	CMA_C1705 - 向人員發出安全性警示	手動、已停用	1.1.0
建立威脅情報計畫	CMA_0260 - 建立威脅情報計畫	手動、已停用	1.1.0
產生內部安全性警示	CMA_C1704 - 產生內部安全性警示	手動、已停用	1.1.0
實作安全性指示詞	CMA_C1706 - 實作安全性指示詞	手動、已停用	1.1.0

自動化警示與諮詢

識別碼：FedRAMP High SI-5 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
使用安全性警示的自動化機制	CMA_C1707 - 針對安全性警示使用自動化機制	手動、已停用	1.1.0

安全性功能驗證

識別碼：FedRAMP High SI-6 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
為識別的異常建立替代動作	CMA_C1711 - 為識別的異常建立替代動作	手動、已停用	1.1.0
通知人員任何失敗的安全性驗證測試	CMA_C1710 - 通知人員任何失敗的安全性驗證測試	手動、已停用	1.1.0
以定義的頻率執行安全性函數驗證	CMA_C1709 - 以定義的頻率執行安全性函數驗證	手動、已停用	1.1.0
驗證安全性功能	CMA_C1708 - 驗證安全性功能	手動、已停用	1.1.0

軟體、韌體及資訊完整性

識別碼：FedRAMP High SI-7 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
驗證軟體、韌體和資訊完整性	CMA_0542 - 驗證軟體、韌體和資訊完整性	手動、已停用	1.1.0

完整性檢查

識別碼：FedRAMP High SI-7 (1) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
驗證軟體、韌體和資訊完整性	CMA_0542 - 驗證軟體、韌體和資訊完整性	手動、已停用	1.1.0
檢視和設定系統診斷資料	CMA_0544 - 檢視和設定系統診斷資料	手動、已停用	1.1.0

自動化完整性違規回應

識別碼：FedRAMP High SI-7 (5) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
偵測到違規時採用自動關機/重新開機	CMA_C1715 - 偵測到違規時採用自動關機/重新開機	手動、已停用	1.1.0

二進位或機器可執行的程式碼

識別碼：FedRAMP High SI-7 (14) 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
禁止二進位/機器可執行程式碼	CMA_C1717 - 禁止二進位/機器可執行程式碼	手動、已停用	1.1.0

資訊輸入驗證

識別碼：FedRAMP High SI-10 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
執行資訊輸入驗證	CMA_C1723 - 執行資訊輸入驗證	手動、已停用	1.1.0

錯誤處理

識別碼：FedRAMP High SI-11 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
產生錯誤訊息	CMA_C1724 - 產生錯誤訊息	手動、已停用	1.1.0
顯示錯誤訊息	CMA_C1725 - 顯示錯誤訊息	手動、已停用	1.1.0

資訊處理和保留

識別碼：FedRAMP High SI-12 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
控制實體存取	CMA_0081 - 控制實體存取	手動、已停用	1.1.0
管理資料的輸入、輸出、處理及儲存	CMA_0369 - 管理資料的輸入、輸出、處理及儲存	手動、已停用	1.1.0
檢閱標籤活動與分析	CMA_0474 - 檢閱標籤活動與分析	手動、已停用	1.1.0

記憶體保護

識別碼：FedRAMP High SI-16 擁有權：共用

名稱 (Azure 入口網站)	描述	效果	版本 (GitHub)
應啟用適用於伺服器的 Azure Defender	適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。	AuditIfNotExists, Disabled	1.0.3
應在您的機器上啟用 Windows Defender 惡意探索防護	Windows Defender 惡意探索防護會使用 Azure 原則客體設定代理程式。 「惡意探索防護」有四個元件，設計用來鎖定裝置，使其免於遭受惡意程式碼攻擊的各種攻擊和封鎖行為，同時讓企業能夠平衡本身的安全性風險和生產力需求 (僅限 Windows)。	AuditIfNotExists, Disabled	2.0.0

後續步驟

有關 Azure 原則的其他文章：

• 法規合規性概觀。
• 請參閱方案定義結構。
• 在 Azure 原則範例檢閱其他範例。
• 檢閱了解原則效果。
• 了解如何補救不符合規範的資源。