共用方式為


Container Registry 的 Azure 安全性基準

此安全性基準會將Microsoft雲端安全性基準 1.0 版的指引套用至 Container Registry。 Microsoft 雲端安全性基準提供如何在 Azure 上保護雲端解決方案的建議。 內容會依Microsoft雲端安全性基準所定義的安全性控制,以及適用於 Container Registry 的相關指引分組。

您可以使用適用於雲端的 Microsoft Defender 來監視此安全性基準及其建議。 Azure 原則定義會列在適用於雲端的 Microsoft Defender 入口網站頁面的 [法規合規性] 區段中。

當功能具有相關的 Azure 原則定義時,會列在此基準中,以協助您測量 Microsoft 雲端安全性基準控制項和建議的合規性。 某些建議可能需要付費的 Microsoft Defender 方案,才能啟用特定的安全性案例。

注意

已排除不適用於 Container Registry 的功能 。 若要查看 Container Registry 如何完全對應至Microsoft雲端安全性基準檢驗,請參閱 完整的 Container Registry 安全性基準對應檔案

安全性設定檔

安全性配置文件摘要說明 Container Registry 的高影響行為,這可能會導致安全性考慮增加。

服務行為屬性
Product Category 計算、容器
客戶可以存取主機/作業系統 無存取權
服務可以部署到客戶的虛擬網路中 False
儲存待用客戶內容 True

網路安全性

如需詳細資訊,請參閱 Microsoft雲端安全性基準:網路安全性

NS-1:建立網路分割界限

功能

虛擬網路整合

描述:服務支援將部署至客戶的私人 虛擬網絡(VNet)。 深入了解

支援 預設啟用 設定責任
False 不適用 不適用

設定指引:不支援此功能來保護這項服務。

網路安全組支援

描述:服務網路流量會遵循其子網上的網路安全組規則指派。 深入了解

支援 預設啟用 設定責任
False 不適用 不適用

設定指引:不支援此功能來保護這項服務。

NS-2:使用網路控制保護雲端服務

功能

描述:用於篩選網路流量的服務原生IP篩選功能(不會與NSG或 Azure 防火牆 混淆)。 深入了解

支援 預設啟用 設定責任
True False 客戶

設定指引:針對支援 Private Link 功能的所有 Azure 資源部署私人端點,以建立資源的私用存取點。

參考使用 Azure Private Link 私下連線至 Azure 容器登錄

停用公用網路存取

描述:服務支援使用服務層級IP ACL篩選規則(非NSG或 Azure 防火牆)或使用[停用公用網路存取] 切換開關來停用公用網路存取。 深入了解

支援 預設啟用 設定責任
True False 客戶

設定指引:使用服務層級IP ACL篩選規則或啟用服務的 [停用公用網络存取] 設定,停用公用網路存取。

參考停用公用網路存取

適用於雲端的 Microsoft Defender 監視

Azure 原則 內建定義 - Microsoft.ContainerRegistry

名稱
(Azure 入口網站)
描述 效果 版本
(GitHub)
不應允許不受限制的網路存取 根據預設,Azure 容器登錄會接受任何網路上的主機透過網際網路的連線。 為了保護登錄不受潛在威脅的影響,請只允許來自特定私人端點、公用 IP 位址或位址範圍的存取。 如果登錄沒有已設定的網路規則,則會出現在狀況不良的資源中。 在這裡深入了解 Azure Container Registry 網路規則:https://aka.ms/acr/privatelink、 https://aka.ms/acr/portal/public-networkhttps://aka.ms/acr/vnet Audit, Deny, Disabled 2.0.0

身分識別管理

如需詳細資訊,請參閱 雲端安全性基準Microsoft:身分識別管理

IM-1:使用集中式身分識別和驗證系統

功能

資料平面存取所需的 Azure AD 驗證

描述:服務支援使用 Azure AD 驗證進行數據平面存取。 深入了解

支援 預設啟用 設定責任
True True Microsoft

設定指引:預設部署上未啟用此設定,因此不需要其他設定。

參考使用 Azure 容器登錄進行驗證

資料平面存取的本機驗證方法

描述:支持數據平面存取的本機驗證方法,例如本機使用者名稱和密碼。 深入了解

支援 預設啟用 設定責任
True False 客戶

功能注意事項:避免使用本機驗證方法或帳戶,請盡可能停用這些方法。 請盡可能改為使用 Azure AD 進行驗證。

設定指引:限制使用本機驗證方法進行數據平面存取。 請改用 Azure Active Directory (Azure AD) 作為預設驗證方法,以控制您的資料平面存取。

參考建立具有存放庫範圍許可權的令牌

IM-3:安全且自動地管理應用程式身分識別

功能

受控識別

描述:數據平面動作支援使用受控識別進行驗證。 深入了解

支援 預設啟用 設定責任
True False 客戶

設定指引:盡可能使用 Azure 受控識別,而不是服務主體,這可以向支援 Azure Active Directory(Azure AD) 驗證的 Azure 服務和資源進行驗證。 受控識別認證完全受平台管理、輪替和保護,且避開原始程式碼或組態檔中的硬式編碼認證。

參考使用 Azure 受控識別向 Azure 容器登錄進行驗證

服務主體

描述:數據平面支援使用服務主體進行驗證。 深入了解

支援 預設啟用 設定責任
True False 客戶

其他指引:雖然服務支援服務主體作為驗證模式,但建議您盡可能使用受控識別。

參考使用服務主體進行 Azure Container Registry 驗證

IM-7:根據條件限制資源存取

功能

資料平面的條件式存取

描述:您可以使用 Azure AD 條件式存取原則來控制數據平面存取。 深入了解

支援 預設啟用 設定責任
False 不適用 不適用

設定指引:不支援此功能來保護這項服務。

特殊權限存取

如需詳細資訊,請參閱 Microsoft雲端安全性效能評定:特殊許可權存取

PA-1:劃分和限制高度權限/系統管理使用者

功能

本機系統管理員帳戶

描述:服務具有本機系統管理帳戶的概念。 深入了解

支援 預設啟用 設定責任
True False 客戶

功能注意事項:避免使用本機驗證方法或帳戶,請盡可能停用這些方法。 請盡可能改為使用 Azure AD 進行驗證。

設定指引:如果例行管理作業不需要,請停用或限制任何本機系統管理員帳戶僅供緊急使用。 每個容器登錄都包含一個管理使用者帳戶,且預設為停用。

參考使用 Azure 容器登錄進行驗證

PA-7:遵循剛好足夠的系統管理 (最低權限) 準則

功能

適用於資料平面的 Azure RBAC

描述:Azure 角色型 存取控制 (Azure RBAC) 可用來管理服務數據平面動作的存取權。 深入了解

支援 預設啟用 設定責任
True True Microsoft

設定指引:預設部署上未啟用此設定,因此不需要其他設定。

參考Azure Container Registry 角色和許可權

PA-8:判斷雲端提供者支援的存取程序

功能

客戶加密箱

描述:客戶加密箱可用於Microsoft支援存取。 深入了解

支援 預設啟用 設定責任
True False 客戶

設定指引:在支援Microsoft需要存取數據的案例中,使用客戶加密箱來檢閱,然後核准或拒絕每個Microsoft的數據存取要求。

參考Microsoft Azure 的客戶加密箱

資料保護

如需詳細資訊,請參閱 Microsoft雲端安全性效能評定:數據保護

DP-1:探索、分類及標記敏感性資料

功能

敏感數據探索和分類

描述:工具(例如 Azure Purview 或 Azure 資訊保護)可用於服務中的數據探索和分類。 深入了解

支援 預設啟用 設定責任
False 不適用 不適用

設定指引:不支援此功能來保護這項服務。

DP-2:監視以敏感性資料為目標的異常和威脅

功能

數據外洩/外洩防護

描述:服務支援 DLP 解決方案來監視敏感數據移動(在客戶的內容中)。 深入了解

支援 預設啟用 設定責任
True False 客戶

設定指引:停用容器登錄匯出,以確保數據只能透過數據平面存取 ('docker pull')。 這可確保資料無法透過 'acr import' 或透過 'acr transfer' 移出登錄。

參考容器登錄應該已停用導出

DP-3:加密傳輸中的敏感性資料

功能

傳輸中資料加密

描述:服務支持數據平面的數據傳輸中加密。 深入了解

支援 預設啟用 設定責任
True True Microsoft

設定指引:預設部署上未啟用此設定,因此不需要其他設定。

參考如何在 Azure Container Registry 上啟用 TLS 1.2

DP-4:預設啟用待用資料加密

功能

使用平臺密鑰進行待用加密的數據

描述:支援使用平臺密鑰進行待用數據加密,任何待用客戶內容都會使用這些Microsoft受控密鑰加密。 深入了解

支援 預設啟用 設定責任
True True Microsoft

設定指引:預設部署上未啟用此設定,因此不需要其他設定。

參考使用平臺管理的金鑰加密登錄

DP-5:必要時在待用資料加密中使用客戶自控金鑰選項

功能

使用 CMK 進行待用資料加密

描述:服務所儲存的客戶內容支援使用客戶管理的密鑰進行待用數據加密。 深入了解

支援 預設啟用 設定責任
True False 客戶

設定指引:如果需要法規合規性,請定義需要使用客戶自控密鑰進行加密的使用案例和服務範圍。 針對這些服務,使用客戶自控金鑰來啟用和實作待用資料加密。

參考使用客戶管理的金鑰加密登錄

適用於雲端的 Microsoft Defender 監視

Azure 原則 內建定義 - Microsoft.ContainerRegistry

名稱
(Azure 入口網站)
描述 效果 版本
(GitHub)
容器登錄應使用客戶自控金鑰加密 使用客戶自控金鑰來管理登錄內容的待用加密。 根據預設,資料會使用服務管理的金鑰進行待用加密,但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任,包括輪替和管理。 深入了解:https://aka.ms/acr/CMK Audit, Deny, Disabled 1.1.2

DP-6:使用安全金鑰管理程序

功能

Azure Key Vault 中的金鑰管理

描述:此服務支援任何客戶密鑰、秘密或憑證的 Azure 金鑰保存庫 整合。 深入了解

支援 預設啟用 設定責任
False 不適用 不適用

設定指引:不支援此功能來保護這項服務。

資產管理

如需詳細資訊,請參閱 雲端安全性基準Microsoft:資產管理

AM-2:僅使用核准的服務

功能

Azure 原則支援

描述:可透過 Azure 原則 監視和強制執行服務組態。 深入了解

支援 預設啟用 設定責任
True False 客戶

設定指引:使用 適用於雲端的 Microsoft Defender 來設定 Azure 原則 來稽核及強制執行 Azure 資源的設定。 使用 Azure 監視器,在偵測到資源有設定偏差時建立警示。 使用 Azure 原則 [拒絕] 和 [如果不存在] 效果來強制執行跨 Azure 資源的安全設定。

參考使用 Azure 原則 稽核 Azure 容器登錄的合規性

記錄和威脅偵測

如需詳細資訊,請參閱 雲端安全性基準Microsoft:記錄和威脅偵測

LT-1:啟用威脅偵測功能

功能

適用於服務/產品供應項目的 Microsoft Defender

描述:服務具有供應專案特定的Microsoft Defender 解決方案,可監視和警示安全性問題。 深入了解

支援 預設啟用 設定責任
True False 客戶

設定指引:使用 適用於雲端的 Microsoft Defender 內建威脅偵測功能,併為您的 Container Registry 資源啟用 Microsoft Defender。 Microsoft適用於 Container Registry 的 Defender 提供另一層安全性情報。 它會偵測到異常且可能有害的嘗試來存取或惡意探索您的 Container Registry 資源。

參考適用於容器的 Microsoft Defender 概觀

LT-4:啟用安全性調查的記錄

功能

Azure 資源記錄

描述:服務會產生資源記錄,以提供增強的服務特定計量和記錄。 客戶可以設定這些資源記錄,並將其傳送至自己的資料接收器,例如儲存體帳戶或記錄分析工作區。 深入了解

支援 預設啟用 設定責任
True False 客戶

設定指引:啟用 Container Registry 的 Azure 資源記錄。 您可以使用適用於雲端的 Microsoft Defender 和 Azure 原則,來啟用資源記錄和記錄資料收集。 這些記錄對於調查安全性事件和鑑識練習而言非常重要。

參考監視 Azure Container Registry

備份及復原

如需詳細資訊,請參閱 雲端安全性基準Microsoft:備份和復原

BR-1:確保定期自動備份

功能

Azure 備份

描述:服務可由 Azure 備份 服務備份。 深入了解

支援 預設啟用 設定責任
False 不適用 不適用

設定指引:不支援此功能來保護這項服務。

服務原生備份功能

描述:服務支援自己的原生備份功能(如果未使用 Azure 備份)。 深入了解

支援 預設啟用 設定責任
False 不適用 不適用

設定指引:不支援此功能來保護這項服務。

下一步