作為安全服務，Azure Kubernetes Service (AKS) 符合 SOC、ISO、PCI DSS 和 HIPAA 標準。 本文涵蓋套用至 AKS 所使用之 Windows 映像的安全性 OS 設定。 此安全性設定是以符合 CIS 基準的 Azure X 安全性基準為基礎。 如需 AKS 安全性的詳細資訊，請參閱 Azure Kubernetes Service (AKS) 中應用程式和叢集的安全性概念。 如需 AKS 安全性的詳細資訊，請參閱 Azure Kubernetes Service (AKS) 中應用程式和叢集的安全性概念。 如需 CIS 基準的詳細資訊，請參閱網際網路安全中心 (CIS) 基準。 如需適用於 Windows 的 Azure 安全性基準的詳細資訊，請參閱 Windows 安全性基準 (部分機器翻譯)。
Windows Server 2022
AKS 叢集部署在主機虛擬機器上，主機虛擬機器會執行具有內建安全設定的作業系統。 此作業系統用於 AKS 上執行的容器。 此主機作業系統是以已套用安全性設定的 Windows Server 2022 映像為基礎。
作為安全性最佳化的作業系統一部分：
- AKS 依預設會提供安全性最佳化的主機 OS，但沒有選項可選取替代作業系統。
- 安全性最佳化的主機 OS 是專門針對 AKS 所建置和維護，且無法在 AKS 平台外部獲得支援。
- 已在作業系統中停用一些不必要的核心模組驅動程式，以縮小受攻擊面。
注意
Azure 會將每日修補檔 (包括安全性修補檔) 套用至 AKS 虛擬機器主機，其與 CIS 基準不相關。
在主機 OS 中內建安全性設定的目標是要減少受攻擊區，並以安全的方式將容器的部署最佳化。
以下是 CIS Azure 計算 Microsoft Windows Server 2022 基準 v1.0.0 - 01-26-2023 (英文) 建議。
建議可出於下列其中一種原因：
- 潛在的作業影響 - 未套用建議，因為其會對服務造成負面影響。
- 包含在其他地方 - Azure 雲端計算中的另一個控制項中有該建議。
以下是已實作的 CIS 規則：
| CIS 段落編號 | 建議描述 | 狀態 | 原因 |
|---|---|---|---|
| 1.1.1 | 確認 [強制執行密碼歷程記錄] 設定為 [24 個以上的密碼] | 失敗 | |
| 1.1.2 | 確認 [密碼最長使用期限] 設定為 [365 天或更少，但不設定為 0] | 通過 | |
| 1.1.3 | 確認 [密碼最短使用期限] 設定為 [1 天以上] | 失敗 | |
| 1.1.4 | 確認 [最小密碼長度] 設定為 [14 個以上的字元] | 失敗 | |
| 1.1.5 | 確認 [密碼必須符合複雜度需求] 設定為 [已啟用] | 通過 | |
| 1.1.6 | 確認 [使用可還原的加密來存放密碼] 設定為 [已停用] | 通過 | |
| 2.2.1 | 確認 [存取認證管理員做為信任的呼叫者] 設定為 [沒有人] | 通過 | |
| 2.2.2 | 確認 [從網路存取這台電腦] 設定為 [Administrators,Authenticated Users,ENTERPRISE DOMAIN CONTROLLERS] (僅限 DC) | 失敗 | |
| 2.2.4 | 確認 [當成作業系統的一部分] 設定為 [沒有人] | 通過 | |
| 2.2.5 | 確認 [將工作站新增至網域] 設定為 [Administrators] (僅限 DC) | N/A | |
| 2.2.6 | 確認 [調整處理程序的記憶體配額] 設定為 [Administrators,LOCAL SERVICE,NETWORK SERVICE] | 通過 | |
| 2.2.7 | 確認 [允許本機登入] 設定為 [Administrators] | 失敗 | |
| 2.2.8 | 確認 [允許透過遠端桌面服務登入] 設定為 [Administrators] (僅限 DC) | 通過 | |
| 2.2.10 | 確認 [備份檔案及目錄] 設定為 [Administrators,Backup Operators] | 通過 | |
| 2.2.11 | 確認 [變更系統時間] 設定為 [Administrators,LOCAL SERVICE] | 通過 | |
| 2.2.12 | 確認 [變更時區] 設定為 [Administrators,LOCAL SERVICE] | 通過 | |
| 2.2.13 | 確認 [建立分頁檔] 設定為 [Administrators] | 通過 | |
| 2.2.14 | 確認 [建立權杖物件] 設定為 [沒有人] | 通過 | |
| 2.2.15 | 確認 [建立通用物件] 設定為 [Administrators,LOCAL SERVICE,NETWORK SERVICE,SERVICE] | 通過 | |
| 2.2.16 | 確認 [建立永久共用物件] 設定為 [沒有人] | 通過 | |
| 2.2.17 | 確認 [建立符號連結] 設定為 [Administrators] (僅限 DC) | 通過 | |
| 2.2.19 | 確認 [偵錯程式] 設定為 [Administrators] | 通過 | |
| 2.2.20 | 確認 [拒絕從網路存取這台電腦] 包含 [Guests] | 失敗 | |
| 2.2.21 | 確認 [拒絕以批次工作登入] 包含 [Guests] | 失敗 | |
| 2.2.22 | 確認 [拒絕以服務方式登入] 包含 [Guests] | 失敗 | |
| 2.2.23 | 確認 [拒絕本機登入] 包含 [Guests] | 失敗 | |
| 2.2.24 | 確認 [拒絕透過遠端桌面服務登入] 包含 [Guests] | 失敗 | |
| 2.2.25 | 確認 [讓電腦及使用者帳戶受信賴，以進行委派] 設定為 [Administrators] (僅限 DC) | 通過 | |
| 2.2.27 | 確認 [強制從遠端系統進行關閉] 設定為 [系統管理員] | 通過 | |
| 2.2.28 | 確認 [產生安全性稽核] 設定為 [LOCAL SERVICE,NETWORK SERVICE] | N/A | |
| 2.2.29 | 確認 [在驗證後模擬用戶端] 設定為 [Administrators,LOCAL SERVICE,NETWORK SERVICE,SERVICE] (僅限 DC) | 通過 | |
| 2.2.31 | 確認 [增加排程優先順序] 設定為 [Administrators] | 失敗 | |
| 2.2.32 | 確認 [載入及解除載入裝置驅動程式] 設定為 [Administrators] | 通過 | |
| 2.2.33 | 確認 [鎖定記憶體中的分頁] 設定為 [沒有人] | 通過 | |
| 2.2.34 | 確認 [管理稽核及安全性記錄檔] 設定為 [Administrators] 和 (當 Exchange 在環境中執行時) [Exchange Server] (僅限 DC) | 通過 | |
| 2.2.36 | 確認 [修改物件標籤] 設定為 [沒有人] | 通過 | |
| 2.2.37 | 確認 [修改韌體環境值] 設定為 [Administrators] | 通過 | |
| 2.2.38 | 確認 [執行磁碟區維護工作] 設定為 [Administrators] | 通過 | |
| 2.2.39 | 確認 [監視單一處理程序] 設定為 [Administrators] | 通過 | |
| 2.2.40 | 確認 [監視系統效能] 設定為 [Administrators,NT SERVICE\WdiServiceHost] | 通過 | |
| 2.2.41 | 確認 [取代處理程序等級權杖] 設定為 [LOCAL SERVICE,NETWORK SERVICE] | 通過 | |
| 2.2.42 | 確認 [還原檔案及目錄] 設定為 [Administrators,Backup Operators] | 通過 | |
| 2.2.43 | 確認 [關閉系統] 設定為 [Administrators,Backup Operators] | 通過 | |
| 2.2.44 | 確認 [同步處理目錄服務資料] 設定為 [沒有人] (僅限 DC) | N/A | |
| 2.2.45 | 確認 [取得檔案或其他物件的擁有權] 設定為 [Administrators] | 通過 | |
| 2.3.1.1 | 確認 [帳戶: 封鎖 Microsoft 帳戶] 設定為 [使用者無法新增 Microsoft 帳戶或以 Microsoft 帳戶登入] | 通過 | |
| 2.3.1.3 | 確認 [帳戶: 限制使用空白密碼的帳戶僅能登入到主控台] 設定為 [已啟用] | 通過 | |
| 2.3.1.4 | 設定 [帳戶: 重新命名系統管理員帳戶] | 通過 | |
| 2.3.1.5 | 設定 [帳戶: 重新命名來賓帳戶] | 通過 | |
| 2.3.2.1 | 確認 [稽核: 強制執行稽核原則子類別設定 (Windows Vista 或更新版本) 以覆寫稽核原則類別設定] 設定為 [已啟用] | 通過 | |
| 2.3.2.2 | 確認 [稽核: 當無法記錄安全性稽核時，系統立即關機] 設定為 [已停用] | 通過 | |
| 2.3.4.1 | 確認 [裝置: 允許格式化以及退出抽取式媒體] 設定為 [Administrators] | 通過 | |
| 2.3.4.2 | 確認 [裝置: 防止使用者安裝印表機驅動程式] 設定為 [已啟用] | 通過 | |
| 2.3.5.1 | 確認 [網域控制站: 允許伺服器操作者排程工作] 設定為 [已停用] (僅限 DC) | N/A | |
| 2.3.5.2 | 確認 [網域控制站: 允許易受攻擊的 Netlogon 安全通道連線] 設定為 [尚未設定] (僅限 DC) | N/A | |
| 2.3.5.3 | 確認 [網域控制站: LDAP 伺服器通道繫結權杖要求] 設定為 [一律] (僅限 DC) | N/A | |
| 2.3.5.4 | 確認 [網域控制站: LDAP 伺服器簽章要求] 設定為 [要求簽章] (僅限 DC) | N/A | |
| 2.3.5.5 | 確認 [網域控制站: 拒絕電腦帳戶密碼變更] 設定為 [已停用] (僅限 DC) | N/A | |
| 2.3.6.1 | 確認 [網域成員:安全通道資料加以數位加密或簽章 (一律)] 設為 [已啟用] | 通過 | |
| 2.3.6.2 | 確認 [網域成員:安全通道資料加以數位加密 (可能的話)] 設為 [已啟用] | 通過 | |
| 2.3.6.3 | 確認 [網域成員: 安全通道資料加以數位簽章 (可能的話)] 設為 [已啟用] | 通過 | |
| 2.3.6.4 | 確認 [網域成員：停用電腦帳戶密碼變更] 已設為 [已停用] | 通過 | |
| 2.3.6.5 | 確認 [網域成員：電腦帳戶密碼存留期上限] 設定為 [30 天或更少天，但不設定為 0] | 通過 | |
| 2.3.7.1 | 確認 [互動式登入: 電腦未使用時間限制] 設定為 [900 秒或更少，但不設定為 0] | 通過 | |
| 2.3.7.2 | 設定 [互動式登入: 給登入使用者的訊息本文] | 失敗 | |
| 2.3.7.3 | 設定 [互動式登入: 給登入使用者的訊息標題] | 失敗 | |
| 2.3.7.4 | 確認 [互動式登入: 在密碼到期前提示使用者變更密碼] 設定為 [介於 5 到 14 天之間] | 通過 | |
| 2.3.8.1 | 確認 [Microsoft 網路用戶端: 數位簽章通訊 (自動)] 設定為 [已啟用] | 失敗 | |
| 2.3.8.2 | 確認 [Microsoft 網路用戶端: 數位簽章通訊 (如果伺服器同意)] 設定為 [已啟用] | 通過 | |
| 2.3.8.3 | 確認 [Microsoft 網路用戶端: 傳送未加密的密碼到其他廠商的 SMB 伺服器] 設定為 [已停用] | 通過 | |
| 2.3.9.1 | 確認 [Microsoft 網路伺服器: 暫停工作階段前，要求的閒置時間] 設定為 [15 分鐘或更少] | 通過 | |
| 2.3.9.2 | 確認 [Microsoft 網路伺服器: 數位簽章通訊 (自動)] 設定為 [已啟用] | 失敗 | |
| 2.3.9.3 | 確認 [Microsoft 網路伺服器: 數位簽章通訊 (如果用戶端同意)] 設定為 [已啟用] | 失敗 | |
| 2.3.9.4 | 確認 [Microsoft 網路伺服器: 當登入時數到期時，中斷用戶端連線] 設定為 [已啟用] | 通過 | |
| 2.3.10.1 | 確認 [網路存取: 允許匿名 SID/名稱轉譯] 設定為 [已停用] | 通過 | |
| 2.3.10.4 | 確認 [網路存取: 讓 Everyone 權限套用到匿名使用者] 設定為 [已停用] | 通過 | |
| 2.3.10.5 | 設定 [網路存取: 可匿名存取的具名管道] (僅限DC) | 通過 | |
| 2.3.10.7 | 設定 [網路存取: 可遠端存取的登錄路徑] 已設定 | 通過 | |
| 2.3.10.8 | 設定 [網路存取: 可遠端存取的登錄路徑及子路徑] 已設定 | 通過 | |
| 2.3.10.9 | 確認 [網路存取: 限制匿名存取具名管道和共用] 設定為 [已啟用] | 通過 | |
| 2.3.10.11 | 確認 [網路存取: 可以匿名存取的共用] 設定為 [無] | N/A | |
| 2.3.10.12 | 確認 [網路存取: 共用和安全性模式用於本機帳戶] 設定為 [傳統 - 本機使用者以自身身分驗證] | 通過 | |
| 2.3.11.1 | 確認 [網路安全性: 允許 Local System 對 NTLM 使用電腦身分識別] 設定為 [已啟用] | 失敗 | |
| 2.3.11.2 | 確認 [網路安全性: 允許 LocalSystem NULL 工作階段回復] 設定為 [已停用] | 通過 | |
| 2.3.11.3 | 確認 [網路安全性: 允許對此電腦的 PKU2U 驗證要求使用線上身分識別] 設定為 [已停用] | 通過 | |
| 2.3.11.4 | 確認 [網路安全性: 設定 Kerberos 允許的加密類型] 設定為 [AES128_HMAC_SHA1,AES256_HMAC_SHA1,未來加密類型] | 通過 | |
| 2.3.11.5 | 確認 [網路安全性: 下次密碼變更時不儲存 LAN Manager 雜湊數值] 設定為 [已啟用] | 通過 | |
| 2.3.11.6 | 確認 [網路安全性: LAN Manager 驗證等級] 設定為 [只傳送 NTLMv2 回應。 拒絕 LM 和 NTLM] | 失敗 | |
| 2.3.11.7 | 確認 [網路安全性: LDAP 用戶端簽章要求] 設定為 [交涉簽章] 或更高 | 通過 | |
| 2.3.11.8 | 確認 [網路安全性: NTLM SSP 為主的 (包含安全 RPC) 用戶端的最小工作階段安全性] 設定為 [要求 NTLMv2 工作階段安全性,要求 128 位元加密] | 失敗 | |
| 2.3.11.9 | 確認 [網路安全性: NTLM SSP 為主的 (包含安全 RPC) 伺服器的最小工作階段安全性] 設定為 [要求 NTLMv2 工作階段安全性要求 128 位元加密] | 失敗 | |
| 2.3.13.1 | 確認 [關機: 允許不登入就將系統關機] 設定為 [已停用] | 通過 | |
| 2.3.15.1 | 確認 [系統物件: 要求不區分大小寫用於非 Windows 子系統] 設定為 [已啟用] | 通過 | |
| 2.3.15.2 | 確認 [系統物件: 加強內部系統物件的預設權限 (例如:符號連結)] 設定為 [已啟用] | 通過 | |
| 2.3.17.1 | 確認 [使用者帳戶控制: 內建的 Administrator 帳戶的管理員核准模式] 設定為 [已啟用] | 失敗 | |
| 2.3.17.2 | 確認 [使用者帳戶控制: 在管理員核准模式，系統管理員之提升權限提示的行為] 設定為 [在安全桌面提示要求同意] | 失敗 | |
| 2.3.17.3 | 確認 [使用者帳戶控制: 標準使用者之提高權限提示的行為] 設定為 [自動拒絕提升權限要求] | 失敗 | |
| 2.3.17.4 | 確認 [使用者帳戶控制: 偵測應用程式安裝，並提示提升權限] 設定為 [已啟用] | 通過 | |
| 2.3.17.5 | 確認 [使用者帳戶控制: 僅針對在安全位置安裝的 UIAccess 應用程式，提高其權限] 設定為 [已啟用] | 通過 | |
| 2.3.17.6 | 確認 [使用者帳戶控制: 所有系統管理員均以管理員核准模式執行] 設定為 [已啟用] | 通過 | |
| 2.3.17.7 | 確認 [使用者帳戶控制: 提示提升權限時切換到安全桌面] 設定為 [已啟用] | 通過 | |
| 2.3.17.8 | 確認 [使用者帳戶控制: 將檔案及登錄寫入失敗虛擬化並儲存至每一使用者位置] 設定為 [已啟用] | 通過 | |
| 5.1 | 確認 [列印多工緩衝處理器 (Spooler)] 設定為 [已停用] (僅限 DC) | N/A | |
| 9.1.1 | 確認 [Windows 防火牆: 網域: 防火牆狀態] 設定為 [開啟 (建議)] | 失敗 | |
| 9.1.2 | 確認 [Windows 防火牆: 網域: 輸入連線] 設定為 [封鎖 (預設)] | 通過 | |
| 9.1.3 | 確認 [Windows 防火牆: 網域: 輸出連線] 設定為 [允許 (預設)] | 通過 | |
| 9.1.4 | 確認 [Windows 防火牆: 網域: 記錄: 名稱] 設定為 [%SystemRoot%\System32\logfiles\firewall\domainfw.log] | 通過 | |
| 9.1.5 | 確認 [Windows 防火牆: 網域: 記錄: 大小限制 (KB)] 設定為 [16,384 KB 或更高] | 通過 | |
| 9.1.6 | 確認 [Windows 防火牆: 網域: 記錄: 記錄丟棄的封包] 設定為 [是] | 通過 | |
| 9.1.7 | 確認 [Windows 防火牆: 網域: 記錄: 記錄成功的連線] 設定為 [是] | 失敗 | |
| 9.2.1 | 確認 [Windows 防火牆: 私人: 防火牆狀態] 設定為 [開啟 (建議)] | 失敗 | |
| 9.2.2 | 確認 [Windows 防火牆: 私人: 輸入連線] 設定為 [封鎖 (預設)] | 通過 | |
| 9.2.3 | 確認 [Windows 防火牆: 私人: 輸出連線] 設定為 [允許 (預設)] | 失敗 | |
| 9.2.4 | 確認 [Windows 防火牆: 私人: 記錄: 名稱] 設定為 [%SystemRoot%\System32\logfiles\firewall\privatefw.log] | 通過 | |
| 9.2.5 | 確認 [Windows 防火牆: 私人: 記錄: 大小限制 (KB)] 設定為 [16,384 KB 或更高] | 通過 | |
| 9.2.6 | 確認 [Windows 防火牆: 私人: 記錄: 記錄丟棄的封包] 設定為 [是] | 通過 | |
| 9.2.7 | 確認 [Windows 防火牆: 私人: 記錄: 記錄成功的連線] 設定為 [是] | 通過 | |
| 9.3.1 | 確認 [Windows 防火牆: 公用: 防火牆狀態] 設定為 [開啟 (建議)] | 失敗 | |
| 9.3.2 | 確認 [Windows 防火牆: 公用: 輸入連線] 設定為 [封鎖 (預設)] | 通過 | |
| 9.3.3 | 確認 [Windows 防火牆: 公用: 輸出連線] 設定為 [允許 (預設)] | 失敗 | |
| 9.3.4 | 確認 [Windows 防火牆: 公用: 記錄: 名稱] 設定為 [%SystemRoot%\System32\logfiles\firewall\publicfw.log] | 通過 | |
| 9.3.5 | 確認 [Windows 防火牆: 公用: 記錄: 大小限制 (KB)] 設定為 [16,384 KB 或更高] | 失敗 | |
| 9.3.6 | 確認 [Windows 防火牆: 公用: 記錄: 記錄丟棄的封包] 設定為 [是] | 通過 | |
| 9.3.7 | 確認 [Windows 防火牆: 公用: 記錄: 記錄成功的連線] 設定為 [是] | 通過 | |
| 17.1.1 | 確認 [稽核認證驗證] 設定為 [成功與失敗] | 通過 | |
| 17.1.2 | 確認 [稽核 Kerberos 驗證服務] 設定為 [成功與失敗] (僅限 DC) | 通過 | |
| 17.2.1 | 確認 [稽核電腦帳戶管理] 設定為包含 [成功與失敗] (僅限 DC) | 通過 | |
| 17.2.2 | 確認 [稽核發佈群組管理] 設定為包含 [成功與失敗] (僅限 DC) | 通過 | |
| 17.2.3 | 確認 [稽核其他帳戶管理事件] 設定為包含 [成功] (僅限 DC) | 通過 | |
| 17.2.4 | 確認 [稽核安全性群組管理] 設定為包含 [成功] | 通過 | |
| 17.2.5 | 確認 [稽核使用者帳戶管理] 設定為 [成功與失敗] | 通過 | |
| 17.3.1 | 確認 [稽核 PNP 活動] 設定為包含 [成功] | 通過 | |
| 17.3.2 | 確認 [稽核建立處理程序] 設定為包含 [成功] | 通過 | |
| 17.5.1 | 確認 [稽核帳戶鎖定] 設定為包含 [成功與失敗] | 通過 | |
| 17.5.2 | 確認 [稽核群組成員資格] 設定為包含 [成功] | 通過 | |
| 17.5.3 | 確認 [稽核登出] 設定為包含 [成功] | 通過 | |
| 17.5.4 | 確認 [稽核登入] 設定為 [成功與失敗] | 通過 | |
| 17.5.5 | 確認 [稽核其他登入/登出事件] 設定為 [成功與失敗] | 通過 | |
| 17.5.6 | 確認 [稽核特殊登入] 設定為包含 [成功] | 通過 | |
| 17.6.1 | 確認 [稽核其他物件存取事件] 設定為 [成功與失敗] | 失敗 | |
| 17.6.2 | 確認 [稽核卸除式存放裝置] 設定為 [成功與失敗] | 失敗 | |
| 17.7.1 | 確認 [稽核「稽核原則變更」] 設定為包含 [成功] | 通過 | |
| 17.7.2 | 確認 [稽核驗證原則變更] 設定為包含 [成功] | 通過 | |
| 17.7.3 | 確認 [稽核 MPSSVC 規則層級原則變更] 設定為 [成功與失敗] | 失敗 | |
| 17.8.1 | 確認 [稽核機密特殊權限使用] 設定為 [成功與失敗] | 通過 | |
| 17.9.1 | 確認 [稽核安全性狀態變更] 設定為包含 [成功] | 失敗 | |
| 17.9.2 | 確認 [稽核安全性系統延伸] 設定為包含 [成功] | 通過 | |
| 17.9.3 | 確認 [稽核系統完整性] 設定為 [成功與失敗] | 通過 | |
| 18.1.2.2 | 確認 [允許使用者啟用線上語音辨識服務] 設定為 [已停用] | 失敗 | |
| 18.3.1 | 確認 [設定 SMB v1 用戶端驅動程式] 設定為 [已啟用: 停用驅動程式 (建議)] | 通過 | |
| 18.3.2 | 確認 [設定 SMB v1 伺服器] 設定為 [已停用] | 通過 | |
| 18.3.3 | 確認 [啟用結構化的例外處理覆寫保護 (SEHOP)] 設定為 [已啟用] | 通過 | |
| 18.3.4 | 確認 [NetBT NodeType 設定] 設定為 [已啟用: P 節點 (建議)] | 通過 | |
| 18.3.5 | 確認 [WDigest 驗證] 設定為 [已停用] | 通過 | |
| 18.4.1 | 確認 [MSS: (DisableIPSourceRouting IPv6) IP 來源路由保護層級 (防止封包詐騙)] 設定為 [已啟用: 最高保護，來源路由已完全停用] | 通過 | |
| 18.4.2 | 確認 [MSS: (DisableIPSourceRouting) IP 來源路由保護層級 (防止封包詐騙)] 設定為 [已啟用: 最高保護，來源路由已完全停用] | 通過 | |
| 18.4.3 | 確認 [MSS: (EnableICMPRedirect) 允許 ICMP 重新導向以覆寫 OSPF 產生的路由] 設定為 [已停用] | 失敗 | |
| 18.4.4 | 確認 [MSS: (NoNameReleaseOnDemand) 允許電腦忽略 NetBIOS 名稱發行要求，WINS 伺服器除外] 設定為 [已啟用] | 通過 | |
| 18.5.4.1 | 確認 [關閉多點傳送名稱解析] 設定為 [已啟用] | 失敗 | |
| 18.5.8.1 | 確認 [啟用不安全的來賓登入] 設定為 [已停用] | 失敗 | |
| 18.5.11.2 | 確認 [禁止在您的 DNS 網域網路上安裝、設定及使用網路橋接] 設定為 [已啟用] | 失敗 | |
| 18.5.11.3 | 確認 [禁止在您的 DNS 網域網路中使用網際網路連線共用] 設定為 [已啟用] | 失敗 | |
| 18.5.14.1 | 確認 [已強化的 UNC 路徑] 設定為 [已啟用，並針對所有 NETLOGON 和 SYSVOL 共用設定 [要求相互驗證] 和 [要求完整性]] | 通過 | |
| 18.5.21.1 | 確認 [最小化網際網路或 Windows 網域的同時連線數目] 設定為 [已啟用: 1 = 最小化同時連線數目] | 通過 | |
| 18.8.3.1 | 確認 [在建立處理程序事件中包含命令列] 設定為 [已啟用] | 失敗 | |
| 18.8.4.1 | 確認 [加密預示修復] 設定為 [已啟用: 強制使用更新的用戶端] | 通過 | |
| 18.8.4.2 | 確認 [遠端主機允許委派不可匯出的認證] 設定為 [已啟用] | 通過 | |
| 18.8.14.1 | 確認 [開機啟動驅動程式初始化原則] 設定為 [已啟用: 良好、不明及不良但關鍵] | 通過 | |
| 18.8.21.2 | 確定 [設定登錄原則處理：在定期背景處理期間不適用] 設定為 [Enabled: FALSE] | 通過 | |
| 18.8.21.3 | 確定 [設定登錄原則處理：即使群組原則物件尚未變更，流程仍設定為 [Enabled: TRUE] | 通過 | |
| 18.8.21.4 | 確定 [在此裝置上繼續體驗] 設定為 [已停用] | 通過 | |
| 18.8.21.5 | 確認 [關閉群組原則的背景更新] 設定為 [已停用] | 通過 | |
| 18.8.22.1.1 | 確認 [關閉透過 HTTP 下載印表機驅動程式] 設定為 [已啟用] | 失敗 | |
| 18.8.28.1 | 確認 [防止使用者在登入時顯示帳戶詳細資料] 設定為 [已啟用] | 失敗 | |
| 18.8.28.2 | 確認 [不要顯示網路選取 UI] 設定為 [已啟用] | 失敗 | |
| 18.8.36.1 | 確認 [設定提供遠端協助] 設定為 [已停用] | 通過 | |
| 18.8.36.2 | 確認 [設定請求遠端協助] 設定為 [已停用] | 失敗 | |
| 18.8.40.1 | 確認 [在驗證期間設定易受攻擊的 ROCA WHfB 金鑰驗證] 設定為 [已啟用: 稽核] 或更高 (僅限 DC) | N/A | |
| 18.9.6.1 | 確認 [允許選用 Microsoft 帳戶] 設定為 [已啟用] | 失敗 | |
| 18.9.14.1 | 確認 [關閉雲端取用者帳戶狀態內容] 設定為 [已啟用] | 通過 | |
| 18.9.14.2 | 確認 [關閉 Microsoft 消費者體驗] 設定為 [已啟用] | 通過 | |
| 18.9.16.1 | 確認 [不要顯示密碼顯示按鈕] 設定為 [已啟用] | 失敗 | |
| 18.9.16.2 | 確認 [提升權限時列舉系統管理員帳戶] 設定為 [已停用] | 通過 | |
| 18.9.17.1 | 確認 [允許診斷資料] 設定為 [已啟用: 傳送必要的診斷資料] | 失敗 | |
| 18.9.27.1.1 | 確認 [應用程式: 控制記錄檔達到其大小上限時的事件記錄檔行為] 設定為 [已停用] | 通過 | |
| 18.9.27.1.2 | 確認 [應用程式: 指定記錄檔大小上限 (KB)] 設定為 [已啟用: 32,768 或更高] | 失敗 | |
| 18.9.27.2.1 | 確認 [安全性: 控制記錄檔達到其大小上限時的事件記錄檔行為] 設定為 [已停用] | 通過 | |
| 18.9.27.2.2 | 確認 [安全性: 指定記錄檔大小上限 (KB)] 設定為 [已啟用: 196,608 或更高] | 失敗 | |
| 18.9.27.3.1 | 確認 [安裝: 控制記錄檔達到其大小上限時的事件記錄檔行為] 設定為 [已停用] | 通過 | |
| 18.9.27.3.2 | 確認 [安裝: 指定記錄檔大小上限 (KB)] 設定為 [已啟用: 32,768 或更高] | 失敗 | |
| 18.9.27.4.1 | 確認 [系統: 控制記錄檔達到其大小上限時的事件記錄檔行為] 設定為 [已停用] | 通過 | |
| 18.9.27.4.2 | 確認 [系統: 指定記錄檔大小上限 (KB)] 設定為 [已啟用: 32,768 或更高] | 失敗 | |
| 18.9.31.2 | 確認 [關閉檔案總管的資料執行防止] 設定為 [已停用] | 通過 | |
| 18.9.31.3 | 確認 [損毀時關閉終止堆集] 設定為 [已停用] | 通過 | |
| 18.9.31.4 | 確認 [關閉殼層通訊協定受保護模式] 設定為 [已停用] | 通過 | |
| 18.9.46.1 | 確認 [封鎖所有消費者 Microsoft 帳戶使用者驗證] 設定為 [已啟用] | 通過 | |
| 18.9.47.15 | 確認 [設定潛在垃圾應用程式的偵測] 設定為 [已啟用: 封鎖] | 通過 | |
| 18.9.47.16 | 確認 [關閉 Microsoft Defender 防毒軟體] 設定為 [已停用] | 通過 | |
| 18.9.47.4.1 | 確認 [設定 Microsoft 地圖報告的本機設定覆寫] 設定為 [已停用] | 通過 | |
| 18.9.47.5.1.1 | 確認 [設定攻擊面減少規則] 設定為 [已啟用] | 通過 | |
| 18.9.47.5.1.2 | 確認 [設定受攻擊面縮小規則: 設定每個 ASR 規則的狀態] 已設定 | 通過 | |
| 18.9.47.5.3.1 | 確認 [防止使用者和應用程式存取危險的網站] 設定為 [已啟用: 封鎖] | 通過 | |
| 18.9.47.9.1 | 確認 [掃描所有下載檔案及附件] 設定為 [已啟用] | 通過 | |
| 18.9.47.9.2 | 確認 [關閉即時保護] 設定為 [已停用] | 通過 | |
| 18.9.47.9.3 | 確認 [開啟行為監視] 設定為 [已啟用] | 通過 | |
| 18.9.47.9.4 | 確認 [啟用指令碼掃描] 設定為 [已啟用] | 通過 | |
| 18.9.47.12.1 | 確認 [開啟電子郵件掃描] 設定為 [已啟用] | 失敗 | |
| 18.9.65.2.2 | 確認 [不允許儲存密碼] 設定為 [已啟用] | 失敗 | |
| 18.9.65.3.3.1 | 確認 [不允許磁碟機重新導向] 設定為 [已啟用] | 通過 | |
| 18.9.65.3.9.1 | 確認 [連線時永遠提示密碼] 設定為 [已啟用] | 失敗 | |
| 18.9.65.3.9.2 | 確認 [需要安全的 RPC 通訊] 設定為 [已啟用] | 失敗 | |
| 18.9.65.3.9.3 | 確認 [設定用戶端連線加密層級] 設定為 [啟已用: 高等級] | 通過 | |
| 18.9.65.3.11.1 | 確認 [結束後不刪除暫存資料夾] 設定為 [已停用] | 通過 | |
| 18.9.65.3.11.2 | 確認 [不要使用每一工作階段的暫存資料夾] 設定為 [已停用] | 通過 | |
| 18.9.66.1 | 確認 [防止下載隨函附件] 設定為 [已啟用] | 失敗 | |
| 18.9.67.2 | 確認 [允許加密檔案索引] 設定為 [已停用] | 通過 | |
| 18.9.85.1.1 | 確認 [設定 Windows Defender SmartScreen] 設定為 [已啟用: 警告並防止略過] | 失敗 | |
| 18.9.90.1 | 確認 [允許使用者控制安裝] 設定為 [已停用] | 通過 | |
| 18.9.90.2 | 確認 [永遠以較高的特殊權限安裝] 設定為 [已停用] | 通過 | |
| 18.9.91.1 | 確認 [在重新開機後，自動登入並鎖定最後一個互動使用者] 設定為 [已停用] | 通過 | |
| 18.9.100.1 | 確認 [打開 PowerShell 指令碼區塊記錄] 設定為 [已啟用] | 失敗 | |
| 18.9.100.2 | 確認 [打開 PowerShell 轉譯] 設定為 [已停用] | 通過 | |
| 18.9.102.1.1 | 確認 [允許基本驗證] 設定為 [已停用] | 通過 | |
| 18.9.102.1.2 | 確認 [允許未加密的流量] 設定為 [已停用] | 通過 | |
| 18.9.102.1.3 | 確認 [不允許摘要式驗證] 設定為 [已啟用] | 失敗 | |
| 18.9.102.2.1 | 確認 [允許基本驗證] 設定為 [已停用] | 通過 | |
| 18.9.102.2.2 | 確認 [允許未加密的流量] 設定為 [已停用] | 通過 | |
| 18.9.102.2.3 | 確認 [不允許 WinRM 儲存 RunAs 認證] 設定為 [已啟用] | 失敗 | |
| 18.9.105.2.1 | 確認 [防止使用者修改設定] 設定為 [已啟用] | 通過 |
下一步
如需 AKS 安全性的詳細資訊，請參閱下列文章：