共用方式為


適用於 適用於 MySQL 的 Azure 資料庫 的 Azure 安全性基準 - 彈性伺服器

此安全性基準會將 Microsoft 雲端安全性效能評定 1.0 版的指引套用至 適用於 MySQL 的 Azure 資料庫 - 彈性伺服器。 Microsoft 雲端安全性基準提供如何在 Azure 上保護雲端解決方案的建議。 內容會依 Microsoft 雲端安全性效能評定所定義的安全性控件分組,以及適用於 適用於 MySQL 的 Azure 資料庫 - 彈性伺服器的相關指引。

您可以使用 Microsoft Defender for Cloud 來監視此安全性基準及其建議。 Azure 原則 定義將會列在 Cloud 入口網站 Microsoft Defender 頁面的法規合規性一節中。

當功能有相關的 Azure 原則 定義時,這些定義會列在此基準中,以協助您測量 Microsoft 雲端安全性基準控制措施和建議的合規性。 某些建議可能需要付費 Microsoft Defender 方案,才能啟用特定安全性案例。

注意

不適用於 適用於 MySQL 的 Azure 資料庫 功能 - 已排除彈性伺服器。 若要查看 適用於 MySQL 的 Azure 資料庫 - 彈性伺服器如何完全對應至 Microsoft 雲端安全性效能評定,請參閱完整的 適用於 MySQL 的 Azure 資料庫 - 彈性伺服器安全性基準對應檔案

安全性配置檔

安全性配置檔摘要說明 適用於 MySQL 的 Azure 資料庫 - 彈性伺服器的高影響行為,這可能會導致安全性考慮增加。

服務行為屬性
產品類別 資料庫
客戶可以存取 HOST / OS 無存取權
服務可以部署到客戶的虛擬網路
儲存待用客戶內容

網路安全性

如需詳細資訊,請參閱 Microsoft 雲端安全性基準:網路安全性

NS-1:建立網路分割界限

功能

虛擬網路整合

描述:服務支援部署到客戶的私人 虛擬網路 (VNet) 。 深入瞭解

支援 默認為啟用 設定責任
False 客戶

設定指引:將服務部署至虛擬網路。 除非有將公用IP直接指派給資源的強大原因,否則請將私人IP指派給資源, (適用的) 。

參考適用於 MySQL 的 Azure 資料庫 專用網存取 - 彈性伺服器

網路安全組支援

描述:服務網路流量會遵守其子網上的網路安全組規則指派。 深入瞭解

支援 默認為啟用 設定責任
False 客戶

設定指引:使用網路安全組 (NSG) 來限制或監視埠、通訊協定、來源 IP 位址或目的地 IP 位址的流量。 建立 NSG 規則來限制服務的開放連接埠 (例如防止從不受信任的網路存取管理連接埠)。 請注意,NSG 預設會拒絕所有輸入流量,但允許來自虛擬網路和 Azure Load Balancer 的流量。

參考MySQL 的網路功能 - 彈性伺服器

NS-2:使用網路控制保護雲端服務

功能

描述:用於篩選網路流量的服務原生IP篩選功能, (不會與NSG或 Azure 防火牆) 混淆。 深入瞭解

支援 默認為啟用 設定責任
False 客戶

設定指引:針對支援 Private Link 功能的所有 Azure 資源部署私人端點,以建立資源的私人存取點。

參考:使用入口網站為 適用於 MySQL 的 Azure 資料庫 - 彈性伺服器建立和管理 Private Link

停用公用網路存取

描述:服務支援使用服務層級IP ACL篩選規則來停用公用網路存取, (非 NSG 或 Azure 防火牆) 或使用 [停用公用網络存取] 切換開關。 深入瞭解

支援 默認為啟用 設定責任
False 客戶

設定指引:使用服務層級IP ACL篩選規則或切換交換器來存取公用網路,停用公用網路存取。

參考適用於 MySQL 的 Azure 資料庫 的公用網路存取 - 彈性伺服器

適用於雲端的 Microsoft Defender 監視

Azure 原則 內建定義 - Microsoft.DBforMySQL

名稱
(Azure 入口網站)
描述 效果 版本
(GitHub)
MySQL 伺服器應啟用私人端點 私人端點連線透過啟用與適用於 MySQL 的 Azure 資料庫的私人連線,可強制執行安全通訊。 設定私人端點連線,僅存取來自已知網路的流量,並防止其他所有 IP 位址 (包括 Azure 內) 的存取。 AuditIfNotExists, Disabled 1.0.2

身分識別管理

如需詳細資訊,請參閱 Microsoft 雲端安全性效能評定:身分識別管理

IM-1:使用集中式身分識別和驗證系統

功能

資料平面存取所需的 Azure AD 驗證

描述:服務支援使用 Azure AD 驗證進行數據平面存取。 深入瞭解

支援 默認為啟用 設定責任
False 共用

設定指引:使用 Azure Active Directory (Azure AD) 作為預設驗證方法來控制您的數據平面存取。

參考Active Directory 驗證 - 適用於 MySQL 的 Azure 資料庫 - 彈性伺服器

資料平面存取的本機驗證方法

描述:支持數據平面存取的本機驗證方法,例如本機使用者名稱和密碼。 深入瞭解

支援 默認為啟用 設定責任
Microsoft

功能注意事項:避免使用本機驗證方法或帳戶,請盡可能停用這些方法。 請改用 Azure AD 在可能的情況下進行驗證。

設定指引:在預設部署上啟用此設定時,不需要任何其他設定。

參考快速入門:使用 Azure 入口網站 建立 適用於 MySQL 的 Azure 資料庫 彈性伺服器

IM-3:安全且自動地管理應用程式身分識別

功能

受控識別

描述:數據平面動作支援使用受控識別進行驗證。 深入瞭解

支援 默認為啟用 設定責任
Microsoft

設定指引:在預設部署上啟用此設定時,不需要任何其他設定。

參考客戶管理的金鑰數據加密 – 適用於 MySQL 的 Azure 資料庫 – 彈性伺服器

服務主體

描述:數據平面支援使用服務主體進行驗證。 深入瞭解

支援 默認為啟用 設定責任
Microsoft

設定指引:在預設部署上啟用此設定時,不需要任何其他設定。

IM-7:根據條件限制資源存取

功能

資料平面的條件式存取

描述:您可以使用 Azure AD 條件式存取原則來控制數據平面存取。 深入瞭解

支援 默認為啟用 設定責任
False 客戶

功能注意事項:客戶可以啟用 AAD 驗證以利用條件式存取

設定指引:在工作負載中定義 Azure Active Directory (Azure AD) 條件式存取適用的條件和準則。 請考慮常見的使用案例,例如封鎖或授與來自特定位置的存取權、封鎖具風險的登入行為,或要求特定應用程式的組織管理的裝置。

參考Active Directory 驗證 - 適用於 MySQL 的 Azure 資料庫 - 彈性伺服器

IM-8:限制認證和祕密的公開

功能

Azure Key Vault 中服務認證和秘密支援整合和儲存

描述:數據平面支援原生使用 Azure 金鑰保存庫 進行認證和秘密存放區。 深入瞭解

支援 默認為啟用 設定責任
False 不適用 不適用

設定指引:不支援此功能來保護此服務。

特殊權限存取

如需詳細資訊,請參閱 Microsoft 雲端安全性效能評定:特殊許可權存取

PA-1:劃分和限制高度權限/系統管理使用者

功能

本機 管理員 帳戶

描述:服務具有本機系統管理帳戶的概念。 深入瞭解

支援 默認為啟用 設定責任
Microsoft

功能注意事項:避免使用本機驗證方法或帳戶,請盡可能停用這些方法。 請改用 Azure AD 在可能的情況下進行驗證。

設定指引:在預設部署上啟用此設定時,不需要任何其他設定。

參考快速入門:使用 Azure 入口網站 建立 適用於 MySQL 的 Azure 資料庫 彈性伺服器

PA-7:受保護的系統管理員

功能

適用於數據平面的 Azure RBAC

描述:Azure Role-Based 存取控制 (Azure RBAC) 可用來管理服務數據平面動作的存取權。 深入瞭解

支援 默認為啟用 設定責任
False 不適用 不適用

設定指引:不支援此功能來保護此服務。

PA-8:判斷雲端提供者支援的存取程序

功能

客戶加密箱

描述:客戶加密箱可用於 Microsoft 支援存取。 深入瞭解

支援 默認為啟用 設定責任
False 客戶

設定指引:在 Microsoft 需要存取數據的支援案例中,使用客戶加密箱來檢閱,然後核准或拒絕每個 Microsoft 的數據存取要求。

資料保護

如需詳細資訊,請參閱 Microsoft 雲端安全性基準:數據保護

DP-1:探索、分類及標記敏感性資料

功能

敏感數據探索和分類

描述:Azure Purview 或 Azure 資訊保護) 之類的工具 (可用於服務中的數據探索和分類。 深入瞭解

支援 默認為啟用 設定責任
False 不適用 不適用

設定指引:不支援此功能來保護此服務。

DP-2:監視以敏感性資料為目標的異常和威脅

功能

數據外洩/外洩防護

描述:服務支援 DLP 解決方案,以監視客戶內容) 中的敏感數據移動 (。 深入瞭解

支援 默認為啟用 設定責任
False 不適用 不適用

設定指引:不支援此功能來保護此服務。

DP-3:加密傳輸中的敏感性資料

功能

傳輸中資料加密

描述:服務支持數據平面的數據傳輸中加密。 深入瞭解

支援 默認為啟用 設定責任
Microsoft

設定指引:在預設部署上啟用此設定時,不需要任何其他設定。

參考MySQL 中的 TLS 和 SSL 彈性

適用於雲端的 Microsoft Defender 監視

Azure 原則 內建定義 - Microsoft.DBforMySQL

名稱
(Azure 入口網站)
描述 效果 版本
(GitHub)
應為 MySQL 資料庫伺服器啟用 [強制執行 SSL 連線] 適用於 MySQL 的 Azure 資料庫支援使用安全通訊端層 (SSL),將適用於 MySQL 的 Azure 資料庫伺服器連線至用戶端應用程式。 在您的資料庫伺服器和用戶端應用程式之間強制使用 SSL 連線,可將兩者之間的資料流加密,有助於抵禦「中間人」攻擊。 此設定會強制一律啟用 SSL,以存取您的資料庫伺服器。 Audit, Disabled 1.0.1

DP-4:預設啟用待用資料加密

功能

使用平台金鑰進行待用數據加密

描述:支援使用平臺密鑰進行待用數據加密,任何待用客戶內容都會使用這些 Microsoft 管理的密鑰加密。 深入瞭解

支援 默認為啟用 設定責任
Microsoft

設定指引:在預設部署上啟用此設定時,不需要任何其他設定。

DP-5:必要時在待用資料加密中使用客戶自控金鑰選項

功能

使用 CMK 進行待用資料加密

描述:服務所儲存的客戶內容支援使用客戶自控密鑰進行待用數據加密。 深入瞭解

支援 默認為啟用 設定責任
False 客戶

設定指引:這項功能設定沒有目前的 Microsoft 指引。 請檢閱並判斷您的組織是否想要設定此安全性功能。

參考客戶管理的金鑰數據加密 – 適用於 MySQL 的 Azure 資料庫 – 彈性伺服器

適用於雲端的 Microsoft Defender 監視

Azure 原則 內建定義 - Microsoft.DBforMySQL

名稱
(Azure 入口網站)
描述 效果 版本
(GitHub)
SQL 伺服器應使用客戶自控金鑰來加密待用資料 使用客戶自控金鑰來管理 MySQL 伺服器的待用加密。 根據預設,資料會使用服務管理的金鑰進行待用加密,但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任,包括輪替和管理。 AuditIfNotExists, Disabled 1.0.4

DP-6:使用安全金鑰管理程序

功能

Azure Key Vault 中的金鑰管理

描述:此服務支援任何客戶密鑰、秘密或憑證的 Azure 金鑰保存庫 整合。 深入瞭解

支援 默認啟用 設定責任
False 客戶

設定指引:使用 Azure 金鑰保存庫 來建立和控制加密金鑰的生命週期,包括金鑰產生、散發和記憶體。 根據定義的排程或密鑰淘汰或入侵時,輪替和撤銷 Azure 金鑰保存庫 和服務中的密鑰。 如果您需要在工作負載、服務或應用層級中使用客戶管理的密鑰 (CMK) ,請確定您遵循金鑰管理的最佳做法:使用金鑰階層在金鑰保存庫中產生個別的數據加密金鑰 (DEK) 與金鑰加密金鑰 (KEK) 。 請確定金鑰已向 Azure 金鑰保存庫 註冊,並透過服務或應用程式的金鑰標識碼加以參考。 如果您需要將自己的金鑰 (BYOK) 帶入服務 (,例如將受 HSM 保護的金鑰從內部部署 HSM 匯入 Azure 金鑰保存庫) ,請遵循建議的指導方針來執行初始密鑰產生和金鑰傳輸。

參考客戶管理的金鑰數據加密 – 適用於 MySQL 的 Azure 資料庫 – 彈性伺服器

DP-7:使用安全的憑證管理程序

功能

Azure Key Vault 中的憑證管理

描述:服務支援任何客戶憑證的 Azure 金鑰保存庫 整合。 深入瞭解

支援 默認啟用 設定責任
False 不適用 不適用

設定指引:不支援此功能來保護此服務。

資產管理

如需詳細資訊,請參閱 Microsoft 雲端安全性基準檢驗:資產管理

AM-2:僅使用核准的服務

功能

Azure 原則支援

描述:服務組態可以透過 Azure 原則 進行監視和強制執行。 深入瞭解

支援 默認啟用 設定責任
False 不適用 不適用

設定指引:不支援此功能來保護此服務。

記錄和威脅偵測

如需詳細資訊,請參閱 Microsoft 雲端安全性效能評定:記錄和威脅偵測

LT-1:啟用威脅偵測功能

功能

適用於服務/產品供應項目的 Microsoft Defender

描述:服務具有供應專案特定的 Microsoft Defender 解決方案,可監視和警示安全性問題。 深入瞭解

支援 默認啟用 設定責任
False 不適用 不適用

設定指引:不支援此功能來保護此服務。

LT-4:啟用安全性調查的記錄

功能

Azure 資源記錄

描述:服務會產生資源記錄,可提供增強的服務特定計量和記錄。 客戶可以設定這些資源記錄,並將其傳送至自己的數據接收,例如記憶體帳戶或記錄分析工作區。 深入瞭解

支援 默認啟用 設定責任
False 共用

設定指引:適用於 MySQL 的 Azure 資料庫 彈性伺服器可讓用戶設定稽核記錄。 可使用稽核記錄來追蹤資料庫等級活動,包括連線、管理員、DDL 和 DML 事件。 這些記錄類型通常用於合規性用途。

參考適用於 MySQL 的 Azure 資料庫 彈性伺服器中的稽核記錄

備份與復原

如需詳細資訊,請參閱 Microsoft 雲端安全性效能評定:備份和復原

BR-1:確保定期自動備份

功能

Azure 備份

描述:服務可由 Azure 備份 服務備份。 深入瞭解

支援 默認啟用 設定責任
False 不適用 不適用

設定指引:不支援此功能來保護此服務。

服務原生備份功能

描述:若未使用 Azure 備份) ,服務支援其本身的原生備份功能 (。 深入瞭解

支援 默認啟用 設定責任
Microsoft

設定指引:預設部署上啟用此設定時不需要其他設定。

參考適用於 MySQL 的 Azure 資料庫 彈性伺服器中的備份和還原

適用於雲端的 Microsoft Defender 監視

Azure 原則 內建定義 - Microsoft.DBforMySQL

名稱
(Azure 入口網站)
描述 效果 版本
(GitHub)
應為適用於 MySQL 的 Azure 資料庫啟用異地備援備份 適用於 MySQL 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體,其中的資料不只會儲存在裝載您伺服器的區域內,也會複寫至配對的區域,以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間,為備份設定異地備援儲存體。 Audit, Disabled 1.0.1

後續步驟