Data Factory 的 Azure 安全性基準
此安全性基準會將 Microsoft 雲端安全性基準 1.0 版 的指引套用至 Data Factory。 Microsoft 雲端安全性基準提供如何在 Azure 上保護雲端解決方案的建議。 內容會依 Microsoft 雲端安全性基準所定義的安全性控制,以及適用于 Data Factory 的相關指引分組。
您可以使用雲端Microsoft Defender來監視此安全性基準及其建議。 Azure 原則定義將會列在雲端入口網站Microsoft Defender頁面的 [法規合規性] 區段中。
當功能具有相關的Azure 原則定義時,這些定義會列在此基準中,以協助您測量與 Microsoft 雲端安全性基準測試控制項和建議的合規性。 某些建議可能需要付費Microsoft Defender方案,才能啟用特定安全性案例。
注意
已排除不適用於 Data Factory的功能。 若要查看 Data Factory 如何完全對應至 Microsoft 雲端安全性基準測試,請參閱 完整的 Data Factory 安全性基準對應檔案。
安全性設定檔
安全性設定檔摘要說明 Data Factory 的高影響行為,這可能會導致安全性考慮增加。
服務行為屬性 | 值 |
---|---|
產品類別 | 分析、整合 |
客戶可以存取主機/OS | 無存取權 |
服務可以部署至客戶的虛擬網路 | 對 |
儲存待用客戶內容 | 對 |
網路安全性
如需詳細資訊,請參閱 Microsoft 雲端安全性基準:網路安全性。
NS-1:建立網路分割界限
功能
虛擬網路整合
描述:服務支援將部署至客戶的私人虛擬網路 (VNet) 。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | False | 客戶 |
功能資訊:Azure-SSIS 整合執行時間支援客戶虛擬網路上的虛擬網路插入。 建立 Azure-SSIS Integration Runtime (IR) 時,您可以將其與虛擬網路聯結。 它可讓Azure Data Factory建立特定的網路資源,例如 NSG 和負載平衡器。 您也可以提供自己的靜態公用 IP 位址,或Azure Data Factory為您建立一個。 您可以在客戶的虛擬網路內的 IaaS VM 上設定自我裝載整合執行時間 (IR) 。 網路流量也會受到客戶的 NSG 和防火牆設定所控管。
設定指引:這項功能設定目前沒有 Microsoft 指導方針。 請檢閱並判斷您的組織是否要設定此安全性功能。
網路安全性群組支援
描述:服務網路流量會遵守其子網上的網路安全性群組規則指派。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | False | 客戶 |
功能資訊:Azure-SSIS 整合執行時間支援客戶虛擬網路上的虛擬網路插入。 它會遵守客戶在其虛擬網路中設定的所有 NSG 和防火牆規則。 建立 Azure-SSIS Integration Runtime (IR) 時,您可以將其與虛擬網路聯結。 它可讓Azure Data Factory建立特定的網路資源,例如 NSG 和負載平衡器。 您也可以提供自己的靜態公用 IP 位址,或Azure Data Factory為您建立一個。 在Azure Data Factory自動建立的 NSG 上,預設會將埠 3389 開放給所有流量。 鎖定埠,以確保只有您的系統管理員具有存取權。
您可以在客戶的虛擬網路內的 IaaS VM 上設定自我裝載整合執行時間 (IR) 。 網路流量也會受到客戶的 NSG 和防火牆設定所控管。
根據您的應用程式和企業分割策略,根據 NSG 規則限制或允許內部資源之間的流量。 針對特定、定義完善的應用程式,例如三層式應用程式,其預設可以是高度安全的拒絕。
設定指引:這項功能設定目前沒有 Microsoft 指導方針。 請檢閱並判斷您的組織是否要設定此安全性功能。
NS-2:使用網路控制保護雲端服務
功能
Azure Private Link
描述:用於篩選網路流量的服務原生 IP 篩選功能, (不會與 NSG 或Azure 防火牆) 混淆。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | False | 客戶 |
其他指引:您可以在受控 虛擬網路Azure Data Factory中設定私人端點,以私下連線到資料存放區。
Data Factory 不提供設定虛擬網路服務端點的功能。
當您建立 Azure-SSIS Integration Runtime (IR) 時,您可以將其與虛擬網路聯結。 它可讓Azure Data Factory建立特定的網路資源,例如 NSG 和負載平衡器。 您也可以提供自己的靜態公用 IP 位址,或Azure Data Factory為您建立一個。 在Azure Data Factory自動建立的 NSG 上,預設會將埠 3389 開放給所有流量。 鎖定埠,以確保只有您的系統管理員具有存取權。 您可以在內部部署電腦或虛擬網路內的 Azure VM 上部署 Self-Hosted IR。 請確定您的虛擬網路子網部署已設定為只允許系統管理存取權的 NSG。 Azure-SSIS IR預設不允許在每個 IR 節點上的 Windows 防火牆規則輸出埠 3389,以保護。 您可以將 NSG 與子網建立關聯,並設定嚴格的規則,以保護虛擬網路設定的資源。
參考:Azure Data Factory的Azure Private Link
停用公用網路存取
描述:服務支援透過使用服務層級 IP ACL 篩選規則來停用公用網路存取, (不是 NSG 或Azure 防火牆) ,或是使用「停用公用網路存取」切換開關。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | False | 客戶 |
功能注意事項:停用公用網路存取僅適用于 Self-Hosted Integration Runtime (SHIR) ,不適用於 Azure IR 或 SSIS IR。 使用 SHIR 時,啟用私人連結資料處理站不會明確封鎖公用存取,但客戶可以手動封鎖公用存取。
設定指引:這項功能設定目前沒有 Microsoft 指導方針。 請檢閱並判斷您的組織是否要設定此安全性功能。
參考:Azure Data Factory的Azure Private Link
身分識別管理
如需詳細資訊,請參閱 Microsoft 雲端安全性基準:身分識別管理。
IM-1:使用集中式身分識別和驗證系統
功能
資料平面存取所需的 Azure AD 驗證
描述:服務支援使用 Azure AD 驗證進行資料平面存取。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | False | 客戶 |
功能附注:Data Factory 可以原生地向支援 Azure AD 驗證的 Azure 服務和資源進行驗證。
設定指引:這項功能設定目前沒有 Microsoft 指導方針。 請檢閱並判斷您的組織是否要設定此安全性功能。
參考:適用于 Azure Data Factory 的受控識別
資料平面存取的本機驗證方法
描述:資料平面存取支援的本機驗證方法,例如本機使用者名稱和密碼。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | False | 客戶 |
功能注意事項:您可以使用Windows 驗證,從 Azure-SSIS Integration Runtime (IR) 上執行的 SSIS 套件存取資料來源。 您的資料存放區可以是內部部署、裝載在 Azure 虛擬機器 (VM)上,也可以作為受控服務在 Azure 中執行。 不過,建議您盡可能避免使用本機驗證和使用 Azure AD。 請避免使用本機驗證方法或帳戶,請盡可能停用這些方法。 請改用 Azure AD 在可能的情況下進行驗證。
設定指引:這項功能設定目前沒有 Microsoft 指導方針。 請檢閱並判斷您的組織是否要設定此安全性功能。
參考:從 Azure 中的 SSIS 套件Windows 驗證存取資料存放區和檔案共用
IM-3:安全且自動地管理應用程式身分識別
功能
受控識別
描述:資料平面動作支援使用受控識別進行驗證。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | False | 客戶 |
功能注意事項:根據預設,透過 Azure 入口網站 或 PowerShell 建立資料處理站時,會自動建立受控識別。 使用 SDK 或 REST API 時,只有在使用者明確指定「身分識別」關鍵字時,才會建立受控識別。
設定指引:這項功能設定目前沒有 Microsoft 指導方針。 請檢閱並判斷您的組織是否要設定此安全性功能。
參考:適用于Azure Data Factory和Azure Synapse的受控識別
服務主體
描述:資料平面支援使用服務主體進行驗證。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | False | 客戶 |
功能附注:Data Factory 可讓您使用受控識別、服務原則來針對支援 AAD 驗證的資料存放區和計算進行驗證。
設定指引:這項功能設定目前沒有 Microsoft 指導方針。 請檢閱並判斷您的組織是否要設定此安全性功能。
參考:使用 Azure Data Factory 或 Azure Synapse Analytics 在Azure Data Lake Storage Gen2中複製和轉換資料
IM-7:根據條件限制資源存取
功能
資料平面的條件式存取
描述:您可以使用 Azure AD 條件式存取原則來控制資料平面存取。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | False | 客戶 |
設定指引:這項功能設定目前沒有 Microsoft 指導方針。 請檢閱並判斷您的組織是否要設定此安全性功能。
IM-8:限制認證和祕密的公開
功能
Azure Key Vault 中服務認證和秘密支援整合和儲存
描述:資料平面支援針對認證和秘密存放區使用 Azure 金鑰保存庫。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | False | 客戶 |
功能附注:您可以在 Azure 金鑰保存庫中儲存資料存放區和計算的認證。 執行活動 (該活動使用資料存放區/計算) 時,Azure Data Factory 會擷取認證。
設定指引:這項功能設定目前沒有 Microsoft 指導方針。 請檢閱並判斷您的組織是否要設定此安全性功能。
特殊權限存取
如需詳細資訊,請參閱 Microsoft 雲端安全性基準:特殊許可權存取。
PA-1:劃分和限制高度權限/系統管理使用者
功能
本機管理員帳戶
描述:服務具有本機系統管理帳戶的概念。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
False | 不適用 | 不適用 |
設定指引:不支援此功能來保護此服務。
PA-7:遵循剛好足夠的系統管理 (最低權限) 原則
功能
適用于資料平面的 Azure RBAC
描述:Azure Role-Based 存取控制 (Azure RBAC) 可用來管理服務資料平面動作的存取。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | 對 | Microsoft |
功能附注:Data Factory 會與 Azure RBAC 整合,以管理其資源。 使用 RBAC,您可以透過角色指派來管理 Azure 資源存取。 您可以將角色指派給使用者、群組、服務主體和受控識別。 某些資源具有預先定義的內建角色。 您可以透過 Azure CLI、Azure PowerShell 或Azure 入口網站等工具來清查或查詢這些角色。
將您透過 Azure RBAC 指派給資源的許可權限制為角色所需的許可權。 此做法可補充 Azure AD PIM 的 Just-In-Time (JIT) 方法。 定期檢閱角色和指派。
使用內建角色來授與許可權。 只有在需要時才建立自訂角色。
您可以在 Azure AD 中建立自訂角色,以更嚴格的 Data Factory 存取權。
設定指引:預設部署上啟用此設定時不需要其他設定。
PA-8:判斷雲端提供者支援的存取程序
功能
客戶加密箱
描述:客戶加密箱可用於 Microsoft 支援存取。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | False | 客戶 |
設定指引:這項功能設定目前沒有 Microsoft 指導方針。 請檢閱並判斷您的組織是否要設定此安全性功能。
資料保護
如需詳細資訊,請參閱 Microsoft 雲端安全性基準:資料保護。
DP-1:探索、分類及標記敏感性資料
功能
敏感性資料探索和分類
描述:Azure Purview 或 Azure 資訊保護) 之類的工具 (可用於服務中的資料探索和分類。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | False | 客戶 |
設定指引:這項功能設定目前沒有 Microsoft 指導方針。 請檢閱並判斷您的組織是否要設定此安全性功能。
參考: 將 Data Factory 連線至 Microsoft Purview
DP-2:監視以敏感性資料為目標的異常和威脅
功能
資料外泄/外泄防護
描述:服務支援 DLP 解決方案,以監視客戶內容) 中的敏感性資料移動 (。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
False | 不適用 | 不適用 |
設定指引:不支援此功能來保護此服務。
DP-3:加密傳輸中的敏感性資料
功能
傳輸中資料加密
描述:服務支援資料平面的資料傳輸中加密。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | 對 | Microsoft |
設定指引:預設部署上啟用此設定時不需要其他設定。
參考:Azure Data Factory中資料移動的安全性考慮
DP-4:預設啟用待用資料加密
功能
使用平臺金鑰進行待用加密的資料
描述:支援使用平臺金鑰進行待用資料加密,任何待用客戶內容都會使用這些 Microsoft 管理的金鑰進行加密。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | 對 | Microsoft |
設定指引:預設部署上啟用此設定時不需要其他設定。
參考:使用客戶管理的金鑰加密Azure Data Factory
DP-5:必要時在待用資料加密中使用客戶自控金鑰選項
功能
使用 CMK 進行待用資料加密
描述:服務所儲存的客戶內容支援使用客戶自控金鑰的資料待用加密。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | False | 客戶 |
設定指引:這項功能設定目前沒有 Microsoft 指導方針。 請檢閱並判斷您的組織是否要設定此安全性功能。
參考:使用客戶管理的金鑰加密Azure Data Factory
DP-6:使用安全金鑰管理程序
功能
Azure Key Vault 中的金鑰管理
描述:此服務支援任何客戶金鑰、秘密或憑證的 Azure 金鑰保存庫整合。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | False | 客戶 |
設定指引:這項功能設定目前沒有 Microsoft 指導方針。 請檢閱並判斷您的組織是否要設定此安全性功能。
DP-7:使用安全的憑證管理程序
功能
Azure Key Vault 中的憑證管理
描述:此服務支援任何客戶憑證的 Azure 金鑰保存庫整合。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | False | 客戶 |
設定指引:這項功能設定目前沒有 Microsoft 指導方針。 請檢閱並判斷您的組織是否要設定此安全性功能。
資產管理
如需詳細資訊,請參閱 Microsoft 雲端安全性基準測試:資產管理。
AM-2:僅使用核准的服務
功能
Azure 原則支援
描述:服務組態可以透過Azure 原則進行監視和強制執行。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | False | 客戶 |
功能附注:使用Azure 原則稽核及限制哪些服務使用者可以在您的環境中布建。 使用 Azure Resource Graph來查詢和探索訂用帳戶內的資源。 您也可以使用 Azure 監視器來建立規則,以在偵測到未核准的服務時觸發警示。
設定指引:這項功能設定目前沒有 Microsoft 指導方針。 請檢閱並判斷您的組織是否要設定此安全性功能。
參考:Azure 原則 Data Factory 的內建定義
記錄和威脅偵測
如需詳細資訊,請參閱 Microsoft 雲端安全性效能評定:記錄和威脅偵測。
LT-1:啟用威脅偵測功能
功能
適用於服務/產品供應項目的 Microsoft Defender
描述:服務具有供應專案特定的Microsoft Defender解決方案,可監視和警示安全性問題。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
False | 不適用 | 不適用 |
功能資訊:自我裝載 IR (SHIR) 在 Azure VM 和容器上執行,使用 Defender 來建立安全設定。
設定指引:不支援此功能來保護此服務。
LT-4:啟用安全性調查的記錄
功能
Azure 資源記錄
描述:服務會產生資源記錄,可提供增強的服務特定計量和記錄。 客戶可以設定這些資源記錄,並將其傳送至自己的資料接收,例如儲存體帳戶或記錄分析工作區。 深入瞭解。
支援 | 預設啟用 | 設定責任 |
---|---|---|
對 | 對 | Microsoft |
功能附注:活動記錄會自動提供。 您可以使用活動記錄來尋找疑難排解時的錯誤,或監視組織中使用者修改資源的方式。
使用雲端和Azure 原則的Microsoft Defender來啟用資源記錄和記錄資料收集。
設定指引:預設部署上啟用此設定時不需要其他設定。
參考: Azure 監視器中的診斷設定
備份與復原
如需詳細資訊,請參閱 Microsoft 雲端安全性基準:備份和復原。
BR-1:確保定期自動備份
功能
服務原生備份功能
描述:若未使用 Azure 備份) ,服務支援其本身的原生備份功能 (。 深入瞭解。
支援 | 預設為啟用 | 設定責任 |
---|---|---|
對 | False | 客戶 |
功能注意事項:若要備份Azure Data Factory上的所有程式碼,請在 Data Factory 中使用原始檔控制功能。
設定指引:這項功能設定沒有目前的 Microsoft 指引。 請檢閱並判斷您的組織是否想要設定此安全性功能。
後續步驟
- 請參閱 Microsoft 雲端安全性基準測試概觀
- 深入了解 Azure 資訊安全性基準