適用於 適用於 MySQL 的 Azure 資料庫 的 Azure 安全性基準 - 彈性伺服器
此安全性基準會將 Microsoft 雲端安全性效能評定 1.0 版的指引套用至 適用於 MySQL 的 Azure 資料庫 - 彈性伺服器。 Microsoft 雲端安全性基準提供如何在 Azure 上保護雲端解決方案的建議。 內容會依 Microsoft 雲端安全性效能評定所定義的安全性控件分組，以及適用於 適用於 MySQL 的 Azure 資料庫 - 彈性伺服器的相關指引。
您可以使用 Microsoft Defender for Cloud 來監視此安全性基準及其建議。 Azure 原則 定義將會列在 Cloud 入口網站 Microsoft Defender 頁面的法規合規性一節中。
當功能有相關的 Azure 原則 定義時，這些定義會列在此基準中，以協助您測量 Microsoft 雲端安全性基準控制措施和建議的合規性。 某些建議可能需要付費 Microsoft Defender 方案，才能啟用特定安全性案例。
注意
不適用於 適用於 MySQL 的 Azure 資料庫 功能 - 已排除彈性伺服器。 若要查看 適用於 MySQL 的 Azure 資料庫 - 彈性伺服器如何完全對應至 Microsoft 雲端安全性效能評定，請參閱完整的 適用於 MySQL 的 Azure 資料庫 - 彈性伺服器安全性基準對應檔案。
安全性配置檔
安全性配置檔摘要說明 適用於 MySQL 的 Azure 資料庫 - 彈性伺服器的高影響行為，這可能會導致安全性考慮增加。
| 服務行為屬性 | 值 |
|---|---|
| 產品類別 | 資料庫 |
| 客戶可以存取 HOST / OS | 無存取權 |
| 服務可以部署到客戶的虛擬網路 | 對 |
| 儲存待用客戶內容 | 對 |
網路安全性
如需詳細資訊，請參閱 Microsoft 雲端安全性基準：網路安全性。
NS-1：建立網路分割界限
功能
虛擬網路整合
描述：服務支援部署到客戶的私人 虛擬網路 (VNet) 。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| 對 | False | 客戶 |
設定指引：將服務部署至虛擬網路。 除非有將公用IP直接指派給資源的強大原因，否則請將私人IP指派給資源， (適用的) 。
參考：適用於 MySQL 的 Azure 資料庫 專用網存取 - 彈性伺服器
網路安全組支援
描述：服務網路流量會遵守其子網上的網路安全組規則指派。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| 對 | False | 客戶 |
設定指引：使用網路安全組 (NSG) 來限制或監視埠、通訊協定、來源 IP 位址或目的地 IP 位址的流量。 建立 NSG 規則來限制服務的開放連接埠 (例如防止從不受信任的網路存取管理連接埠)。 請注意，NSG 預設會拒絕所有輸入流量，但允許來自虛擬網路和 Azure Load Balancer 的流量。
NS-2：使用網路控制保護雲端服務
功能
Azure Private Link
描述：用於篩選網路流量的服務原生IP篩選功能， (不會與NSG或 Azure 防火牆) 混淆。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| 對 | False | 客戶 |
設定指引：針對支援 Private Link 功能的所有 Azure 資源部署私人端點，以建立資源的私人存取點。
參考：使用入口網站為 適用於 MySQL 的 Azure 資料庫 - 彈性伺服器建立和管理 Private Link
停用公用網路存取
描述：服務支援使用服務層級IP ACL篩選規則來停用公用網路存取， (非 NSG 或 Azure 防火牆) 或使用 [停用公用網络存取] 切換開關。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| 對 | False | 客戶 |
設定指引：使用服務層級IP ACL篩選規則或切換交換器來存取公用網路，停用公用網路存取。
參考：適用於 MySQL 的 Azure 資料庫 的公用網路存取 - 彈性伺服器
適用於雲端的 Microsoft Defender 監視
Azure 原則 內建定義 - Microsoft.DBforMySQL：
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| MySQL 伺服器應啟用私人端點 | 私人端點連線透過啟用與適用於 MySQL 的 Azure 資料庫的私人連線，可強制執行安全通訊。 設定私人端點連線，僅存取來自已知網路的流量，並防止其他所有 IP 位址 (包括 Azure 內) 的存取。 | AuditIfNotExists, Disabled | 1.0.2 |
身分識別管理
如需詳細資訊，請參閱 Microsoft 雲端安全性效能評定：身分識別管理。
IM-1：使用集中式身分識別和驗證系統
功能
資料平面存取所需的 Azure AD 驗證
描述：服務支援使用 Azure AD 驗證進行數據平面存取。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| 對 | False | 共用 |
設定指引：使用 Azure Active Directory (Azure AD) 作為預設驗證方法來控制您的數據平面存取。
參考：Active Directory 驗證 - 適用於 MySQL 的 Azure 資料庫 - 彈性伺服器
資料平面存取的本機驗證方法
描述：支持數據平面存取的本機驗證方法，例如本機使用者名稱和密碼。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| 對 | 對 | Microsoft |
功能注意事項：避免使用本機驗證方法或帳戶，請盡可能停用這些方法。 請改用 Azure AD 在可能的情況下進行驗證。
設定指引：在預設部署上啟用此設定時，不需要任何其他設定。
參考：快速入門：使用 Azure 入口網站 建立 適用於 MySQL 的 Azure 資料庫 彈性伺服器
IM-3：安全且自動地管理應用程式身分識別
功能
受控識別
描述：數據平面動作支援使用受控識別進行驗證。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| 對 | 對 | Microsoft |
設定指引：在預設部署上啟用此設定時，不需要任何其他設定。
參考：客戶管理的金鑰數據加密 – 適用於 MySQL 的 Azure 資料庫 – 彈性伺服器
服務主體
描述：數據平面支援使用服務主體進行驗證。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| 對 | 對 | Microsoft |
設定指引：在預設部署上啟用此設定時，不需要任何其他設定。
IM-7：根據條件限制資源存取
功能
資料平面的條件式存取
描述：您可以使用 Azure AD 條件式存取原則來控制數據平面存取。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| 對 | False | 客戶 |
功能注意事項：客戶可以啟用 AAD 驗證以利用條件式存取
設定指引：在工作負載中定義 Azure Active Directory (Azure AD) 條件式存取適用的條件和準則。 請考慮常見的使用案例，例如封鎖或授與來自特定位置的存取權、封鎖具風險的登入行為，或要求特定應用程式的組織管理的裝置。
參考：Active Directory 驗證 - 適用於 MySQL 的 Azure 資料庫 - 彈性伺服器
IM-8：限制認證和祕密的公開
功能
Azure Key Vault 中服務認證和秘密支援整合和儲存
描述：數據平面支援原生使用 Azure 金鑰保存庫 進行認證和秘密存放區。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
設定指引：不支援此功能來保護此服務。
特殊權限存取
如需詳細資訊，請參閱 Microsoft 雲端安全性效能評定：特殊許可權存取。
PA-1：劃分和限制高度權限/系統管理使用者
功能
本機 管理員 帳戶
描述：服務具有本機系統管理帳戶的概念。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| 對 | 對 | Microsoft |
功能注意事項：避免使用本機驗證方法或帳戶，請盡可能停用這些方法。 請改用 Azure AD 在可能的情況下進行驗證。
設定指引：在預設部署上啟用此設定時，不需要任何其他設定。
參考：快速入門：使用 Azure 入口網站 建立 適用於 MySQL 的 Azure 資料庫 彈性伺服器
PA-7：受保護的系統管理員
功能
適用於數據平面的 Azure RBAC
描述：Azure Role-Based 存取控制 (Azure RBAC) 可用來管理服務數據平面動作的存取權。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
設定指引：不支援此功能來保護此服務。
PA-8：判斷雲端提供者支援的存取程序
功能
客戶加密箱
描述：客戶加密箱可用於 Microsoft 支援存取。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| 對 | False | 客戶 |
設定指引：在 Microsoft 需要存取數據的支援案例中，使用客戶加密箱來檢閱，然後核准或拒絕每個 Microsoft 的數據存取要求。
資料保護
如需詳細資訊，請參閱 Microsoft 雲端安全性基準：數據保護。
DP-1：探索、分類及標記敏感性資料
功能
敏感數據探索和分類
描述：Azure Purview 或 Azure 資訊保護) 之類的工具 (可用於服務中的數據探索和分類。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
設定指引：不支援此功能來保護此服務。
DP-2：監視以敏感性資料為目標的異常和威脅
功能
數據外洩/外洩防護
描述：服務支援 DLP 解決方案，以監視客戶內容) 中的敏感數據移動 (。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
設定指引：不支援此功能來保護此服務。
DP-3：加密傳輸中的敏感性資料
功能
傳輸中資料加密
描述：服務支持數據平面的數據傳輸中加密。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| 對 | 對 | Microsoft |
設定指引：在預設部署上啟用此設定時，不需要任何其他設定。
適用於雲端的 Microsoft Defender 監視
Azure 原則 內建定義 - Microsoft.DBforMySQL：
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應為 MySQL 資料庫伺服器啟用 [強制執行 SSL 連線] | 適用於 MySQL 的 Azure 資料庫支援使用安全通訊端層 (SSL)，將適用於 MySQL 的 Azure 資料庫伺服器連線至用戶端應用程式。 在您的資料庫伺服器和用戶端應用程式之間強制使用 SSL 連線，可將兩者之間的資料流加密，有助於抵禦「中間人」攻擊。 此設定會強制一律啟用 SSL，以存取您的資料庫伺服器。 | Audit, Disabled | 1.0.1 |
DP-4：預設啟用待用資料加密
功能
使用平台金鑰進行待用數據加密
描述：支援使用平臺密鑰進行待用數據加密，任何待用客戶內容都會使用這些 Microsoft 管理的密鑰加密。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| 對 | 對 | Microsoft |
設定指引：在預設部署上啟用此設定時，不需要任何其他設定。
DP-5：必要時在待用資料加密中使用客戶自控金鑰選項
功能
使用 CMK 進行待用資料加密
描述：服務所儲存的客戶內容支援使用客戶自控密鑰進行待用數據加密。 深入瞭解。
| 支援 | 默認為啟用 | 設定責任 |
|---|---|---|
| 對 | False | 客戶 |
設定指引：這項功能設定沒有目前的 Microsoft 指引。 請檢閱並判斷您的組織是否想要設定此安全性功能。
參考：客戶管理的金鑰數據加密 – 適用於 MySQL 的 Azure 資料庫 – 彈性伺服器
適用於雲端的 Microsoft Defender 監視
Azure 原則 內建定義 - Microsoft.DBforMySQL：
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| SQL 伺服器應使用客戶自控金鑰來加密待用資料 | 使用客戶自控金鑰來管理 MySQL 伺服器的待用加密。 根據預設，資料會使用服務管理的金鑰進行待用加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 | AuditIfNotExists, Disabled | 1.0.4 |
DP-6：使用安全金鑰管理程序
功能
Azure Key Vault 中的金鑰管理
描述：此服務支援任何客戶密鑰、秘密或憑證的 Azure 金鑰保存庫 整合。 深入瞭解。
| 支援 | 默認啟用 | 設定責任 |
|---|---|---|
| 對 | False | 客戶 |
設定指引：使用 Azure 金鑰保存庫 來建立和控制加密金鑰的生命週期，包括金鑰產生、散發和記憶體。 根據定義的排程或密鑰淘汰或入侵時，輪替和撤銷 Azure 金鑰保存庫 和服務中的密鑰。 如果您需要在工作負載、服務或應用層級中使用客戶管理的密鑰 (CMK) ，請確定您遵循金鑰管理的最佳做法：使用金鑰階層在金鑰保存庫中產生個別的數據加密金鑰 (DEK) 與金鑰加密金鑰 (KEK) 。 請確定金鑰已向 Azure 金鑰保存庫 註冊，並透過服務或應用程式的金鑰標識碼加以參考。 如果您需要將自己的金鑰 (BYOK) 帶入服務 (，例如將受 HSM 保護的金鑰從內部部署 HSM 匯入 Azure 金鑰保存庫) ，請遵循建議的指導方針來執行初始密鑰產生和金鑰傳輸。
參考：客戶管理的金鑰數據加密 – 適用於 MySQL 的 Azure 資料庫 – 彈性伺服器
DP-7：使用安全的憑證管理程序
功能
Azure Key Vault 中的憑證管理
描述：服務支援任何客戶憑證的 Azure 金鑰保存庫 整合。 深入瞭解。
| 支援 | 默認啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
設定指引：不支援此功能來保護此服務。
資產管理
如需詳細資訊，請參閱 Microsoft 雲端安全性基準檢驗：資產管理。
AM-2：僅使用核准的服務
功能
Azure 原則支援
描述：服務組態可以透過 Azure 原則 進行監視和強制執行。 深入瞭解。
| 支援 | 默認啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
設定指引：不支援此功能來保護此服務。
記錄和威脅偵測
如需詳細資訊，請參閱 Microsoft 雲端安全性效能評定：記錄和威脅偵測。
LT-1：啟用威脅偵測功能
功能
適用於服務/產品供應項目的 Microsoft Defender
描述：服務具有供應專案特定的 Microsoft Defender 解決方案，可監視和警示安全性問題。 深入瞭解。
| 支援 | 默認啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
設定指引：不支援此功能來保護此服務。
LT-4：啟用安全性調查的記錄
功能
Azure 資源記錄
描述：服務會產生資源記錄，可提供增強的服務特定計量和記錄。 客戶可以設定這些資源記錄，並將其傳送至自己的數據接收，例如記憶體帳戶或記錄分析工作區。 深入瞭解。
| 支援 | 默認啟用 | 設定責任 |
|---|---|---|
| 對 | False | 共用 |
設定指引：適用於 MySQL 的 Azure 資料庫 彈性伺服器可讓用戶設定稽核記錄。 可使用稽核記錄來追蹤資料庫等級活動，包括連線、管理員、DDL 和 DML 事件。 這些記錄類型通常用於合規性用途。
參考：適用於 MySQL 的 Azure 資料庫 彈性伺服器中的稽核記錄
備份與復原
如需詳細資訊，請參閱 Microsoft 雲端安全性效能評定：備份和復原。
BR-1：確保定期自動備份
功能
Azure 備份
描述：服務可由 Azure 備份 服務備份。 深入瞭解。
| 支援 | 默認啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
設定指引：不支援此功能來保護此服務。
服務原生備份功能
描述：若未使用 Azure 備份) ，服務支援其本身的原生備份功能 (。 深入瞭解。
| 支援 | 默認啟用 | 設定責任 |
|---|---|---|
| 對 | 對 | Microsoft |
設定指引：預設部署上啟用此設定時不需要其他設定。
參考：適用於 MySQL 的 Azure 資料庫 彈性伺服器中的備份和還原
適用於雲端的 Microsoft Defender 監視
Azure 原則 內建定義 - Microsoft.DBforMySQL：
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應為適用於 MySQL 的 Azure 資料庫啟用異地備援備份 | 適用於 MySQL 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。 | Audit, Disabled | 1.0.1 |
後續步驟
- 請參閱 Microsoft 雲端安全性基準檢驗概觀
- 深入了解 Azure 資訊安全性基準