翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# Microsoft Azure と統合するように Security Hub CSPM を設定する
<a name="securityhub-azure-setup-securityhub"></a>

[前提条件タスク](securityhub-azure-prereqs.md)を完了し、[Microsoft Azure 環境を設定](securityhub-azure-setup-azure.md)したら、 AWS Security Hub CSPM を Azure と統合するように設定できます。Azure と統合するように Security Hub CSPM を設定するには、コネクタを作成します。コネクタを作成すると、次のイベントが発生します。

1. Security Hub CSPM は、Azure 認証情報と Azure 環境への接続を検証します。この処理には数分かかることもあります。

1. AWS Config は、Azure リソースの設定データの検出と記録を開始します。

1. リソースデータ収集が完了すると、Security Hub CSPM は Azure リソースの体制管理結果の生成を開始します。

**注記**  
Security Hub でコネクタを既に作成している場合は、Security Hub CSPM でサービスにリンクされたコネクタが自動的に作成されています。別のスコープが必要でない限り、別のカスタマーマネージドコネクタを作成する必要はありません。

**Topics**
+ [コネクタを作成する](#securityhub-azure-setup-securityhub-proc)
+ [標準とコントロールを有効にする](#securityhub-azure-setup-securityhub-standards)
+ [コネクタの範囲を調整する](#securityhub-azure-setup-securityhub-manage)
+ [コネクタの状態を確認する](#securityhub-azure-setup-securityhub-verify)
+ [コネクタのトラブルシューティング](#securityhub-azure-setup-securityhub-tshoot)
+ [リソース識別子](#securityhub-azure-setup-securityhub-identifiers)
+ [使用可能なコントロール](#securityhub-azure-controls)

## Azure コネクタを作成する
<a name="securityhub-azure-setup-securityhub-proc"></a>

環境用の Microsoft Azure コネクタを作成するには、 AWS Security Hub CSPM コンソールまたは API を使用して次の手順を実行します。

1. Security Hub CSPM コンソールを開きます。

1. ナビゲーションペインで、**[統合]** を選択します。

1. **Azure コネクタの作成**を選択します。

1. **Azure テナント ID** には、Azure Active Directory テナント識別子を入力します。

1. **アプリケーション (クライアント ID)** に、作成した Azure アプリ登録のアプリケーション ID を入力します。

1. 以下を実行して、追加の設定とコネクタの範囲を設定します。
   + **名前** に、コネクタの一意の名前を入力します。名前には最大 50 文字の英数字を含めることができ、ハイフン (‐) を含めることができます。
**重要**  
名前と説明はコンテンツを識別するために使用されます。機密情報、機密情報、個人を特定できる情報 (PII) は含めないことをお勧めします。
   + **説明** には、オプションでコネクタの簡単な説明を入力します。説明には最大 200 文字を含めることができます。
   + **サブスクリプション**では、テナント内のすべての現在および将来のサブスクリプションをモニタリングする**すべての**サブスクリプション、または指定したサブスクリプションのみをモニタリングする**特定の**サブスクリプションを選択します。特定のサブスクリプションのみをモニタリングする場合は、各サブスクリプションの ID を入力します。
   + **リージョン**では、リソースがデプロイされている Azure リージョンを選択します。
**注記**  
Microsoft Entra ID および Microsoft Graph リソースを評価するコントロールでは、統合設定にグローバルリージョンスコープを含める必要があります。特定の Azure リージョンのみを選択した場合、これらのコントロールは結果を生成しません。

1. 設定を確認し、**コネクタの作成**を選択します。

コネクタを作成すると、Security Hub CSPM は Azure 認証情報を検証し、リソース検出を開始します。コネクタには、2～5 分以内にステータスがアクティブと表示されます。

## 標準とコントロールの有効化
<a name="securityhub-azure-setup-securityhub-standards"></a>

コネクタを作成したら、Azure セキュリティ標準を有効にして検出結果の生成を開始する必要があります。標準の有効化とコントロールの管理に関する一般的な情報については、[「標準の有効化](https://docs.aws.amazon.com/securityhub/latest/userguide/enable-standards.html)」および[「コントロールの有効化と無効化](https://docs.aws.amazon.com/securityhub/latest/userguide/enable-controls-overview.html)」を参照してください。
+ **CIS Microsoft Azure Foundations Benchmark v4.0** - Azure 環境を保護するためのベストプラクティスを定義する広く採用されているセキュリティベンチマーク。各コントロールは、Azure 設定の特定の側面 (ストレージアカウントの暗号化、ネットワークセキュリティグループのルール、アイデンティティとアクセスの設定など) を評価します。
+ **Azure の基本的なベストプラクティス** - ネットワークの到達可能性、パブリックアクセス、機密データインジケータを相関させることで、Azure リソースの露出リスクを評価します。リスクの高いリソースを強調する露出タイプの検出結果を生成します。

Azure 標準には、コントロールとは別に、独自の AWS コントロールセットがあります。 AWS と Azure リソースの両方を 1 回のチェックで評価するクロスクラウドコントロールはありません。

Azure 標準を有効にするには、Security Hub CSPM コンソールまたは API/CLI を使用します。Security Hub CSPM コンソールで**標準**に移動し、目的の標準を有効にします。または、 CLI を使用します。

```
$ aws securityhub batch-enable-standards \
  --standards-subscription-requests '[{"StandardsArn": "{{Standard-ARN}}"}]' \
  --region {{your-aws-region}}
```

**注記**  
コネクタの作成前または作成後に Azure 標準を有効にできます。これらは結合されません。ただし、検出結果は、コネクタと標準の両方がアクティブで、リソースデータが収集された場合にのみ生成されます。

標準が有効になったら (通常は数秒以内）、個々のコントロールを表示および管理できます。
+ **コントロールを表示する:** Security Hub CSPM コンソール (標準 > 標準を選択 > コントロール) または `list-standards-control-associations` API を使用します。
+ **コントロールを無効にする:** 特定のコントロールが環境に当てはまらない場合は、無効にできます。
+ **カスタムパラメータを設定する:** 一部のコントロールは、カスタム入力パラメータ (パスワードの長さのしきい値など) を受け入れます。これらは `update-security-control` API を使用して設定できます。
+ Azure 標準は、コネクタスコープ全体に均一に適用されます。同じコネクタ内で異なる Azure サブスクリプションに対して異なる標準またはコントロールを有効にすることはできません。
+ **コントロールは、リソースデータの可用性によって異なります。**各コントロールは、特定の Azure リソースタイプを評価します。 AWS Config が特定のリソースタイプの設定データをまだ収集していない場合、コントロールはそれらのリソースのデフォルトの PASS 検出結果を生成します。これらのデフォルトの PASS 検出結果は、リソースデータが到着すると、正確な評価に自動的に更新されます。リソースデータ収集が完了するまで、初期コンプライアンススコアを正確として扱わないでください。
+ セキュリティコントロールのカスタム入力パラメータは、コネクタを作成する前でも設定でき、個別に保持されます。
+ サブスクリプションレベルの設定 (Microsoft Defender プラン、アクティビティログアラートなど) を評価するコントロールは、個々のリソースではなく、Azure サブスクリプションごとに 1 つの結果を生成します。
+ マルチクラウド標準を中央設定ポリシーに含めることはできません。Azure 標準有効化は、 AWS アカウント と ごとに個別に管理する必要があります AWS リージョン。

## Azure コネクタの範囲を調整する
<a name="securityhub-azure-setup-securityhub-manage"></a>

Microsoft Azure コネクタを作成したら、モニタリングする Azure サブスクリプションまたは Azure リージョンを変更することで、コネクタの範囲を調整できます。スコープを調整すると、ほとんどのタイプの変更が約 15 分以内に有効になります。

スコープを調整する前に、次の点に注意してください。
+ カスタマーマネージドコネクタの範囲は、同じアカウントとリージョン内の既存のサービスにリンクされたコネクタの範囲を超えることはできません。
+ スコープを拡張すると、Security Hub CSPM は が設定データを収集した後 AWS Config 、新しいリソースの検出結果の生成を開始します。
+ スコープを小さくすると、削除されたリソースの既存の検出結果はアーカイブ状態に移行します。

## Azure コネクタの状態を確認する
<a name="securityhub-azure-setup-securityhub-verify"></a>

Microsoft Azure コネクタの状態はいつでも確認できます。Security Hub CSPM コンソール**で統合**に移動し、コネクタにアクティブステータスが表示されていることを確認します。

最初の検出結果は、通常、リソースデータ収集が完了してから 15～30 分以内に表示されます。

**注記**  
コネクタのヘルスステータスは結果整合性があります。アクセス許可または設定の問題が発生すると、コネクタのステータスはすぐに **Degraded **に変わり、実用的なメッセージが表示されます。ただし、問題を修正した後、ステータスが **Connected** に戻るまでに最大 24 時間かかる場合があります。  
最近の修正後の**デグレード**ステータスは、必ずしも進行中の問題を示しているわけではありません。
記録の失敗をリアルタイムで可視化するには、 名前空間の CloudWatch メトリクスを確認します。

## Azure コネクタのトラブルシューティング
<a name="securityhub-azure-setup-securityhub-tshoot"></a>

コネクタで問題が発生した場合は、次の情報を使用して一般的な問題を診断して解決します。

**コネクタのステータスが異常です**  
この問題は通常、Azure でフェデレーティッド認証情報が正しく設定されていない場合に発生します。  
この問題に対処するには、Azure フェデレーティッド認証情報のトークン発行者 URL とサブジェクト ARN が と一致することを確認します AWS アカウント。

**30 分後に検出結果がない**  
この問題は、Event Hub がアクティビティログを受信していない場合、または標準が有効になっていない場合に発生する可能性があります。  
この問題に対処するには、Event Hub 名前空間が正しくタグ付けされていること (`AWSConfig-{{account-id}}-{{region}}=activitylog`)、`AWSConfig`コンシューマーグループが存在していること、データレシーバーロールが割り当てられていること、および少なくとも 1 つの Azure 標準が有効になっていることを確認します。

**一部の Azure リソースを記録できない**  
エラーは、次のいずれかの理由で発生する可能性があります。  
+ Azure 環境は、リソース記録の前提条件を満たしていません。
+ アプリ登録には、Microsoft Graph API アクセス許可に対する管理者の同意がありません。
+ リーダーロールの割り当ては、必要なすべてのスコープをカバーしているわけではありません。
+ Microsoft Entra ID テナントに必要なログデータがありません。
エラーに対処するには、次の操作を行います。  

1. 環境がすべての要件を満たしていることを確認するには、[「Microsoft Azure の前提条件](securityhub-azure-prereqs.md#securityhub-azure-prereqs-azure)」を参照してください。

1. 管理者の同意を得て、アプリ登録に必要な Microsoft Graph API アクセス許可があることを確認します。

1. サービスプリンシパルがテナントルート管理グループスコープにリーダーロールを持っていることを確認します。

**コネクタは保留中ステータスのままです**  
この問題は、Azure アプリ登録の設定が間違っている場合に発生する可能性があります。  
この問題に対処するには、フェデレーション ID 認証情報発行者の URL とサブジェクト ID が と一致することを確認します AWS アカウント。また、必要なすべての Microsoft Graph API アクセス許可に対して管理者の同意が付与されていることを確認します。

## Security Hub CSPM がリソース識別子を処理する方法
<a name="securityhub-azure-setup-securityhub-identifiers"></a>

 AWS Security Hub CSPM の Azure 統合を有効にすると、他のクラウドプロバイダーから収集された対応するリソース設定データの管理に関連するメタデータとして、他のクラウドプロバイダーのリソース識別子が AWS Config、、 AWS Security Hub CSPM、およびその他の AWS サービス (必要に応じて) に保存されます。このようなリソース識別子はお客様のコンテンツを構成するものではなく、機密情報、機密情報、または個人を特定できる情報を含めないことをお勧めします。

接続されたクラウド環境の次の識別子は、マルチクラウドセキュリティ機能を提供するために AWS によって保存および使用されます。
+ **リソース識別子:** Azure テナント ID、サブスクリプション ID、ロケーション (リージョン）、リソース ID (リソースグループ IDsまたは名前、リソースプロバイダー、リソースタイプ)

これらの識別子間の関係 - リソース間の関係とリソース間の結果の関係 - は、サービスメタデータとしても保存されます。 は、リソースの相関、リソースへの結果の関連付け、サービスの運用ログ記録、重複排除のためにこれらの識別子 AWS を使用します。

## Azure で使用できるコントロール
<a name="securityhub-azure-controls"></a>

Azure 標準を有効にすると、次の 122 のコントロールが Azure リソースを評価します。コントロールは 2 つの標準に分散されます。
+ **CIS Microsoft Azure Foundations Benchmark v4.0** – 特定の CIS セクションにマッピングされた 96 個のコントロール
+ **Azure Foundational Best Practices** – 追加のセキュリティのベストプラクティスをカバーする 26 のコントロール

**注記**  
Microsoft Entra ID および Microsoft Graph リソースを評価するコントロールでは、統合設定にグローバルリージョンスコープを含める必要があります。


**使用可能な Azure コントロール**  

| コントロールタイトル | リソースタイプ | 標準 | 
| --- | --- | --- | 
| マネージド ID が有効になっている Azure Container Apps は最小特権に従う必要があります | microsoft.app/containerapps | Azure の基本的なベストプラクティス | 
| Azure Container Apps は Azure SDK 認証情報を環境変数として渡さないでください | microsoft.app/containerapps | Azure の基本的なベストプラクティス | 
| Azure Container Apps で外部進入を有効にしないでください | microsoft.app/containerapps | Azure の基本的なベストプラクティス | 
| Azure Container App 環境には無制限の NSG アクセスがあってはなりません | microsoft.app/containerapps | Azure の基本的なベストプラクティス | 
| Azure Container App マネージド環境ではパブリック IP を有効にしないでください | microsoft.app/managedenvironments | Azure の基本的なベストプラクティス | 
| Azure ロールの割り当ては、サブスクリプションスコープで広範な管理者アクセスを許可しないでください | microsoft.authorization/roleassignments | Azure の基本的なベストプラクティス | 
| Azure ロールの割り当てでは、ユーザーアクセス管理者ロールを付与しないでください。 | microsoft.authorization/roleassignments | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure カスタムロール定義にはワイルドカード管理アクセス許可を付与しないでください | microsoft.authorization/roledefinitions | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Microsoft Cloud Security Benchmark ポリシーの割り当てでは、エンフォースメントモードを有効にする必要があります | microsoft.authorization/policyassignments | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Kubernetes Service (AKS) クラスターには、IP 制限のないパブリックにアクセス可能な API サーバーがあってはなりません。 | microsoft.containerservice/managedclusters | Azure の基本的なベストプラクティス | 
| Azure Kubernetes Service (AKS) クラスターは保管中の Kubernetes シークレットを暗号化する必要があります | microsoft.containerservice/managedclusters | Azure の基本的なベストプラクティス | 
| Azure Kubernetes Service (AKS) クラスターは、サポートされている Kubernetes バージョンを実行する必要があります | microsoft.containerservice/managedclusters | Azure の基本的なベストプラクティス | 
| Azure Cosmos DB アカウントでは、継続的バックアップを有効にする必要があります | microsoft.documentdb/databaseaccounts | Azure の基本的なベストプラクティス | 
| Azure Database for MySQL Flexible Server では、パブリックネットワークアクセスを無効にする必要があります | microsoft.dbformysql/flexibleservers | Azure の基本的なベストプラクティス | 
| Azure Databricks ワークスペースは、カスタマーマネージド仮想ネットワークにデプロイする必要があります | microsoft.databricks/workspaces | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Databricks ワークスペースには診断ログ配信を設定する必要があります | microsoft.databricks/workspaces | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Databricks ワークスペースでは、マネージドディスク暗号化にカスタマーマネージドキーを使用する必要があります | microsoft.databricks/workspaces | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Microsoft Entra ID 認可ポリシーでは、デフォルトユーザーがアプリケーションを登録できないようにする必要があります。 | microsoft.graph/policies/authorizationpolicy | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Entra ID では、セキュリティのデフォルトを有効にする必要があります | microsoft.graph/policies/identitysecuritydefaultsenforcementpolicy | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Microsoft Entra テナントには、許可されていない地理的場所からのアクセスをブロックする条件付きアクセスポリシーが必要です | microsoft.graph/organization | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Microsoft Entra テナントには、デバイスコード認証フローをブロックする条件付きアクセスポリシーが必要です | microsoft.graph/organization | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure の条件付きアクセスポリシーでは、すべてのユーザーに MFA が必要です | microsoft.graph/organization | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Microsoft Entra テナントは、条件付きアクセスポリシーによるリスクの高いサインインには多要素認証が必要です | microsoft.graph/organization | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure テナントには、Azure Service Management API の条件付きアクセスによる MFA が必要です | microsoft.graph/organization | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Microsoft 管理ポータルには、少なくとも 1 つの条件付きアクセスポリシーに MFA が必要です | microsoft.graph/organization | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Microsoft Entra 認可ポリシーでは、管理者以外のユーザーがテナントを作成することを制限する必要があります。 | microsoft.graph/policies/authorizationpolicy | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Microsoft Entra ID 認証方法ポリシーは、再確認期間をゼロ以外の値に設定する必要があります | microsoft.graph/policies/authenticationmethodspolicy | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Microsoft Entra 認可ポリシーは、アプリケーションのユーザー同意を制限する必要があります | microsoft.graph/policies/authorizationpolicy | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure 認可ポリシーでは、検証済みのパブリッシャーアプリへのユーザーの同意を制限する必要があります | microsoft.graph/policies/authorizationpolicy | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Microsoft Entra 認可ポリシーでは、ゲストユーザーアクセスを独自のディレクトリオブジェクトに制限する必要があります | microsoft.graph/policies/authorizationpolicy | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure 認可ポリシーでは、ゲストの招待を管理者ロールのみに制限する必要があります | microsoft.graph/policies/authorizationpolicy | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure 認可ポリシーは、セキュリティグループの作成を管理者に制限する必要があります | microsoft.graph/policies/authorizationpolicy | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Microsoft Entra テナントは、デバイスを登録または参加するために多要素認証が必要です | microsoft.graph/organization | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Microsoft Entra ID ディレクトリロールには 2～4 人のグローバル管理者が必要です | microsoft.graph/directoryrole | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Entra ID グループ設定では、グループの作成を管理者に制限する必要があります | microsoft.graph/organization | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションには、アクティビティログ用の診断設定が必要です | microsoft.insights/diagnosticsettings | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションには、ポリシー割り当てを作成するためのアクティビティログアラートが必要です | microsoft.insights/activitylogalerts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションには、ポリシー割り当ての削除に関するアクティビティログアラートが必要です | microsoft.insights/activitylogalerts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションには、Network Security Group オペレーションを作成または更新するためのアクティビティログアラートが必要です | microsoft.insights/activitylogalerts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションには、ネットワークセキュリティグループの削除に関するアクティビティログアラートが必要です | microsoft.insights/activitylogalerts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションには、セキュリティソリューションを作成または更新するためのアクティビティログアラートが必要です | microsoft.insights/activitylogalerts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションには、セキュリティソリューションの削除に関するアクティビティログアラートが必要です | microsoft.insights/activitylogalerts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションには、SQL Server ファイアウォールルールの作成または更新に関するアクティビティログアラートが必要です | microsoft.insights/activitylogalerts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションには、SQL Server ファイアウォールルールを削除するためのアクティビティログアラートが必要です | microsoft.insights/activitylogalerts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションでは、パブリック IP アドレスの作成または更新オペレーション用にアクティビティログアラートを設定する必要があります | microsoft.insights/activitylogalerts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションには、パブリック IP アドレスの削除に関するアクティビティログアラートが必要です | microsoft.insights/activitylogalerts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションには、Service Health インシデントのアクティビティログアラートが必要です | microsoft.insights/activitylogalerts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションには、少なくとも 1 つの Application Insights コンポーネントが設定されている必要があります | microsoft.insights/components | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure キーボールトでは、ソフト削除およびパージ保護を有効にする必要があります | microsoft.keyvault/vaults | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Key Vaults では、ロールベースのアクセスコントロールを有効にする必要があります | microsoft.keyvault/vaults | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| プライベートエンドポイントを使用する場合は、Azure Key Vaults でパブリックネットワークアクセスを無効にする必要があります | microsoft.keyvault/vaults | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Key Vaults はプライベートエンドポイントを使用する必要があります | microsoft.keyvault/vaults | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure キーボールトでパージ保護を有効にする必要があります | microsoft.keyvault/vaults | Azure の基本的なベストプラクティス | 
| Azure Key Vaults はネットワークアクセスを制限する必要があります | microsoft.keyvault/vaults | Azure の基本的なベストプラクティス | 
| Azure Key Vaults では AuditEvent ログ記録が有効になっている必要があります | microsoft.keyvault/vaults | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| RBAC ボールトの Azure キーボールトキーには有効期限を設定する必要があります | microsoft.keyvault/vaults/keys | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| RBAC 以外のボールトの Azure キーボールトキーには有効期限を設定する必要があります | microsoft.keyvault/vaults/keys | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| RBAC 対応ボールトの Azure Key Vault シークレットには有効期限を設定する必要があります | microsoft.keyvault/vaults/secrets | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| RBAC 以外のボールトの Azure Key Vault シークレットには有効期限を設定する必要があります | microsoft.keyvault/vaults/secrets | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Key Vault キーの自動ローテーションを有効にする必要があります | microsoft.keyvault/vaults/keys | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure ネットワークセキュリティグループは、インターネットからのインバウンド RDP アクセスを制限する必要があります | microsoft.network/networksecuritygroups | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure ネットワークセキュリティグループは、インターネットからのインバウンド UDP アクセスを制限する必要があります | microsoft.network/networksecuritygroups | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure ネットワークセキュリティグループは、インターネットからのインバウンド HTTP アクセスを制限する必要があります | microsoft.network/networksecuritygroups | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Application Gateway サブネットには無制限の NSG アクセスがあってはなりません | microsoft.network/networksecuritygroups | Azure の基本的なベストプラクティス | 
| Azure ネットワークセキュリティグループには明示的な拒否オールルールが必要です | microsoft.network/networksecuritygroups | Azure の基本的なベストプラクティス | 
| Azure ネットワークセキュリティグループは、制限されたポートへの無制限のインバウンドアクセスを許可しないでください | microsoft.network/networksecuritygroups | Azure の基本的なベストプラクティス | 
| Azure Network Watcher フローログでは、トラフィック分析を Log Analytics に送信して仮想ネットワークフローログ記録を有効にする必要があります | microsoft.network/networkwatchers/flowlogs | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure ネットワークセキュリティグループは、インターネットからの SSH アクセスを制限する必要があります | microsoft.network/networksecuritygroups | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションには、少なくとも 1 つの Azure Bastion ホストが必要です | microsoft.network/bastionhosts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションでは、Microsoft Defender for Servers が有効になっている必要があります | microsoft.security/pricings | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| マシンには、Microsoft Defender for Cloud に正常な脆弱性評価ソリューションがデプロイされている必要があります | microsoft.security/assessments | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションでは、Microsoft Defender for Cloud とのエンドポイント保護統合を有効にする必要があります | microsoft.security/settings | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションでは、Microsoft Defender for Servers で有効になっているマシンのエージェントレススキャンが必要です | microsoft.security/pricings | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションでは、Defender for Servers でファイル整合性モニタリングを有効にする必要があります | microsoft.security/pricings | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションでは、コンテナ用の Microsoft Defender が有効になっている必要があります | microsoft.security/pricings | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションでは、Microsoft Defender for Storage が有効になっている必要があります | microsoft.security/pricings | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションでは、Microsoft Defender for App Service が有効になっている必要があります | microsoft.security/pricings | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションでは、Microsoft Defender for Azure Cosmos DB を有効にする必要があります | microsoft.security/pricings | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションでは、オープンソースのリレーショナルデータベース用の Microsoft Defender を有効にする必要があります | microsoft.security/pricings | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションでは、Microsoft Defender for Azure SQL Databases を有効にする必要があります | microsoft.security/pricings | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションでは、Microsoft Defender for SQL Servers on Machines を有効にする必要があります | microsoft.security/pricings | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションでは、Microsoft Defender for Key Vault が有効になっている必要があります | microsoft.security/pricings | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションでは、Resource Manager の Microsoft Defender が有効になっている必要があります | microsoft.security/pricings | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| 仮想マシンには、Microsoft Defender for Cloud によってシステム更新評価が正常と報告されている必要があります | microsoft.security/assessments | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Microsoft Defender for Cloud セキュリティ連絡先は、所有者ロールにアラートを通知する必要があります | microsoft.security/securitycontacts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Microsoft Defender for Cloud セキュリティ連絡先には、追加の E メールアドレスを設定する必要があります | microsoft.security/securitycontacts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure セキュリティ連絡先は、十分に包括的な最小重要度でアラート E メール通知を有効にする必要があります | microsoft.security/securitycontacts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure セキュリティ連絡先は、リスクレベルが設定された攻撃パスの E メール通知を有効にする必要があります | microsoft.security/securitycontacts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure サブスクリプションでは、Microsoft Defender for IoT を有効にする必要があります | microsoft.security/iotsecuritysolutions | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure SQL Server では、パブリックネットワークアクセスを無効にする必要があります | microsoft.sql/servers | Azure の基本的なベストプラクティス | 
| SQL サーバーには Azure Active Directory 管理者を設定する必要があります | microsoft.sql/servers | Azure の基本的なベストプラクティス | 
| Azure SQL データベースでは、地理的冗長バックアップを有効にする必要があります | microsoft.sql/servers/databases | Azure の基本的なベストプラクティス | 
| Azure SQL Server はデフォルトの管理者アカウント名を使用しないでください | microsoft.sql/servers | Azure の基本的なベストプラクティス | 
| Azure SQL Managed Instances では、マイナーバージョンの自動アップグレードが有効になっている必要があります | microsoft.sql/managedinstances | Azure の基本的なベストプラクティス | 
| Azure Storage アカウントは、暗号化にカスタマーマネージドキーを使用する必要があります | microsoft.storage/storageaccounts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントファイルサービスでは、ファイル共有に対してソフト削除を有効にする必要があります | microsoft.storage/storageaccounts/fileservices | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントのファイル共有では、SMB プロトコルバージョンを SMB 3.1.1 に制限する必要があります | microsoft.storage/storageaccounts/fileservices | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントは、ファイル共有に安全な SMB チャネル暗号化アルゴリズムを使用する必要があります | microsoft.storage/storageaccounts/fileservices | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントにはキーローテーションのリマインダーが設定されている必要があります | microsoft.storage/storageaccounts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントでは、共有キーアクセスを無効にする必要があります | microsoft.storage/storageaccounts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントはアクセスにプライベートエンドポイントを使用する必要があります | microsoft.storage/storageaccounts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントでは、パブリックネットワークアクセスを無効にする必要があります | microsoft.storage/storageaccounts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントには、デフォルトのネットワークアクセスを拒否するように設定する必要があります | microsoft.storage/storageaccounts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| ストレージアカウントは、Azure ポータルの Microsoft Entra 認可をデフォルトにする必要があります | microsoft.storage/storageaccounts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントには安全な転送が必要です | microsoft.storage/storageaccounts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントでは、信頼できる Azure サービスがネットワークルールをバイパスできるようにする必要があります | microsoft.storage/storageaccounts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントは、必要な最小 TLS バージョンで設定する必要があります | microsoft.storage/storageaccounts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントでは、クロステナントレプリケーションを無効にする必要があります | microsoft.storage/storageaccounts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントでは、匿名の BLOB アクセスを無効にする必要があります | microsoft.storage/storageaccounts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントは、BLOB の永続的な削除を制限する必要があります | microsoft.storage/storageaccounts/blobservices | Azure の基本的なベストプラクティス | 
| アクティビティログを含む Azure ストレージアカウントは、カスタマーマネージドキーで暗号化する必要があります | microsoft.storage/storageaccounts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントの BLOB サービスでは、BLOB ソフト削除を有効にする必要があります | microsoft.storage/storageaccounts/blobservices | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントの BLOB サービスではバージョニングを有効にする必要があります | microsoft.storage/storageaccounts/blobservices | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントの BLOB サービスでは、BLOB とコンテナのソフト削除を有効にする必要があります | microsoft.storage/storageaccounts/blobservices | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントには Azure Resource Manager 削除ロックを適用する必要があります | microsoft.storage/storageaccounts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントには ReadOnly リソースマネージャーロックが必要です | microsoft.storage/storageaccounts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Storage アカウントは地理的冗長ストレージを使用する必要があります | microsoft.storage/storageaccounts | CIS Microsoft Azure Foundations Benchmark v4.0 | 
| Azure Function アプリは管理アクセスを制限する必要があります | microsoft.web/sites/config | Azure の基本的なベストプラクティス | 
| Azure Functions は匿名の HTTP トリガー呼び出しを許可しないでください | microsoft.web/sites/functions | Azure の基本的なベストプラクティス | 
| Azure App Service ウェブアプリと関数アプリは、サポートされていないランタイムバージョンを使用しないでください | microsoft.web/sites | Azure の基本的なベストプラクティス | 
| プレミアムプランまたは専有プランの Azure Function アプリは仮想ネットワークと統合する必要があります | microsoft.web/sites | Azure の基本的なベストプラクティス | 
| Azure App Service ウェブアプリでは、診断設定で HTTP ログを有効にする必要があります | microsoft.web/sites | CIS Microsoft Azure Foundations Benchmark v4.0 |