インフラストラクチャをコードとして使用してストレージのDefenderを有効にする

Terraform テンプレート

Terraform を使用してサブスクリプション レベルで Defender for Storage を有効にして構成するには、次のコード スニペットを使用できます。

resource "azurerm_security_center_subscription_pricing" "DefenderForStorage" {
  tier          = "Standard"
  resource_type = "StorageAccounts"
  subplan       = "DefenderForStorageV2"
 
  extension {
    name = "OnUploadMalwareScanning"
    additional_extension_properties = {
      CapGBPerMonthPerStorageAccount = "10000"
      BlobScanResultsOptions = "BlobIndexTags"
    }
  }
 
  extension {
    name = "SensitiveDataDiscovery"
  }
}

このコードをカスタマイズすると、次のことができます。

• マルウェア スキャンの月次上限を変更する: CapGBPerMonthPerStorageAccount パラメーターを任意の値に調整します。 このパラメーターでは、ストレージ アカウントごとに毎月マルウェアをスキャンできる最大データの上限を設定します。 無制限のスキャンを許可する場合は、値を -1割り当てます。 既定値は -1 です。
• アップロード時のマルウェア スキャンまたは機密データの脅威検出機能を無効にする: Terraform コードから対応する拡張機能ブロックを削除します。
• Defender for Storage プラン全体を無効にする: tier プロパティの値を "Free"に設定し、 subPlan プロパティと extension プロパティを削除します。

azurerm_security_center_subscription_pricingリソースの詳細については、Terraformのドキュメントを参照してくださいazurerm_security_center_subscription_pricing。 Terraform AzureRM ドキュメントでは、Azure 用 Terraform プロバイダーに関する包括的な詳細も確認できます。

Bicep テンプレート

Bicep を使用してサブスクリプション レベルで Defender for Storage を有効にして構成するには、ターゲット スコープが subscription に設定されていることを確認します。 Bicep テンプレートに次のコードを追加します。

targetScope = 'subscription'

resource StorageAccounts 'Microsoft.Security/pricings@2023-01-01' = {
  name: 'StorageAccounts'
  properties: {
    pricingTier: 'Standard'
    subPlan: 'DefenderForStorageV2'
    extensions: [
      {
        name: 'OnUploadMalwareScanning'
        isEnabled: 'True'
        additionalExtensionProperties: {
          CapGBPerMonthPerStorageAccount: '10000'
          BlobScanResultsOptions: 'BlobIndexTags'
        }
      }
      {
        name: 'SensitiveDataDiscovery'
        isEnabled: 'True'
      }
    ]
  }
}

このコードをカスタマイズすると、次のことができます。

• マルウェア スキャンの月次上限を変更する: CapGBPerMonthPerStorageAccount パラメーターを任意の値に調整します。 このパラメーターでは、ストレージ アカウントごとに毎月マルウェアをスキャンできる最大データの上限を設定します。 無制限のスキャンを許可する場合は、値を -1割り当てます。 既定値は -1 です。
• アップロード時のマルウェア スキャンまたは機密データの脅威検出機能をオフにする: isEnabledの値を [False] でSensitiveDataDiscoveryに変更します。
• Defender for Storage プラン全体を無効にする: pricingTier プロパティの値を Freeに設定し、 subPlan プロパティと extensions プロパティを削除します。

Bicep テンプレートの詳細については、 Microsoft.Security の価格に関するドキュメントを参照してください。

Azure Resource Manager テンプレート

Azure Resource Manager テンプレート (ARM テンプレート) を使用してサブスクリプション レベルで Defender for Storage を有効にして構成するには、ARM テンプレートの resources セクションに次の JSON スニペットを追加します。

{
    "type": "Microsoft.Security/pricings",
    "apiVersion": "2023-01-01",
    "name": "StorageAccounts",
    "properties": {
        "pricingTier": "Standard",
        "subPlan": "DefenderForStorageV2",
        "extensions": [
            {
                "name": "OnUploadMalwareScanning",
                "isEnabled": "True",
                "additionalExtensionProperties": {
                    "CapGBPerMonthPerStorageAccount": "10000",
                    "BlobScanResultsOptions": "BlobIndexTags"
                }
            },
            {
                "name": "SensitiveDataDiscovery",
                "isEnabled": "True"
            }
        ]
    }
}

このコードをカスタマイズすると、次のことができます。

• マルウェア スキャンの月次上限を変更する: CapGBPerMonthPerStorageAccount パラメーターを任意の値に調整します。 このパラメーターでは、ストレージ アカウントごとに毎月マルウェアをスキャンできる最大データの上限を設定します。 無制限のスキャンを許可する場合は、値を -1割り当てます。 既定値は -1 です。
• アップロード時のマルウェア スキャンまたは機密データの脅威検出機能をオフにする: isEnabledの値を [False] でSensitiveDataDiscoveryに変更します。
• Defender for Storage プラン全体を無効にする: pricingTier プロパティの値を Freeに設定し、 subPlan プロパティと extension プロパティを削除します。

ARM テンプレートの詳細については、 Microsoft.Security の価格に関するドキュメントを参照してください。

Terraform テンプレート

Terraform を使用してストレージ アカウント レベルで Defender for Storage を有効にして構成するには、 AzAPI プロバイダー をインポートし、次のコード スニペットを使用します。

resource "azurerm_storage_account" "example" { ... }

resource "azapi_resource_action" "enable_defender_for_Storage" {
  type        = "Microsoft.Security/defenderForStorageSettings@2022-12-01-preview"
  resource_id = "${azurerm_storage_account.example.id}/providers/Microsoft.Security/defenderForStorageSettings/current"
  method      = "PUT"

  body = jsonencode({
    properties = {
      isEnabled = true
      malwareScanning = {
        onUpload = {
          isEnabled     = true
          capGBPerMonth = 10000
          blobScanResultsOptions = BlobIndexTags
        }
      }
      sensitiveDataDiscovery = {
        isEnabled = true
      }
      overrideSubscriptionLevelSettings = true
    }
  })
}

このコードでは、 azapi_resource_action は Defender for Storage の構成に固有のアクションです。 Terraform の一般的なリソース宣言とは異なります。 機能の有効化や無効化など、リソースに対して特定のアクションを実行するために使用されます。

このコードをカスタマイズすると、次のことができます。

• マルウェア スキャンの月次上限を変更する: capGBPerMonth パラメーターを任意の値に調整します。 このパラメーターでは、ストレージ アカウントごとに毎月マルウェアをスキャンできる最大データの上限を設定します。 無制限のスキャンを許可する場合は、値を -1割り当てます。 既定値は -1 です。

• アップロード時のマルウェア スキャンまたは機密データの脅威検出機能をオフにする: isEnabledまたはFalse プロパティのセクションでmalwareScanningするようにsensitiveDataDiscoveryの値を変更します。

• Defender for Storage プラン全体を無効にする: 次のコード スニペットを使用します。

  resource "azurerm_storage_account" "example" { ... }
  
  resource "azapi_resource_action" "disable_defender_for_Storage" {
    type        = "Microsoft.Security/defenderForStorageSettings@2022-12-01-preview"
    resource_id = "${azurerm_storage_account.example.id}/providers/Microsoft.Security/defenderForStorageSettings/current"
    method      = "PUT"
  
    body = jsonencode({
      properties = {
        isEnabled = false
        overrideSubscriptionLevelSettings = false
      }
    })
  }
  

  サブスクリプション レベルで Defender for Storage が有効になっているサブスクリプションでストレージ アカウントの Defender for Storage プランを無効にする場合は、 overrideSubscriptionLevelSettings の値を True に変更できます。 一部の機能を有効のまま維持する場合は、それに応じてプロパティを変更できます。

ストレージ アカウントのセキュリティ設定をさらにカスタマイズして制御する方法については、 Microsoft.Security/defenderForStorageSettings API のドキュメントを参照してください。 Terraform AzureRM ドキュメントでは、Azure 用 Terraform プロバイダーに関する包括的な詳細も確認できます。

Bicep テンプレート

Bicep を使用してストレージ アカウント レベルで Defender for Storage を有効にして構成するには、Bicep テンプレートに次のコードを追加します。

resource storageAccount 'Microsoft.Storage/storageAccounts@2021-04-01' ...

resource defenderForStorageSettings 'Microsoft.Security/DefenderForStorageSettings@2022-12-01-preview' = {
  name: 'current'
  scope: storageAccount
  properties: {
    isEnabled: true
    malwareScanning: {
      onUpload: {
        isEnabled: true
        capGBPerMonth: 10000
        blobScanResultsOptions: BlobIndexTags
      }
    }
    sensitiveDataDiscovery: {
      isEnabled: true
    }
    overrideSubscriptionLevelSettings: true
  }
}

このコードをカスタマイズすると、次のことができます。

• マルウェア スキャンの月次上限を変更する: capGBPerMonth パラメーターを任意の値に調整します。 このパラメーターでは、ストレージ アカウントごとに毎月マルウェアをスキャンできる最大データの上限を設定します。 無制限のスキャンを許可する場合は、値を -1割り当てます。 既定値は -1 です。
• アップロード時のマルウェア スキャンまたは機密データの脅威検出機能をオフにする: isEnabledまたはFalse プロパティのセクションでmalwareScanningするようにsensitiveDataDiscoveryの値を変更します。
• Defender for Storage プラン全体を無効にする: isEnabled プロパティの値を Falseに設定し、プロパティから malwareScanning セクションと sensitiveDataDiscovery セクションを削除します。

詳細については、 Microsoft.Security/DefenderForStorageSettings API のドキュメントを参照してください。

ARM テンプレート

Azure Resource Manager テンプレート (ARM テンプレート) を使用してストレージ アカウント レベルで Defender for Storage を有効にして構成するには、ARM テンプレートの resources セクションに次の JSON スニペットを追加します。

{
    "type": "Microsoft.Security/DefenderForStorageSettings",
    "apiVersion": "2022-12-01-preview",
    "name": "current",
    "properties": {
        "isEnabled": true,
        "malwareScanning": {
            "onUpload": {
                "isEnabled": true,
                "capGBPerMonth": 10000,
                "blobScanResultsOptions": BlobIndexTags
            }
        },
        "sensitiveDataDiscovery": {
            "isEnabled": true
        },
        "overrideSubscriptionLevelSettings": true
    },
    "scope": "[resourceId('Microsoft.Storage/storageAccounts', parameters('StorageAccountName'))]"
}

このコードをカスタマイズすると、次のことができます。

• マルウェア スキャンの月次上限を変更する: capGBPerMonth パラメーターを任意の値に調整します。 このパラメーターでは、ストレージ アカウントごとに毎月マルウェアをスキャンできる最大データの上限を設定します。 無制限のスキャンを許可する場合は、値を -1割り当てます。 既定値は -1 です。
• アップロード時のマルウェア スキャンまたは機密データの脅威検出機能をオフにする: isEnabledまたはFalse プロパティのセクションでmalwareScanningするようにsensitiveDataDiscoveryの値を変更します。
• Defender for Storage プラン全体を無効にする: isEnabled プロパティの値を Falseに設定し、プロパティから malwareScanning セクションと sensitiveDataDiscovery セクションを削除します。