Azure マシンの構成拡張機能をインストールする

Defender for Cloudは、Microsoft Cloud Security Benchmark(MCSB)におけるWindowsセキュリティベースラインおよびLinuxセキュリティベースラインの計算セキュリティベースラインと比較してオペレーティングシステムの構成を評価します。

評価に必要な情報は、Azure マシンの構成拡張機能 (旧称: Azure Policy ゲスト構成) によって収集されます。

この記事では、Azureマシンの設定拡張機能の展開方法について説明します。

前提条件

必要条件	詳細
Plan	MCSB コンピューティングセキュリティベースラインに基づくオペレーティングシステムの推奨事項を受け取るには、Defender for Servers プラン 2 を有効にする必要があります。
マシンのサポート	ReviewはWindowsマシンサポートとLinuxマシンサポートを実行するAzure VMおよびAzure Arc VMをサポートしていました。
拡張機能の要件	Azure VM の拡張機能デプロイ要件を確認します。
アクセス許可	推奨事項を表示し、OS ベースラインデータを調べるには、関連する Azure サブスクリプションに対する読み取りアクセス許可が必要です。

注

マシンの構成拡張機能を使用する収集は、Log Analytics エージェント (Microsoft Monitoring Agent (MMA) とも呼ばれます) を使用した以前のデータ収集方法に代わります。 MMA の使用は 2024 年 11 月までサポートされていました。

AWS/GCPマシンの場合、オンボード AWSマシンまたはオンボードGCPマシンコネクターでArcプロビジョニングを選択すると、マシンの設定がデフォルトでインストールされます。

オンプレミスのマシンの場合、オンプレミスの VM を Azure Arc 対応 VM としてオンボードすると、マシンの構成が既定で有効になります。

Defender for Servers プラン 2 を有効にすると、Defender for Cloud の推奨事項を使用してマシンにマシンの構成拡張機能をインストールできます。

適切な推奨事項を検索します。
- Azure マシン: 推奨事項「ゲスト構成拡張機能がマシンにインストールされている必要がある」を検索します。
- Azure VM: Azure VM の場合のみ、マネージド ID をマシンに割り当てる必要があります。これを行うには、推奨事項「仮想マシンのゲスト構成拡張機能はシステム割り当てマネージド ID を使用してデプロイする必要がある」を検索します
必要に応じて推奨事項を修復します。

Azure VM の場合、サブスクリプション全体で Azure VM へのゲスト構成拡張機能のインストールを自動プロビジョニングできます。

マシンの設定拡張機能を有効にすると、そのマシンはWindowsのセキュリティベースラインおよびLinuxのセキュリティベースラインと比較して評価できます。