ストレージのMicrosoft Defenderの前提条件

この記事では、storage の有効なMicrosoft Defenderとその機能に必要な前提条件とアクセス許可の一覧を示します。

前提条件

  • Microsoft Azure サブスクリプションが必要です。 Azure サブスクリプションをお持ちでない場合は、無料サブスクリプションにサインアップすることができます。

  • Azure サブスクリプションで Microsoft Defender for Cloud を有効にしている必要があります。

  • 次のストレージの種類がサポートされています。

    Capability Azure Blob Standard Azure Blob Premium v2 Azure ページ BLOB Azure Data Lake Storage Gen 2 Azure BLOB (Standard + Premium) + ネットワーク ファイル システム (NFS) 3.0 Azure ファイル標準 (SMB) Azure File Premium Provisioned v1/v2 (SMB)
    [アクティビティ監視] サポートされている サポートされている サポートされている サポートされている サポートしていません サポートされている サポートされている
    機密データの検出 サポートされている サポートされている サポートされている サポートされている サポートしていません サポートされている サポートしていません
    アップロード時のマルウェア スキャン BLOB でのみサポートされます BLOB でのみサポートされます サポートしていません BLOB でのみサポートされます BLOB でのみサポートされます サポートしていません サポートしていません
    オンデマンドマルウェアスキャン サポートされている サポートされている サポートしていません サポートされている サポートされている サポートしていません サポートしていません

  • App_Browsers、App_Code、App_Data、App_GlobalResources、App_LocalResources、App_Themes、App_WebReferences、Binのいずれかの名前を持つリソース グループに属するストレージ アカウントはサポートされていません。

注

ストレージのDefenderは、アマゾン ウェブ サービス (AWS) S3 バケットを直接サポートしていません。 AWS S3 コネクタでMicrosoft Sentinelを使用して AWS GuardDuty の結果を使用し、Defender ポータル Alerts テーブルに表示できます。 詳細については、「 Microsoft Sentinel データ コネクタ」を参照してください。

権限

シナリオに応じて、ストレージとその機能のDefenderを有効にするには、さまざまなレベルのアクセス許可が必要です。 ストレージのDefenderは、サブスクリプション レベルまたはストレージ アカウント レベルで有効にして構成できます。 また、組み込みのAzure ポリシーを使用してストレージのDefenderを有効にし、目的のスコープにその有効化を適用することもできます。

次の表は、各シナリオに必要なアクセス許可をまとめたものです。 アクセス許可は、組み込みの Azure ロールか、カスタム ロールに割り当てることができるアクション セットです。

Capability サブスクリプション レベル ストレージ アカウント レベル
アクティビティの監視 セキュリティ管理者、または Pricings/read、Pricings/write セキュリティ管理者、または Microsoft.Security/defenderforstoragesettings/read、Microsoft.Security/defenderforstoragesettings/write
マルウェア スキャン サブスクリプションの所有者またはアクション セット 1 アクション セット 2
機密データの脅威の検出 サブスクリプションの所有者またはアクション セット 1 アクション セット 2

注

Storage のDefenderを有効にすると、アクティビティの監視は常に有効になります。

アクション セットは、カスタム ロールの作成Azure使用できるリソース プロバイダー操作のコレクションです。 Storage とその機能のDefenderを有効にするアクション セットは次のとおりです。

アクション セット 1: サブスクリプション レベルでの有効化と構成

  • Microsoft。セキュリティ/価格/書き込み
  • Microsoft。セキュリティ/価格/読み取り
  • Microsoft。Security/pricings/SecurityOperators/read
  • Microsoft。Security/pricings/SecurityOperators/write
  • Microsoft.Authorization/roleAssignments/read
  • Microsoft.Authorization/roleAssignments/write
  • Microsoft.Authorization/roleAssignments/delete

アクション セット 2: ストレージ アカウント レベルでの有効化と構成

  • Microsoft.Storage/storageAccounts/write
  • Microsoft.Storage/ストレージアカウント/読み取り
  • Microsoft。Security/datascanners/read (サブスクリプション レベルで付与する必要があります)
  • Microsoft。Security/datascanners/write (サブスクリプション レベルで付与する必要があります)
  • Microsoft。Security/defenderforstoragesettings/read
  • Microsoft。Security/defenderforstoragesettings/write
  • Microsoft.EventGrid/eventSubscriptions/read
  • Microsoft.EventGrid/eventSubscriptions/write
  • Microsoft.EventGrid/eventSubscriptions/delete
  • Microsoft.Authorization/roleAssignments/read
  • Microsoft.Authorization/roleAssignments/write
  • Microsoft.Authorization/roleAssignments/delete

関連するコンテンツ

  • 最終更新: