この記事は、すべてのAzure VMware Solutionワークロードが一貫した制御を継承し、オンボード前のリスクを軽減できるように、ガバナンスとセキュリティ ベースラインを確立するのに役立ちます。
この記事は、意思決定者が、すべてのAzure VMware Solutionワークロードが既定で継承するガバナンスとセキュリティ ベースラインを確立するのに役立ちます。 ベースラインとは、ワークロード チームがオンボードする前に、ワークロードが継承するすべてのAzure VMware Solutionコントロールの最小セットです。 これらのベースラインを作成して管理します。 規制コンプライアンスなどの組織のニーズを満たすか、ワークロード固有のリスクを管理するための追加のコントロールを構築します。
ここでのベースライン ガイダンスでは、Azure VMware Solution第 2 世代 (Gen 2) を前提としています。この場合、プライベート クラウドは既定でAzure仮想ネットワーク内にデプロイされ、Azure サービスとAzureネイティブ コントロールへのネイティブ接続が提供されます。 第 1 世代 (Gen 1) は従来の例外であり、機能が異なる場合にのみ呼び出されます。
運用環境と同じガバナンスとセキュリティ ベースラインを非運用環境に適用します。 ベースラインが一貫しているということは、資産全体の弱点のリスクが低くなることを意味し、ある環境から別の環境へのワークロードの移行を簡略化します。
推奨事項:アプリケーションまたは運用チームをオンボードする前に、すべてのAzure VMware SolutionワークロードがAzure環境と VMware プライベート クラウドの両方で継承する必要があるガバナンスとセキュリティ ベースラインを決定します。
1. ガバナンスベースラインスコープ
Azure VMware Solutionは 2 つのサーフェスにわたるガバナンスを必要とし、そのうちの 1 つだけをカバーするベースラインは、コントロールとリスクのギャップを残します。
Azureガバナンス:Azureサーフェスは、サブスクリプション、仮想ネットワーク、監視、Azureロールの割り当てなど、プライベート クラウドをサポートするAzure リソースのセットです。 Azureネイティブ ツールを使用して管理します。
プライベート クラウド ガバナンス:VMware サーフェスは、ネットワーク セグメント、ファイアウォール ポリシー、vCenter ロールと NSX ロール、ストレージ ポリシーなど、プライベート クラウド自体です。 そのほとんどは、プライベート クラウド内の VMware ネイティブ ツールを使用して管理します。
Azure環境のみ、または VMware 環境のみに対応するガバナンス ベースラインにより、運用管理とリスク管理にギャップが生じます。
2. ガバナンスの実施
可能な限り、プラットフォーム ランディング ゾーンを通じてベースライン要件を適用します。 手動の運用プロセスを使用して、技術的な制御が利用できない場合の適用をサポートします。
管理グループ、サブスクリプション、またはリソース グループ レベルでAzure Policyを適用して、すべてのAzure VMware Solutionデプロイの必須要件を確立します。 Azure Policyを使用すると、特に VMware 管理をワークロード所有者に委任する場合に、Azure VMware Solutionプライベート クラウド間で一貫性を確保できます。 これらの要件を、より広範なAzure資産全体で既に使用されている標準に合わせます。 標準的な適用ポリシーとメカニズムには、次のようなものがあります。
展開の境界:許可されている場所
Azure VMware Solution SKU:許可されているリソースの種類 (Azure VMware Solution用にカスタマイズ)
プライベート クラウドの保護: リソース ロック (Azure Policy定義ではない)
3. セキュリティ ベースライン
すべてのAzure VMware Solutionデプロイでは、ワークロードのオンボード前に、承認されたセキュリティ ベースラインを継承する必要があります。 まず、Azure VMware SolutionのAzureセキュリティ ベースラインから始めます。Azure VMware Solution機能を Microsoft Cloud セキュリティ ベンチマークにマップし、Microsoft推奨されるセキュリティ ガイダンスを提供します。 Microsoft Defender for Cloudは、適用可能な推奨事項と規制コントロールに対して環境を継続的に評価できます。 ベンチマーク コントロールに関連付けられているAzure Policy定義は、Microsoft Defender for Cloudの規制コンプライアンス エクスペリエンス内に表示されます。 セキュリティに関する推奨事項Azure VMware Solution参照してください。
4. AZURE VMWARE SOLUTION ID ベースライン
Azure VMware Solutionは既存の ID サービスを使用するため、ベースラインは、新しい ID サービスをデプロイするのではなく、仮想マシンなどの接続方法とリソースを指します。 このベースラインは、Azure VMware Solution自体によって使用される ID サービスに関連しており、VMware で実行されている個々のアプリケーション ワークロードで使用される ID サービスには影響しません。
4.1 ID プロバイダー
組み込みの CloudAdmin アカウントではなく、vCenter アクセスに外部 ID ソースを使用します。 Azure VMware Solutionでは、vCenter Server の外部 ID ソースとしてMicrosoft Entra IDとActive Directory (LDAPS) の両方がサポートされています。
オプション 1. Microsoft Entra ID (推奨)。 Microsoft Entra IDを既に標準化している組織は、ID ガバナンス、条件付きアクセス、多要素認証をAzureおよび VMware 管理全体で一元化するため、Entra IDフェデレーションを優先する必要があります。
オプション 2。 LDAPS 経由の Active Directory Domain Services Active Directory統合 VMware 管理に運用上の依存関係がある組織は、引き続き LDAPS を使用できます。 既存の AD 統合 VMware 管理ワークフローで継続性を提供します。 AD ドメイン コントローラーは、Azure 上のプラットフォーム ID サブスクリプションで一元的に運用します。
4.2 ユーザーのアクセス許可
ユーザー アクセスの決定により、Azure VMware Solutionの安全な管理の基盤が確立されます。 運用チームをオンボードする前に、管理者がアクセスを受け取る方法、使用できるロール、および時間の経過と同時にアクセスをレビューする方法を定義します。
グループベースの割り当て: 運用チームをオンボードする前に、管理者グループを定義します。 ユーザーをグループに割り当て、グループをロールに割り当てます。 一時的な例外を除き、直接のユーザー割り当てを避けます。
最小特権 vCenter ロール: CloudAdmin ロールがチームのニーズよりも多くのアクセス権を付与する場合は、カスタム vCenter ロールを使用します。 Azure VMware Solutionでは、CloudAdmin ロール以下の特権を持つ vCenter のカスタム ロールがサポートされます。 Azure VMware Solution ポータルではカスタム ロールは提供されません。
NSX マネージャーパリティ: NSX Manager に同じアクセス ガバナンス プロセスを適用します。 承認された管理者ロールを定義し、最小限の特権を適用し、定期的なアクセス レビューを実施します。 すべての定義済み NSX ロールがサポートされているわけではないため、承認された NSX ロールの小さなセットを定義し、定期的に確認します。
4.3 CloudAdmin ロール
Azure VMware Solutionの CloudAdmin ロールの動作は、オンプレミスの VMware 管理者アクセスとは異なり、毎日のドライバー管理者アカウントのように扱うのが一般的な間違いです。 CloudAdmin はブレークグラス用資格情報として扱い、定期的にローテーションと監視を行い、使用は緊急時に限定してください。 最小特権ロールにマップされた外部 ID グループを介して、日常のアクセス権を付与します。
緊急時専用: 日常的な管理やサービス連携に、組み込みの CloudAdmin アカウントを使用しないでください。 緊急アクセス用のブレークグラス アカウントとして確保しておきます。 特権アクセス プロセスを通じて資格情報を格納し、定義されたスケジュールに従ってローテーションし、取得または使用時にアラートを生成します。
ホスト レベルのアクセスなし: Azure VMware Solution管理者は、vCenter Server administrator@vsphere.local アカウントまたは ESXi ルート アカウントを受け取りません。 ただし、管理者は、Active Directoryユーザーとグループを vCenter Server の CloudAdmin ロールに割り当てることができます。
マネージド SSO ドメイン: vsphere.local SSO ドメインは、プラットフォーム操作をサポートする マネージド リソース です。 プライベート クラウドで提供される既定のアカウントを超えるローカル ユーザーとグループを作成または管理するために使用することはできません。
ID ソースの追加: CloudAdmin ロールは、ID ソース (LDAP/LDAPS など) を直接追加できません。 Run コマンドを使用して外部 ID ソースを追加し、CloudAdmin ロールをユーザーとグループに割り当てます。
5. Azure VMware Solution のネットワーク ベースライン
すべてのプライベート クラウドでは、ソフトウェアで定義されたネットワーク レイヤーとして VMware NSX が使用され、オンプレミスの VMware の VLAN ベースのモデルが置き換えられます。 チームは、ワークロード用の NSX セグメントを作成し、NSX Tier-0 および Tier-1 ゲートウェイを介してトラフィックをルーティングし、分散ファイアウォール規則を記述します。 ネットワーク セキュリティ アプローチを早期に計画し、明確な境界を設定します。
Azure VMware Solution環境内 (東西) 内のトラフィックには NSX を使用します。
Azure VMware Solution境界 (南北) を越えるトラフィックには、Azureネイティブまたはオンプレミスの制御を使用します。
5.1 東西トラフィックの基準値
東西の制御は、プライベート クラウド内 のワークロード間の トラフィックを制御します。 すべてのワークロードに対して NSX 分散ファイアウォールを使用してマイクロセグメント化を適用します。 特定のコントロール目標で必要な場合にのみ、vDefend を追加します。
オプション 1. NSX ファイアウォール。 ワークロード間でマイクロセグメント化を適用するには、常に NSX 分散ファイアウォールを使用します。 マイクロセグメント化では、攻撃者が 1 つのワークロードに到達した場合の横移動が制限されます 。たとえば、侵害された Web サーバーがデータベースに到達するのを停止します。 多くの場合、Teams は移行直後にこの機能を使い果たしているため、ベースラインの一部にします。
オプション 2。 NSX ファイアウォールと VMware vDefend ファイアウォール。 分散ファイアウォールが特定の要件を満たしていない場合は、オプションの VMware vDefend Firewall アドオンで、侵入検出や URL フィルタリングなど、NSX だけでは提供されない機能を評価します。 これらの機能が満たす必要があるコントロール目標にマップされている場合にのみ、この機能を採用します。
ファイアウォール規則、セグメント、およびルーティングを変更できるユーザーを制限することで、NSX に同じ最小特権アプローチを適用します。 NSX 更新プログラムは共有接続に影響を与え、複数のワークロードを中断する可能性があるため、変更制御と監査を実施します。
5.2 南北トラフィックのベースライン
南北コントロールは、Azure VMware Solution環境に出入りするトラフィックを制御します。 適切なツールは、より広範なAzureネットワーク設計に依存します。
オプション 1。Azure Firewallまたはサードパーティの NVA。多くの組織では、Azure Firewallまたは一元化された "接続" プラットフォーム サブスクリプションに配置されたサードパーティのネットワーク仮想アプライアンスを使用して、このトラフィックを検査します。
オプション 2。エッジの NSX ゲートウェイ ファイアウォール。プライベート クラウドの境界で検査する場合は、Azure VMware Solution エッジで NSX ゲートウェイ ファイアウォールを使用します。
オプション 3。オンプレミスのファイアウォール。 一部のルートインターネットエグレスは、既存のオンプレミスファイアウォールを経由します。
Gen 2 では、Azure仮想ネットワーク レベルで Azure ネットワーク セキュリティ グループ (NSG) を追加し、NSX を補完する追加のAzureネイティブ レイヤーを作成します。 Gen 1 では NSG は提供されません。
複数のレイヤーでコントロールを適用する場合は、それらの一貫性を維持する方法を計画します。 複数のレイヤーに分割されたコントロールにより、複雑さが増し、トラブルシューティングが困難になり、意図しないトラフィック パスが作成される可能性があります。 自動ネットワーク ツールを使用する場合は、VMware とAzure間でポリシーの同期を維持する方法を前もって決定します。 ワークロードのネットワーク接続要件を文書化し、VMware 管理者とアップストリームネットワーク管理チームが同じドキュメントと変更通知プロセスを使用していることを確認します。
6. Azure VMware Solutionコストベースライン
コスト ガバナンスは、すべてのAzure VMware Solutionデプロイが継承する財務ガードレールを設定します。 少なくとも、アラート、必須のタグ付け標準、およびすべてのAzure VMware Solutionサブスクリプションの容量変更に対する名前付き承認者を含む予算が必要です。
予算とアラート:Microsoft Cost Managementを使用して予算のしきい値と支出アラートを設定し、支出が早い段階で過剰に発生するようにします。 ワークロード チームは、CPU、メモリ、および vSAN 使用率のしきい値のアラートを構成し、応答があいまいでないように名前付き操作所有者にそれらのアラートをルーティングする必要があります。 容量の決定がすべてのチームで同じデータに基づいて行われるように、運用クラスターの CPU 使用率を 75% でアラートするなど、しきい値を一元的に設定します。 「Azure VMware Solutionのアラートを構成する」を参照してください。
タグ付け:コストが所有者とワークロードにマップされ、それらをレポートできるように、Azure VMware Solution リソースにタグを必要とします。 リソースのタグ付けについては、「ポリシー定義」を参照してください。
容量: ホストの追加は、意図的な承認されたアクションとして扱います。 新しい容量を承認できるユーザーを決定します。 最小および最大のクラスター サイズと承認済みのデプロイ リージョンの標準を設定し、データストアが満杯にならないように容量ヘッドルーム バッファーを必要とします。 必要に応じてホスト クォータを要求します。 クォータ要求ではコストは追加されませんが、容量の追加が完了するまでに数日かかる場合があります。 新しく追加された Azure VMware Solution ホストに必要な VCF ライセンスの取得がプロセスに含まれていることを確認します。
7. Azure VMware Solution ゲスト VM ベースライン
Microsoftは、ESXi ホスト、vCenter Server、NSX などのAzure VMware Solution インフラストラクチャを管理します。 ゲスト オペレーティング システム、アプリケーション、および各仮想マシン内で実行されるセキュリティ コントロールに対して引き続き責任を負います。
仮想マシンを Azure Arc 対応 VMware vSphere にオンボードすることで、ゲスト オペレーティング システムにガバナンスを拡張します。 Azure Arc対応 VMware vSphere を参照してください。
仮想マシンが Arc 対応になると、組織は Azure 仮想マシンに使用されるのと同じガバナンス プロセスを使用して、Azure Policy のマシン構成、Microsoft Defender サービス、Update Manager、およびその他の Azure 管理機能を適用できます。 Azure Arc対応サーバーの組み込みポリシー定義とカスタム コンピューター構成ポリシー定義を作成する方法を参照してください。
7.1 ゲスト構成基準
仮想マシンのプロビジョニングの一環として、Azure Arc へのオンボードを必須とします。 早期オンボーディングにより、手動による作業によって後で追加されるのではなく、1 日目からガバナンス制御が確実に適用されます。 Azure Arcでは、インベントリ、変更履歴、マシン構成などの機能が有効になります。
これらのサービスはAzure VMware Solutionゲストが Arc 対応になると、Azure仮想マシンで動作するのと同じ方法で動作します。 その後、組織は、Azure、オンプレミスの VMware、Azure VMware Solution環境に同じ構成標準を適用できます。
7.2 エンドポイント保護
エンドポイント保護の標準は、仮想マシンの実行場所に関係なく一貫性を保つ必要があります。 Azure VMware Solution仮想マシンの場合、Azure Arc対応の VMware vSphere には、Microsoft Defender for Endpointおよびその他のAzureセキュリティ サービスをデプロイするために必要な統合パスが用意されています。 このアプローチにより、セキュリティ チームは、ハイブリッド環境全体でエンドポイント セキュリティ体制の統一されたビューを維持できます。 Azure VMware SolutionとのMicrosoft Defender for Cloudの統合を参照してください。
7.3 パッチ適用ベースライン
Microsoftは、Azure VMware Solution インフラストラクチャにパッチを適用する役割を担います。 組織では、通常、IT 運用チームまたはワークロード管理者チームがゲスト オペレーティング システムとアプリケーションにパッチを適用する役割を担います。 組織が確立されたエンタープライズ 修正プログラム適用ソリューションに依存している場合は、高度なスケジュールまたはオーケストレーションの要件が存在するツールを引き続き使用してください。 これらの要件には、Arc 対応Azure VMware Solution仮想マシンでのAzure Update Managerが含まれる場合があります。
7.4 VM 拡張機能のベースライン
VM 拡張機能は、セキュリティ監視、テレメトリ収集、運用管理などの機能を提供します。 ガバナンスがないと、拡張機能のデプロイが断片化し、制御が困難になる可能性があります。
承認済みの拡張機能カタログを定義し、承認された拡張機能のみを使用するようにワークロード チームに要求します。 拡張機能のガバナンスとAzure Policyを組み合わせて、コンプライアンスを適用し、承認されていない構成を検出します。