クラウド セキュリティ体制管理 (CSPM) は、Microsoft Defender for Cloud のコア機能です。 CSPM は、クラウド資産とワークロードのセキュリティ状態を継続的に可視化し、Azure、AWS、GCP 全体のセキュリティ体制を改善するための実用的なガイダンスを提供します。
Defender for Cloud は、Azure サブスクリプション、アマゾン ウェブ サービス (AWS) アカウント、および Google Cloud Platform (GCP) プロジェクトに対して定義されているセキュリティ標準に対して、クラウド インフラストラクチャを継続的に評価します。 Defender for Cloud は、クラウドの構成ミスとセキュリティ リスクを特定して軽減するのに役立つセキュリティに関する推奨事項を発行します。
Azure Database for PostgreSQL フレキシブルサーバーの場合、Defender CSPMはサーバーレベルおよびデータベースレベルの構成をPostgreSQLのセキュリティベストプラクティスに照らして継続的に評価します。 これらの評価は、ネットワークセキュリティ、監査、運用のレジリエンスに関する課題を特定します。 Defender CSPMがすでに有効であれば、他の設定を必要とせずにリスク優先度の高い推奨を提供します。
Foundational CSPMを有効にすると、Microsoft Cloud Security Benchmark(MCSB)標準がマルチクラウド環境のセキュリティ強化に役立つ推奨事項を提供します。 MCSB の推奨事項の一部に基づく セキュリティ スコア は、クラウド コンプライアンスの監視に役立ちます。 スコアが高いほど、識別されたリスク レベルが低いことを示します。
Important
2026年10月27日より、Foundational CSPMはオプトイン方式に移行し、新規Azureサブスクリプションに対してデフォルトで有効化されなくなります。 無料プランは引き続き無料で利用可能で、組織のニーズに応じていつでも有効化可能です。 すでにFoundational CSPMが有効になっている既存のサブスクリプションは、プランをオフにしない限り有効のままです。 詳細については、「 基礎CSPMへのオプトイン」をご覧ください。
CSPM プラン
Defender for Cloud には、次の 2 つの CSPM プランが用意されています。
- 基礎CSPM (無料):無料で利用可能です。 2026年10月27日以降、新規Azureサブスクリプションはオプトインが必要です。 AWSとGCPのオンボーディングには影響がありません。
- Defender CSPM(有料):基礎CSPMプランを超えた追加機能を提供し、クラウドの可視化やコンプライアンス監視のための高度なCSPMツールが含まれます。 このプランは、AIセキュリティ体制、攻撃経路分析、リスク優先順位付けなどの高度なセキュリティ体制機能を提供します。
可用性を計画する
Defender CSPM は、複数のデプロイ モデルとクラウド環境で使用できます。
- 商用クラウド: すべての Azure 商用リージョンで利用可能
- ガバメントクラウド: Azure GovernmentおよびAzure Government Secretで利用可能
- マルチクラウド: Azure、AWS、GCP 環境のサポート
- ハイブリッド: Azure Arc を介したオンプレミス リソース
- DevOps: GitHub と Azure DevOps の統合
特定のリージョンの可用性と政府機関向けクラウド サポートの詳細については、 クラウド環境のサポート マトリックスを参照してください。
| 特徴 | 基本的な CSPM | ディフェンダー CSPM | クラウドでの利用可否 |
|---|---|---|---|
| 資産インベントリ | 
|
|
Azure、AWS、GCP、オンプレミス、Docker Hub、JFrog Artifactory |
| データのエクスポート |
|
|
Azure、AWS、GCP、オンプレミス |
| Azure Workbooks を使用したデータの視覚化とレポート |
|
|
Azure、AWS、GCP、オンプレミス |
| Microsoft クラウド セキュリティ ベンチマーク |
|
|
Azure、AWS、GCP |
| セキュリティ スコア |
|
|
Azure、AWS、GCP、オンプレミス、Docker Hub、JFrog Artifactory |
| セキュリティに関する推奨事項 |
|
|
Azure、AWS、GCP、オンプレミス、Docker Hub、JFrog Artifactory |
| 修復のためのツール |
|
|
Azure、AWS、GCP、オンプレミス、Docker Hub、JFrog Artifactory |
| ワークフローの自動化 |
|
|
Azure、AWS、GCP、オンプレミス |
| エージェントレス コードからクラウドまでのコンテナの脆弱性評価 | - |
|
Azure、AWS、GCP、Docker Hub、JFrog Artifactory |
| Kubernetes のエージェントレス検出 | - |
|
Azure、AWS、GCP |
| VM シークレットのエージェントレス スキャン | - |
|
Azure、AWS、GCP |
| エージェントレス VM の脆弱性スキャン | - |
|
Azure、AWS、GCP |
| AI セキュリティ体制管理 | - |
|
Azure、AWS、GCP |
| API セキュリティ態勢管理 | - |
|
Azure |
| 攻撃パス分析 | - |
|
Azure、AWS、GCP、Docker Hub、JFrog Artifactory |
| Azure Kubernetes Service セキュリティ ダッシュボード (プレビュー) | - |
|
Azure |
| コンテナーのコードからクラウドへのマッピング | - |
|
GitHub、Azure DevOps2 、Docker Hub、JFrog Artifactory |
| IaC のコードからクラウドへのマッピング | - |
|
Azure DevOps2、Docker Hub、JFrog Artifactory |
| 重要な資産保護 | - |
|
Azure、AWS、GCP |
| カスタム推奨事項 | - |
|
Azure、AWS、GCP、Docker Hub、JFrog Artifactory |
| データ セキュリティ体制管理 (DSPM)、機密データ スキャン | - |
|
Azure、AWS、GCP1 |
| 外部攻撃面の管理 | - |
|
Azure、AWS、GCP、Docker Hub、JFrog Artifactory |
| 大規模な修復を推進するためのガバナンス | - |
|
Azure、AWS、GCP、Docker Hub、JFrog Artifactory |
| インターネット露出分析 | - |
|
Azure、AWS、GCP、Docker Hub、JFrog Artifactory |
| PR 注釈 | - |
|
GitHub、Azure DevOps2 |
| 規制コンプライアンス評価 | - |
|
Azure、AWS、GCP、Docker Hub、JFrog Artifactory |
| セキュリティ エクスプローラーを使用したリスクハンティング | - |
|
Azure、AWS、GCP、Docker Hub、JFrog Artifactory |
| リスクの優先順位付け | - |
|
Azure、AWS、GCP、Docker Hub、JFrog Artifactory |
| サーバーレスコンテナーの態勢 | - |
|
Azure、AWS |
| サーバーレス保護 | - |
|
Azure、AWS |
| ServiceNow 統合 | - |
|
Azure、AWS、GCP |
1: GCP の機密データ検出 では、Cloud Storage のみがサポートされます。 2: セキュリティ エクスプローラーを強化するコードからクラウドへのコンテキスト化、攻撃パス、コードとしてのインフラストラクチャのセキュリティ結果のプル要求注釈などの DevOps セキュリティ機能は、有料の Defender CSPM プランを有効にした場合にのみ使用できます。 DevOps のセキュリティ サポートと前提条件の詳細を確認します。
特定のリージョンの可用性と政府機関向けクラウド サポートの詳細については、 クラウド環境のサポート マトリックスを参照してください。
プランの価格
- Defender for Cloud の価格を参照し、コスト計算ツールを使用してコストを見積もります。
- 高度な DevOps セキュリティ体制機能 (pull request 注釈、コードからクラウドへのマッピング、攻撃パス分析、セキュリティ エクスプローラー) には、有料の Defender CSPM プランが必要です。 無料プランでは、基本的な Azure DevOps の推奨事項が提供されます。 DevOps のセキュリティ機能を参照してください。
- Defender CSPM の課金は、特定のリソースに基づいています。 Azure、AWS、GCP の課金対象リソースの詳細については、価格ページを参照してください。
Integrations
Defender for Cloud では、インシデント管理とチケット発行のためのパートナー システムとの統合がサポートされています。 現在、ServiceNow の統合は利用できます (プレビュー)。 セットアップについては、「 ServiceNow と Microsoft Defender for Cloud の統合」を参照してください。
サポートされているクラウドとリソース
プル要求注釈、コードからクラウドへのマッピング、攻撃パス分析、クラウド セキュリティ エクスプローラーなどの DevOps セキュリティ体制機能は、有料の Defender CSPM プランでのみ使用できます。 無料の基本セキュリティ体制管理プランでは、Azure DevOps の推奨事項が提供されます。 Azure DevOps のセキュリティ機能によって提供される機能の詳細について説明します。
Defender CSPM は、すべてのマルチクラウド ワークロードを保護しますが、課金は特定のリソースにのみ適用されます。 次の表に、Azure サブスクリプション、AWS アカウント、または GCP プロジェクトで Defender CSPM を有効にしたときの課金対象リソースの一覧を示します。
Azure
| サービス | リソースの種類 | 除外 |
|---|---|---|
| Compute | 仮想マシン、仮想マシン スケール セット、クラシック VM | 割り当て解除された VM、Databricks VM |
| Storage | ストレージアカウント | BLOB コンテナーまたはファイル共有のないアカウント |
| Databases | SQL servers, Azure Database for PostgreSQL flexible servers, Azure Database for MySQL flexible servers, Synapse workspaces | - |
AWS
| サービス | リソースの種類 | 除外 |
|---|---|---|
| Compute | EC2 インスタンス | 割り当て解除済み VM |
| Storage | S3 バケット | – |
| Databases | RDS インスタンス | – |
GCP
| サービス | リソースの種類 | 除外 |
|---|---|---|
| Compute | コンピューティング インスタンス、インスタンス グループ | 非実行インスタンス |
| Storage | ストレージ バケット | Nearline/coldline/archive クラス、サポート対象外のリージョン |
| Databases | クラウド SQL インスタンス | – |
Azure Cloud のサポート
商用および国内のクラウド カバレッジについては、 Azure クラウド環境のサポート マトリックスを参照してください。