Ative o Defender para a Cloud em todas as subscrições de um grupo de gestão

Overview

Pode usar o Azure Policy para ativar o Microsoft Defender para a Cloud em todas as subscrições do Azure no mesmo grupo de gestão. Esta abordagem é mais conveniente do que aceder individualmente a partir do portal, e funciona mesmo que as subscrições pertençam a proprietários diferentes.

Pré-requisitos

Antes de incorporar o grupo de gestão, registe o fornecedor de recursos necessário.

Ativar o fornecedor _Microsoft.Security_ de recursos para o grupo de gestão. O seguinte comando CLI do Azure regista o Microsoft.Security fornecedor de recursos no âmbito do grupo de gestão, de modo a que as políticas do Defender para a Cloud possam ser atribuídas e avaliadas:

az provider register --namespace Microsoft.Security --management-group-id …

Incorporar um grupo de gestão e todas as suas subscrições

Para adicionar um grupo de gestão e todas as suas subscrições:

1. Como utilizador com permissões Security Admin, abra Azure Policy e procure a definição Enable Microsoft Defender para a Cloud on your subscription.

   

2. Selecione Atribuir e certifique-se de definir o âmbito para o nível do grupo de gestão.

   

   Tip

   Além do escopo, não há parâmetros necessários.

3. Selecione Remediação e depois selecione Criar uma tarefa de remediação para garantir que todas as subscrições existentes que não tenham o Defender para a Cloud ativado sejam integradas.

   

4. Selecione Verificar + criar.

5. Reveja as suas informações e selecione Criar.

Quando atribui a definição, ela:

• Deteta todas as subscrições no grupo de gestão que ainda não estão registadas no Defender para a Cloud.
• Marca essas subscrições como não conformes.
• Marcam como compatíveis todas as subscrições registadas, independentemente de terem ou desativado as funcionalidades de segurança melhoradas do Defender para a Cloud.

A tarefa de remediação permite então a funcionalidade básica do Defender para a Cloud nas subscrições não compatíveis.

Modificações opcionais na definição da política

Pode optar por modificar a definição do Azure Policy de várias formas:

• Defina conformidade de forma diferente. A política fornecida classifica todas as subscrições do grupo de gestão que ainda não estão registadas no Defender para a Cloud como não conformes. Pode optar por configurar para todas as subscrições sem que as funcionalidades de segurança melhoradas do Defender para a Cloud estejam ativadas.

  A definição fornecida define qualquer uma das pricing definições abaixo como compatível. Ou seja, uma subscrição configurada para standard ou free é compatível.

  Tip

  Quando um plano do Microsoft Defender está ativado, é referido numa definição de política como tendo a definição standard ativada. Quando está desativado, é free. Para saber mais sobre as diferenças entre estes planos, consulte os planos Defender do Microsoft Defender para a Cloud.

  "existenceCondition": {
      "anyof": [
          {
              "field": "microsoft.security/pricings/pricingTier",
              "equals": "standard"
          },
          {
              "field": "microsoft.security/pricings/pricingTier",
              "equals": "free"
          }
      ]
  },
  

  Se alterar o existenceCondition para o seguinte, apenas as subscrições configuradas para standard seriam classificadas como conformes:

  "existenceCondition": {
          "field": "microsoft.security/pricings/pricingTier",
          "equals": "standard"
        },
  

• Defina alguns planos do Defender a aplicar ao ativar o Defender para a Cloud. A política fornecida permite o Defender para a Cloud sem nenhuma das funcionalidades opcionais de segurança melhoradas. Pode optar por ativar um ou mais dos planos Defender.

  A seção da deployment definição fornecida tem um parâmetro pricingTier. Por defeito, este parâmetro está definido para free, mas pode modificá-lo.

Passo seguinte