Standardní hodnoty zabezpečení Azure pro Azure Database for PostgreSQL – flexibilní server

Tyto standardní hodnoty zabezpečení aplikují na flexibilní server Azure Database for PostgreSQL pokyny z srovnávacího testu cloudového zabezpečení Microsoftu verze 1.0. Srovnávací test zabezpečení cloudu Microsoftu poskytuje doporučení, jak můžete zabezpečit cloudová řešení v Azure. Obsah je seskupený podle kontrolních mechanismů zabezpečení definovaných srovnávacím testem cloudového zabezpečení Microsoftu a souvisejících pokynů platných pro Azure Database for PostgreSQL – Flexibilní server.

Tyto standardní hodnoty zabezpečení a jejich doporučení můžete monitorovat pomocí Microsoft Defender for Cloud. Azure Policy definice budou uvedené v části Dodržování právních předpisů na stránce portálu Microsoft Defender pro cloud.

Pokud má funkce relevantní definice Azure Policy, jsou uvedené v tomto směrném plánu, aby vám pomohly měřit dodržování předpisů s kontrolními mechanismy a doporučeními srovnávacího testu zabezpečení cloudu Od Microsoftu. Některá doporučení můžou vyžadovat placený plán Microsoft Defender, aby bylo možné povolit určité scénáře zabezpečení.

Poznámka

Funkce, které se nevztahují na Azure Database for PostgreSQL – Flexibilní server byl vyloučen. Pokud chcete zjistit, jak Azure Database for PostgreSQL – flexibilní server kompletně mapuje na srovnávací test zabezpečení cloudu Microsoftu, projděte si úplný soubor mapování standardních hodnot zabezpečení Azure Database for PostgreSQL flexibilního serveru.

Profil zabezpečení

Profil zabezpečení shrnuje chování flexibilního serveru Azure Database for PostgreSQL s vysokým dopadem, což může mít za následek zvýšené aspekty zabezpečení.

Atribut Chování služby	Hodnota
Kategorie produktu	Databáze
Zákazník má přístup k hostiteli nebo operačnímu systému.	Zakázaný přístup
Službu je možné nasadit do virtuální sítě zákazníka.	Ano
Ukládá obsah zákazníka v klidovém stavu.	Ano

Zabezpečení sítě

Další informace najdete ve srovnávacím testu cloudového zabezpečení Microsoftu: Zabezpečení sítě.

NS-1: Vytvoření hranic segmentace sítě

Funkce

Integrace virtuální sítě

Popis: Služba podporuje nasazení do privátní Virtual Network (VNet) zákazníka. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Nasaďte službu do virtuální sítě. Pokud neexistuje silný důvod k přiřazení veřejných IP adres přímo k prostředku, přiřaďte prostředku privátní IP adresy (je-li to možné).

Referenční informace: Privátní přístup (integrace virtuální sítě)

Podpora skupin zabezpečení sítě

Popis: Síťový provoz služby respektuje přiřazení pravidla skupin zabezpečení sítě ve svých podsítích. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Skupiny zabezpečení sítě (NSG) slouží k omezení nebo monitorování provozu podle portu, protokolu, zdrojové IP adresy nebo cílové IP adresy. Vytvořte pravidla skupiny zabezpečení sítě, která omezí otevřené porty vaší služby (například zabrání přístupu k portům pro správu z nedůvěryhodných sítí). Mějte na paměti, že skupiny zabezpečení sítě ve výchozím nastavení zakazují veškerý příchozí provoz, ale povolují provoz z virtuální sítě a nástrojů pro vyrovnávání zatížení Azure.

Referenční informace: Přehled sítí pro flexibilní server Azure Database for PostgreSQL

NS-2: Zabezpečení cloudových služeb pomocí síťových ovládacích prvků

Funkce

Azure Private Link

Popis: Funkce nativního filtrování IP adres pro filtrování síťového provozu (nezaměňovat se skupinou zabezpečení sítě nebo Azure Firewall). Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporovaná k zabezpečení této služby.

Zakázání přístupu z veřejné sítě

Popis: Služba podporuje zakázání veřejného síťového přístupu buď pomocí pravidla filtrování seznamu ACL protokolu IP na úrovni služby (nikoli skupiny zabezpečení sítě nebo Azure Firewall), nebo pomocí přepínače Zakázat veřejný síťový přístup. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Zakažte veřejný síťový přístup pomocí pravidla filtrování seznamu ACL na úrovni služby nebo přepínače pro veřejný síťový přístup.

Referenční informace: Veřejný přístup

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.DBforPostgreSQL:

Name (Azure Portal)	Description	Efekty	Verze (GitHub)
Pro servery PostgreSQL by měl být povolený privátní koncový bod.	Připojení privátních koncových bodů vynucují zabezpečenou komunikaci povolením privátního připojení k Azure Database for PostgreSQL. Nakonfigurujte připojení privátního koncového bodu, abyste umožnili přístup k provozu přicházejícímu jenom ze známých sítí a zabránili přístupu ze všech ostatních IP adres, včetně v rámci Azure.	AuditIfNotExists, zakázáno	1.0.2

Správa identit

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Správa identit.

IM-1: Použití centralizovaného systému identit a ověřování

Funkce

Azure AD ověřování vyžadované pro přístup k rovině dat

Popis: Služba podporuje použití ověřování Azure AD pro přístup k rovině dat. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Poznámky k funkcím: Funkce je ve verzi Public Preview, zatím není obecně dostupná.

Pokyny ke konfiguraci: Tato funkce není podporovaná k zabezpečení této služby.

Metody místního ověřování pro přístup k rovině dat

Popis: Místní metody ověřování podporované pro přístup k rovině dat, jako je místní uživatelské jméno a heslo. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Poznámky k funkcím: Vyhněte se používání místních metod ověřování nebo účtů, měly by se zakázat, kdykoli je to možné. Místo toho k ověření použijte Azure AD, kde je to možné.

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

IM-3: Zabezpečená a automatická správa identit aplikací

Funkce

Spravované identity

Popis: Akce roviny dat podporují ověřování pomocí spravovaných identit. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Pokud je to možné, používejte spravované identity Azure místo instančních objektů, které se můžou ověřovat ve službách a prostředcích Azure podporujících ověřování Azure Active Directory (Azure AD). Přihlašovací údaje spravované identity jsou plně spravované, obměňované a chráněné platformou, takže se vyhnete pevně zakódovaným přihlašovacím údajům ve zdrojovém kódu nebo konfiguračních souborech.

Referenční informace: Připojení k flexibilnímu serveru Azure Database for PostgreSQL pomocí spravované identity

Instanční objekty

Popis: Rovina dat podporuje ověřování pomocí instančních objektů. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Microsoft v současné době neobsahuje žádné pokyny ke konfiguraci této funkce. Zkontrolujte a určete, jestli vaše organizace chce tuto funkci zabezpečení nakonfigurovat.

IM-7: Omezení přístupu k prostředkům na základě podmínek

Funkce

Podmíněný přístup pro rovinu dat

Popis: Přístup k rovině dat je možné řídit pomocí Azure AD zásad podmíněného přístupu. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Definujte příslušné podmínky a kritéria pro podmíněný přístup Azure Active Directory (Azure AD) v úloze. Zvažte běžné případy použití, jako je blokování nebo udělení přístupu z konkrétních umístění, blokování rizikového chování při přihlašování nebo vyžadování zařízení spravovaných organizací pro konkrétní aplikace.

IM-8: Omezení odhalení přihlašovacích údajů a tajných kódů

Funkce

Integrace a úložiště přihlašovacích údajů služby a tajných kódů v Azure Key Vault

Popis: Rovina dat podporuje nativní použití Azure Key Vault pro úložiště přihlašovacích údajů a tajných kódů. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Zajistěte, aby tajné kódy a přihlašovací údaje byly uložené v zabezpečených umístěních, jako je Azure Key Vault, a ne vkládejte je do kódu nebo konfiguračních souborů.

Referenční informace: Azure Database for PostgreSQL – Šifrování dat flexibilního serveru pomocí klíče spravovaného zákazníkem

Privilegovaný přístup

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Privilegovaný přístup.

PA-1: Oddělení a omezení vysoce privilegovaných uživatelů nebo uživatelů s oprávněními pro správu

Funkce

Místní účty Správa

Popis: Služba má koncept místního účtu pro správu. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Poznámky k funkcím: Vyhněte se používání místních metod ověřování nebo účtů, měly by se zakázat, kdykoli je to možné. Místo toho k ověření použijte Azure AD, kde je to možné.

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Referenční informace: Správa přístupu

PA-7: Dodržujte pouze dostatečný princip správy (nejnižší oprávnění)

Funkce

Azure RBAC pro rovinu dat

Popis: Azure Role-Based Access Control (Azure RBAC) je možné použít ke spravovanému přístupu k akcím roviny dat služby. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporovaná k zabezpečení této služby.

PA-8: Určení procesu přístupu pro podporu poskytovatele cloudu

Funkce

Customer Lockbox

Popis: Customer Lockbox je možné použít pro přístup k podpoře Microsoftu. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporovaná k zabezpečení této služby.

Ochrana dat

Další informace najdete v článku Microsoft Cloud Security Benchmark: Ochrana dat.

DP-1: Zjišťování, klasifikace a označování citlivých dat

Funkce

Zjišťování a klasifikace citlivých dat

Popis: Ke zjišťování a klasifikaci dat ve službě je možné použít nástroje (například Azure Purview nebo Azure Information Protection). Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporovaná k zabezpečení této služby.

DP-2: Monitorování anomálií a hrozeb cílených na citlivá data

Funkce

Ochrana před únikem nebo ztrátou dat

Popis: Služba podporuje řešení ochrany před únikem informací pro monitorování přesunu citlivých dat (v obsahu zákazníka). Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporovaná k zabezpečení této služby.

DP-3: Šifrování citlivých dat při přenosu

Funkce

Šifrování přenášených dat

Popis: Služba podporuje šifrování přenášených dat pro rovinu dat. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Referenční informace: Přenášená data

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.DBforPostgreSQL:

Name (Azure Portal)	Description	Efekty	Verze (GitHub)
Pro databázové servery PostgreSQL by mělo být povolené vynucování připojení SSL.	Azure Database for PostgreSQL podporuje připojení serveru Azure Database for PostgreSQL ke klientským aplikacím pomocí protokolu SSL (Secure Sockets Layer). Vynucování připojení SSL mezi databázovým serverem a klientskými aplikacemi pomáhá chránit před útoky "man in the middle" šifrováním datového proudu mezi serverem a vaší aplikací. Tato konfigurace vynucuje, že pro přístup k vašemu databázovému serveru je vždy povolený protokol SSL.	Auditování, zakázáno	1.0.1

DP-4: Povolení šifrování neaktivních uložených dat ve výchozím nastavení

Funkce

Šifrování neaktivních uložených dat pomocí klíčů platformy

Popis: Šifrování neaktivních uložených dat pomocí klíčů platformy se podporuje. Veškerý neaktivní uložený zákaznický obsah se šifruje pomocí těchto klíčů spravovaných Microsoftem. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Referenční informace: Šifrování neaktivních uložených dat ve službě Azure Storage

DP-5: Použití klíče spravovaného zákazníkem v šifrování neaktivních uložených dat v případě potřeby

Funkce

Šifrování neaktivních uložených dat pomocí cmk

Popis: Šifrování neaktivních uložených dat pomocí klíčů spravovaných zákazníkem se podporuje pro obsah zákazníka uložený službou. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: V případě potřeby pro dodržování právních předpisů definujte případ použití a obor služby, kde je potřeba šifrování pomocí klíčů spravovaných zákazníkem. Povolte a implementujte šifrování neaktivních uložených dat pomocí klíče spravovaného zákazníkem pro tyto služby.

Referenční informace: Azure Database for PostgreSQL – Šifrování dat flexibilního serveru pomocí klíče spravovaného zákazníkem

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.DBforPostgreSQL:

Name (Azure Portal)	Description	Efekty	Verze (GitHub)
Servery PostgreSQL by měly k šifrování neaktivních uložených dat používat klíče spravované zákazníkem.	Pomocí klíčů spravovaných zákazníkem můžete spravovat šifrování na zbývajících serverech PostgreSQL. Ve výchozím nastavení se neaktivní uložená data šifrují pomocí klíčů spravovaných službou, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče Azure Key Vault, který jste vytvořili a vlastní. Máte plnou kontrolu a odpovědnost za životní cyklus klíče, včetně obměně a správy.	AuditIfNotExists, Zakázáno	1.0.4

DP-6: Použití zabezpečeného procesu správy klíčů

Funkce

Správa klíčů v Azure Key Vault

Popis: Služba podporuje integraci azure Key Vault pro všechny klíče, tajné kódy nebo certifikáty zákazníků. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Pomocí Azure Key Vault můžete vytvořit a řídit životní cyklus šifrovacích klíčů, včetně generování, distribuce a úložiště klíčů. Obměňujte a odvolávejte klíče v Azure Key Vault a vaší službě na základě definovaného plánu nebo v případě, že dojde k vyřazení nebo ohrožení zabezpečení klíče. Pokud je potřeba použít klíč spravovaný zákazníkem (CMK) na úrovni úlohy, služby nebo aplikace, ujistěte se, že dodržujete osvědčené postupy pro správu klíčů: Pomocí hierarchie klíčů vygenerujte samostatný šifrovací klíč dat (DEK) s šifrovacím klíčem klíče (KEK) ve vašem trezoru klíčů. Ujistěte se, že jsou klíče zaregistrované v Azure Key Vault a odkazované prostřednictvím ID klíčů ze služby nebo aplikace. Pokud potřebujete do služby přinést vlastní klíč (BYOK) (například import klíčů chráněných HSM z místních modulů HSM do Azure Key Vault), postupujte podle doporučených pokynů a proveďte počáteční generování a přenos klíče.

Referenční informace: Šifrování pomocí klíče spravovaného zákazníkem

DP-7: Použití zabezpečeného procesu správy certifikátů

Funkce

Správa certifikátů v Azure Key Vault

Popis: Služba podporuje integraci azure Key Vault pro všechny zákaznické certifikáty. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Pomocí Azure Key Vault můžete vytvořit a řídit životní cyklus certifikátu, včetně vytvoření, importu, obměně, odvolání, úložiště a vymazání certifikátu. Ujistěte se, že generování certifikátů odpovídá definovaným standardům bez použití nezabezpečených vlastností, například: nedostatečná velikost klíče, příliš dlouhá doba platnosti nebo nezabezpečená kryptografie. Nastavte automatickou obměnu certifikátu v Azure Key Vault a službě Azure (pokud je podporována) na základě definovaného plánu nebo v případě vypršení platnosti certifikátu. Pokud aplikace nepodporuje automatické otáčení, ujistěte se, že se stále obměňuje pomocí ručních metod v Azure Key Vault a v aplikaci.

Referenční informace: Připojení pomocí identit Azure AD

Správa aktiv

Další informace najdete v tématu Microsoft Cloud Security Benchmark: Správa prostředků.

AM-2: Používejte jenom schválené služby

Funkce

Podpora služby Azure Policy

Popis: Konfigurace služeb je možné monitorovat a vynucovat prostřednictvím Azure Policy. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je tato možnost povolená ve výchozím nasazení.

Protokolování a detekce hrozeb

Další informace najdete v tématu Microsoft Cloud Security Benchmark: Protokolování a detekce hrozeb.

LT-1: Povolení možností detekce hrozeb

Funkce

Microsoft Defender pro službu / nabídku produktů

Popis: Služba má řešení Microsoft Defender specifické pro konkrétní nabídku, které umožňuje monitorovat a upozorňovat na problémy se zabezpečením. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Poznámky k funkcím: Funkce je stále ve verzi Public Preview, zatím není obecně dostupná.

Pokyny ke konfiguraci: Tato funkce není podporována k zabezpečení této služby.

LT-4: Povolení protokolování pro šetření zabezpečení

Funkce

Protokoly prostředků Azure

Popis: Služba vytváří protokoly prostředků, které můžou poskytovat rozšířené metriky a protokolování specifické pro službu. Zákazník může tyto protokoly prostředků nakonfigurovat a odeslat je do vlastní datové jímky, jako je účet úložiště nebo pracovní prostor služby Log Analytics. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je tato možnost povolená ve výchozím nasazení.

Referenční informace: Protokoly na flexibilním serveru Azure Database for PostgreSQL

Backup a obnovení

Další informace najdete v tématu Srovnávací test zabezpečení cloudu Microsoftu: Zálohování a obnovení.

BR-1: Zajištění pravidelného automatizovaného zálohování

Funkce

Azure Backup

Popis: Službu může zálohovat služba Azure Backup. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Poznámky k funkcím: Upozorňujeme, že Azure Database for PostgreSQL může provádět obnovení k určitému bodu v čase pro skupinu serverů Hyperscale (Citus) pomocí záloh.

Obnovení skupiny serverů Hyperscale (Citus) k určitému bodu v čase

Pokyny ke konfiguraci: Tato funkce není podporována k zabezpečení této služby.

Funkce nativního zálohování služby

Popis: Služba podporuje vlastní nativní zálohování (pokud nepoužíváte Azure Backup). Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je tato možnost povolená ve výchozím nasazení.

Referenční informace: Zálohování a obnovení na flexibilním serveru Azure Database for PostgreSQL

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.DBforPostgreSQL:

Name (Azure Portal)	Description	Efekty	Verze (GitHub)
Geograficky redundantní zálohování by mělo být povolené pro Azure Database for PostgreSQL	Azure Database for PostgreSQL umožňuje zvolit možnost redundance pro databázový server. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém jsou data uložená nejen v oblasti, ve které je váš server hostovaný, ale také replikována do spárované oblasti, aby se v případě selhání oblasti poskytla možnost obnovení. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1

Další kroky

• Podívejte se na přehled srovnávacích testů zabezpečení cloudu Microsoftu.
• Další informace o základních úrovních zabezpečení Azure