Automatisieren der Microsoft 365-Zertifizierung mit ACAT

Das App Compliance Automation Tool (ACAT) kann verwendet werden, um einen bestimmten Satz erforderlicher Steuerelemente für die Microsoft 365-Zertifizierung zu erfüllen. In diesem Artikel wird beschrieben, wie Sie ACAT verwenden, um die Microsoft 365-Zertifizierung zu beschleunigen.

Hinweis

ACAT befindet sich derzeit in der öffentlichen Vorschau und unterstützt nur Apps, die auf Microsoft Azure und Amazon Web Services (AWS) basieren. Zukünftige Updates enthalten Funktionen für Apps, die in anderen Clouds erstellt wurden.

Hinweis

Wenn Sie Feedback zur öffentlichen Vorschauversion von ACAT geben möchten, füllen Sie dieses Formular aus. Sobald wir Ihre Nachrichten erhalten, wird das ACAT-Produktteam so bald wie möglich mit Ihnen nachholen.

Erstellen Ihres ersten Complianceberichts zum Onboarding von ACAT

ACAT bietet einen zusätzlichen Einblick in die Compliance einer Anwendung über benutzerdefinierte Berichte. Benutzer können Berichte basierend auf der Cloudinfrastruktur oder einer bestimmten Umgebung einer App erstellen, z. B. Produktion, Staging usw.

• Suchen und starten Sie das App Compliance Automation Tool für Microsoft 365 in Azure-Portal.
• Wählen Sie Reports auf der linken Seite des Bildschirms aus.

Wechseln Sie zu Berichte, um einen neuen Konformitätsbericht zu erstellen.

• Wählen Sie diese Option aus Create new report , um Ihren ersten Konformitätsbericht zu erstellen.

  • Grundlagen
    • Berichtsname: Der Kompatibilitätsbericht muss einen eindeutigen und nichtduplizierten Namen innerhalb des Mandanten haben, der aus einer Kombination aus Zahlen, Buchstaben und Unterstrichen besteht. Es empfiehlt sich, den spezifischen App- oder Umgebungsnamen in den Namen des Berichts einzufügen.
    • Triggerzeit: ACAT führt tägliche Aktualisierungen von Konformitätsbewertungen für den Bericht durch und bietet so die Flexibilität, einen bestimmten Zeitpunkt für das Aktualisieren von Bewertungen in einer bestimmten Zeitzone festzulegen.
    • Ressourcen: Definieren Sie die Compliancegrenze für Ihren Bericht, indem Sie Ressourcen aus Ihrer Cloudinfrastruktur auswählen. Verwenden Sie die Filter, um die richtigen Ressourcen zu durchsuchen, z. B. Abonnement, Ressourcengruppe, Tags und mehr für Azure, Konto-ID und Typ für AWS.

  Tipp

  Sie müssen eine neue Verbindung mit AWS erstellen oder vorhandene Verbindungen mit AWS wiederverwenden, bevor Sie AWS-Ressourcen für den Bericht auswählen.

  

  Grundlegende Konfiguration für den Konformitätsbericht

  • Microsoft 365-Zertifizierung
    • Angebots-GUID: Die Angebots-GUID dient als eindeutiger Bezeichner für das Marketplace-Angebot im Microsoft Partner Center und ist der Schlüssel zum Verbinden des Complianceberichts mit Marketplace-Angeboten. Nachdem Sie den Compliancebericht mit Marketplace-Angeboten verbunden haben, können Sie den Compliancebericht verwenden, um den Microsoft 365-Zertifizierungsprozess für Ihre Marketplace-Angebote in Partner Center zu beschleunigen. Wählen Sie Weitere Informationen aus, um zu erhalten, wie Sie die Angebots-GUID Ihrer App abrufen. Dieser Schritt ist während der ersten Berichtserstellung optional und kann konfiguriert werden, wenn Sie mit der Veröffentlichung Ihrer App beginnen.

  

  Konfiguration für die Microsoft 365-Zertifizierung

Hinweis

Nach der Bestätigung der Konfiguration und dem Erstellen des Konformitätsberichts führt ACAT auch diese Aktionen automatisch aus, um compliancebezogene Daten zu sammeln:

• Aktivieren Sie die Microsoft Defender für Cloud (Free-Tarif) und den Automation-Dienst (kostenlos) für Ihr Abonnement.
• Aktivieren Sie benutzerdefinierte Richtlinien für Ihr Abonnement.

Hinweis

Bitte lassen Sie ACAT 24 Stunden zeit, um die anfänglichen Konformitätsbewertungen für Ihren Bericht basierend auf Ihren angegebenen Einstellungen zu generieren.

Überwachen der Konformitätsbewertungen mit Ihrem Compliancebericht

Überprüfen Sie die Laufzeit status der Complianceberichte, und führen Sie Audits zu Compliancebewertungen durch.

• Auf der linken Seite können Reports Sie eine Zusammenfassung der vorhandenen Complianceberichte anzeigen.

  • Die laufzeitbasierte status zeigt die status der neuesten Updates für Konformitätsbewertungen an:
    • Aktiv: Die Konformitätsbewertungen für diesen Bericht wurden erfolgreich aktualisiert.
    • Fehler: Bei ACAT ist bei der Aktualisierung der Konformitätsbewertungen während der letzten Aktualisierung ein Fehler aufgetreten. Fehler können auf falsche Abonnementkonfigurationen oder ein Systemproblem mit ACAT zurückzuführen sein. Informationen zur Behebung und Behebung des Problems finden Sie im Leitfaden zur Selbstwiederherstellung.
    • Deaktiviert: Der Konformitätsbericht wurde vom Benutzer manuell deaktiviert (angehalten). Dieses Feature ist derzeit in der öffentlichen Vorschau nicht aktiviert.
  • Erstellt am: Die Erstellt bei wird angezeigt, wenn der Konformitätsbericht erstellt wird.
  • Zeitpunkt des letzten Triggers und Zeitpunkt des nächsten Triggers: ACAT aktualisiert täglich Konformitätsbewertungen für Berichte. Der Zeitpunkt des letzten Triggers gibt an, wann das letzte Update initiiert wurde, während die Nächste Triggerzeit den geplanten Zeitpunkt für das nächste Berichtsupdate angibt.
  • Microsoft 365-Zertifizierung: Überprüfen Sie die Compliance-status von Kontrollen, die für die Microsoft 365-Zertifizierung spezifisch sind.

  

  Liste der vorhandenen Konformitätsberichte.

Neben dem Zugriff auf allgemeine Zusammenfassungen vorhandener Complianceberichte können Sie sich auch mit den Details der einzelnen Compliancebewertungen befassen. Wählen Sie den Berichtsnamen aus, um bestimmte Bewertungsdetails für eine gründlichere Überwachung abzurufen.

Symbolleiste für den Konformitätsbericht.

ACAT stellt eine Symbolleiste bereit, mit der Sie die folgenden Aktionen ausführen können:

• Einstellungen: Ändern Sie die Konfiguration des Konformitätsberichts.

  • Grundlegende Informationen bearbeiten: Bearbeiten Sie die grundlegende Konfiguration des Berichts.
  • Ressourcen bearbeiten: Sie können Ressourcen basierend auf der aktuellen Cloudinfrastruktur hinzufügen oder entfernen.
  • Anwendungskonfiguration bearbeiten: Bearbeiten Sie die Anwendungskonfiguration, um Den Bericht an dem entsprechenden Steuerelementsatz auszurichten. ACAT kann die Standard-status bestimmter Steuerelemente basierend auf Ihrer Konfiguration anpassen. Beispielsweise können einige Steuerelemente standardmäßig in "N/A" status geändert werden.
  • Microsoft 365-Zertifizierungskonfiguration bearbeiten: Konfigurieren Sie Angebots-GUIDs, um den Bericht marketplace-Angeboten in Microsoft Partner Center zuzuordnen.
  • Konfigurationsbeweisrepository: Konfigurieren Sie das Beweisrepository zum Speichern hochgeladener Beweise.

  

• Bericht herunterladen: Laden Sie Bewertungen des Complianceberichts herunter, die für die Zusammenarbeit mit Partnern freigegeben werden können.

  • Bewertungsbericht zur Microsoft 365-Zertifizierungsüberprüfung (Analyst Edition): Dieser PDF-Bericht organisiert die Compliancebewertungen von Microsoft 365-Zertifizierungskontrollen. Wenn Sie den ACAT-Konformitätsbericht während der Phase "Anfängliches Dokument" der App-Compliance im Partner Center auswählen, wird er automatisch zur Überprüfung an den Analysten übermittelt. Darüber hinaus haben Sie die Möglichkeit, es herunterzuladen und bei Bedarf manuell als Beweis hochzuladen.
  • Bewertungsbericht für die Zusammenarbeit von Technikern: Dieser PDF-Bericht organisiert die Compliancebewertungen mit internen Informationen, die auf Microsoft Certification Kontrollen basieren. Es wird für die interne Teamzusammenarbeit bei Compliance-Audits verwendet.
  • Bewertungsbericht für die Zusammenarbeit von Technikern: Dieser Excel-Bericht enthält Informationen auf Ressourcenebene und entsprechende Konformitätsbewertungen für die interne Teamzusammenarbeit während Compliance-Audits.
  • Cloudinfrastrukturinventur: Dieser Excel-Bericht enthält die Ressourcendetails dieses Complianceberichts und enthält eine umfassende Beschreibung des Cloudbestands, der Ihrer Anwendung zugeordnet ist.

  

• Benachrichtigungen: Erhalten Sie Benachrichtigungen über die Änderung der Konformitätsberichtseinstellungen, oder steuern Sie Bewertungen status Änderung. Erfahren Sie mehr über das Empfangen von Benachrichtigungen per Webhook.

• Integration mit CI/CD-Pipeline: Mit ACAT können Sie die kontinuierliche und automatisierte Compliance für Ihre Anwendung durch nahtlose Integration in CI/CD-Pipelines gewährleisten. Erfahren Sie mehr über die Integration in GitHub Actions Pipeline und die Integration in andere Pipelines mit REST-APIs.

• Übermitteln einer Zertifizierungsanforderung mit ACAT: Führen Sie eine schnelle Überprüfung durch, um sicherzustellen, dass dieser Bericht für die Zertifizierung bereit ist, und erhalten Sie Anleitungen zur Verwendung für die Zertifizierung in Partner Center.

  

  Übermitteln einer Zertifizierungsanforderung mit ACAT

• Architekturdiagramm anzeigen (Vorschau): ACAT generiert das Architekturdiagramm für Ihre Referenz basierend auf Azure Resource Graph-Daten.

Mit ACAT können Sie ausführlichere Informationen zum Bericht und zu Konformitätsbewertungen erhalten.

• Essentials gibt die status und die Einstellungen des Konformitätsberichts an.

  

  Essentials des Konformitätsberichts.

• Kontrollbewertungen – Microsoft 365-Zertifizierungsansicht

  • Kontrollbewertungen werden nach Microsoft 365-Zertifizierungssicherheitsdomänen, Kontrollfamilien und Kontrollen organisiert.
    • Sie können die Compliance-status nach Kundenverantwortung auf der einzelnen Steuerungsebene überprüfen.
    • Wählen Sie im Abschnitt "Kundenverantwortung" die Option "Aktionen" aus, um auf die Compliance-status der zugehörigen Ressourcen zuzugreifen und Korrekturschritte für fehlerhafte Ressourcen zu ermitteln.
    • Verwenden Sie Such- und Filterfunktionen, um bestimmte Steuerelemente basierend auf Ihren Anforderungen zu finden.
      • Durchsuchen Sie die Steuerelemente nach Steuerelementname oder Kundenverantwortungsname.
      • Verwenden Sie Control family , um nach Sicherheitsdomäne oder Steuerungsfamilie zu filtern.
      • Verwenden Sie Control status , um nach aktuellen Konformitätsfehlern zu filtern.
      • Verwenden Sie Customer responsibility type , um nach dem automatisierten ACAT-CR-Typ zu filtern.
      • Verwenden Sie Cloud environment , um die Kundenverantwortung für eine bestimmte Cloudumgebung herauszufiltern.
  • Erfahren Sie mehr über Compliance-status für die Kontrolle und Die Verantwortung des Kunden.

  

  Konformitätsbewertungen für den Compliancebericht.

Stellen Sie sicher, dass ein robuster Kontrollsatz der Schwerpunkt Ihres Complianceberichts ist.

Die Microsoft 365-Zertifizierung bietet je nach Anwendungskonfiguration einen geeigneten Kontrollsatz. Sie müssen die Anwendungskonfiguration abschließen, um Ihren Bericht an den entsprechenden Kontrollsatz anzupassen, bevor Sie die Konformitätsbewertungen überwachen.

• Wenn Sie die Anwendungskonfiguration für den Bericht nicht abschließen, führt dies zu einer Warnmeldung, die in der entsprechenden Kundenverantwortung angezeigt wird und Sie zu den Anwendungskonfigurationseinstellungen führt.

  

  Warnmeldung und Anleitungen zur Anwendungskonfiguration.

• Sie können die application configuration Einstellung auch über die Settings Option auf der Berichtssymbolleiste bearbeiten.

  

  Anwendungskonfigurationseinstellung.

Erfüllen sie die Kontrollanforderungen, indem Sie Nachweise für Ihre Compliancelösung übermitteln.

Zusätzlich zur Ausführung der Korrekturschritte zur Behebung von Compliancefehlern können Sie auch Complianceanforderungen erfüllen, indem Sie Beweise für Ihre eigene Lösung hochladen.

Um Datenschutzprobleme zu beheben, müssen Sie zunächst das Beweisrepository konfigurieren. Erstellen Oder wählen Sie das Speicherkonto aus, um Beweise für Microsoft 365-Zertifizierungssteuerelemente sicher zu speichern. Nach der Erstellung kann das Speicherkonto für alle Berichte verwendet werden.

• Wenn Sie das Beweisrepository nicht konfigurieren, klicken Sie auf für Actions eine Kundenverantwortung und erhalten eine Warnmeldung im Abschnitt Beweis hochladen, um die entsprechenden Berichtseinstellungen anzuzeigen.

  

  Warnmeldung und Anleitung zum Beweisrepository.

• Sie können die evidence repository Einstellung auch über die Settings Option auf der Berichtssymbolleiste bearbeiten.

  

  Konfiguration der Einstellung des Beweisrepositorys.

Wenn Sie nach dem Konfigurieren des Beweisrepositorys manuelle Kontrollanforderungen erfüllen oder Kontrollkriterien mit Ihrer eigenen Lösung erfüllen möchten, können Sie Beweise in die jeweilige Kundenverantwortung hochladen. Nach dem Hochladen von Beweisen in eine Kundenverantwortung ändert sich deren Compliance-status automatisch in "Überprüfung der App-Compliance erforderlich".

• Wählen Sie die Option Actions Kundenverantwortung aus.

• Erweitern Sie den Upload evidence Bereich.

• Durchsuchen Sie Ihre lokalen Beweisdateien, und laden Sie sie hoch.

• Übermitteln Sie Beweisdateien, um sie im Beweisrepository zu speichern.

  

  Durchsuchen und Hochladen von Beweisen.

Wenn ACAT unterstützte Ressourcen in der Ressourcenliste Ihres ACAT-Berichts identifiziert, müssen Sie für die automatisierte Beweissammlung keine Beweise manuell vorbereiten, wenn ACAT unterstützte Ressourcen identifiziert. Stattdessen kann ACAT die Compliancedaten in einer ACAT-Beweisdatei zusammenfassen und in Ihr Beweisrepository hochladen.

• Wählen Sie eine automatisierte Beweissammlung aus, die vom Kunden verantwortlich ist.
• Wählen Sie die Option Actions Kundenverantwortung aus.
• Erweitern Sie den Remediation steps Bereich, und überprüfen Sie die unterstützten Ressourcentypen, die als Nachweise gesammelt werden können.
• Erweitern Sie den Upload evidence Bereich, und wählen Sie die Collect evidence by ACAT Schaltfläche aus. Nach der Beweissammlung werden die von ACAT gesammelten Beweise in der Dateiliste unten angezeigt.
• Überprüfen Sie die von ACAT gesammelten Beweise, und laden Sie bei Bedarf weitere Beweise hoch.

Automatisches Sammeln von Beweisen durch ACAT.

Hinweis

Für unterschiedliche Kundenverantwortungen kann ACAT Nachweise für verschiedene Arten von Ressourcen sammeln. Wenn ACAT jedoch keine unterstützten Ressourcen in Ihrem Bericht identifiziert, müssen Sie den Konformitätsbeweis manuell vorbereiten und in ACAT hochladen. Ausführlichere Anweisungen finden Sie im Remediation Steps Abschnitt für jede Kundenverantwortungsaktion.

Achtung

Aus Datenschutzgründen kann ACAT die gesammelten Beweise nicht automatisch aktualisieren. Sollten nach der Beweiserhebung Änderungen an der Zielressource vorgenommen werden, müssen Sie die betroffenen Kundenzuständigkeiten überprüfen und erneut auf die Schaltfläche Beweis durch ACAT sammeln klicken, um die von ACAT gesammelten Beweise zu aktualisieren.

Verwenden Ihres ersten Complianceberichts mit der Microsoft 365-Zertifizierungsüberwachung

Wenn Sie auf der Berichtssymbolleiste auf How to submit certifcation request with ACAT klicken, werden Sie durch den gesamten Weg von ACAT zur Microsoft 365-Zertifizierung geführt.

Im Allgemeinen müssen Sie vor der Verwendung des Complianceberichts mit der Microsoft 365-Zertifizierung konfigurieren, um es offer GUID Ihren Marketplace-Angeboten zuzuordnen. Es gibt zwei Möglichkeiten:

• Konfigurieren Sie während des Erstellungsprozesses des Konformitätsberichts die Angebots-GUID auf der Microsoft 365 Certification Registerkarte.
• Wenn der Konformitätsbericht bereits erstellt wurde, wechseln Sie zu Settings diesem Konformitätsbericht, um die Angebots-GUID zu konfigurieren.

Nachdem die Angebots-GUID konfiguriert wurde, wechseln Sie zum Microsoft Partner Center , um die Microsoft 365-Zertifizierung zu initiieren.

• Initial Documentation Wählen Sie in Ja aus, um zu bestätigen, dass Sie ACAT verwenden.
• Wählen Sie den aktuellen aktiven Compliancebericht für die Überwachung aus.

Die Microsoft 365-Zertifizierung übermittelt die Konformitätsbewertungen und Ihre hochgeladenen Nachweise automatisch an die Zertifizierungsprüfer, wodurch Sie Zeit und Aufwand sparen.

Hinweis

Sie konnten nur den aktiven Compliancebericht für die Microsoft 365-Zertifizierungsüberprüfung verwenden. Wenn Sie also während des Microsoft 365-Zertifizierungsprozesses einen Konformitätsbericht in Partner Center auswählen und der erwartete Bericht nicht in der Liste enthalten ist, überprüfen Sie bitte die Laufzeit-status des Berichts.

Hinweis

Wenn Sie bereits Beweise für die Verantwortung des Kunden hochgeladen haben, übermittelt ACAT beim Wechsel zur Control Requirements Phase der Microsoft 365-Zertifizierung die hochgeladenen Beweise automatisch zur Überprüfung an den Analysten.

Verschaffen Sie sich einen allgemeinen Überblick über Ihre Complianceberichte.

Die Übersicht bietet eine allgemeine status für Ihre Complianceberichte. Erfahren Sie mehr über status des Konformitätsberichts zur Laufzeit.

Übersicht über die Laufzeit des Complianceberichts status.

• Aktive Berichte zur Einhaltung gesetzlicher Bestimmungen: Diese Übersicht enthält die Compliance-status für jeden aktiven Bericht.

Übersicht über compliance-status für aktive Complianceberichte.

Verbinden anderer Umgebungen mit ACAT

Neben Azure können Sie auch andere Umgebungen mit ACAT verbinden, z. B. eine Verbindung zwischen AWS für anwendungen, die auf Azure und AWS basieren, eine Verbindung mit GitHub herstellen, um ACAT zu aktivieren, um Ihnen bei der automatischen Beweiserfassung zu helfen, usw. ACAT führt Sie zu Microsoft Defender for Cloud, um die Verbindung herzustellen.

Herstellen einer Verbindung mit AWS

• Wechseln Sie auf Environment settings der linken Seite zu , um alle vorhandenen Verbindungen zu durchsuchen.
• Wählen Sie Add environment und dann Amazon Web Services aus, um einen Connector mit AWS zu erstellen. Weitere Informationen finden Sie auch unter Verbinden von AWS-Konten mit Microsoft Defender für Cloud.
• Sobald dieser Connector bereit ist, können Sie beim Erstellen des Complianceberichts AWS-Ressourcen auswählen.

Weitere Informationen

• Weitere Informationen zur Microsoft 365-Zertifizierung
• Kontinuierliche Einhaltung der Anwendungskompatibilität mit ACAT
• Leitfaden zur Problembehandlung für ACAT