diff --git a/checklists-ext/appservicewebapps_sg_checklist.en.json b/checklists-ext/appservicewebapps_sg_checklist.en.json index f4b91642c..4c957bc5f 100644 --- a/checklists-ext/appservicewebapps_sg_checklist.en.json +++ b/checklists-ext/appservicewebapps_sg_checklist.en.json @@ -253,6 +253,6 @@ "name": "App Service Web Apps Service Guide", "waf": "all", "state": "preview", - "timestamp": "August 04, 2024" + "timestamp": "August 05, 2024" } } \ No newline at end of file diff --git a/checklists-ext/appservicewebapps_sg_checklist.es.json b/checklists-ext/appservicewebapps_sg_checklist.es.json new file mode 100644 index 000000000..4757a59c7 --- /dev/null +++ b/checklists-ext/appservicewebapps_sg_checklist.es.json @@ -0,0 +1,258 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "Un plan premium de App Service ofrece características de escalado avanzadas y garantiza la redundancia si se producen errores.", + "guid": "ad95f4ca-bd35-4ac7-a993-733c320fa4c4", + "service": "App Service Web Apps", + "text": "(Plan de App Service) Elija el nivel Premium de un plan de App Service para cargas de trabajo de producción. Establezca el número máximo y mínimo de trabajadores de acuerdo con su planificación de capacidad. Para obtener más información, consulte Introducción al plan de App Service.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "La aplicación puede soportar errores en una sola zona cuando hay varias instancias distribuidas entre zonas. El tráfico cambia automáticamente a instancias en buen estado en otras zonas y mantiene la confiabilidad de la aplicación si una zona no está disponible.", + "guid": "8a18771a-8a59-47de-905e-6e6b72f36990", + "service": "App Service Web Apps", + "text": "(Plan de App Service) Habilite la redundancia de zona. Considere la posibilidad de aprovisionar más de tres instancias para mejorar la tolerancia a errores. Compruebe la compatibilidad regional con la redundancia de zona, ya que no todas las regiones ofrecen esta función.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Las solicitudes entrantes se distribuyen uniformemente entre todos los nodos disponibles cuando se deshabilita la afinidad de ARR. Las solicitudes distribuidas uniformemente evitan que el tráfico abrume a un solo nodo. Las solicitudes se pueden redirigir sin problemas a otros nodos en buen estado si un nodo no está disponible. Evite la afinidad de sesión para asegurarse de que la instancia de App Service permanezca sin estado. Un Servicio de aplicaciones sin estado reduce la complejidad y garantiza un comportamiento coherente en todos los nodos. Quite las sesiones permanentes para que App Service pueda agregar o quitar instancias para escalar horizontalmente.", + "guid": "5a05980f-0f3f-42c2-af59-563b037aa64c", + "service": "App Service Web Apps", + "text": "(Servicio de aplicaciones) Considere la posibilidad de deshabilitar la característica de afinidad de enrutamiento de solicitudes de aplicación (ARR). La afinidad de ARR crea sesiones permanentes que redirigen a los usuarios al nodo que manejó sus solicitudes anteriores.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Las reglas de recuperación automática ayudan a la aplicación a recuperarse automáticamente de problemas inesperados. Las reglas configuradas desencadenan acciones de reparación cuando se superan los umbrales. La reparación automática permite un mantenimiento proactivo automático.", + "guid": "a92ea6eb-79b0-49f8-be2f-9ecbd56ca794", + "service": "App Service Web Apps", + "text": "(Servicio de aplicaciones) Defina reglas de recuperación automática en función del recuento de solicitudes, las solicitudes lentas, los límites de memoria y otros indicadores que forman parte de la línea base de rendimiento. Considere esta configuración como parte de su estrategia de escalado.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Las comprobaciones de estado pueden detectar problemas de forma temprana. A continuación, el sistema puede tomar automáticamente medidas correctivas cuando se produce un error en una solicitud de comprobación de estado. El equilibrador de carga aleja el tráfico de las instancias en mal estado, lo que dirige a los usuarios a los nodos en buen estado.", + "guid": "8804a347-b18e-4dce-88b6-9beee13dc12b", + "service": "App Service Web Apps", + "text": "(Servicio de aplicaciones) Habilite la característica de comprobación de estado y proporcione una ruta que responda a las solicitudes de comprobación de estado.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "La aplicación recupera secretos de Key Vault para autenticar la comunicación externa de la aplicación. Azure administra la identidad y no requiere que aprovisione ni rote ningún secreto. Tiene identidades distintas para la granularidad del control. Las identidades distintas facilitan la revocación si una identidad se ve comprometida.", + "guid": "ffcc54ba-464e-4ad4-b96c-de8a6959ba61", + "service": "App Service Web Apps", + "text": "(Servicio de aplicaciones) Asigne identidades administradas a la aplicación web. Para mantener los límites de aislamiento, no comparta ni reutilice identidades entre aplicaciones. Asegúrese de conectarse de forma segura a su registro de contenedor si usa contenedores para su implementación.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Los dominios personalizados permiten una comunicación segura a través de HTTPS mediante el protocolo de seguridad de la capa de transporte (TLS), que garantiza la protección de los datos confidenciales y genera confianza en los usuarios.", + "guid": "d0450dd8-5e4e-45a2-ae67-83de17e9932c", + "service": "App Service Web Apps", + "text": "(Servicio de aplicaciones) Configurar dominios personalizados para aplicaciones. Deshabilite HTTP y acepte solo solicitudes HTTPS.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Al usar esta característica, no tiene que usar bibliotecas de autenticación en el código de la aplicación, lo que reduce la complejidad. El usuario ya está autenticado cuando una solicitud llega a la aplicación.", + "guid": "b2b6b6df-7bd0-4394-a6df-86c3a15bcaf7", + "service": "App Service Web Apps", + "text": "(App Service) evalúe si la autenticación integrada de App Service es el mecanismo adecuado para autenticar a los usuarios que acceden a la aplicación. La autenticación integrada de App Service se integra con el identificador de Microsoft Entra. Esta característica controla la validación de tokens y la administración de identidades de usuario en varios proveedores de inicio de sesión y es compatible con OpenID Connect. Con esta característica, no tiene autorización a nivel granular y no tiene un mecanismo para probar la autenticación.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Obtenga las ventajas de seguridad de usar una red virtual de Azure. Por ejemplo, la aplicación puede acceder de forma segura a los recursos dentro de la red. Agregue un punto de conexión privado para ayudar a proteger la aplicación. Los puntos de conexión privados limitan la exposición directa a la red pública y permiten el acceso controlado a través del proxy inverso.", + "guid": "bc1fd50b-a78a-44e6-bbd6-db1c75fa8fdd", + "service": "App Service Web Apps", + "text": "(Servicio de aplicaciones) Configure la aplicación para la integración de red virtual. Use puntos de conexión privados para aplicaciones de App Service. Bloquea todo el tráfico público. Enrute la extracción de la imagen de contenedor a través de la integración de red virtual. Todo el tráfico saliente de la aplicación pasa a través de la red virtual.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "No se recomienda la autenticación básica como método de implementación seguro. Microsoft Entra ID emplea la autenticación basada en tokens de OAuth 2.0, que ofrece numerosas ventajas y mejoras que abordan las limitaciones asociadas a la autenticación básica. Las políticas restringen el acceso a los recursos de la aplicación, solo permiten solicitudes de dominios específicos y protegen las solicitudes entre regiones.", + "guid": "aed08f98-d32e-43c4-8879-e2a3640ec82a", + "service": "App Service Web Apps", + "text": "(Servicio de aplicaciones) Para implementar la protección: - Deshabilite la autenticación básica que usa un nombre de usuario y una contraseña en favor de la autenticación basada en el identificador de Microsoft Entra. - Desactiva la depuración remota para que no se abran los puertos de entrada. - Habilite las políticas de CORS para ajustar las solicitudes entrantes. - Deshabilite protocolos, como FTP.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Los secretos se mantienen independientes de la configuración de la aplicación. La configuración de la aplicación se cifra en reposo. App Service también administra las rotaciones secretas.", + "guid": "ed800519-baa0-449d-8c29-c5fae194116a", + "service": "App Service Web Apps", + "text": "(Servicio de aplicaciones) Use siempre referencias de Key Vault como configuración de la aplicación.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Obtenga protección en tiempo real para los recursos que se ejecutan en un plan de App Service. Protéjase contra las amenazas y mejore su postura de seguridad general.", + "guid": "4c020315-db82-4fd8-a3da-8f2b80bd5b4f", + "service": "App Service Web Apps", + "text": "(Plan de App Service) Habilite Microsoft Defender for Cloud para App Service.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "El registro captura patrones de acceso. Registra eventos relevantes que proporcionan información valiosa sobre cómo los usuarios interactúan con una aplicación o plataforma. Esta información es crucial para fines de responsabilidad, cumplimiento y seguridad.", + "guid": "a1278dd3-3ed5-43b3-9544-69ccd3694db1", + "service": "App Service Web Apps", + "text": "(Plan de App Service) Habilite el registro de diagnóstico y agregue instrumentación a la aplicación. Los registros se envían a cuentas de Azure Storage, Azure Event Hubs y Log Analytics. Para obtener más información sobre los tipos de registro de auditoría, consulte Tipos de registro admitidos.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Los niveles Gratis y Básico son económicos en comparación con los niveles superiores. Proporcionan una solución rentable para entornos que no son de producción y que no necesitan todas las funciones y el rendimiento de los planes premium.", + "guid": "73ebf138-84db-4fcf-9829-c3196790bb4b", + "service": "App Service Web Apps", + "text": "(Plan de App Service) Elija los niveles Gratis o Básico para entornos inferiores. Recomendamos estos niveles para uso experimental. Elimine los niveles cuando ya no los necesite.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Los planes de desarrollo y pruebas proporcionan tarifas reducidas para los servicios de Azure, lo que los hace rentables para entornos que no son de producción. Utilice instancias reservadas para pagar por adelantado los recursos informáticos y obtener importantes descuentos.", + "guid": "e4b9b5ec-6d62-4457-8225-98070a48f1f0", + "service": "App Service Web Apps", + "text": "(Plan de App Service) Aproveche los descuentos y explore los precios preferidos para: - Entornos inferiores con planes de desarrollo y pruebas. - Reservas de Azure y planes de ahorro de Azure para el proceso dedicado que se aprovisiona en el nivel Premium V3 y App Service Environment. Utilice instancias reservadas para cargas de trabajo estables que tengan patrones de uso predecibles.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Puede identificar picos de costos, ineficiencias o gastos inesperados desde el principio. Este enfoque proactivo le ayuda a proporcionar controles presupuestarios para evitar gastos excesivos.", + "guid": "c3c919e3-e1ef-4566-8789-edada78d7095", + "service": "App Service Web Apps", + "text": "(Servicio de aplicaciones) Supervise los costos en los que incurren los recursos de App Service. Ejecute la herramienta de análisis de costos en Azure Portal. Cree presupuestos y alertas para notificar a las partes interesadas.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Evite el desperdicio y reduzca los gastos innecesarios.", + "guid": "a5257a31-c39f-4c09-85d0-d34edbfc0bbd", + "service": "App Service Web Apps", + "text": "(Plan de App Service) Amplíe cuando la demanda disminuya. Para reducir horizontalmente, defina reglas de escalado para reducir el número de instancias en Azure Monitor.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Puede detectar problemas rápidamente y tomar las medidas necesarias para mantener la disponibilidad y el rendimiento.", + "guid": "29f5cff9-45d7-4ade-8e27-94ca0ba3b1d3", + "service": "App Service Web Apps", + "text": "(Servicio de aplicaciones) Supervise el estado de las instancias y active los sondeos de estado de las instancias. Configure una ruta de acceso específica para controlar las solicitudes de sondeo de estado.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Los registros de diagnóstico proporcionan información valiosa sobre el comportamiento de la aplicación. Supervise los patrones de tráfico e identifique anomalías.", + "guid": "9540f299-ca72-4849-a58a-78153436fc26", + "service": "App Service Web Apps", + "text": "(Servicio de aplicaciones) Habilite los registros de diagnóstico para la aplicación y la instancia. El registro frecuente puede ralentizar el rendimiento del sistema, aumentar los costos de almacenamiento e introducir riesgos si tiene acceso no seguro a los registros. Siga estas prácticas recomendadas: - Registre el nivel correcto de información. - Establecer políticas de retención. - Mantenga un registro de auditoría de los accesos autorizados y los intentos no autorizados. - Tratar los registros como datos y aplicar controles de protección de datos.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "App Service controla automáticamente procesos como la adquisición de certificados, la verificación de certificados, la renovación de certificados y la importación de certificados de Key Vault. Como alternativa, cargue el certificado en Key Vault y autorice al proveedor de recursos de App Service a acceder a él.", + "guid": "4a17086d-c18e-4f8e-95ec-2f2b2ec65d17", + "service": "App Service Web Apps", + "text": "(Servicio de aplicaciones) Aproveche los certificados administrados de App Service para descargar la administración de certificaciones en Azure.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Evite el tiempo de inactividad y los errores. Vuelva rápidamente al último estado bueno conocido si detecta un problema después de un intercambio.", + "guid": "0f0b02b2-941d-45a9-973a-74a01899a16d", + "service": "App Service Web Apps", + "text": "(Plan de App Service) Valide los cambios de la aplicación en la ranura de ensayo antes de intercambiarla por la ranura de producción.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "La aplicación nunca se descarga con Always On habilitado.", + "guid": "24d94b35-de37-4c04-9aea-dec880bf216c", + "service": "App Service Web Apps", + "text": "Habilite la opción Siempre activo cuando las aplicaciones compartan un único plan de App Service. Las aplicaciones de App Service se descargan automáticamente cuando están inactivas para ahorrar recursos. La siguiente solicitud desencadena un inicio en frío, lo que puede provocar tiempos de espera de solicitud.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Elija HTTP/2 en lugar de HTTP/1.1 porque HTTP/2 multiplexa completamente las conexiones, reutiliza las conexiones para reducir la sobrecarga y comprime los encabezados para minimizar la transferencia de datos.", + "guid": "f5d46d58-7c3f-4917-a4f1-b97aa98a00c4", + "service": "App Service Web Apps", + "text": "Considere la posibilidad de usar HTTP/2 para que las aplicaciones mejoren la eficiencia del protocolo.", + "type": "recommendation", + "waf": "Rendimiento" + } + ], + "metadata": { + "name": "App Service Web Apps Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "Este control aún no se ha examinado", + "name": "No verificado" + }, + { + "description": "Hay un elemento de acción asociado a esta comprobación", + "name": "Abrir" + }, + { + "description": "Esta comprobación se ha verificado y no hay más elementos de acción asociados a ella", + "name": "Cumplido" + }, + { + "description": "No aplicable para el diseño actual", + "name": "N/A" + }, + { + "description": "No es necesario", + "name": "No es necesario" + } + ], + "waf": [ + { + "name": "seguridad" + }, + { + "name": "Costar" + }, + { + "name": "costar" + }, + { + "name": "Fiabilidad" + }, + { + "name": "fiabilidad" + }, + { + "name": "Seguridad" + }, + { + "name": "rendimiento" + }, + { + "name": "Operaciones" + }, + { + "name": "Operaciones" + }, + { + "name": "Rendimiento" + } + ], + "yesno": [ + { + "name": "Sí" + }, + { + "name": "No" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/appservicewebapps_sg_checklist.ja.json b/checklists-ext/appservicewebapps_sg_checklist.ja.json new file mode 100644 index 000000000..08983c483 --- /dev/null +++ b/checklists-ext/appservicewebapps_sg_checklist.ja.json @@ -0,0 +1,258 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "プレミアム App Service プランでは、高度なスケーリング機能が提供され、障害が発生した場合の冗長性が確保されます。", + "guid": "ad95f4ca-bd35-4ac7-a993-733c320fa4c4", + "service": "App Service Web Apps", + "text": "(App Service プラン)運用ワークロード用の App Service プランの Premium レベルを選択します。 キャパシティプランニングに従って、ワーカーの最大数と最小数を設定します。詳細については、「App Service プランの概要」を参照してください。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "アプリケーションは、複数のインスタンスがゾーンに分散している場合に、1 つのゾーンでの障害に耐えることができます。トラフィックは、他のゾーンの正常なインスタンスに自動的に移行し、1 つのゾーンが使用できない場合はアプリケーションの信頼性を維持します。", + "guid": "8a18771a-8a59-47de-905e-6e6b72f36990", + "service": "App Service Web Apps", + "text": "(App Service プラン)ゾーン冗長を有効にします。フォールトトレランスを強化するために、3つ以上のインスタンスをプロビジョニングすることを検討してください。 ゾーン冗長のリージョン サポートを確認してください (すべてのリージョンでこの機能が提供されているわけではありません)。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "受信要求は、ARR アフィニティを無効にすると、使用可能なすべてのノードに均等に分散されます。リクエストを均等に分散することで、トラフィックが 1 つのノードを圧倒するのを防ぎます。ノードが使用できない場合、要求は他の正常なノードにシームレスにリダイレクトできます。 セッション アフィニティを回避して、App Service インスタンスがステートレスのままになるようにします。ステートレスな App Service は、複雑さを軽減し、ノード間で一貫した動作を保証します。 固定セッションを削除して、App Service がインスタンスを追加または削除して水平方向にスケーリングできるようにします。", + "guid": "5a05980f-0f3f-42c2-af59-563b037aa64c", + "service": "App Service Web Apps", + "text": "(App Service)アプリケーション要求ルーティング (ARR) アフィニティ機能を無効にすることを検討してください。ARR アフィニティは、以前の要求を処理したノードにユーザーをリダイレクトするスティッキー セッションを作成します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "自動修復ルールは、予期しない問題からアプリケーションを自動的に回復するのに役立ちます。設定されたルールは、しきい値を超えたときに修復アクションをトリガーします。 自動修復により、自動プロアクティブなメンテナンスが可能になります。", + "guid": "a92ea6eb-79b0-49f8-be2f-9ecbd56ca794", + "service": "App Service Web Apps", + "text": "(App Service)要求数、低速要求、メモリ制限、およびパフォーマンス ベースラインの一部であるその他の指標に基づいて、自動修復ルールを定義します。この設定は、スケーリング戦略の一部と考えてください。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "ヘルスチェックにより、問題を早期に検出できます。その後、ヘルスチェック要求が失敗したときに、システムは自動的に修正アクションを実行できます。 ロードバランサーは、異常なインスタンスからトラフィックをルーティングし、ユーザーを正常なノードに誘導します。", + "guid": "8804a347-b18e-4dce-88b6-9beee13dc12b", + "service": "App Service Web Apps", + "text": "(App Service)ヘルスチェック機能を有効にし、ヘルスチェック要求に応答するパスを指定します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "アプリケーションは、Key Vault からシークレットを取得して、アプリケーションからの外部通信を認証します。Azure によって ID が管理され、シークレットをプロビジョニングまたはローテーションする必要はありません。 制御の粒度について、明確な ID があります。明確な ID により、ID が侵害された場合の失効が容易になります。", + "guid": "ffcc54ba-464e-4ad4-b96c-de8a6959ba61", + "service": "App Service Web Apps", + "text": "(App Service)マネージド ID を Web アプリに割り当てます。分離境界を維持するには、アプリケーション間で ID を共有または再利用しないでください。 デプロイにコンテナを使用する場合は、コンテナレジストリに安全に接続していることを確認してください。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "カスタムドメインは、Transport Layer Security(TLS)プロトコルを使用したHTTPSによる安全な通信を可能にし、機密データの保護を確保し、ユーザーの信頼を築きます。", + "guid": "d0450dd8-5e4e-45a2-ae67-83de17e9932c", + "service": "App Service Web Apps", + "text": "(App Service)アプリケーションのカスタムドメインを設定します。 HTTP を無効にし、HTTPS 要求のみを受け入れます。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "この機能を使用すると、アプリケーション コードで認証ライブラリを使用する必要がなくなるため、複雑さが軽減されます。要求がアプリケーションに到達したときに、ユーザーはすでに認証されています。", + "guid": "b2b6b6df-7bd0-4394-a6df-86c3a15bcaf7", + "service": "App Service Web Apps", + "text": "(App Service) は、App Service の組み込み認証が、アプリケーションにアクセスするユーザーを認証するための適切なメカニズムであるかどうかを評価します。App Service の組み込み認証は、Microsoft Entra ID と統合されます。この機能は、複数のサインイン プロバイダー間でトークンの検証とユーザー ID 管理を処理し、OpenID Connect をサポートします。この機能を使用すると、詳細なレベルでの承認はなく、認証をテストするメカニズムもありません。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Azure 仮想ネットワークを使用するセキュリティ上の利点を享受します。たとえば、アプリケーションはネットワーク内のリソースに安全にアクセスできます。 プライベートエンドポイントを追加して、アプリケーションを保護します。プライベートエンドポイントは、パブリックネットワークへの直接の露出を制限し、リバースプロキシを介した制御されたアクセスを許可します。", + "guid": "bc1fd50b-a78a-44e6-bbd6-db1c75fa8fdd", + "service": "App Service Web Apps", + "text": "(App Service)仮想ネットワーク統合用にアプリケーションを構成します。 App Service アプリのプライベート エンドポイントを使用します。すべてのパブリックトラフィックをブロックします。 仮想ネットワーク統合を通じてコンテナー イメージ pull をルーティングします。アプリケーションからの送信トラフィックはすべて、仮想ネットワークを通過します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "安全なデプロイ方法として基本認証はお勧めしません。Microsoft Entra ID は OAuth 2.0 トークンベースの認証を採用しており、基本認証に関連する制限に対処する多くの利点と拡張機能を提供します。 ポリシーは、アプリケーションリソースへのアクセスを制限し、特定のドメインからの要求のみを許可し、クロスリージョン要求を保護します。", + "guid": "aed08f98-d32e-43c4-8879-e2a3640ec82a", + "service": "App Service Web Apps", + "text": "(App Service)セキュリティ強化を実装するには: - ユーザー名とパスワードを使用する基本認証を無効にし、Microsoft Entra ID ベースの認証を優先します。 - 受信ポートが開かないように、リモート デバッグをオフにします。- CORS ポリシーを有効にして、受信要求を強化します。 - FTP などのプロトコルを無効にします。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "シークレットは、アプリの構成とは別に保持されます。アプリの設定は保存時に暗号化されます。App Service はシークレットのローテーションも管理します。", + "guid": "ed800519-baa0-449d-8c29-c5fae194116a", + "service": "App Service Web Apps", + "text": "(App Service)アプリの設定として、常に Key Vault 参照を使用します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "App Service プランで実行されるリソースをリアルタイムで保護します。脅威から保護し、全体的なセキュリティ体制を強化します。", + "guid": "4c020315-db82-4fd8-a3da-8f2b80bd5b4f", + "service": "App Service Web Apps", + "text": "(App Service プラン)Microsoft Defender for Cloud for App Service を有効にします。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "ロギングはアクセスパターンをキャプチャします。関連するイベントを記録し、ユーザーがアプリケーションやプラットフォームとどのようにやり取りするかについて貴重な洞察を提供します。この情報は、説明責任、コンプライアンス、およびセキュリティの目的で重要です。", + "guid": "a1278dd3-3ed5-43b3-9544-69ccd3694db1", + "service": "App Service Web Apps", + "text": "(App Service プラン)診断ログを有効にし、アプリにインストルメンテーションを追加します。ログは、Azure Storage アカウント、Azure Event Hubs、Log Analytics に送信されます。監査ログの種類の詳細については、「サポートされているログの種類」を参照してください。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Free レベルと Basic レベルは、上位レベルに比べて予算にやさしいです。これらは、プレミアムプランのすべての機能とパフォーマンスを必要としない非本番環境向けに、コスト効率の高いソリューションを提供します。", + "guid": "73ebf138-84db-4fcf-9829-c3196790bb4b", + "service": "App Service Web Apps", + "text": "(App Service プラン)下位の環境では、Free または Basic レベルを選択します。これらのレベルは、実験的な使用にお勧めします。不要になった層は削除します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "開発/テスト プランでは、Azure サービスの料金が割引されるため、非運用環境ではコスト効率が高くなります。 リザーブド インスタンスを使用してコンピューティング リソースの料金を前払いし、大幅な割引を受けます。", + "guid": "e4b9b5ec-6d62-4457-8225-98070a48f1f0", + "service": "App Service Web Apps", + "text": "(App Service プラン)割引を利用して、次の優先価格を調べてください: - 開発/テスト プランで環境を下げます。 - Premium V3 レベルと App Service Environment でプロビジョニングする専用コンピューティングの Azure 予約と Azure 節約プラン。 リザーブドインスタンスは、予測可能な使用パターンを持つ安定したワークロードに使用します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "コストの急増、非効率性、または予期しない出費を早期に特定できます。このプロアクティブなアプローチは、支出の過剰を防ぐための予算管理を提供するのに役立ちます。", + "guid": "c3c919e3-e1ef-4566-8789-edada78d7095", + "service": "App Service Web Apps", + "text": "(App Service)App Service リソースで発生するコストを監視します。Azure portal でコスト分析ツールを実行します。 予算とアラートを作成して、関係者に通知します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "無駄を防ぎ、不要な出費を削減します。", + "guid": "a5257a31-c39f-4c09-85d0-d34edbfc0bbd", + "service": "App Service Web Apps", + "text": "(App Service プラン)需要が減少したときにスケールインします。スケールインするには、Azure Monitor のインスタンス数を減らすスケール ルールを定義します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "問題を迅速に検出し、可用性とパフォーマンスを維持するために必要なアクションを実行できます。", + "guid": "29f5cff9-45d7-4ade-8e27-94ca0ba3b1d3", + "service": "App Service Web Apps", + "text": "(App Service)インスタンスのヘルスをモニタリングし、インスタンスヘルスプローブをアクティブ化します。正常性プローブ要求を処理するための特定のパスを設定します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "診断ログは、アプリの動作に関する貴重な分析情報を提供します。トラフィックパターンを監視し、異常を特定します。", + "guid": "9540f299-ca72-4849-a58a-78153436fc26", + "service": "App Service Web Apps", + "text": "(App Service)アプリケーションとインスタンスの診断ログを有効にします。 ログを頻繁に記録すると、システムのパフォーマンスが低下し、ストレージコストが増加し、ログへの安全でないアクセスがある場合にリスクが発生する可能性があります。次のベストプラクティスに従ってください: - 適切なレベルの情報を記録します。 - 保持ポリシーを設定します。 - 許可されたアクセスと許可されていない試みの監査証跡を保持します。- ログをデータとして扱い、データ保護制御を適用します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "App Service は、証明書の調達、証明書の検証、証明書の更新、Key Vault からの証明書のインポートなどのプロセスを自動的に処理します。または、証明書を Key Vault にアップロードし、App Service リソース プロバイダーがそれにアクセスすることを承認します。", + "guid": "4a17086d-c18e-4f8e-95ec-2f2b2ec65d17", + "service": "App Service Web Apps", + "text": "(App Service)App Service で管理されている証明書を利用して、証明書管理を Azure にオフロードします。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "ダウンタイムとエラーを回避します。 スワップ後に問題を検出した場合は、最後に確認された良好な状態にすばやく戻します。", + "guid": "0f0b02b2-941d-45a9-973a-74a01899a16d", + "service": "App Service Web Apps", + "text": "(App Service プラン)ステージング スロットでアプリの変更を検証してから、運用スロットと交換します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "Always On が有効になっている状態でアプリケーションがアンロードされることはありません。", + "guid": "24d94b35-de37-4c04-9aea-dec880bf216c", + "service": "App Service Web Apps", + "text": "アプリケーションが 1 つの App Service プランを共有する場合は、Always On 設定を有効にします。App Service アプリは、リソースを節約するために、アイドル状態になると自動的にアンロードされます。次の要求によってコールド スタートがトリガーされ、要求のタイムアウトが発生する可能性があります。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "HTTP/2 は接続を完全に多重化し、接続を再利用してオーバーヘッドを削減し、ヘッダーを圧縮してデータ転送を最小限に抑えるため、HTTP/1.1 よりも HTTP/2 を選択します。", + "guid": "f5d46d58-7c3f-4917-a4f1-b97aa98a00c4", + "service": "App Service Web Apps", + "text": "プロトコルの効率を向上させるために、アプリケーションにHTTP/2を使用することを検討してください。", + "type": "recommendation", + "waf": "パフォーマンス" + } + ], + "metadata": { + "name": "App Service Web Apps Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "このチェックはまだ見ていません", + "name": "未確認" + }, + { + "description": "このチェックにはアクションアイテムが関連付けられています", + "name": "開ける" + }, + { + "description": "このチェックは検証済みであり、これ以上のアクション アイテムは関連付けられていません", + "name": "達成" + }, + { + "description": "現在のデザインには適用されません", + "name": "該当なし" + }, + { + "description": "必須ではありません", + "name": "必須ではありません" + } + ], + "waf": [ + { + "name": "安全" + }, + { + "name": "費用" + }, + { + "name": "費用" + }, + { + "name": "確実" + }, + { + "name": "確実" + }, + { + "name": "安全" + }, + { + "name": "パフォーマンス" + }, + { + "name": "オペレーションズ" + }, + { + "name": "オペレーションズ" + }, + { + "name": "パフォーマンス" + } + ], + "yesno": [ + { + "name": "はい" + }, + { + "name": "いいえ" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/appservicewebapps_sg_checklist.ko.json b/checklists-ext/appservicewebapps_sg_checklist.ko.json new file mode 100644 index 000000000..b9efaee0c --- /dev/null +++ b/checklists-ext/appservicewebapps_sg_checklist.ko.json @@ -0,0 +1,258 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "프리미엄 App Service 플랜은 고급 크기 조정 기능을 제공하고 오류가 발생할 경우 중복성을 보장합니다.", + "guid": "ad95f4ca-bd35-4ac7-a993-733c320fa4c4", + "service": "App Service Web Apps", + "text": "(App Service 계획) 프로덕션 워크로드에 대한 App Service 계획의 프리미엄 계층을 선택합니다. 용량 계획에 따라 최대 및 최소 작업자 수를 설정합니다. 자세한 내용은 App Service 계획 개요를 참조하세요.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "응용 프로그램은 여러 인스턴스가 여러 영역에 분산되어 있는 경우 단일 영역에서 오류를 견딜 수 있습니다. 트래픽은 자동으로 다른 영역의 정상 인스턴스로 이동하고 한 영역을 사용할 수 없는 경우 애플리케이션 안정성을 유지합니다.", + "guid": "8a18771a-8a59-47de-905e-6e6b72f36990", + "service": "App Service Web Apps", + "text": "(App Service 계획) 영역 중복을 사용하도록 설정합니다. 내결함성을 향상시키기 위해 세 개 이상의 인스턴스를 프로비전하는 것이 좋습니다. 모든 지역에서 이 기능을 제공하는 것은 아니므로 영역 중복에 대한 지역 지원을 확인합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "들어오는 요청은 ARR 선호도를 사용하지 않도록 설정할 때 사용 가능한 모든 노드에 균등하게 분산됩니다. 균등하게 분산된 요청은 트래픽이 단일 노드를 압도하는 것을 방지합니다. 노드를 사용할 수 없는 경우 요청을 다른 정상 노드로 원활하게 리디렉션할 수 있습니다. App Service 인스턴스가 상태 비저장 상태로 유지되도록 세션 선호도를 피합니다. 상태 비저장 App Service는 복잡성을 줄이고 노드 간에 일관된 동작을 보장합니다. App Service가 인스턴스를 추가하거나 제거하여 수평으로 확장할 수 있도록 고정 세션을 제거합니다.", + "guid": "5a05980f-0f3f-42c2-af59-563b037aa64c", + "service": "App Service Web Apps", + "text": "(앱 서비스) ARR(애플리케이션 요청 라우팅) 선호도 기능을 사용하지 않도록 설정하는 것이 좋습니다. ARR 선호도는 사용자를 이전 요청을 처리한 노드로 리디렉션하는 고정 세션을 만듭니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "자동 복구 규칙은 응용 프로그램이 예기치 않은 문제로부터 자동으로 복구되는 데 도움이 됩니다. 구성된 규칙은 임계값이 위반될 때 복구 작업을 트리거합니다. 자동 복구는 자동 사전 예방적 유지 관리를 가능하게 합니다.", + "guid": "a92ea6eb-79b0-49f8-be2f-9ecbd56ca794", + "service": "App Service Web Apps", + "text": "(앱 서비스) 요청 수, 느린 요청, 메모리 제한 및 성능 기준의 일부인 기타 지표를 기반으로 자동 복구 규칙을 정의합니다. 이 구성을 크기 조정 전략의 일부로 간주합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "상태 확인은 문제를 조기에 감지할 수 있습니다. 그런 다음 시스템은 상태 확인 요청이 실패할 때 자동으로 수정 작업을 수행할 수 있습니다. 로드 밸런서는 비정상 인스턴스에서 트래픽을 라우팅하여 사용자를 정상 노드로 안내합니다.", + "guid": "8804a347-b18e-4dce-88b6-9beee13dc12b", + "service": "App Service Web Apps", + "text": "(앱 서비스) 상태 확인 기능을 활성화하고 상태 확인 요청에 응답하는 경로를 제공합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "애플리케이션은 Key Vault에서 비밀을 검색하여 애플리케이션의 외부 통신을 인증합니다. Azure는 ID를 관리하며 비밀을 프로비전하거나 회전할 필요가 없습니다. 제어의 세분성에 대한 고유한 ID가 있습니다. 고유한 ID를 사용하면 ID가 손상된 경우 쉽게 해지할 수 있습니다.", + "guid": "ffcc54ba-464e-4ad4-b96c-de8a6959ba61", + "service": "App Service Web Apps", + "text": "(앱 서비스) 웹앱에 관리 ID를 할당합니다. 격리 경계를 유지하려면 애플리케이션 간에 ID를 공유하거나 다시 사용하지 마세요. 배포에 컨테이너를 사용하는 경우 컨테이너 레지스트리에 안전하게 연결해야 합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "사용자 지정 도메인은 TLS(전송 계층 보안) 프로토콜을 사용하여 HTTPS를 통해 보안 통신을 가능하게 하여 중요한 데이터를 보호하고 사용자 신뢰를 구축합니다.", + "guid": "d0450dd8-5e4e-45a2-ae67-83de17e9932c", + "service": "App Service Web Apps", + "text": "(앱 서비스) 응용 프로그램에 대한 사용자 지정 도메인을 구성합니다. HTTP를 비활성화하고 HTTPS 요청만 수락합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "이 기능을 사용하면 애플리케이션 코드에서 인증 라이브러리를 사용할 필요가 없으므로 복잡성이 줄어듭니다. 요청이 애플리케이션에 도달할 때 사용자는 이미 인증된 상태입니다.", + "guid": "b2b6b6df-7bd0-4394-a6df-86c3a15bcaf7", + "service": "App Service Web Apps", + "text": "(App Service) App Service 기본 제공 인증이 애플리케이션에 액세스하는 사용자를 인증하는 데 적합한 메커니즘인지 여부를 평가합니다. App Service 기본 제공 인증은 Microsoft Entra ID와 통합됩니다. 이 기능은 여러 로그인 공급자에서 토큰 유효성 검사 및 사용자 ID 관리를 처리하고 OpenID Connect를 지원합니다. 이 기능을 사용하면 세분화된 수준의 권한 부여가 없으며 인증을 테스트할 메커니즘이 없습니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "Azure 가상 네트워크 사용의 보안 이점을 누리세요. 예를 들어, 애플리케이션은 네트워크 내의 리소스에 안전하게 액세스할 수 있습니다. 애플리케이션을 보호하는 데 도움이 되는 프라이빗 엔드포인트를 추가합니다. 프라이빗 엔드포인트는 공용 네트워크에 대한 직접 노출을 제한하고 역방향 프록시를 통해 제어된 액세스를 허용합니다.", + "guid": "bc1fd50b-a78a-44e6-bbd6-db1c75fa8fdd", + "service": "App Service Web Apps", + "text": "(앱 서비스) 가상 네트워크 통합을 위해 응용 프로그램을 구성합니다. App Service 앱에 프라이빗 엔드포인트를 사용합니다. 모든 공용 트래픽을 차단합니다. 가상 네트워크 통합을 통해 컨테이너 이미지 풀을 라우팅합니다. 애플리케이션에서 나가는 모든 트래픽은 가상 네트워크를 통과합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "기본 인증은 보안 배포 방법으로 권장되지 않습니다. Microsoft Entra ID는 기본 인증과 관련된 제한 사항을 해결하는 많은 이점과 향상된 기능을 제공하는 OAuth 2.0 토큰 기반 인증을 사용합니다. 정책은 애플리케이션 리소스에 대한 액세스를 제한하고, 특정 도메인의 요청만 허용하며, 리전 간 요청을 보호합니다.", + "guid": "aed08f98-d32e-43c4-8879-e2a3640ec82a", + "service": "App Service Web Apps", + "text": "(앱 서비스) 강화를 구현하려면 다음을 수행합니다. - Microsoft Entra ID 기반 인증을 위해 사용자 이름과 암호를 사용하는 기본 인증을 사용하지 않도록 설정합니다. - 인바운드 포트가 열리지 않도록 원격 디버깅을 끕니다. - CORS 정책을 활성화하여 들어오는 요청을 강화합니다. - FTP와 같은 프로토콜을 비활성화합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "비밀은 앱의 구성과 별도로 보관됩니다. 앱 설정은 미사용 시 암호화됩니다. App Service는 비밀 회전도 관리합니다.", + "guid": "ed800519-baa0-449d-8c29-c5fae194116a", + "service": "App Service Web Apps", + "text": "(앱 서비스) 항상 Key Vault 참조를 앱 설정으로 사용합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "App Service 계획에서 실행되는 리소스에 대한 실시간 보호를 받으세요. 위협으로부터 보호하고 전반적인 보안 태세를 강화합니다.", + "guid": "4c020315-db82-4fd8-a3da-8f2b80bd5b4f", + "service": "App Service Web Apps", + "text": "(App Service 계획) App Service에 대해 클라우드용 Microsoft Defender를 사용하도록 설정합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "로깅은 액세스 패턴을 캡처합니다. 사용자가 애플리케이션 또는 플랫폼과 상호 작용하는 방식에 대한 귀중한 통찰력을 제공하는 관련 이벤트를 기록합니다. 이 정보는 책임, 규정 준수 및 보안 목적에 매우 중요합니다.", + "guid": "a1278dd3-3ed5-43b3-9544-69ccd3694db1", + "service": "App Service Web Apps", + "text": "(App Service 계획) 진단 로깅을 사용하도록 설정하고 앱에 계측을 추가합니다. 로그는 Azure Storage 계정, Azure Event Hubs 및 Log Analytics로 전송됩니다. 감사 로그 유형에 대한 자세한 내용은 지원되는 로그 유형을 참조하세요.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "무료 및 기본 계층은 상위 계층에 비해 예산 친화적입니다. 프리미엄 플랜의 전체 기능과 성능이 필요하지 않은 비프로덕션 환경을 위한 비용 효율적인 솔루션을 제공합니다.", + "guid": "73ebf138-84db-4fcf-9829-c3196790bb4b", + "service": "App Service Web Apps", + "text": "(App Service 계획) 더 낮은 환경에 대해 무료 또는 기본 계층을 선택합니다. 이러한 계층은 실험적으로 사용하는 것이 좋습니다. 더 이상 필요하지 않은 계층을 제거합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "개발/테스트 계획은 Azure 서비스에 대해 할인된 요금을 제공하므로 비프로덕션 환경에서 비용 효율적입니다. 예약 인스턴스를 사용하여 컴퓨팅 리소스에 대한 비용을 선불로 지불하고 상당한 할인을 받으세요.", + "guid": "e4b9b5ec-6d62-4457-8225-98070a48f1f0", + "service": "App Service Web Apps", + "text": "(App Service 계획) 할인 혜택을 누리고 선호하는 가격을 살펴보세요. - 개발/테스트 계획으로 환경을 줄입니다. - 프리미엄 V3 계층 및 App Service Environment에서 프로비전하는 전용 컴퓨팅에 대한 Azure 예약 및 Azure 절약 플랜. 사용 패턴을 예측할 수 있는 안정적인 워크로드를 위해 예약 인스턴스를 사용합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "비용 급증, 비효율성 또는 예상치 못한 비용을 조기에 식별할 수 있습니다. 이러한 사전 예방적 접근 방식은 초과 지출을 방지하기 위한 예산 제어를 제공하는 데 도움이 됩니다.", + "guid": "c3c919e3-e1ef-4566-8789-edada78d7095", + "service": "App Service Web Apps", + "text": "(앱 서비스) App Service 리소스에서 발생하는 비용을 모니터링합니다. Azure Portal에서 비용 분석 도구를 실행합니다. 예산과 경고를 만들어 이해 관계자에게 알립니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "낭비를 방지하고 불필요한 비용을 줄입니다.", + "guid": "a5257a31-c39f-4c09-85d0-d34edbfc0bbd", + "service": "App Service Web Apps", + "text": "(App Service 계획) 수요가 감소할 때 축소합니다. 규모를 축소하려면 크기 조정 규칙을 정의하여 Azure Monitor의 인스턴스 수를 줄입니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "문제를 즉시 감지하고 가용성과 성능을 유지하기 위해 필요한 조치를 취할 수 있습니다.", + "guid": "29f5cff9-45d7-4ade-8e27-94ca0ba3b1d3", + "service": "App Service Web Apps", + "text": "(앱 서비스) 인스턴스의 상태를 모니터링하고 인스턴스 상태 프로브를 활성화합니다. 상태 프로브 요청을 처리하기 위한 특정 경로를 설정합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "진단 로그는 앱의 동작에 대한 중요한 인사이트를 제공합니다. 트래픽 패턴을 모니터링하고 이상 징후를 식별합니다.", + "guid": "9540f299-ca72-4849-a58a-78153436fc26", + "service": "App Service Web Apps", + "text": "(앱 서비스) 응용 프로그램 및 인스턴스에 대한 진단 로그를 사용하도록 설정합니다. 잦은 로깅은 시스템 성능을 저하시키고, 스토리지 비용을 증가시키며, 로그에 안전하지 않은 액세스 권한이 있는 경우 위험을 초래할 수 있습니다. 다음 모범 사례를 따르십시오. - 적절한 수준의 정보를 기록합니다. - 보존 정책을 설정합니다. - 승인된 액세스 및 무단 시도에 대한 감사 추적을 유지합니다. - 로그를 데이터로 처리하고 데이터 보호 제어를 적용합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "App Service는 인증서 조달, 인증서 확인, 인증서 갱신 및 Key Vault에서 인증서 가져오기와 같은 프로세스를 자동으로 처리합니다. 또는 Key Vault에 인증서를 업로드하고 App Service 리소스 공급자에게 액세스할 수 있는 권한을 부여합니다.", + "guid": "4a17086d-c18e-4f8e-95ec-2f2b2ec65d17", + "service": "App Service Web Apps", + "text": "(앱 서비스) App Service 관리형 인증서를 활용하여 인증 관리를 Azure로 오프로드합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "다운타임과 오류를 방지합니다. 스왑 후 문제를 감지하면 마지막으로 알려진 양호한 상태로 빠르게 되돌립니다.", + "guid": "0f0b02b2-941d-45a9-973a-74a01899a16d", + "service": "App Service Web Apps", + "text": "(App Service 계획) 프로덕션 슬롯으로 교체하기 전에 스테이징 슬롯에서 앱 변경 사항의 유효성을 검사합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "응용 프로그램은 Always On을 사용하도록 설정된 상태로 언로드되지 않습니다.", + "guid": "24d94b35-de37-4c04-9aea-dec880bf216c", + "service": "App Service Web Apps", + "text": "애플리케이션이 단일 App Service 계획을 공유하는 경우 Always On 설정을 사용하도록 설정합니다. App Service 앱은 리소스를 절약하기 위해 유휴 상태일 때 자동으로 언로드됩니다. 다음 요청은 콜드 스타트를 트리거하여 요청 시간 초과를 유발할 수 있습니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "HTTP/2는 연결을 완전히 다중화하고, 오버헤드를 줄이기 위해 연결을 재사용하며, 데이터 전송을 최소화하기 위해 헤더를 압축하기 때문에 HTTP/1.1보다 HTTP/2를 선택합니다.", + "guid": "f5d46d58-7c3f-4917-a4f1-b97aa98a00c4", + "service": "App Service Web Apps", + "text": "프로토콜 효율성을 개선하기 위해 애플리케이션에 HTTP/2를 사용하는 것이 좋습니다.", + "type": "recommendation", + "waf": "공연" + } + ], + "metadata": { + "name": "App Service Web Apps Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "이 검사는 아직 검토되지 않았습니다", + "name": "확인되지 않음" + }, + { + "description": "이 검사와 연관된 작업 항목이 있습니다", + "name": "열다" + }, + { + "description": "이 검사는 확인되었으며 이와 관련된 추가 작업 항목이 없습니다", + "name": "성취" + }, + { + "description": "현재 설계에는 적용되지 않습니다.", + "name": "해당 없음" + }, + { + "description": "필요 없음", + "name": "필요 없음" + } + ], + "waf": [ + { + "name": "안전" + }, + { + "name": "비용" + }, + { + "name": "비용" + }, + { + "name": "신뢰도" + }, + { + "name": "신뢰도" + }, + { + "name": "안전" + }, + { + "name": "공연" + }, + { + "name": "작업" + }, + { + "name": "작업" + }, + { + "name": "공연" + } + ], + "yesno": [ + { + "name": "예" + }, + { + "name": "아니요" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/appservicewebapps_sg_checklist.pt.json b/checklists-ext/appservicewebapps_sg_checklist.pt.json new file mode 100644 index 000000000..9a748f04d --- /dev/null +++ b/checklists-ext/appservicewebapps_sg_checklist.pt.json @@ -0,0 +1,258 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "Um plano premium do Serviço de Aplicativo oferece recursos avançados de dimensionamento e garante redundância se ocorrerem falhas.", + "guid": "ad95f4ca-bd35-4ac7-a993-733c320fa4c4", + "service": "App Service Web Apps", + "text": "(Plano do Serviço de Aplicativo) Escolha a camada Premium de um plano do Serviço de Aplicativo para cargas de trabalho de produção. Defina o número máximo e mínimo de trabalhadores de acordo com seu planejamento de capacidade. Para obter mais informações, consulte Visão geral do plano do Serviço de Aplicativo.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Seu aplicativo pode suportar falhas em uma única zona quando várias instâncias são distribuídas entre zonas. O tráfego muda automaticamente para instâncias íntegras em outras zonas e mantém a confiabilidade do aplicativo se uma zona não estiver disponível.", + "guid": "8a18771a-8a59-47de-905e-6e6b72f36990", + "service": "App Service Web Apps", + "text": "(Plano do Serviço de Aplicativo) Habilite a redundância de zona. Considere provisionar mais de três instâncias para aumentar a tolerância a falhas. Verifique o suporte regional para redundância de zona porque nem todas as regiões oferecem esse recurso.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "As solicitações de entrada são distribuídas uniformemente em todos os nós disponíveis quando você desabilita a afinidade do ARR. As solicitações distribuídas uniformemente impedem que o tráfego sobrecarregue qualquer nó único. As solicitações podem ser redirecionadas diretamente para outros nós íntegros se um nó não estiver disponível. Evite a afinidade de sessão para garantir que sua instância do Serviço de Aplicativo permaneça sem estado. Um Serviço de Aplicativo sem estado reduz a complexidade e garante um comportamento consistente entre nós. Remova as sessões fixas para que o Serviço de Aplicativo possa adicionar ou remover instâncias para dimensionar horizontalmente.", + "guid": "5a05980f-0f3f-42c2-af59-563b037aa64c", + "service": "App Service Web Apps", + "text": "(Serviço de Aplicativo) Considere desabilitar o recurso de afinidade ARR (roteamento de solicitação de aplicativo). A afinidade ARR cria sessões fixas que redirecionam os usuários para o nó que lidou com suas solicitações anteriores.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "As regras de recuperação automática ajudam seu aplicativo a se recuperar automaticamente de problemas inesperados. As regras configuradas acionam ações de recuperação quando os limites são violados. A recuperação automática permite a manutenção proativa automática.", + "guid": "a92ea6eb-79b0-49f8-be2f-9ecbd56ca794", + "service": "App Service Web Apps", + "text": "(Serviço de Aplicativo) Defina regras de recuperação automática com base na contagem de solicitações, solicitações lentas, limites de memória e outros indicadores que fazem parte de sua linha de base de desempenho. Considere essa configuração como parte de sua estratégia de escalabilidade.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "As verificações de integridade podem detectar problemas antecipadamente. Em seguida, o sistema pode executar ações corretivas automaticamente quando uma solicitação de verificação de integridade falhar. O balanceador de carga roteia o tráfego para longe de instâncias não íntegras, o que direciona os usuários para nós íntegros.", + "guid": "8804a347-b18e-4dce-88b6-9beee13dc12b", + "service": "App Service Web Apps", + "text": "(Serviço de Aplicativo) Habilite o recurso de verificação de integridade e forneça um caminho que responda às solicitações de verificação de integridade.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "O aplicativo recupera segredos do Key Vault para autenticar a comunicação externa do aplicativo. O Azure gerencia a identidade e não exige que você provisione ou gire nenhum segredo. Você tem identidades distintas para granularidade de controle. Identidades distintas facilitam a revogação se uma identidade for comprometida.", + "guid": "ffcc54ba-464e-4ad4-b96c-de8a6959ba61", + "service": "App Service Web Apps", + "text": "(Serviço de Aplicativo) Atribua identidades gerenciadas ao aplicativo Web. Para manter os limites de isolamento, não compartilhe ou reutilize identidades entre aplicativos. Certifique-se de se conectar com segurança ao registro de contêiner se usar contêineres para sua implantação.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Os domínios personalizados permitem a comunicação segura por meio de HTTPS usando o protocolo Transport Layer Security (TLS), que garante a proteção de dados confidenciais e aumenta a confiança do usuário.", + "guid": "d0450dd8-5e4e-45a2-ae67-83de17e9932c", + "service": "App Service Web Apps", + "text": "(Serviço de Aplicativo) Configure domínios personalizados para aplicativos. Desative o HTTP e aceite apenas solicitações HTTPS.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Ao usar esse recurso, você não precisa usar bibliotecas de autenticação no código do aplicativo, o que reduz a complexidade. O usuário já está autenticado quando uma solicitação chega ao aplicativo.", + "guid": "b2b6b6df-7bd0-4394-a6df-86c3a15bcaf7", + "service": "App Service Web Apps", + "text": "(Serviço de Aplicativo) avaliar se a autenticação interna do Serviço de Aplicativo é o mecanismo correto para autenticar usuários que acessam seu aplicativo. A autenticação interna do Serviço de Aplicativo se integra à ID do Microsoft Entra. Esse recurso lida com a validação de token e o gerenciamento de identidade do usuário em vários provedores de entrada e dá suporte ao OpenID Connect. Com esse recurso, você não tem autorização em um nível granular e não tem um mecanismo para testar a autenticação.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Obtenha os benefícios de segurança de usar uma rede virtual do Azure. Por exemplo, o aplicativo pode acessar recursos com segurança na rede. Adicione um ponto de extremidade privado para ajudar a proteger seu aplicativo. Os pontos de extremidade privados limitam a exposição direta à rede pública e permitem o acesso controlado por meio do proxy reverso.", + "guid": "bc1fd50b-a78a-44e6-bbd6-db1c75fa8fdd", + "service": "App Service Web Apps", + "text": "(Serviço de Aplicativo) Configure o aplicativo para integração de rede virtual. Use pontos de extremidade privados para aplicativos do Serviço de Aplicativo. Bloqueie todo o tráfego público. Roteie a imagem de contêiner por meio da integração de rede virtual. Todo o tráfego de saída do aplicativo passa pela rede virtual.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Não recomendamos a autenticação básica como um método de implantação seguro. O Microsoft Entra ID emprega a autenticação baseada em token OAuth 2.0, que oferece inúmeras vantagens e aprimoramentos que abordam as limitações associadas à autenticação básica. As políticas restringem o acesso aos recursos do aplicativo, permitem apenas solicitações de domínios específicos e protegem solicitações entre regiões.", + "guid": "aed08f98-d32e-43c4-8879-e2a3640ec82a", + "service": "App Service Web Apps", + "text": "(Serviço de Aplicativo) Para implementar a proteção: - Desabilite a autenticação básica que usa um nome de usuário e senha em favor da autenticação baseada em ID do Microsoft Entra. - Desative a depuração remota para que as portas de entrada não sejam abertas. - Ative as políticas de CORS para restringir as solicitações recebidas. - Desative protocolos, como FTP.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Os segredos são mantidos separados da configuração do seu aplicativo. As configurações do aplicativo são criptografadas em repouso. O Serviço de Aplicativo também gerencia rotações secretas.", + "guid": "ed800519-baa0-449d-8c29-c5fae194116a", + "service": "App Service Web Apps", + "text": "(Serviço de Aplicativo) Sempre use referências do Key Vault como configurações do aplicativo.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Obtenha proteção em tempo real para recursos executados em um plano do Serviço de Aplicativo. Proteja-se contra ameaças e aprimore sua postura geral de segurança.", + "guid": "4c020315-db82-4fd8-a3da-8f2b80bd5b4f", + "service": "App Service Web Apps", + "text": "(Plano do Serviço de Aplicativo) Habilite Microsoft Defender para Nuvem para Serviço de Aplicativo.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "O registro em log captura padrões de acesso. Ele registra eventos relevantes que fornecem informações valiosas sobre como os usuários interagem com um aplicativo ou plataforma. Essas informações são cruciais para fins de responsabilidade, conformidade e segurança.", + "guid": "a1278dd3-3ed5-43b3-9544-69ccd3694db1", + "service": "App Service Web Apps", + "text": "(Plano do Serviço de Aplicativo) Habilite o log de diagnóstico e adicione instrumentação ao seu aplicativo. Os logs são enviados para contas de Armazenamento do Azure, Hubs de Eventos do Azure e Log Analytics. Para obter mais informações sobre tipos de log de auditoria, consulte Tipos de log com suporte.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Os níveis Gratuito e Básico são econômicos em comparação com os níveis mais altos. Eles fornecem uma solução econômica para ambientes de não produção que não precisam de todos os recursos e desempenho dos planos premium.", + "guid": "73ebf138-84db-4fcf-9829-c3196790bb4b", + "service": "App Service Web Apps", + "text": "(Plano do Serviço de Aplicativo) Escolha os níveis Gratuito ou Básico para ambientes inferiores. Recomendamos essas camadas para uso experimental. Remova as camadas quando não precisar mais delas.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Os planos de desenvolvimento/teste fornecem taxas reduzidas para os serviços do Azure, o que os torna econômicos para ambientes de não produção. Use instâncias reservadas para pagar antecipadamente por recursos computacionais e obter descontos significativos.", + "guid": "e4b9b5ec-6d62-4457-8225-98070a48f1f0", + "service": "App Service Web Apps", + "text": "(Plano do Serviço de Aplicativo) Aproveite os descontos e explore os preços preferenciais para: - Ambientes inferiores com planos de desenvolvimento/teste. - Reservas do Azure e planos de economia do Azure para computação dedicada que você provisiona na camada Premium V3 e no Ambiente do Serviço de Aplicativo. Use instâncias reservadas para cargas de trabalho estáveis que tenham padrões de uso previsíveis.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Você pode identificar picos de custos, ineficiências ou despesas inesperadas desde o início. Essa abordagem proativa ajuda você a fornecer controles orçamentários para evitar gastos excessivos.", + "guid": "c3c919e3-e1ef-4566-8789-edada78d7095", + "service": "App Service Web Apps", + "text": "(Serviço de Aplicativo) Monitore os custos incorridos pelos recursos do Serviço de Aplicativo. Execute a ferramenta de análise de custo no portal do Azure. Crie orçamentos e alertas para notificar as partes interessadas.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Evite desperdícios e reduza despesas desnecessárias.", + "guid": "a5257a31-c39f-4c09-85d0-d34edbfc0bbd", + "service": "App Service Web Apps", + "text": "(Plano do Serviço de Aplicativo) Aumente a escala quando a demanda diminuir. Para reduzir horizontalmente, defina regras de escala para reduzir o número de instâncias no Azure Monitor.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Você pode detectar problemas imediatamente e tomar as medidas necessárias para manter a disponibilidade e o desempenho.", + "guid": "29f5cff9-45d7-4ade-8e27-94ca0ba3b1d3", + "service": "App Service Web Apps", + "text": "(Serviço de Aplicativo) Monitore a integridade de suas instâncias e ative as investigações de integridade da instância. Configure um caminho específico para lidar com solicitações de investigação de integridade.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Os logs de diagnóstico fornecem informações valiosas sobre o comportamento do seu aplicativo. Monitore padrões de tráfego e identifique anomalias.", + "guid": "9540f299-ca72-4849-a58a-78153436fc26", + "service": "App Service Web Apps", + "text": "(Serviço de Aplicativo) Habilite os logs de diagnóstico para o aplicativo e a instância. O registro frequente pode diminuir o desempenho do sistema, aumentar os custos de armazenamento e introduzir riscos se você tiver acesso não seguro aos registros. Siga estas práticas recomendadas: - Registre o nível certo de informações. - Defina políticas de retenção. - Mantenha uma trilha de auditoria de acesso autorizado e tentativas não autorizadas. - Trate os logs como dados e aplique controles de proteção de dados.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "O Serviço de Aplicativo lida automaticamente com processos como aquisição de certificados, verificação de certificados, renovação de certificados e importação de certificados do Key Vault. Como alternativa, carregue seu certificado no Key Vault e autorize o provedor de recursos do Serviço de Aplicativo a acessá-lo.", + "guid": "4a17086d-c18e-4f8e-95ec-2f2b2ec65d17", + "service": "App Service Web Apps", + "text": "(Serviço de Aplicativo) Aproveite os certificados gerenciados do Serviço de Aplicativo para descarregar o gerenciamento de certificação para o Azure.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Evite tempo de inatividade e erros. Reverta rapidamente para o último estado válido conhecido se detectar um problema após uma troca.", + "guid": "0f0b02b2-941d-45a9-973a-74a01899a16d", + "service": "App Service Web Apps", + "text": "(Plano do Serviço de Aplicativo) Valide as alterações do aplicativo no slot de preparo antes de trocá-lo pelo slot de produção.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "O aplicativo nunca é descarregado com o Always On habilitado.", + "guid": "24d94b35-de37-4c04-9aea-dec880bf216c", + "service": "App Service Web Apps", + "text": "Habilite a configuração Always On quando os aplicativos compartilharem um único plano do Serviço de Aplicativo. Os aplicativos do Serviço de Aplicativo são descarregados automaticamente quando ociosos para economizar recursos. A próxima solicitação aciona uma inicialização a frio, o que pode causar tempos limite de solicitação.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "Escolha HTTP/2 em vez de HTTP/1.1 porque o HTTP/2 multiplexa totalmente as conexões, reutiliza conexões para reduzir a sobrecarga e compacta cabeçalhos para minimizar a transferência de dados.", + "guid": "f5d46d58-7c3f-4917-a4f1-b97aa98a00c4", + "service": "App Service Web Apps", + "text": "Considere o uso de HTTP/2 para aplicativos para melhorar a eficiência do protocolo.", + "type": "recommendation", + "waf": "Desempenho" + } + ], + "metadata": { + "name": "App Service Web Apps Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "Esta verificação ainda não foi analisada", + "name": "Não verificado" + }, + { + "description": "Há um item de ação associado a essa verificação", + "name": "Abrir" + }, + { + "description": "Essa verificação foi verificada e não há mais itens de ação associados a ela", + "name": "Cumprido" + }, + { + "description": "Não aplicável para o projeto atual", + "name": "N/A" + }, + { + "description": "Não é necessário", + "name": "Não é necessário" + } + ], + "waf": [ + { + "name": "segurança" + }, + { + "name": "Custar" + }, + { + "name": "custar" + }, + { + "name": "Fiabilidade" + }, + { + "name": "fiabilidade" + }, + { + "name": "Segurança" + }, + { + "name": "desempenho" + }, + { + "name": "Operações" + }, + { + "name": "Operações" + }, + { + "name": "Desempenho" + } + ], + "yesno": [ + { + "name": "Sim" + }, + { + "name": "Não" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/appservicewebapps_sg_checklist.zh-Hant.json b/checklists-ext/appservicewebapps_sg_checklist.zh-Hant.json new file mode 100644 index 000000000..1f87739b4 --- /dev/null +++ b/checklists-ext/appservicewebapps_sg_checklist.zh-Hant.json @@ -0,0 +1,258 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "高級應用服務計劃提供高級縮放功能，並確保在發生故障時提供冗餘。", + "guid": "ad95f4ca-bd35-4ac7-a993-733c320fa4c4", + "service": "App Service Web Apps", + "text": "（應用服務計劃）為生產工作負載選擇應用服務計劃的高級層。 根據您的容量規劃設置最大和最小工作線程數。有關詳細資訊，請參閱應用服務計劃概述。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "當多個實例分佈在各個區域時，您的應用程式可以承受單個區域中的故障。流量會自動轉移到其他區域中的正常運行的實例，並在一個區域不可用時保持應用程式的可靠性。", + "guid": "8a18771a-8a59-47de-905e-6e6b72f36990", + "service": "App Service Web Apps", + "text": "（應用服務計劃）啟用區域冗餘。請考慮預置三個以上的實例以增強容錯能力。 檢查區域對區域冗餘的支持，因為並非所有區域都提供此功能。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "禁用 ARR 關聯時，傳入請求將均勻分佈在所有可用節點上。均勻分佈的請求可防止流量使任何單個節點不堪重負。如果節點不可用，則可以將請求無縫重定向到其他正常運行的節點。 避免會話相關性，以確保應用服務實例保持無狀態。無狀態應用服務可降低複雜性，並確保節點之間的行為一致。 刪除粘性會話，以便應用服務可以添加或刪除實例以水平縮放。", + "guid": "5a05980f-0f3f-42c2-af59-563b037aa64c", + "service": "App Service Web Apps", + "text": "（應用服務）請考慮禁用應用程式請求路由 （ARR） 關聯功能。ARR 關聯會創建粘性會話，將使用者重定向到處理其先前請求的節點。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "自動修復規則可説明您的應用程式自動從意外問題中恢復。當超出閾值時，配置的規則會觸發修復操作。 自動修復可實現自動主動維護。", + "guid": "a92ea6eb-79b0-49f8-be2f-9ecbd56ca794", + "service": "App Service Web Apps", + "text": "（應用服務）根據請求計數、慢速請求、記憶體限制以及性能基線中的其他指標定義自動修復規則。將此配置視為擴展策略的一部分。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "運行狀況檢查可以及早發現問題。然後，當運行狀況檢查請求失敗時，系統可以自動採取糾正措施。 負載均衡器將流量從不正常的實例路由出去，從而將使用者定向到正常運行的節點。", + "guid": "8804a347-b18e-4dce-88b6-9beee13dc12b", + "service": "App Service Web Apps", + "text": "（應用服務）開啟健康檢查功能，並提供回應健康檢查請求的路徑。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "應用程式從 Key Vault 檢索機密，以驗證來自應用程式的外部通信。Azure 管理標識，不需要預配或輪換任何機密。 對於控制的粒度，您具有不同的身份。如果身份遭到洩露，不同的身份使吊銷變得容易。", + "guid": "ffcc54ba-464e-4ad4-b96c-de8a6959ba61", + "service": "App Service Web Apps", + "text": "（應用服務）將託管標識分配給 Web 應用。若要保持隔離邊界，請不要在應用程式之間共用或重複使用標識。 如果使用容器進行部署，請確保安全地連接到容器註冊表。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "自定義域使用傳輸層安全性 （TLS） 協定通過 HTTPS 實現安全通信，從而確保對敏感數據的保護並建立使用者信任。", + "guid": "d0450dd8-5e4e-45a2-ae67-83de17e9932c", + "service": "App Service Web Apps", + "text": "（應用服務）為應用程式配置自定義域。 禁用 HTTP 並僅接受 HTTPS 請求。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "使用此功能時，您不必在應用程式代碼中使用身份驗證庫，從而降低了複雜性。當請求到達應用程式時，用戶已經過身份驗證。", + "guid": "b2b6b6df-7bd0-4394-a6df-86c3a15bcaf7", + "service": "App Service Web Apps", + "text": "（應用服務） 評估應用服務內置身份驗證是否是對存取應用程式的使用者進行身份驗證的正確機制。應用服務內置身份驗證與 Microsoft Entra ID 集成。此功能處理跨多個登錄供應商的令牌驗證和使用者身份管理，並支援 OpenID Connect。使用此功能時，您沒有細粒度級別的授權，並且沒有測試身份驗證的機制。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "獲得使用 Azure 虛擬網路的安全優勢。例如，應用程式可以安全地訪問網路內的資源。 添加專用終結點以幫助保護應用程式。專用終結點限制了對公共網路的直接暴露，並允許通過反向代理進行受控訪問。", + "guid": "bc1fd50b-a78a-44e6-bbd6-db1c75fa8fdd", + "service": "App Service Web Apps", + "text": "（應用服務）為虛擬網路整合配置應用程式。 對應用服務應用使用專用終結點。阻止所有公共交通。 通過虛擬網路集成路由容器映射拉取。來自應用程式的所有傳出流量都通過虛擬網路。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "我們不建議將基本身份驗證作為安全部署方法。Microsoft Entra ID 採用基於 OAuth 2.0 令牌的身份驗證，該身份驗證提供了許多優勢和增強功能，可解決與基本身份驗證關聯的限制。 策略限制對應用程式資源的訪問，僅允許來自特定域的請求，並保護跨區域請求。", + "guid": "aed08f98-d32e-43c4-8879-e2a3640ec82a", + "service": "App Service Web Apps", + "text": "（應用服務）要實施強化，請執行以下操作： - 禁用使用使用者名和密碼的基本身份驗證，以支持基於 Microsoft Entra ID 的身份驗證。 - 關閉遠端調試，以便不打開入站埠。- 啟用 CORS 策略以收緊傳入請求。 - 禁用 FTP 等協定。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "機密與應用的配置分開保存。應用設置在靜態時進行加密。 應用服務還管理機密輪換。", + "guid": "ed800519-baa0-449d-8c29-c5fae194116a", + "service": "App Service Web Apps", + "text": "（應用服務）始終使用 Key Vault 引用作為應用設置。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "為在應用服務計劃中運行的資源獲取實時保護。防範威脅並增強整體安全態勢。", + "guid": "4c020315-db82-4fd8-a3da-8f2b80bd5b4f", + "service": "App Service Web Apps", + "text": "（應用服務計劃）為應用服務啟用 Microsoft Defender for Cloud。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "日誌記錄捕獲訪問模式。它記錄相關事件，這些事件提供有關使用者如何與應用程式或平臺交互的寶貴見解。這些資訊對於問責制、合規性和安全性目的至關重要。", + "guid": "a1278dd3-3ed5-43b3-9544-69ccd3694db1", + "service": "App Service Web Apps", + "text": "（應用服務計劃）啟用診斷日誌記錄並向應用添加檢測。日誌將發送到 Azure 儲存帳戶、Azure 事件中心和 Log Analytics。有關審核日誌類型的更多資訊，請參閱支援的日誌類型。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "與較高級別相比，「免費」和“基本”級別對預算友好。它們為不需要高級計劃的全部功能和性能的非生產環境提供了經濟高效的解決方案。", + "guid": "73ebf138-84db-4fcf-9829-c3196790bb4b", + "service": "App Service Web Apps", + "text": "（應用服務計劃）對於較低的環境，請選擇「免費」或“基本”層。我們建議將這些層用於實驗性用途。當您不再需要這些層時，請將其刪除。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "開發/測試計劃為 Azure 服務提供更低的費率，這使得它們在非生產環境中具有成本效益。 使用預留實例預付計算資源費用並獲得大幅折扣。", + "guid": "e4b9b5ec-6d62-4457-8225-98070a48f1f0", + "service": "App Service Web Apps", + "text": "（應用服務計劃）利用折扣並探索以下優惠定價： - 使用開發/測試計劃降低環境。 - 在高級 V3 層和應用服務環境中預配的專用計算的 Azure 預留和 Azure 節省計畫。 將預留實例用於具有可預測使用模式的穩定工作負載。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "您可以及早發現成本飆升、效率低下或意外費用。這種積極主動的方法可説明您提供預算控制，以防止超支。", + "guid": "c3c919e3-e1ef-4566-8789-edada78d7095", + "service": "App Service Web Apps", + "text": "（應用服務）監視應用服務資源產生的成本。在 Azure 門戶中運行成本分析工具。 創建預算和警報以通知利益相關者。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "防止浪費，減少不必要的開支。", + "guid": "a5257a31-c39f-4c09-85d0-d34edbfc0bbd", + "service": "App Service Web Apps", + "text": "（應用服務計劃）當需求減少時進行縮減。若要縮減，請定義縮放規則以減少 Azure Monitor 中的實例數。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "您可以及時發現問題並採取必要的措施來保持可用性和性能。", + "guid": "29f5cff9-45d7-4ade-8e27-94ca0ba3b1d3", + "service": "App Service Web Apps", + "text": "（應用服務）監控實例的運行狀況並啟動實例運行狀況探測。設置用於處理運行狀況探測請求的特定路徑。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "診斷日誌提供有關應用行為的寶貴見解。監控流量模式並識別異常情況。", + "guid": "9540f299-ca72-4849-a58a-78153436fc26", + "service": "App Service Web Apps", + "text": "（應用服務）為應用程式和實例啟用診斷日誌。 頻繁的日誌記錄可能會降低系統的性能，增加存儲成本，並且如果您無法安全地訪問日誌，還會帶來風險。請遵循以下最佳實踐： - 記錄正確級別的資訊。 - 設置保留策略。 - 保留對授權訪問和未經授權的嘗試的審計跟蹤。- 將日誌視為數據，並應用數據保護控制。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "應用服務會自動處理證書獲取、證書驗證、證書續訂和從 Key Vault 導入證書等過程。或者，將證書上傳到 Key Vault，並授權應用服務資源供應商訪問它。", + "guid": "4a17086d-c18e-4f8e-95ec-2f2b2ec65d17", + "service": "App Service Web Apps", + "text": "（應用服務）利用應用服務託管證書將證書管理卸載到 Azure。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "避免停機和錯誤。 如果在交換后檢測到問題，請快速恢復到上次已知的良好狀態。", + "guid": "0f0b02b2-941d-45a9-973a-74a01899a16d", + "service": "App Service Web Apps", + "text": "（應用服務計劃）在將暫存槽與生產槽交換應用之前，請驗證該應用在過渡槽中的更改。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "在啟用 Always On 的情況下，應用程式永遠不會卸載。", + "guid": "24d94b35-de37-4c04-9aea-dec880bf216c", + "service": "App Service Web Apps", + "text": "當應用程式共用單個應用服務計劃時，啟用 Always On 設置。應用服務應用在空閒時自動卸載以節省資源。下一個請求會觸發冷啟動，這可能會導致請求超時。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "選擇 HTTP/2 而不是 HTTP/1.1，因為 HTTP/2 完全多路複用連接，重用連接以減少開銷，並壓縮標頭以最大程度地減少數據傳輸。", + "guid": "f5d46d58-7c3f-4917-a4f1-b97aa98a00c4", + "service": "App Service Web Apps", + "text": "考慮將 HTTP/2 用於應用程式以提高協定效率。", + "type": "recommendation", + "waf": "性能" + } + ], + "metadata": { + "name": "App Service Web Apps Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "此檢查尚未查看", + "name": "未驗證" + }, + { + "description": "有一個與此檢查關聯的操作項", + "name": "打開" + }, + { + "description": "此檢查已經過驗證，並且沒有與之關聯的其他操作項", + "name": "實現" + }, + { + "description": "不適用於當前設計", + "name": "N/A" + }, + { + "description": "不需要", + "name": "不需要" + } + ], + "waf": [ + { + "name": "安全" + }, + { + "name": "成本" + }, + { + "name": "成本" + }, + { + "name": "可靠性" + }, + { + "name": "可靠性" + }, + { + "name": "安全" + }, + { + "name": "性能" + }, + { + "name": "操作" + }, + { + "name": "操作" + }, + { + "name": "性能" + } + ], + "yesno": [ + { + "name": "是的" + }, + { + "name": "不" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azureapplicationgateway_sg_checklist.en.json b/checklists-ext/azureapplicationgateway_sg_checklist.en.json index d5938e9ee..26bda617e 100644 --- a/checklists-ext/azureapplicationgateway_sg_checklist.en.json +++ b/checklists-ext/azureapplicationgateway_sg_checklist.en.json @@ -301,6 +301,6 @@ "name": "Azure Application Gateway Service Guide", "waf": "all", "state": "preview", - "timestamp": "August 04, 2024" + "timestamp": "August 05, 2024" } } \ No newline at end of file diff --git a/checklists-ext/azureapplicationgateway_sg_checklist.es.json b/checklists-ext/azureapplicationgateway_sg_checklist.es.json new file mode 100644 index 000000000..41eda183b --- /dev/null +++ b/checklists-ext/azureapplicationgateway_sg_checklist.es.json @@ -0,0 +1,306 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "Planee el tiempo suficiente para las actualizaciones antes de acceder a Application Gateway o realizar más cambios. Por ejemplo, la eliminación de servidores del grupo de back-end puede llevar algún tiempo porque tienen que purgar las conexiones existentes.", + "guid": "9a17eb2b-c5e3-428b-9e45-73dead45c4f9", + "service": "Azure Application Gateway", + "text": "Planear las actualizaciones de las reglas", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Si Application Gateway se usa para equilibrar la carga del tráfico entrante en varias instancias de back-end, se recomienda el uso de sondeos de estado. Esto garantizará que el tráfico no se enrute a backends que no puedan manejar el tráfico.", + "guid": "5bfa95df-20d8-4452-a6c1-79c88b07d4cc", + "service": "Azure Application Gateway", + "text": "Uso de sondeos de estado para detectar la falta de disponibilidad del back-end", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "El sondeo de estado envía solicitudes al punto de conexión configurado en un intervalo establecido. Además, hay un umbral de solicitudes fallidas que se tolerarán antes de que el back-end se marque como incorrecto. Estos números presentan una compensación.- Establecer un intervalo más alto pone una mayor carga en su servicio. Cada instancia de Application Gateway envía sus propios sondeos de estado, por lo que 100 instancias cada 30 segundos significa 100 solicitudes cada 30 segundos.- Establecer un intervalo inferior deja más tiempo antes de que se detecte una interrupción.- Establecer un umbral incorrecto bajo podría significar que errores breves y transitorios podrían derribar un back-end. - Al establecer un umbral alto, puede llevar más tiempo sacar un backend de la rotación.", + "guid": "ec5bc6c4-6176-44a2-860e-8654f588effd", + "service": "Azure Application Gateway", + "text": "Revisión del impacto de la configuración de intervalo y umbral en los sondeos de estado", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Supongamos que cada backend tiene sus propias dependencias para garantizar que se aíslen los errores. Por ejemplo, una aplicación hospedada detrás de Application Gateway puede tener varios back-ends, cada uno conectado a una base de datos diferente (réplica). Cuando se produce un error en una dependencia de este tipo, es posible que la aplicación esté funcionando, pero no devolverá resultados válidos. Por ese motivo, lo ideal es que el punto de conexión de mantenimiento valide todas las dependencias. Tenga en cuenta que si cada llamada al punto de conexión de mantenimiento tiene una llamada de dependencia directa, esa base de datos recibiría 100 consultas cada 30 segundos en lugar de 1. Para evitar esto, el punto de conexión de mantenimiento debe almacenar en caché el estado de las dependencias durante un breve período de tiempo.", + "guid": "78bc5274-ca88-4e2a-8d3a-7b6a5ed1ccd6", + "service": "Azure Application Gateway", + "text": "Comprobación de las dependencias de nivel inferior a través de los puntos de conexión de estado", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Determinados escenarios pueden obligarle a implementar reglas específicamente en Application Gateway. Por ejemplo, si se requieren reglas ModSec CRS 2.2.9, CRS 3.0 o CRS 3.1, estas reglas solo se pueden implementar en Application Gateway. Por el contrario, la limitación de velocidad y el filtrado geográfico solo están disponibles en Azure Front Door, no en AppGateway.", + "guid": "da7234f3-70a7-47d2-b685-3e47843003e9", + "service": "Azure Application Gateway", + "text": "Al usar Azure Front Door y Application Gateway para proteger aplicaciones \"HTTP/S\", use directivas de WAF en Front Door y bloquee Application Gateway para recibir tráfico solo de Azure Front Door.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Configure una política TLS para mayor seguridad. Asegúrese de usar siempre la última versión de la política TLS disponible. Esto aplica TLS 1.2 y cifrados más seguros.", + "guid": "9e5ba3b9-3512-425b-95e3-d5009e7630f3", + "service": "Azure Application Gateway", + "text": "Configuración de una política TLS para mejorar la seguridad", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Hay ventajas de usar Application Gateway para la terminación de TLS:- El rendimiento mejora porque las solicitudes que van a diferentes backends tienen que volver a autenticarse en cada backend.- Mejor utilización de los servidores de back-end porque no tienen que realizar el procesamiento de TLS- Enrutamiento inteligente mediante el acceso al contenido de la solicitud.- Administración de certificados más fácil porque el certificado solo necesita instalarse en Application Gateway.", + "guid": "5cbd84eb-56a7-4d18-9f50-de47d3b29a8f", + "service": "Azure Application Gateway", + "text": "Uso de AppGateway para la terminación de TLS", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Application Gateway se puede integrar con Key Vault. Esto proporciona una mayor seguridad, una separación más sencilla de roles y responsabilidades, compatibilidad con certificados administrados y un proceso de renovación y rotación de certificados más sencillo.", + "guid": "c1e7b351-a459-49d1-b473-a1f663310205", + "service": "Azure Application Gateway", + "text": "Uso de Azure Key Vault para almacenar certificados TLS", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Un certificado TLS del servidor backend debe ser emitido por una CA conocida. Si el certificado no fue emitido por una entidad de certificación de confianza, Application Gateway comprueba si el certificado fue emitido por una entidad de certificación de confianza, y así sucesivamente, hasta que se encuentre un certificado de entidad de certificación de confianza. Solo entonces se establece una conexión segura. De lo contrario, Application Gateway marca el back-end como incorrecto.", + "guid": "1f53df88-090e-4f67-8a41-866ea4938cb1", + "service": "Azure Application Gateway", + "text": "Al volver a cifrar el tráfico de backend, asegúrese de que el certificado del servidor de backend contenga las autoridades de certificación (CA) raíz e intermedias", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Cuando el grupo de back-end contiene un FQDN que se puede resolver, la resolución DNS se basa en una zona DNS privada o en un servidor DNS personalizado (si está configurado en la red virtual), o usa el DNS predeterminado proporcionado por Azure.", + "guid": "0e1af02a-017b-4a41-a7e5-98b47d7b1fd7", + "service": "Azure Application Gateway", + "text": "Usar un servidor DNS adecuado para los recursos del grupo de back-end", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Los grupos de seguridad de red se admiten en la subred de Application Gateway, pero existen algunas restricciones. Por ejemplo, se prohíbe cierta comunicación con ciertos rangos de puertos. Asegúrese de comprender las implicaciones de esas restricciones. Para obtener más información, consulte Grupos de seguridad de red.", + "guid": "75da1adb-f8a2-4ad5-879a-a8552d1c836a", + "service": "Azure Application Gateway", + "text": "Cumplimiento de todas las restricciones de NSG para Application Gateway", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "El uso de rutas definidas por el usuario (UDR) en la subred de Application Gateway puede causar algunos problemas. Es posible que se desconozca el estado de mantenimiento en el back-end. Es posible que no se generen los registros y las métricas de Application Gateway. Se recomienda no usar UDR en la subred de Application Gateway para poder ver el estado, los registros y las métricas del back-end. Si las organizaciones necesitan usar UDR en la subred de Application Gateway, asegúrese de revisar los escenarios admitidos. Para obtener más información, consulte Rutas definidas por el usuario admitidas.", + "guid": "7776e1c9-a0a7-4fd5-8fe9-1b2b9c56cf31", + "service": "Azure Application Gateway", + "text": "Abstenerse de usar UDR en la subred de Application Gateway", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Cuando WAF está habilitado, Application Gateway debe almacenar en búfer cada solicitud hasta que llegue por completo, comprueba si la solicitud coincide con alguna infracción de regla en su conjunto de reglas principal y, a continuación, reenvía el paquete a las instancias de back-end. Cuando hay cargas de archivos grandes (30 MB+ de tamaño), puede resultar en una latencia significativa. Dado que los requisitos de capacidad de Application Gateway son diferentes con WAF, no se recomienda habilitar WAF en Application Gateway sin las pruebas y validaciones adecuadas.", + "guid": "7c173790-6fac-43bc-b1b4-e787fdbb904f", + "service": "Azure Application Gateway", + "text": "Tenga en cuenta los cambios de capacidad de Application Gateway al habilitar WAF", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Para obtener información sobre los precios de Application Gateway, consulte Descripción de los precios de Azure Application Gateway y Web Application Firewall. También puede aprovechar la calculadora de precios. Asegúrese de que las opciones tengan el tamaño adecuado para satisfacer la demanda de capacidad y ofrecer el rendimiento esperado sin desperdiciar recursos.", + "guid": "13adc786-048a-4720-9aad-610419507199", + "service": "Azure Application Gateway", + "text": "Familiarícese con los precios de Application Gateway", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Identifique y elimine instancias de Application Gateway con grupos de back-end vacíos para evitar costos innecesarios.", + "guid": "8d3979f9-bd25-4455-9e2f-2cc7e0deaf5e", + "service": "Azure Application Gateway", + "text": "Revisar los recursos infrautilizados", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "No se le facturará cuando Application Gateway esté en estado detenido. Las instancias de Application Gateway que se ejecutan de forma continua pueden incurrir en costos superfluos. Evalúe los patrones de uso y detenga las instancias cuando no las necesite. Por ejemplo, se espera que el uso después del horario comercial en entornos de desarrollo y pruebas sea bajo. Consulte estos artículos para obtener información sobre cómo detener e iniciar instancias.- Stop-AzApplicationGateway- Start-AzApplicationGateway", + "guid": "fc01794b-1808-4152-a82c-95b43b2a4c45", + "service": "Azure Application Gateway", + "text": "Detener instancias de Application Gateway cuando no están en uso", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Una política de escalado horizontal garantiza que habrá suficientes instancias para controlar el tráfico entrante y los picos. Además, tenga una política de reducción horizontal que garantice que el número de instancias se reduzca cuando disminuya la demanda. Tenga en cuenta la elección del tamaño de la instancia. El tamaño puede afectar significativamente el costo. Algunas consideraciones se describen en Estimación del recuento de instancias de Application Gateway. Para más información, consulte ¿Qué es Azure Application Gateway v2?", + "guid": "4e5743d9-44ec-4a09-9c80-d77056109fc6", + "service": "Azure Application Gateway", + "text": "Tener una política de escalado vertical y horizontal", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Se le facturará en función de las instancias medidas de Application Gateway en función de las métricas rastreadas por Azure. Evalúe las distintas métricas y unidades de capacidad y determine los factores de coste. Para obtener más información, consulte Administración de costos y facturación de Microsoft. Las siguientes métricas son clave para Application Gateway. Esta información se puede usar para validar que el recuento de instancias aprovisionadas coincida con la cantidad de tráfico entrante.- Unidades de capacidad facturadas estimadas- Unidades de capacidad facturables fijas- Unidades de capacidad actualesPara obtener más información, consulte Métricas de Application Gateway. Asegúrese de tener en cuenta los costos de ancho de banda.", + "guid": "30129a61-cd84-4085-9533-5d42f89372d9", + "service": "Azure Application Gateway", + "text": "Revisar las métricas de consumo en diferentes parámetros", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Utilice estas métricas como indicadores de uso de la capacidad aprovisionada de Application Gateway. Le recomendamos encarecidamente que configure alertas sobre la capacidad. Para obtener más información, consulte Compatibilidad con el tráfico elevado de Application Gateway.", + "guid": "57cc0c49-939f-46d9-864e-d7ce31733771", + "service": "Azure Application Gateway", + "text": "Supervisión de las métricas de capacidad", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Hay otras métricas que pueden indicar problemas en Application Gateway o en el back-end. Se recomienda evaluar las siguientes alertas:- Recuento de hosts incorrectos- Estado de respuesta (dimensión 4xx y 5xx)- Estado de respuesta del back-end (dimensión 4xx y 5xx)- Tiempo de respuesta del último byte del back-end- Tiempo total de Application GatewayPara obtener más información, consulte Métricas para Application Gateway.", + "guid": "071e5241-c008-41a2-9e62-c056081158d2", + "service": "Azure Application Gateway", + "text": "Solución de problemas mediante métricas", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Los registros de diagnóstico le permiten ver los registros de firewall, los registros de rendimiento y los registros de acceso. Use estos registros para administrar y solucionar problemas con las instancias de Application Gateway. Para obtener más información, consulte Registros de diagnóstico y estado de back-end para Application Gateway.", + "guid": "7e160588-dc1c-48d5-9a56-4ddc6aeb8fc2", + "service": "Azure Application Gateway", + "text": "Habilitación de diagnósticos en Application Gateway y Web Application Firewall (WAF)", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Azure Monitor Network Insights proporciona una vista completa del estado y las métricas de los recursos de red, incluida Application Gateway. Para obtener más información y funcionalidades compatibles con Application Gateway, consulte Información de red de Azure Monitor.", + "guid": "260dc49f-05b9-4c43-9cda-afc5b1923c89", + "service": "Azure Application Gateway", + "text": "Uso de Azure Monitor Network Insights", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Asegúrese de que ha configurado la configuración de IdleTimeout para que coincida con las características del agente de escucha y el tráfico de la aplicación back-end. El valor predeterminado se establece en cuatro minutos y se puede configurar hasta un máximo de 30. Para obtener más información, consulte Restablecimiento de TCP del equilibrador de carga y tiempo de espera de inactividad.Para obtener consideraciones sobre la carga de trabajo, consulte Supervisión del estado de la aplicación para la confiabilidad.", + "guid": "8c5e5e8f-44d7-4494-8819-c1d765838fec", + "service": "Azure Application Gateway", + "text": "Hacer coincidir la configuración de tiempo de espera con la aplicación back-end", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Application Gateway comprueba la versión de certificado renovada en la instancia de Key Vault vinculada cada intervalo de 4 horas. Si no se puede acceder a él debido a una configuración incorrecta de Key Vault, registra ese error y envía una recomendación de Advisor correspondiente. Debe configurar las alertas de Advisor para mantenerse actualizado y solucionar estos problemas de inmediato para evitar problemas relacionados con el plano de control o de datos. Para obtener más información, consulte Investigación y resolución de errores de Key Vault. Para establecer una alerta para este caso específico, use el tipo de recomendación como Resolver problema de Azure Key Vault para Application Gateway.", + "guid": "4123369e-cbd7-472d-9879-e155476c2595", + "service": "Azure Application Gateway", + "text": "Supervisión de problemas de configuración de Key Vault mediante Azure Advisor", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Las limitaciones del puerto SNAT son importantes para las conexiones de back-end en Application Gateway. Hay factores independientes que afectan a la forma en que Application Gateway alcanza el límite de puertos SNAT. Por ejemplo, si el backend es una dirección IP pública, requerirá su propio puerto SNAT. Para evitar las limitaciones del puerto SNAT, puede aumentar el número de instancias por Application Gateway, escalar horizontalmente los back-end para que tengan más direcciones IP o mover los back-end a la misma red virtual y usar direcciones IP privadas para los back-ends. Las solicitudes por segundo (RPS) en Application Gateway se verán afectadas si se alcanza el límite de puertos SNAT. Por ejemplo, si Application Gateway alcanza el límite de puertos SNAT, no podrá abrir una nueva conexión al back-end y se producirá un error en la solicitud.", + "guid": "d2713c48-1e6f-4ee8-b91c-8499e7146945", + "service": "Azure Application Gateway", + "text": "Tenga en cuenta las limitaciones de los puertos SNAT en su diseño", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "En el caso de la SKU de Application Gateway v2, el escalado automático tarda algún tiempo (aproximadamente de seis a siete minutos) antes de que el conjunto adicional de instancias esté listo para atender el tráfico. Durante ese tiempo, si hay picos cortos en el tráfico, espere latencia transitoria o pérdida de tráfico. Le recomendamos que establezca el número mínimo de instancias en un nivel óptimo. Después de calcular el número medio de instancias y determinar las tendencias de escalado automático de Application Gateway, defina el recuento mínimo de instancias en función de los patrones de la aplicación. Para obtener información, consulte Compatibilidad con alto tráfico de Application Gateway. Compruebe las unidades de cálculo actuales del último mes. Esta métrica representa la utilización de la CPU de la puerta de enlace. Para definir el número mínimo de instancias, divida el uso máximo por 10. Por ejemplo, si el promedio de unidades de proceso actuales en el último mes es de 50, establezca el recuento mínimo de instancias en cinco.", + "guid": "8bba115b-e086-458e-beca-ae9d8144a1f6", + "service": "Azure Application Gateway", + "text": "Definir el número mínimo de instancias", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Se recomienda 125 como número máximo de instancias de escalado automático. Asegúrese de que la subred que tiene Application Gateway tiene suficientes direcciones IP disponibles para admitir el conjunto de instancias de escalado vertical. Establecer el número máximo de instancias en 125 no tiene implicaciones de costo, ya que solo se le factura por la capacidad consumida.", + "guid": "1250aa80-2761-4138-9565-57735472779b", + "service": "Azure Application Gateway", + "text": "Definir el número máximo de instancias", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Application Gateway necesita una subred dedicada dentro de una red virtual. La subred puede tener varias instancias del recurso de Application Gateway implementado. También puede implementar otros recursos de Application Gateway en esa SKU de subred, v1 o v2. Estas son algunas consideraciones para definir el tamaño de la subred:- Application Gateway usa una dirección IP privada por instancia y otra dirección IP privada si se configura una IP de front-end privada.- Azure reserva cinco direcciones IP en cada subred para uso interno.- Application Gateway (SKU estándar o WAF) puede admitir hasta 32 instancias. Tomando 32 direcciones IP de instancia + 1 IP de front-end privada + 5 reservadas de Azure, se recomienda un tamaño de subred mínimo de /26. Dado que la SKU de Standard_v2 o WAF_v2 puede admitir hasta 125 instancias, con el mismo cálculo, se recomienda un tamaño de subred de /24.- Si desea implementar recursos adicionales de Application Gateway en la misma subred, tenga en cuenta las direcciones IP adicionales que se requerirán para su recuento máximo de instancias tanto para Estándar como para Estándar v2.", + "guid": "dbf3ca82-d3a8-431e-a86e-65df49c72032", + "service": "Azure Application Gateway", + "text": "Definir el tamaño de la subred de Application Gateway", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "La SKU v2 ofrece escalado automático para garantizar que Application Gateway pueda escalar verticalmente a medida que aumenta el tráfico. En comparación con la SKU v1, v2 tiene capacidades que mejoran el rendimiento de la carga de trabajo. Por ejemplo, un mejor rendimiento de descarga de TLS, tiempos de implementación y actualización más rápidos, redundancia de zona y más. Para obtener más información sobre las características de escalado automático, consulte Escalado de Application Gateway v2 y WAF v2. Si ejecuta la SKU v1 Application Gateway, considere la posibilidad de migrar a la SKU Application Gateway v2. Para más información, consulte Migración de Azure Application Gateway y Web Application Firewall de v1 a v2.", + "guid": "dffdc8e9-9139-46c1-93df-638e00cb3657", + "service": "Azure Application Gateway", + "text": "Aproveche las características de escalado automático y las ventajas de rendimiento", + "type": "recommendation", + "waf": "Rendimiento" + } + ], + "metadata": { + "name": "Azure Application Gateway Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "Este control aún no se ha examinado", + "name": "No verificado" + }, + { + "description": "Hay un elemento de acción asociado a esta comprobación", + "name": "Abrir" + }, + { + "description": "Esta comprobación se ha verificado y no hay más elementos de acción asociados a ella", + "name": "Cumplido" + }, + { + "description": "No aplicable para el diseño actual", + "name": "N/A" + }, + { + "description": "No es necesario", + "name": "No es necesario" + } + ], + "waf": [ + { + "name": "seguridad" + }, + { + "name": "Costar" + }, + { + "name": "costar" + }, + { + "name": "Fiabilidad" + }, + { + "name": "fiabilidad" + }, + { + "name": "Seguridad" + }, + { + "name": "rendimiento" + }, + { + "name": "Operaciones" + }, + { + "name": "Operaciones" + }, + { + "name": "Rendimiento" + } + ], + "yesno": [ + { + "name": "Sí" + }, + { + "name": "No" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azureapplicationgateway_sg_checklist.ja.json b/checklists-ext/azureapplicationgateway_sg_checklist.ja.json new file mode 100644 index 000000000..8bf9f5925 --- /dev/null +++ b/checklists-ext/azureapplicationgateway_sg_checklist.ja.json @@ -0,0 +1,306 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "Application Gateway にアクセスしたり、さらに変更を加えたりする前に、更新のための十分な時間を計画してください。たとえば、バックエンド プールからサーバーを削除すると、既存の接続をドレインする必要があるため、時間がかかる場合があります。", + "guid": "9a17eb2b-c5e3-428b-9e45-73dead45c4f9", + "service": "Azure Application Gateway", + "text": "ルールの更新を計画する", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "Application Gateway を使用して複数のバックエンド インスタンスで受信トラフィックの負荷を分散する場合は、正常性プローブを使用することをお勧めします。これにより、トラフィックを処理できないバックエンドにトラフィックがルーティングされなくなります。", + "guid": "5bfa95df-20d8-4452-a6c1-79c88b07d4cc", + "service": "Azure Application Gateway", + "text": "正常性プローブを使用してバックエンドの可用性の低さを検出する", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "正常性プローブは、設定された間隔で構成されたエンドポイントに要求を送信します。また、バックエンドが異常とマークされる前に許容される失敗した要求のしきい値があります。これらの数値はトレードオフを示しています。- 間隔を長く設定すると、サービスに高い負荷がかかります。各 Application Gateway インスタンスは独自の正常性プローブを送信するため、30 秒ごとに 100 インスタンスは 30 秒あたり 100 要求を意味します。- 間隔を短く設定すると、停止が検出されるまでの時間が長くなります。- 異常なしきい値を低く設定すると、短時間の一時的な障害によってバックエンドがダウンする可能性があります。- しきい値を高く設定すると、バックエンドをローテーションから外すのに時間がかかる場合があります。", + "guid": "ec5bc6c4-6176-44a2-860e-8654f588effd", + "service": "Azure Application Gateway", + "text": "正常性プローブに対する間隔としきい値の設定の影響を確認します", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "各バックエンドに独自の依存関係があり、障害が分離されているとします。たとえば、Application Gateway の背後でホストされているアプリケーションには、複数のバックエンドがあり、それぞれが異なるデータベース (レプリカ) に接続されている場合があります。このような依存関係が失敗すると、アプリケーションは動作している可能性がありますが、有効な結果は返されません。そのため、正常性エンドポイントは、理想的にはすべての依存関係を検証する必要があります。正常性エンドポイントへの各呼び出しに直接依存関係の呼び出しがある場合、そのデータベースは 1 回ではなく 30 秒ごとに 100 回のクエリを受け取ることに注意してください。これを回避するには、正常性エンドポイントで依存関係の状態を短時間キャッシュする必要があります。", + "guid": "78bc5274-ca88-4e2a-8d3a-7b6a5ed1ccd6", + "service": "Azure Application Gateway", + "text": "正常性エンドポイントによるダウンストリームの依存関係の確認", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "特定のシナリオでは、Application Gateway にルールを実装することを余儀なくされる場合があります。たとえば、ModSec CRS 2.2.9、CRS 3.0、または CRS 3.1 のルールが必要な場合、これらのルールは Application Gateway にのみ実装できます。逆に、レート制限と geo フィルタリングは Azure Front Door でのみ使用でき、AppGateway では使用できません。", + "guid": "da7234f3-70a7-47d2-b685-3e47843003e9", + "service": "Azure Application Gateway", + "text": "Azure Front Door と Application Gateway を使用して \"HTTP/S\" アプリケーションを保護する場合は、Front Door で WAF ポリシーを使用し、Azure Front Door からのトラフィックのみを受信するように Application Gateway をロックダウンします。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "セキュリティを強化するために TLS ポリシーを設定します。常に利用可能な最新の TLS ポリシーバージョンを使用していることを確認してください。これにより、TLS 1.2 以上の暗号が適用されます。", + "guid": "9e5ba3b9-3512-425b-95e3-d5009e7630f3", + "service": "Azure Application Gateway", + "text": "セキュリティを強化するための TLS ポリシーの設定", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "TLS 終了に Application Gateway を使用することには、次のような利点があります。- 異なるバックエンドに送信される要求が各バックエンドに対して再認証を必要とするため、パフォーマンスが向上します。- TLS 処理を実行する必要がないため、バックエンド サーバーの使用率が向上します。- 要求コンテンツへのアクセスによるインテリジェントなルーティング - 証明書を Application Gateway にインストールするだけで済むため、証明書の管理が容易になります。", + "guid": "5cbd84eb-56a7-4d18-9f50-de47d3b29a8f", + "service": "Azure Application Gateway", + "text": "AppGateway を TLS ターミネーションに使用する", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Application Gateway は Key Vault と統合できます。これにより、セキュリティが強化され、役割と責任の分離が容易になり、管理された証明書のサポート、証明書の更新とローテーションのプロセスが容易になります。", + "guid": "c1e7b351-a459-49d1-b473-a1f663310205", + "service": "Azure Application Gateway", + "text": "Azure Key Vault を使用して TLS 証明書を格納する", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "バックエンド サーバーの TLS 証明書は、既知の CA によって発行される必要があります。証明書が信頼された CA によって発行されていない場合、Application Gateway は、信頼された CA 証明書が見つかるまで、証明書が信頼された CA によって発行されたかどうかなどを確認します。その後、安全な接続が確立されます。それ以外の場合、Application Gateway はバックエンドを異常としてマークします。", + "guid": "1f53df88-090e-4f67-8a41-866ea4938cb1", + "service": "Azure Application Gateway", + "text": "バックエンド トラフィックを再暗号化する場合は、バックエンド サーバー証明書にルート認証局 (CA) と中間認証局 (CA) の両方が含まれていることを確認します", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "バックエンド プールに解決可能な FQDN が含まれている場合、DNS 解決はプライベート DNS ゾーンまたはカスタム DNS サーバー (VNet で構成されている場合) に基づいているか、Azure が提供する既定の DNS を使用します。", + "guid": "0e1af02a-017b-4a41-a7e5-98b47d7b1fd7", + "service": "Azure Application Gateway", + "text": "バックエンド プール リソースに適切な DNS サーバーを使用する", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "NSG は Application Gateway サブネットでサポートされていますが、いくつかの制限があります。たとえば、特定のポート範囲との一部の通信は禁止されています。これらの制限の影響を理解していることを確認してください。詳細については、「ネットワーク セキュリティ グループ」を参照してください。", + "guid": "75da1adb-f8a2-4ad5-879a-a8552d1c836a", + "service": "Azure Application Gateway", + "text": "Application Gateway のすべての NSG 制限に準拠する", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Application Gateway サブネットでユーザー定義ルート (UDR) を使用すると、いくつかの問題が発生する可能性があります。バックエンドの正常性状態が不明な場合があります。Application Gateway のログとメトリックが生成されない場合があります。バックエンドの正常性、ログ、メトリックを表示できるように、Application Gateway サブネットで UDR を使用しないことをお勧めします。組織で Application Gateway サブネットで UDR を使用する必要がある場合は、サポートされているシナリオを確認してください。詳細については、「サポートされているユーザー定義ルート」を参照してください。", + "guid": "7776e1c9-a0a7-4fd5-8fe9-1b2b9c56cf31", + "service": "Azure Application Gateway", + "text": "Application Gateway サブネットで UDR を使用しないようにする", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "WAF が有効になっている場合、すべての要求は、完全に到着するまで Application Gateway によってバッファーに格納され、要求がコア ルール セットのルール違反と一致するかどうかを確認してから、パケットをバックエンド インスタンスに転送する必要があります。大きなファイル(サイズが30MB+)のアップロードがある場合、大幅な遅延が発生する可能性があります。Application Gateway の容量要件は WAF によって異なるため、適切なテストと検証を行わずに Application Gateway で WAF を有効にすることはお勧めしません。", + "guid": "7c173790-6fac-43bc-b1b4-e787fdbb904f", + "service": "Azure Application Gateway", + "text": "WAF を有効にするときは、Application Gateway の容量の変更に注意してください", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Application Gateway の価格については、「Azure Application Gateway と Web Application Firewall の価格について」を参照してください。また、料金計算ツールを活用することもできます。オプションが容量の需要を満たすために適切なサイズに設定され、リソースを無駄にすることなく期待されるパフォーマンスを提供することを確認します。", + "guid": "13adc786-048a-4720-9aad-610419507199", + "service": "Azure Application Gateway", + "text": "Application Gateway の価格について理解する", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "不要なコストを回避するために、空のバックエンド プールを持つ Application Gateway インスタンスを特定して削除します。", + "guid": "8d3979f9-bd25-4455-9e2f-2cc7e0deaf5e", + "service": "Azure Application Gateway", + "text": "十分に活用されていないリソースを確認する", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "Application Gateway が停止状態の場合、課金されません。Application Gateway インスタンスを継続的に実行すると、余分なコストが発生する可能性があります。使用パターンを評価し、不要なインスタンスを停止します。たとえば、Dev/Test 環境での営業時間後の使用量は低いと予想されます。インスタンスを停止および開始する方法については、次の記事を参照してください。", + "guid": "fc01794b-1808-4152-a82c-95b43b2a4c45", + "service": "Azure Application Gateway", + "text": "使用していないときに Application Gateway インスタンスを停止する", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "スケールアウトポリシーにより、受信トラフィックとスパイクを処理するのに十分なインスタンスが確保されます。また、需要が減少したときにインスタンスの数が減るようにするスケールインポリシーがあります。インスタンスサイズの選択を検討してください。サイズはコストに大きな影響を与える可能性があります。いくつかの考慮事項については、「Application Gateway インスタンス数の見積もり」で説明されています。詳細については、「Azure Application Gateway v2 とは」を参照してください。", + "guid": "4e5743d9-44ec-4a09-9c80-d77056109fc6", + "service": "Azure Application Gateway", + "text": "スケールインとスケールアウトのポリシーがある", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "Azure によって追跡されるメトリックに基づく Application Gateway の従量制課金インスタンスに基づいて課金されます。さまざまなメトリクスとキャパシティーユニットを評価し、コストドライバーを決定します。詳細については、「Microsoft Cost Management and Billing」を参照してください。次のメトリックは、Application Gateway のキーです。この情報は、プロビジョニングされたインスタンス数が受信トラフィックの量と一致することを検証するために使用できます。- 推定請求キャパシティ ユニット- 固定請求可能キャパシティ ユニット- 現在のキャパシティ ユニット詳細については、「Application Gateway メトリック」を参照してください。帯域幅のコストを考慮してください。", + "guid": "30129a61-cd84-4085-9533-5d42f89372d9", + "service": "Azure Application Gateway", + "text": "さまざまなパラメーターにわたる消費メトリックを確認する", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "これらのメトリックは、プロビジョニングされた Application Gateway 容量の使用率の指標として使用します。容量に関するアラートを設定することを強くお勧めします。詳細については、「Application Gateway の高トラフィックのサポート」を参照してください。", + "guid": "57cc0c49-939f-46d9-864e-d7ce31733771", + "service": "Azure Application Gateway", + "text": "容量メトリックの監視", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "Application Gateway またはバックエンドの問題を示す可能性のあるメトリックは他にもあります。次のアラートを評価することをお勧めします:- 異常なホスト数- 応答状態 (ディメンション 4xx と 5xx)- バックエンド応答状態 (ディメンション 4xx と 5xx)- バックエンドの最終バイト応答時間 - Application Gateway 合計時間詳細については、「Application Gateway のメトリック」を参照してください。", + "guid": "071e5241-c008-41a2-9e62-c056081158d2", + "service": "Azure Application Gateway", + "text": "メトリクスを使用したトラブルシューティング", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "診断ログを使用すると、ファイアウォール ログ、パフォーマンス ログ、およびアクセス ログを表示できます。これらのログを使用して、Application Gateway インスタンスの問題を管理およびトラブルシューティングします。詳細については、「Application Gateway のバックエンドの正常性ログと診断ログ」を参照してください。", + "guid": "7e160588-dc1c-48d5-9a56-4ddc6aeb8fc2", + "service": "Azure Application Gateway", + "text": "Application Gateway と Web アプリケーション ファイアウォール (WAF) で診断を有効にする", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "Azure Monitor Network Insights は、Application Gateway を含むネットワーク リソースの正常性とメトリックの包括的なビューを提供します。Application Gateway の詳細とサポートされている機能については、「Azure Monitor ネットワーク分析情報」を参照してください。", + "guid": "260dc49f-05b9-4c43-9cda-afc5b1923c89", + "service": "Azure Application Gateway", + "text": "Azure Monitor Network Insights を使用する", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "バックエンド・アプリケーションのリスナーおよびトラフィック特性と一致するようにIdleTimeout設定が構成されていることを確認します。デフォルト値は 4 分に設定され、最大 30 に設定できます。詳細については、Load Balancer の TCP リセットとアイドル・タイムアウトを参照してください。ワークロードに関する考慮事項については、信頼性のためのアプリケーション・ヘルスのモニタリングを参照してください。", + "guid": "8c5e5e8f-44d7-4494-8819-c1d765838fec", + "service": "Azure Application Gateway", + "text": "タイムアウト設定をバックエンドアプリケーションと一致させる", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "Application Gateway は、リンクされた Key Vault で更新された証明書のバージョンを 4 時間間隔で確認します。Key Vault の構成が正しくないためにアクセスできない場合は、そのエラーをログに記録し、対応する Advisor の推奨事項をプッシュします。Advisor アラートは、常に最新の状態を維持し、このような問題をすぐに修正するように構成して、コントロールプレーンまたはデータプレーン関連の問題を回避する必要があります。詳細については、「キー コンテナーのエラーの調査と解決」を参照してください。この特定のケースのアラートを設定するには、Application Gateway の [推奨事項の種類] を [Azure Key Vault の問題を解決する] として使用します。", + "guid": "4123369e-cbd7-472d-9879-e155476c2595", + "service": "Azure Application Gateway", + "text": "Azure Advisor を使用して Key Vault の構成の問題を監視する", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "SNAT ポートの制限は、Application Gateway でのバックエンド接続にとって重要です。Application Gateway が SNAT ポートの制限に達する方法に影響を与える要因は別々です。たとえば、バックエンドがパブリック IP アドレスの場合、独自の SNAT ポートが必要になります。SNAT ポートの制限を回避するために、Application Gateway あたりのインスタンス数を増やすか、バックエンドをスケールアウトしてより多くの IP アドレスを持つようにするか、バックエンドを同じ仮想ネットワークに移動してバックエンドにプライベート IP アドレスを使用できます。Application Gateway の 1 秒あたりの要求数 (RPS) は、SNAT ポートの制限に達した場合に影響を受けます。たとえば、Application Gateway が SNAT ポートの制限に達した場合、バックエンドへの新しい接続を開くことができず、要求は失敗します。", + "guid": "d2713c48-1e6f-4ee8-b91c-8499e7146945", + "service": "Azure Application Gateway", + "text": "設計では SNAT ポートの制限を考慮してください", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "Application Gateway v2 SKU の場合、自動スケールは、追加のインスタンス セットがトラフィックを処理する準備が整うまでに、ある程度の時間 (約 6 分から 7 分) かかります。その間、トラフィックが急増する場合は、一時的な遅延またはトラフィックの損失が予想されます。最小インスタンス数を最適なレベルに設定することをお勧めします。平均インスタンス数を見積もり、Application Gateway の自動スケールの傾向を決定したら、アプリケーション パターンに基づいて最小インスタンス数を定義します。詳細については、「Application Gateway の高トラフィックのサポート」を参照してください。過去 1 か月の現在のコンピューティング ユニットを確認します。このメトリクスは、ゲートウェイの CPU 使用率を表します。最小インスタンス数を定義するには、ピーク使用量を 10 で割ります。たとえば、過去 1 か月の平均 Current Compute Units が 50 の場合は、最小インスタンス数を 5 に設定します。", + "guid": "8bba115b-e086-458e-beca-ae9d8144a1f6", + "service": "Azure Application Gateway", + "text": "最小インスタンス数の定義", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "自動スケーリング インスタンスの最大数として 125 をお勧めします。Application Gateway を持つサブネットに、インスタンスのスケールアップ セットをサポートするのに十分な使用可能な IP アドレスがあることを確認します。最大インスタンス数を 125 に設定しても、消費された容量に対してのみ請求されるため、コストへの影響はありません。", + "guid": "1250aa80-2761-4138-9565-57735472779b", + "service": "Azure Application Gateway", + "text": "最大インスタンス数の定義", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "Application Gateway には、仮想ネットワーク内に専用のサブネットが必要です。サブネットには、デプロイされた Application Gateway リソースの複数のインスタンスを含めることができます。また、そのサブネット (v1 または v2 SKU) に他の Application Gateway リソースをデプロイすることもできます。サブネット サイズの定義に関する考慮事項を次に示します。- Application Gateway は、インスタンスごとに 1 つのプライベート IP アドレスを使用し、プライベート フロントエンド IP が構成されている場合は別のプライベート IP アドレスを使用します。- Azure では、各サブネットに 5 つの IP アドレスが内部使用のために予約されています。- Application Gateway (Standard または WAF SKU) は、最大 32 個のインスタンスをサポートできます。32 個のインスタンス IP アドレス + 1 個のプライベート フロントエンド IP + 5 個の Azure 予約済みの場合、最小サブネット サイズは /26 にすることをお勧めします。Standard_v2 SKU または WAF_v2 SKU は最大 125 個のインスタンスをサポートできるため、同じ計算を使用して、サブネット サイズ /24 をお勧めします。- 同じサブネットに追加の Application Gateway リソースをデプロイする場合は、Standard と Standard v2 の両方の最大インスタンス数に必要な追加の IP アドレスを検討してください。", + "guid": "dbf3ca82-d3a8-431e-a86e-65df49c72032", + "service": "Azure Application Gateway", + "text": "Application Gateway サブネット サイズを定義する", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "v2 SKU には、トラフィックの増加に合わせて Application Gateway をスケールアップできるように、自動スケーリングが用意されています。v1 SKU と比較すると、v2 にはワークロードのパフォーマンスを向上させる機能があります。たとえば、TLS オフロード パフォーマンスの向上、デプロイと更新時間の短縮、ゾーン冗長性などです。自動スケール機能の詳細については、「Application Gateway v2 と WAF v2 のスケーリング」を参照してください。v1 SKU Application gateway を実行している場合は、Application gateway v2 SKU への移行を検討してください。詳細については、「Azure Application Gateway と Web アプリケーション ファイアウォールを v1 から v2 に移行する」を参照してください。", + "guid": "dffdc8e9-9139-46c1-93df-638e00cb3657", + "service": "Azure Application Gateway", + "text": "自動スケーリングとパフォーマンス上の利点のための機能を活用する", + "type": "recommendation", + "waf": "パフォーマンス" + } + ], + "metadata": { + "name": "Azure Application Gateway Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "このチェックはまだ見ていません", + "name": "未確認" + }, + { + "description": "このチェックにはアクションアイテムが関連付けられています", + "name": "開ける" + }, + { + "description": "このチェックは検証済みであり、これ以上のアクション アイテムは関連付けられていません", + "name": "達成" + }, + { + "description": "現在のデザインには適用されません", + "name": "該当なし" + }, + { + "description": "必須ではありません", + "name": "必須ではありません" + } + ], + "waf": [ + { + "name": "安全" + }, + { + "name": "費用" + }, + { + "name": "費用" + }, + { + "name": "確実" + }, + { + "name": "確実" + }, + { + "name": "安全" + }, + { + "name": "パフォーマンス" + }, + { + "name": "オペレーションズ" + }, + { + "name": "オペレーションズ" + }, + { + "name": "パフォーマンス" + } + ], + "yesno": [ + { + "name": "はい" + }, + { + "name": "いいえ" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azureapplicationgateway_sg_checklist.ko.json b/checklists-ext/azureapplicationgateway_sg_checklist.ko.json new file mode 100644 index 000000000..ba08f2d12 --- /dev/null +++ b/checklists-ext/azureapplicationgateway_sg_checklist.ko.json @@ -0,0 +1,306 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "Application Gateway에 액세스하거나 추가로 변경하기 전에 업데이트를 위한 충분한 시간을 계획합니다. 예를 들어 백 엔드 풀에서 서버를 제거하려면 기존 연결을 드레이닝해야 하기 때문에 시간이 걸릴 수 있습니다.", + "guid": "9a17eb2b-c5e3-428b-9e45-73dead45c4f9", + "service": "Azure Application Gateway", + "text": "규칙 업데이트 계획", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "Application Gateway를 사용하여 여러 백 엔드 인스턴스를 통해 들어오는 트래픽의 부하를 분산하는 경우 상태 프로브를 사용하는 것이 좋습니다. 이렇게 하면 트래픽을 처리할 수 없는 백엔드로 트래픽이 라우팅되지 않습니다.", + "guid": "5bfa95df-20d8-4452-a6c1-79c88b07d4cc", + "service": "Azure Application Gateway", + "text": "상태 프로브를 사용하여 백 엔드 사용 불가 감지Use health probes to detect backend unavailability", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "상태 프로브는 설정된 간격으로 구성된 엔드포인트로 요청을 보냅니다. 또한 백 엔드가 비정상으로 표시되기 전에 허용되는 실패한 요청의 임계값이 있습니다. 이 숫자는 절충안을 제시합니다.- 더 높은 간격을 설정하면 서비스에 더 많은 부하가 걸립니다. 각 Application Gateway 인스턴스는 자체 상태 프로브를 보내므로 30초마다 100개의 인스턴스는 30초당 100개의 요청을 의미합니다.- 간격을 낮게 설정하면 중단이 감지되기 전에 더 많은 시간이 남습니다.- 비정상 임계값을 낮게 설정하면 짧은 일시적인 오류로 인해 백 엔드가 중단될 수 있습니다. - 임계값을 높게 설정하면 백엔드를 회전에서 제외하는 데 시간이 더 오래 걸릴 수 있습니다.", + "guid": "ec5bc6c4-6176-44a2-860e-8654f588effd", + "service": "Azure Application Gateway", + "text": "간격 및 임계값 설정이 상태 프로브에 미치는 영향 검토Review the impact of the interval and threshold settings on health probes", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "각 백엔드에 실패를 격리하기 위해 자체 종속성이 있다고 가정합니다. 예를 들어 Application Gateway 뒤에서 호스트되는 애플리케이션에는 각각 다른 데이터베이스(복제본)에 연결된 여러 백 엔드가 있을 수 있습니다. 이러한 종속성이 실패하면 애플리케이션이 작동할 수 있지만 유효한 결과를 반환하지 않을 수 있습니다. 이러한 이유로 상태 엔드포인트는 이상적으로 모든 종속성의 유효성을 검사해야 합니다. 상태 엔드포인트에 대한 각 호출에 직접 종속성 호출이 있는 경우 해당 데이터베이스는 30초마다 1개가 아닌 100개의 쿼리를 수신합니다. 이를 방지하기 위해 상태 엔드포인트는 짧은 기간 동안 종속성의 상태를 캐시해야 합니다.", + "guid": "78bc5274-ca88-4e2a-8d3a-7b6a5ed1ccd6", + "service": "Azure Application Gateway", + "text": "상태 엔드포인트를 통해 다운스트림 종속성 확인Verify downstream dependencies through health endpoints", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "특정 시나리오에서는 Application Gateway에서 특별히 규칙을 구현해야 할 수 있습니다. 예를 들어 ModSec CRS 2.2.9, CRS 3.0 또는 CRS 3.1 규칙이 필요한 경우 이러한 규칙은 Application Gateway에서만 구현할 수 있습니다. 반대로, 속도 제한 및 지역 필터링은 AppGateway가 아닌 Azure Front Door에서만 사용할 수 있습니다.", + "guid": "da7234f3-70a7-47d2-b685-3e47843003e9", + "service": "Azure Application Gateway", + "text": "Azure Front Door 및 Application Gateway를 사용하여 'HTTP/S' 애플리케이션을 보호하는 경우 Front Door에서 WAF 정책을 사용하고 Azure Front Door에서만 트래픽을 수신하도록 Application Gateway를 잠급니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "추가 보안을 위해 TLS 정책을 설정합니다. 항상 사용 가능한 최신 TLS 정책 버전을 사용하고 있는지 확인합니다. 이렇게 하면 TLS 1.2 및 더 강력한 암호가 적용됩니다.", + "guid": "9e5ba3b9-3512-425b-95e3-d5009e7630f3", + "service": "Azure Application Gateway", + "text": "보안 강화를 위한 TLS 정책 설정", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "TLS 종료에 Application Gateway를 사용하면 다음과 같은 이점이 있습니다.- 다른 백 엔드로 이동하는 요청이 각 백 엔드에 다시 인증해야 하기 때문에 성능이 향상됩니다.- TLS 처리를 수행할 필요가 없으므로 백 엔드 서버의 활용도가 향상됩니다.- 요청 콘텐츠에 액세스하여 지능형 라우팅.- 인증서를 Application Gateway에만 설치하면 되므로 인증서 관리가 더 쉽습니다.", + "guid": "5cbd84eb-56a7-4d18-9f50-de47d3b29a8f", + "service": "Azure Application Gateway", + "text": "TLS 종료에 AppGateway 사용", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "Application Gateway는 Key Vault와 통합할 수 있습니다. 이를 통해 보안이 강화되고, 역할과 책임이 더 쉽게 분리되고, 관리형 인증서가 지원되고, 인증서 갱신 및 순환 프로세스가 더 쉬워집니다.", + "guid": "c1e7b351-a459-49d1-b473-a1f663310205", + "service": "Azure Application Gateway", + "text": "Azure Key Vault를 사용하여 TLS 인증서 저장", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "백엔드 서버의 TLS 인증서는 잘 알려진 CA에서 발급해야 합니다. 인증서가 신뢰할 수 있는 CA에서 발급되지 않은 경우 Application Gateway는 신뢰할 수 있는 CA 인증서를 찾을 때까지 인증서가 신뢰할 수 있는 CA에서 발급되었는지 확인합니다. 그런 다음에만 보안 연결이 설정됩니다. 그렇지 않으면 Application Gateway는 백 엔드를 비정상으로 표시합니다.", + "guid": "1f53df88-090e-4f67-8a41-866ea4938cb1", + "service": "Azure Application Gateway", + "text": "백엔드 트래픽을 다시 암호화할 때 백엔드 서버 인증서에 루트 및 중간 CA(인증 기관)가 모두 포함되어 있는지 확인합니다", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "백 엔드 풀에 확인 가능한 FQDN이 포함된 경우 DNS 확인은 프라이빗 DNS 영역 또는 사용자 지정 DNS 서버(VNet에 구성된 경우)를 기반으로 하거나 기본 Azure 제공 DNS를 사용합니다.", + "guid": "0e1af02a-017b-4a41-a7e5-98b47d7b1fd7", + "service": "Azure Application Gateway", + "text": "백 엔드 풀 리소스에 적절한 DNS 서버를 사용합니다", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "NSG는 Application Gateway 서브넷에서 지원되지만 몇 가지 제한 사항이 있습니다. 예를 들어, 특정 포트 범위와의 일부 통신은 금지됩니다. 이러한 제한 사항의 의미를 이해해야 합니다. 자세한 내용은 네트워크 보안 그룹을 참조하세요.", + "guid": "75da1adb-f8a2-4ad5-879a-a8552d1c836a", + "service": "Azure Application Gateway", + "text": "Application Gateway에 대한 모든 NSG 제한 사항 준수", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "Application Gateway 서브넷에서 UDR(사용자 정의 경로)을 사용하면 몇 가지 문제가 발생할 수 있습니다. 백 엔드의 상태는 알 수 없음일 수 있습니다. Application Gateway 로그 및 메트릭이 생성되지 않을 수 있습니다. 백 엔드 상태, 로그 및 메트릭을 볼 수 있도록 Application Gateway 서브넷에서 UDR을 사용하지 않는 것이 좋습니다. 조직에서 Application Gateway 서브넷에서 UDR을 사용해야 하는 경우 지원되는 시나리오를 검토해야 합니다. 자세한 내용은 지원되는 사용자 정의 경로를 참조하세요.", + "guid": "7776e1c9-a0a7-4fd5-8fe9-1b2b9c56cf31", + "service": "Azure Application Gateway", + "text": "Application Gateway 서브넷에서 UDR을 사용하지 마세요.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "WAF를 사용하도록 설정하면 완전히 도착할 때까지 Application Gateway에서 모든 요청을 버퍼링하고, 요청이 핵심 규칙 집합의 규칙 위반과 일치하는지 확인한 다음, 패킷을 백 엔드 인스턴스로 전달해야 합니다. 대용량 파일(30MB+ 크기)이 있는 경우 상당한 대기 시간이 발생할 수 있습니다. Application Gateway 용량 요구 사항은 WAF와 다르기 때문에 적절한 테스트 및 유효성 검사 없이 Application Gateway에서 WAF를 사용하도록 설정하지 않는 것이 좋습니다.", + "guid": "7c173790-6fac-43bc-b1b4-e787fdbb904f", + "service": "Azure Application Gateway", + "text": "WAF를 사용하도록 설정할 때 Application Gateway 용량 변경에 유의하세요.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "Application Gateway 가격 책정에 대한 자세한 내용은 Azure Application Gateway 및 Web Application Firewall의 가격 책정 이해를 참조하세요. 가격 계산기를 활용할 수도 있습니다. 용량 수요를 충족하고 리소스 낭비 없이 예상 성능을 제공할 수 있도록 옵션의 크기가 적절하게 조정되었는지 확인합니다.", + "guid": "13adc786-048a-4720-9aad-610419507199", + "service": "Azure Application Gateway", + "text": "Application Gateway 가격 책정을 숙지합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "빈 백 엔드 풀이 있는 Application Gateway 인스턴스를 식별하고 삭제하여 불필요한 비용을 방지합니다.", + "guid": "8d3979f9-bd25-4455-9e2f-2cc7e0deaf5e", + "service": "Azure Application Gateway", + "text": "활용도가 낮은 리소스 검토", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "Application Gateway가 중지된 상태일 때는 요금이 청구되지 않습니다. Application Gateway 인스턴스를 지속적으로 실행하면 불필요한 비용이 발생할 수 있습니다. 사용 패턴을 평가하고 필요하지 않을 때 인스턴스를 중지합니다. 예를 들어 개발/테스트 환경에서 업무 시간 이후의 사용량은 낮을 것으로 예상됩니다. 인스턴스를 중지하고 시작하는 방법에 대한 자세한 내용은 다음 문서를 참조하세요.- Stop-AzApplicationGateway- Start-AzApplicationGateway", + "guid": "fc01794b-1808-4152-a82c-95b43b2a4c45", + "service": "Azure Application Gateway", + "text": "사용하지 않을 때 Application Gateway 인스턴스 중지Stop Application Gateway instances when not in use", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "스케일 아웃 정책은 들어오는 트래픽과 급증을 처리할 수 있는 충분한 인스턴스가 있는지 확인합니다. 또한 수요가 감소할 때 인스턴스 수를 줄이는 축소 정책이 있어야 합니다. 인스턴스 크기 선택을 고려합니다. 크기는 비용에 큰 영향을 미칠 수 있습니다. 몇 가지 고려 사항은 Application Gateway 인스턴스 수 예측에 설명되어 있습니다. 자세한 내용은 Azure Application Gateway v2란?을 참조하세요.", + "guid": "4e5743d9-44ec-4a09-9c80-d77056109fc6", + "service": "Azure Application Gateway", + "text": "규모 감축 및 규모 확장 정책 수립", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "Azure에서 추적한 메트릭을 기반으로 Application Gateway의 계량된 인스턴스를 기준으로 요금이 청구됩니다. 다양한 메트릭과 용량 단위를 평가하고 비용 동인을 결정합니다. 자세한 내용은 Microsoft Cost Management 및 청구를 참조하세요. 다음 메트릭은 Application Gateway의 핵심입니다. 이 정보는 프로비저닝된 인스턴스 수가 들어오는 트래픽의 양과 일치하는지 확인하는 데 사용할 수 있습니다.- 예상 청구 용량 단위 - 고정 청구 가능 용량 단위 - 현재 용량 단위자세한 내용은 Application Gateway 메트릭을 참조하세요. 대역폭 비용을 고려해야 합니다.", + "guid": "30129a61-cd84-4085-9533-5d42f89372d9", + "service": "Azure Application Gateway", + "text": "다양한 매개 변수에 대한 소비 메트릭 검토", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "이러한 메트릭을 프로비전된 Application Gateway 용량의 사용률 지표로 사용합니다. 용량에 대한 경고를 설정하는 것이 좋습니다. 자세한 내용은 Application Gateway 높은 트래픽 지원을 참조하세요.", + "guid": "57cc0c49-939f-46d9-864e-d7ce31733771", + "service": "Azure Application Gateway", + "text": "용량 메트릭 모니터링", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "Application Gateway 또는 백 엔드에서 문제를 나타낼 수 있는 다른 메트릭이 있습니다. - 비정상 호스트 수- 응답 상태(차원 4xx 및 5xx)- 백 엔드 응답 상태(차원 4xx 및 5xx)- 백 엔드 마지막 바이트 응답 시간- Application Gateway 총 시간자세한 내용은 Application Gateway에 대한 메트릭을 참조하세요.", + "guid": "071e5241-c008-41a2-9e62-c056081158d2", + "service": "Azure Application Gateway", + "text": "메트릭 사용 문제 해결", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "진단 로그를 사용하면 방화벽 로그, 성능 로그 및 액세스 로그를 볼 수 있습니다. 이러한 로그를 사용하여 Application Gateway 인스턴스와 관련된 문제를 관리하고 해결합니다. 자세한 내용은 Application Gateway에 대한 백 엔드 상태 및 진단 로그를 참조하세요.", + "guid": "7e160588-dc1c-48d5-9a56-4ddc6aeb8fc2", + "service": "Azure Application Gateway", + "text": "Application Gateway 및 WAF(Web Application Firewall)에서 진단 사용Enable diagnostics on Application Gateway and Web Application Firewall (WAF)", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "Azure Monitor Network Insights는 Application Gateway를 포함한 네트워크 리소스의 상태 및 메트릭에 대한 포괄적인 보기를 제공합니다. Application Gateway에 대한 자세한 내용 및 지원되는 기능은 Azure Monitor 네트워크 인사이트를 참조하세요.", + "guid": "260dc49f-05b9-4c43-9cda-afc5b1923c89", + "service": "Azure Application Gateway", + "text": "Azure Monitor Network Insights 사용", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "백 엔드 애플리케이션의 리스너 및 트래픽 특성과 일치하도록 IdleTimeout 설정을 구성했는지 확인합니다. 기본값은 4분으로 설정되며 최대 30분으로 구성할 수 있습니다. 자세한 내용은 Load Balancer TCP 재설정 및 유휴 시간 제한을 참조하세요.워크로드 고려 사항은 안정성을 위한 애플리케이션 상태 모니터링을 참조하세요.", + "guid": "8c5e5e8f-44d7-4494-8819-c1d765838fec", + "service": "Azure Application Gateway", + "text": "백 엔드 애플리케이션과 시간 제한 설정 일치Match timeout settings with the backend application", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "Application Gateway는 4시간 간격으로 연결된 Key Vault에서 갱신된 인증서 버전을 확인합니다. 잘못된 Key Vault 구성으로 인해 액세스할 수 없는 경우 해당 오류를 기록하고 해당 Advisor 권장 사항을 푸시합니다. 제어 또는 데이터 플레인 관련 문제를 방지하기 위해 최신 상태를 유지하고 이러한 문제를 즉시 수정하도록 Advisor 경고를 구성해야 합니다. 자세한 내용은 키 자격 증명 모음 오류 조사 및 해결을 참조하세요. 이 특정 사례에 대한 경고를 설정하려면 권장 사항 유형을 Application Gateway에 대한 Azure Key Vault 문제 해결로 사용합니다.", + "guid": "4123369e-cbd7-472d-9879-e155476c2595", + "service": "Azure Application Gateway", + "text": "Azure Advisor를 사용하여 Key Vault 구성 문제 모니터링", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "SNAT 포트 제한은 Application Gateway의 백 엔드 연결에 중요합니다. Application Gateway가 SNAT 포트 제한에 도달하는 방식에 영향을 주는 별도의 요인이 있습니다. 예를 들어 백 엔드가 공용 IP 주소인 경우 자체 SNAT 포트가 필요합니다. SNAT 포트 제한을 방지하기 위해 Application Gateway당 인스턴스 수를 늘리거나, 백 엔드를 스케일 아웃하여 더 많은 IP 주소를 갖도록 하거나, 백 엔드를 동일한 가상 네트워크로 이동하고 백 엔드에 개인 IP 주소를 사용할 수 있습니다. SNAT 포트 제한에 도달하면 Application Gateway의 RPS(초당 요청 수)가 영향을 받습니다. 예를 들어 Application Gateway가 SNAT 포트 제한에 도달하면 백 엔드에 대한 새 연결을 열 수 없으며 요청이 실패합니다.", + "guid": "d2713c48-1e6f-4ee8-b91c-8499e7146945", + "service": "Azure Application Gateway", + "text": "디자인에서 SNAT 포트 제한 사항 고려", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "Application Gateway v2 SKU의 경우 추가 인스턴스 집합이 트래픽을 처리할 준비가 되기까지 자동 크기 조정에 약간의 시간(약 6-7분)이 걸립니다. 이 시간 동안 트래픽이 잠시 급증하는 경우 일시적인 대기 시간 또는 트래픽 손실이 예상됩니다. 최소 인스턴스 수를 최적의 수준으로 설정하는 것이 좋습니다. 평균 인스턴스 수를 예측하고 Application Gateway 자동 크기 조정 추세를 확인한 후에는 애플리케이션 패턴에 따라 최소 인스턴스 수를 정의합니다. 자세한 내용은 Application Gateway 높은 트래픽 지원을 참조하세요. 지난 1개월 동안의 현재 컴퓨팅 단위를 확인합니다. 이 메트릭은 게이트웨이의 CPU 사용률을 나타냅니다. 최소 인스턴스 수를 정의하려면 최대 사용량을 10으로 나눕니다. 예를 들어 지난 달의 평균 Current Compute 단위가 50인 경우 최소 인스턴스 수를 5로 설정합니다.", + "guid": "8bba115b-e086-458e-beca-ae9d8144a1f6", + "service": "Azure Application Gateway", + "text": "최소 인스턴스 수를 정의합니다", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "최대 자동 크기 조정 인스턴스 수로 125를 사용하는 것이 좋습니다. Application Gateway가 있는 서브넷에 스케일 업 인스턴스 집합을 지원할 수 있는 충분한 IP 주소가 있는지 확인합니다. 최대 인스턴스 수를 125로 설정하면 사용된 용량에 대해서만 요금이 청구되므로 비용에는 영향을 주지 않습니다.", + "guid": "1250aa80-2761-4138-9565-57735472779b", + "service": "Azure Application Gateway", + "text": "최대 인스턴스 수를 정의합니다", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "Application Gateway에는 가상 네트워크 내의 전용 서브넷이 필요합니다. 서브넷에는 배포된 Application Gateway 리소스의 여러 인스턴스가 있을 수 있습니다. 해당 서브넷, v1 또는 v2 SKU에 다른 Application Gateway 리소스를 배포할 수도 있습니다. 서브넷 크기를 정의하기 위한 몇 가지 고려 사항은 다음과 같습니다.- Application Gateway는 인스턴스당 하나의 개인 IP 주소를 사용하고, 개인 프런트 엔드 IP가 구성된 경우 다른 개인 IP 주소를 사용합니다.- Azure는 내부 사용을 위해 각 서브넷에서 5개의 IP 주소를 예약합니다.- Application Gateway(표준 또는 WAF SKU)는 최대 32개의 인스턴스를 지원할 수 있습니다. 인스턴스 IP 주소 32개 + 프라이빗 프런트 엔드 IP 1개 + Azure 예약 5개를 사용하는 경우 최소 서브넷 크기는 /26이 권장됩니다. Standard_v2 또는 WAF_v2 SKU는 최대 125개의 인스턴스를 지원할 수 있으므로 동일한 계산을 사용하여 서브넷 크기 /24를 사용하는 것이 좋습니다.- 동일한 서브넷에 추가 Application Gateway 리소스를 배포하려는 경우 표준 및 표준 v2 모두에 대한 최대 인스턴스 수에 필요한 추가 IP 주소를 고려합니다.", + "guid": "dbf3ca82-d3a8-431e-a86e-65df49c72032", + "service": "Azure Application Gateway", + "text": "Application Gateway 서브넷 크기 정의", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "v2 SKU는 트래픽이 증가함에 따라 Application Gateway를 확장할 수 있도록 자동 크기 조정을 제공합니다. v1 SKU와 비교할 때 v2에는 워크로드의 성능을 향상시키는 기능이 있습니다. 예를 들어 TLS 오프로드 성능 향상, 배포 및 업데이트 시간 단축, 영역 중복성 등이 있습니다. 자동 크기 조정 기능에 대한 자세한 내용은 Application Gateway v2 및 WAF v2 크기 조정을 참조하세요. v1 SKU Application gateway를 실행하는 경우 Application gateway v2 SKU로 마이그레이션하는 것이 좋습니다. 자세한 내용은 Azure Application Gateway 및 Web Application Firewall v1에서 v2로 마이그레이션을 참조하세요.", + "guid": "dffdc8e9-9139-46c1-93df-638e00cb3657", + "service": "Azure Application Gateway", + "text": "자동 크기 조정 및 성능 이점을 위한 기능 활용", + "type": "recommendation", + "waf": "공연" + } + ], + "metadata": { + "name": "Azure Application Gateway Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "이 검사는 아직 검토되지 않았습니다", + "name": "확인되지 않음" + }, + { + "description": "이 검사와 연관된 작업 항목이 있습니다", + "name": "열다" + }, + { + "description": "이 검사는 확인되었으며 이와 관련된 추가 작업 항목이 없습니다", + "name": "성취" + }, + { + "description": "현재 설계에는 적용되지 않습니다.", + "name": "해당 없음" + }, + { + "description": "필요 없음", + "name": "필요 없음" + } + ], + "waf": [ + { + "name": "안전" + }, + { + "name": "비용" + }, + { + "name": "비용" + }, + { + "name": "신뢰도" + }, + { + "name": "신뢰도" + }, + { + "name": "안전" + }, + { + "name": "공연" + }, + { + "name": "작업" + }, + { + "name": "작업" + }, + { + "name": "공연" + } + ], + "yesno": [ + { + "name": "예" + }, + { + "name": "아니요" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azureapplicationgateway_sg_checklist.pt.json b/checklists-ext/azureapplicationgateway_sg_checklist.pt.json new file mode 100644 index 000000000..feb9f20d6 --- /dev/null +++ b/checklists-ext/azureapplicationgateway_sg_checklist.pt.json @@ -0,0 +1,306 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "Planeje tempo suficiente para atualizações antes de acessar o Gateway de Aplicativo ou fazer mais alterações. Por exemplo, a remoção de servidores do pool de back-end pode levar algum tempo porque eles precisam drenar as conexões existentes.", + "guid": "9a17eb2b-c5e3-428b-9e45-73dead45c4f9", + "service": "Azure Application Gateway", + "text": "Planejar atualizações de regras", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Se o Gateway de Aplicativo for usado para balancear a carga do tráfego de entrada em várias instâncias de back-end, recomendamos o uso de investigações de integridade. Isso garantirá que o tráfego não seja roteado para back-ends que não conseguem lidar com o tráfego.", + "guid": "5bfa95df-20d8-4452-a6c1-79c88b07d4cc", + "service": "Azure Application Gateway", + "text": "Usar investigações de integridade para detectar indisponibilidade de back-end", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "A investigação de integridade envia solicitações para o ponto de extremidade configurado em um intervalo definido. Além disso, há um limite de solicitações com falha que serão toleradas antes que o back-end seja marcado como não íntegro. Esses números apresentam uma compensação.- Definir um intervalo maior coloca uma carga maior em seu serviço. Cada instância do Gateway de Aplicativo envia suas próprias investigações de integridade, portanto, 100 instâncias a cada 30 segundos significam 100 solicitações a cada 30 segundos.- Definir um intervalo menor deixa mais tempo antes que uma interrupção seja detectada.- Definir um limite baixo e não íntegro pode significar que falhas curtas e transitórias podem derrubar um back-end. - Definir um limite alto, pode levar mais tempo para tirar um back-end da rotação.", + "guid": "ec5bc6c4-6176-44a2-860e-8654f588effd", + "service": "Azure Application Gateway", + "text": "Examinar o impacto das configurações de intervalo e limite nas investigações de integridade", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Suponha que cada back-end tenha suas próprias dependências para garantir que as falhas sejam isoladas. Por exemplo, um aplicativo hospedado por trás do Gateway de Aplicativo pode ter vários back-ends, cada um conectado a um banco de dados diferente (réplica). Quando essa dependência falha, o aplicativo pode estar funcionando, mas não retornará resultados válidos. Por esse motivo, o ponto de extremidade de integridade deve validar idealmente todas as dependências. Lembre-se de que, se cada chamada para o ponto de extremidade de integridade tiver uma chamada de dependência direta, esse banco de dados receberá 100 consultas a cada 30 segundos em vez de 1. Para evitar isso, o ponto de extremidade de integridade deve armazenar em cache o estado das dependências por um curto período de tempo.", + "guid": "78bc5274-ca88-4e2a-8d3a-7b6a5ed1ccd6", + "service": "Azure Application Gateway", + "text": "Verificar dependências downstream por meio de pontos de extremidade de integridade", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Determinados cenários podem forçá-lo a implementar regras especificamente no Gateway de Aplicativo. Por exemplo, se as regras ModSec CRS 2.2.9, CRS 3.0 ou CRS 3.1 forem necessárias, essas regras só poderão ser implementadas no Gateway de Aplicativo. Por outro lado, a limitação de taxa e a filtragem geográfica estão disponíveis apenas no Azure Front Door, não no AppGateway.", + "guid": "da7234f3-70a7-47d2-b685-3e47843003e9", + "service": "Azure Application Gateway", + "text": "Ao usar o Azure Front Door e o Gateway de Aplicativo para proteger aplicativos 'HTTP/S', use políticas de WAF no Front Door e bloqueie o Gateway de Aplicativo para receber tráfego somente do Azure Front Door.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Configure uma política TLS para segurança extra. Verifique se você está sempre usando a versão mais recente da política TLS disponível. Isso impõe o TLS 1.2 e cifras mais fortes.", + "guid": "9e5ba3b9-3512-425b-95e3-d5009e7630f3", + "service": "Azure Application Gateway", + "text": "Configurar uma política TLS para segurança aprimorada", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Há vantagens de usar o Gateway de Aplicativo para terminação TLS:- O desempenho melhora porque as solicitações que vão para back-ends diferentes precisam ser autenticadas novamente em cada back-end.- Melhor utilização dos servidores de back-end porque eles não precisam executar o processamento TLS- Roteamento inteligente acessando o conteúdo da solicitação.- Gerenciamento de certificados mais fácil porque o certificado só precisa ser instalado no Gateway de Aplicativo.", + "guid": "5cbd84eb-56a7-4d18-9f50-de47d3b29a8f", + "service": "Azure Application Gateway", + "text": "Usar o AppGateway para terminação TLS", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "O Gateway de Aplicativo pode ser integrado ao Key Vault. Isso fornece segurança mais forte, separação mais fácil de funções e responsabilidades, suporte para certificados gerenciados e um processo de renovação e rotação de certificados mais fácil.", + "guid": "c1e7b351-a459-49d1-b473-a1f663310205", + "service": "Azure Application Gateway", + "text": "Usar o Azure Key Vault para armazenar certificados TLS", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Um certificado TLS do servidor back-end deve ser emitido por uma autoridade de certificação conhecida. Se o certificado não tiver sido emitido por uma autoridade de certificação confiável, o Gateway de Aplicativo verificará se o certificado foi emitido por uma autoridade de certificação confiável e assim por diante, até que um certificado de autoridade de certificação confiável seja encontrado. Só então uma conexão segura é estabelecida. Caso contrário, o Gateway de Aplicativo marcará o back-end como não íntegro.", + "guid": "1f53df88-090e-4f67-8a41-866ea4938cb1", + "service": "Azure Application Gateway", + "text": "Ao criptografar novamente o tráfego de back-end, verifique se o certificado do servidor de back-end contém as CAs (Autoridades de Certificação) raiz e intermediária", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Quando o pool de back-end contém um FQDN resolvível, a resolução DNS é baseada em uma zona DNS privada ou servidor DNS personalizado (se configurado na VNet) ou usa o DNS padrão fornecido pelo Azure.", + "guid": "0e1af02a-017b-4a41-a7e5-98b47d7b1fd7", + "service": "Azure Application Gateway", + "text": "Usar um servidor DNS apropriado para recursos do pool de back-end", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Os NSGs têm suporte na sub-rede do Gateway de Aplicativo, mas há algumas restrições. Por exemplo, alguma comunicação com determinados intervalos de portas é proibida. Certifique-se de entender as implicações dessas restrições. Para obter detalhes, consulte Grupos de segurança de rede.", + "guid": "75da1adb-f8a2-4ad5-879a-a8552d1c836a", + "service": "Azure Application Gateway", + "text": "Cumprir todas as restrições de NSG para Gateway de Aplicativo", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "O uso de UDR (Rotas Definidas pelo Usuário) na sub-rede do Gateway de Aplicativo pode causar alguns problemas. O estado de integridade no back-end pode ser desconhecido. Os logs e métricas do Gateway de Aplicativo podem não ser gerados. Recomendamos que você não use UDRs na sub-rede do Gateway de Aplicativo para que possa exibir a integridade, os logs e as métricas de back-end. Se suas organizações precisarem usar a UDR na sub-rede do Gateway de Aplicativo, examine os cenários com suporte. Para obter mais informações, consulte Rotas definidas pelo usuário com suporte.", + "guid": "7776e1c9-a0a7-4fd5-8fe9-1b2b9c56cf31", + "service": "Azure Application Gateway", + "text": "Abster-se de usar UDRs na sub-rede do gateway de aplicativo", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Quando o WAF está habilitado, cada solicitação deve ser armazenada em buffer pelo Gateway de Aplicativo até que chegue totalmente, verifica se a solicitação corresponde a qualquer violação de regra em seu conjunto de regras principal e, em seguida, encaminha o pacote para as instâncias de back-end. Quando há uploads de arquivos grandes (30 MB+ de tamanho), isso pode resultar em uma latência significativa. Como os requisitos de capacidade do Gateway de Aplicativo são diferentes com o WAF, não recomendamos habilitar o WAF no Gateway de Aplicativo sem teste e validação adequados.", + "guid": "7c173790-6fac-43bc-b1b4-e787fdbb904f", + "service": "Azure Application Gateway", + "text": "Esteja ciente das alterações de capacidade do Gateway de Aplicativo ao habilitar o WAF", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Para obter informações sobre os preços do Gateway de Aplicativo, consulte Noções básicas sobre preços do Gateway de Aplicativo do Azure e do Firewall de Aplicativo Web. Você também pode aproveitar a calculadora de preços. Certifique-se de que as opções sejam dimensionadas adequadamente para atender à demanda de capacidade e fornecer o desempenho esperado sem desperdiçar recursos.", + "guid": "13adc786-048a-4720-9aad-610419507199", + "service": "Azure Application Gateway", + "text": "Familiarize-se com os preços do Gateway de Aplicativo", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Identifique e exclua instâncias do Gateway de Aplicativo com pools de back-end vazios para evitar custos desnecessários.", + "guid": "8d3979f9-bd25-4455-9e2f-2cc7e0deaf5e", + "service": "Azure Application Gateway", + "text": "Revise recursos subutilizados", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Você não é cobrado quando o Gateway de Aplicativo está no estado parado. A execução contínua de instâncias do Gateway de Aplicativo pode incorrer em custos irrelevantes. Avalie os padrões de uso e interrompa instâncias quando você não precisar deles. Por exemplo, espera-se que o uso após o horário comercial em ambientes de desenvolvimento/teste seja baixo. Consulte estes artigos para obter informações sobre como interromper e iniciar instâncias.- Stop-AzApplicationGateway- Start-AzApplicationGateway", + "guid": "fc01794b-1808-4152-a82c-95b43b2a4c45", + "service": "Azure Application Gateway", + "text": "Interromper instâncias do Gateway de Aplicativo quando não estiverem em uso", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Uma política de expansão garante que haverá instâncias suficientes para lidar com o tráfego de entrada e picos. Além disso, tenha uma política de redução de escala que garanta que o número de instâncias seja reduzido quando a demanda cair. Considere a escolha do tamanho da instância. O tamanho pode afetar significativamente o custo. Algumas considerações são descritas em Estimar a contagem de instâncias do Gateway de Aplicativo. Para obter mais informações, consulte O que é o Gateway de Aplicativo do Azure v2?", + "guid": "4e5743d9-44ec-4a09-9c80-d77056109fc6", + "service": "Azure Application Gateway", + "text": "Ter uma política de redução e expansão", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Você é cobrado com base em instâncias limitadas do Gateway de Aplicativo com base nas métricas rastreadas pelo Azure. Avalie as várias métricas e unidades de capacidade e determine os direcionadores de custo. Para obter mais informações, consulte Gerenciamento de Custos e Cobrança da Microsoft. As métricas a seguir são fundamentais para o Gateway de Aplicativo. Essas informações podem ser usadas para validar se a contagem de instâncias provisionadas corresponde à quantidade de tráfego de entrada.- Unidades de Capacidade Faturada Estimada- Unidades de Capacidade Faturáveis Fixas- Unidades de Capacidade AtuaisPara obter mais informações, consulte Métricas do Gateway de Aplicativo. Certifique-se de contabilizar os custos de largura de banda.", + "guid": "30129a61-cd84-4085-9533-5d42f89372d9", + "service": "Azure Application Gateway", + "text": "Analise as métricas de consumo em diferentes parâmetros", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Use essas métricas como indicadores de utilização da capacidade provisionada do Gateway de Aplicativo. É altamente recomendável configurar alertas sobre a capacidade. Para obter detalhes, consulte Suporte de alto tráfego do Gateway de Aplicativo.", + "guid": "57cc0c49-939f-46d9-864e-d7ce31733771", + "service": "Azure Application Gateway", + "text": "Monitorar métricas de capacidade", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Há outras métricas que podem indicar problemas no Gateway de Aplicativo ou no back-end. Recomendamos avaliar os seguintes alertas:- Contagem de Hosts Não Íntegros- Status da Resposta (dimensão 4xx e 5xx)- Status da Resposta de Back-end (dimensão 4xx e 5xx)- Tempo de Resposta do Último Byte de Back-end- Tempo Total do Gateway de AplicativoPara obter mais informações, consulte Métricas do Gateway de Aplicativo.", + "guid": "071e5241-c008-41a2-9e62-c056081158d2", + "service": "Azure Application Gateway", + "text": "Solucionar problemas usando métricas", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Os logs de diagnóstico permitem que você exiba logs de firewall, logs de desempenho e logs de acesso. Use esses logs para gerenciar e solucionar problemas com instâncias do Gateway de Aplicativo. Para obter mais informações, consulte Logs de diagnóstico e integridade de back-end para o Gateway de Aplicativo.", + "guid": "7e160588-dc1c-48d5-9a56-4ddc6aeb8fc2", + "service": "Azure Application Gateway", + "text": "Habilitar o diagnóstico no Gateway de Aplicativo e no WAF (Firewall de Aplicativo Web)", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "O Azure Monitor Network Insights fornece uma visão abrangente da integridade e das métricas para recursos de rede, incluindo o Gateway de Aplicativo. Para obter detalhes adicionais e recursos com suporte para o Gateway de Aplicativo, consulte Insights de rede do Azure Monitor.", + "guid": "260dc49f-05b9-4c43-9cda-afc5b1923c89", + "service": "Azure Application Gateway", + "text": "Usar o Azure Monitor Network Insights", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Verifique se você configurou as configurações de IdleTimeout para corresponder às características do ouvinte e do tráfego do aplicativo de back-end. O valor padrão é definido como quatro minutos e pode ser configurado para um máximo de 30. Para obter mais informações, consulte Redefinição de TCP do Balanceador de Carga e Tempo Limite Ocioso.Para considerações sobre carga de trabalho, consulte Monitorando a integridade do aplicativo para confiabilidade.", + "guid": "8c5e5e8f-44d7-4494-8819-c1d765838fec", + "service": "Azure Application Gateway", + "text": "Corresponder as configurações de tempo limite com o aplicativo de back-end", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "O Gateway de Aplicativo verifica a versão renovada do certificado no Key Vault vinculado a cada intervalo de 4 horas. Se ele estiver inacessível devido a qualquer configuração incorreta do Key Vault, ele registrará esse erro e enviará uma recomendação do Assistente correspondente. Você deve configurar os alertas do Advisor para se manter atualizado e corrigir esses problemas imediatamente para evitar problemas relacionados ao plano de controle ou de dados. Para obter mais informações, consulte Investigando e resolvendo erros do cofre de chaves. Para definir um alerta para esse caso específico, use o Tipo de Recomendação como Resolver problema do Azure Key Vault para o Gateway de Aplicativo.", + "guid": "4123369e-cbd7-472d-9879-e155476c2595", + "service": "Azure Application Gateway", + "text": "Monitorar problemas de configuração do Key Vault usando o Assistente do Azure", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "As limitações de porta SNAT são importantes para conexões de back-end no Gateway de Aplicativo. Há fatores separados que afetam como o Gateway de Aplicativo atinge o limite de porta SNAT. Por exemplo, se o back-end for um endereço IP público, ele exigirá sua própria porta SNAT. Para evitar limitações de porta SNAT, você pode aumentar o número de instâncias por Gateway de Aplicativo, escalar horizontalmente os back-ends para ter mais endereços IP ou mover seus back-ends para a mesma rede virtual e usar endereços IP privados para os back-ends. As solicitações por segundo (RPS) no Gateway de Aplicativo serão afetadas se o limite de porta SNAT for atingido. Por exemplo, se um Gateway de Aplicativo atingir o limite de porta SNAT, ele não poderá abrir uma nova conexão com o back-end e a solicitação falhará.", + "guid": "d2713c48-1e6f-4ee8-b91c-8499e7146945", + "service": "Azure Application Gateway", + "text": "Considere as limitações da porta SNAT em seu design", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Para o SKU do Gateway de Aplicativo v2, o dimensionamento automático leva algum tempo (aproximadamente seis a sete minutos) antes que o conjunto adicional de instâncias esteja pronto para atender ao tráfego. Durante esse tempo, se houver picos curtos no tráfego, espere latência transitória ou perda de tráfego. Recomendamos que você defina sua contagem mínima de instâncias para um nível ideal. Depois de estimar a contagem média de instâncias e determinar as tendências de dimensionamento automático do Gateway de Aplicativo, defina a contagem mínima de instâncias com base nos padrões de aplicativo. Para obter informações, consulte Suporte de alto tráfego do Gateway de Aplicativo. Verifique as Unidades de Computação Atuais do último mês. Essa métrica representa a utilização da CPU do gateway. Para definir a contagem mínima de instâncias, divida o pico de uso por 10. Por exemplo, se a média de Unidades de Computação Atuais no mês passado for 50, defina a contagem mínima de instâncias como cinco.", + "guid": "8bba115b-e086-458e-beca-ae9d8144a1f6", + "service": "Azure Application Gateway", + "text": "Definir a contagem mínima de instâncias", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "Recomendamos 125 como a contagem máxima de instâncias de dimensionamento automático. Verifique se a sub-rede que tem o Gateway de Aplicativo tem endereços IP disponíveis suficientes para dar suporte ao conjunto de instâncias de expansão. Definir a contagem máxima de instâncias como 125 não tem implicações de custo porque você é cobrado apenas pela capacidade consumida.", + "guid": "1250aa80-2761-4138-9565-57735472779b", + "service": "Azure Application Gateway", + "text": "Definir a contagem máxima de instâncias", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "O Gateway de Aplicativo precisa de uma sub-rede dedicada em uma rede virtual. A sub-rede pode ter várias instâncias do recurso de Gateway de Aplicativo implantado. Você também pode implantar outros recursos do Gateway de Aplicativo nessa sub-rede, SKU v1 ou v2. Aqui estão algumas considerações para definir o tamanho da sub-rede:- O Gateway de Aplicativo usa um endereço IP privado por instância e outro endereço IP privado se um IP de front-end privado estiver configurado.- O Azure reserva cinco endereços IP em cada sub-rede para uso interno.- O Gateway de Aplicativo (SKU Standard ou WAF) pode dar suporte a até 32 instâncias. Usando 32 endereços IP de instância + 1 IP de front-end privado + 5 Azure reservados, é recomendável um tamanho mínimo de sub-rede de /26. Como o SKU Standard_v2 ou WAF_v2 pode dar suporte a até 125 instâncias, usando o mesmo cálculo, é recomendável um tamanho de sub-rede de /24.- Se você quiser implantar recursos adicionais do Gateway de Aplicativo na mesma sub-rede, considere os endereços IP adicionais que serão necessários para a contagem máxima de instâncias para Standard e Standard v2.", + "guid": "dbf3ca82-d3a8-431e-a86e-65df49c72032", + "service": "Azure Application Gateway", + "text": "Definir o tamanho da sub-rede do Gateway de Aplicativo", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "O SKU v2 oferece dimensionamento automático para garantir que o Gateway de Aplicativo possa escalar verticalmente à medida que o tráfego aumenta. Quando comparada ao SKU v1, a v2 tem recursos que aprimoram o desempenho da carga de trabalho. Por exemplo, melhor desempenho de descarregamento de TLS, tempos de implantação e atualização mais rápidos, redundância de zona e muito mais. Para obter mais informações sobre recursos de dimensionamento automático, consulte Dimensionando o Gateway de Aplicativo v2 e o WAF v2. Se você estiver executando o SKU v1 Gateway de aplicativo, considere migrar para o SKU do gateway de aplicativo v2. Para obter mais informações, consulte Migrar o Gateway de Aplicativo do Azure e o Firewall de Aplicativo Web da v1 para a v2.", + "guid": "dffdc8e9-9139-46c1-93df-638e00cb3657", + "service": "Azure Application Gateway", + "text": "Aproveite os recursos para dimensionamento automático e benefícios de desempenho", + "type": "recommendation", + "waf": "Desempenho" + } + ], + "metadata": { + "name": "Azure Application Gateway Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "Esta verificação ainda não foi analisada", + "name": "Não verificado" + }, + { + "description": "Há um item de ação associado a essa verificação", + "name": "Abrir" + }, + { + "description": "Essa verificação foi verificada e não há mais itens de ação associados a ela", + "name": "Cumprido" + }, + { + "description": "Não aplicável para o projeto atual", + "name": "N/A" + }, + { + "description": "Não é necessário", + "name": "Não é necessário" + } + ], + "waf": [ + { + "name": "segurança" + }, + { + "name": "Custar" + }, + { + "name": "custar" + }, + { + "name": "Fiabilidade" + }, + { + "name": "fiabilidade" + }, + { + "name": "Segurança" + }, + { + "name": "desempenho" + }, + { + "name": "Operações" + }, + { + "name": "Operações" + }, + { + "name": "Desempenho" + } + ], + "yesno": [ + { + "name": "Sim" + }, + { + "name": "Não" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azureapplicationgateway_sg_checklist.zh-Hant.json b/checklists-ext/azureapplicationgateway_sg_checklist.zh-Hant.json new file mode 100644 index 000000000..d9ee124aa --- /dev/null +++ b/checklists-ext/azureapplicationgateway_sg_checklist.zh-Hant.json @@ -0,0 +1,306 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "在存取應用程式閘道或進行進一步更改之前，請規劃足夠的更新時間進行更新。例如，從後端池中刪除伺服器可能需要一些時間，因為它們必須耗盡現有連接。", + "guid": "9a17eb2b-c5e3-428b-9e45-73dead45c4f9", + "service": "Azure Application Gateway", + "text": "規劃規則更新", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "如果使用應用程式閘道對多個後端實例上的傳入流量進行負載均衡，建議使用運行狀況探測。這些將確保流量不會路由到無法處理流量的後端。", + "guid": "5bfa95df-20d8-4452-a6c1-79c88b07d4cc", + "service": "Azure Application Gateway", + "text": "使用運行狀況探測檢測後端不可用", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "運行狀況探測按設定的時間間隔向配置的終結點發送請求。此外，在後端被標記為不正常之前，還可以容忍失敗請求的閾值。這些數位需要權衡取捨。- 設置更高的間隔會給您的服務帶來更高的負載。每個應用程式閘道實例都會發送自己的運行狀況探測，因此每30秒100個實例意味著每30秒有100個請求。- 設置較低的間隔會在檢測到中斷之前留出更多時間。- 設置較低的不正常閾值可能意味著短暫的暫時性故障可能會使後端癱瘓。- 設置高閾值可能需要更長的時間才能將後端從輪換中移除。", + "guid": "ec5bc6c4-6176-44a2-860e-8654f588effd", + "service": "Azure Application Gateway", + "text": "查看間隔和閾值設置對運行狀況探測的影響", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "假設每個後端都有自己的依賴項，以確保故障被隔離。例如，託管在應用程式閘道後面的應用程式可能有多個後端，每個後端都連接到不同的資料庫（副本）。當此類依賴項失敗時，應用程式可能正在運行，但不會返回有效結果。因此，理想情況下，運行狀況終結點應驗證所有依賴項。請記住，如果對運行狀況終結點的每次調用都有一個直接依賴項調用，則該資料庫每 30 秒將接收 100 個查詢，而不是 1 個。為避免這種情況，運行狀況終結點應在短時間內緩存依賴項的狀態。", + "guid": "78bc5274-ca88-4e2a-8d3a-7b6a5ed1ccd6", + "service": "Azure Application Gateway", + "text": "通過運行狀況終結點驗證下游依賴項", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "某些方案可能會強制你專門在應用程式閘道上實施規則。例如，如果需要ModSec CRS 2.2.9、CRS 3.0或 CRS 3.1 規則，則這些規則只能在應用程式閘道上實現。相反，速率限制和地理篩選僅在 Azure Front Door 上可用，在 AppGateway 上不可用。", + "guid": "da7234f3-70a7-47d2-b685-3e47843003e9", + "service": "Azure Application Gateway", + "text": "使用 Azure Front Door 和應用程式閘道保護 HTTP/S“應用程式時，請在 Front Door 中使用 WAF 策略並鎖定應用程式閘道以僅接收來自 Azure Front Door 的流量。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "設置 TLS 策略以提高安全性。確保您始終使用可用的最新 TLS 策略版本。這將強制執行 TLS 1.2 和更強的密碼。", + "guid": "9e5ba3b9-3512-425b-95e3-d5009e7630f3", + "service": "Azure Application Gateway", + "text": "設置 TLS 策略以增強安全性", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "使用應用程式閘道進行 TLS 終止具有以下優點：- 性能提高，因為發送到不同後端的請求必須重新向每個後端進行身份驗證。- 更好地利用後端伺服器，因為它們不必執行 TLS 處理- 通過訪問請求內容實現智慧路由。- 更易於證書管理，因為證書只需安裝在應用程式網關上。", + "guid": "5cbd84eb-56a7-4d18-9f50-de47d3b29a8f", + "service": "Azure Application Gateway", + "text": "使用 AppGateway 進行 TLS 終止", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "應用程式閘道可以與 Key Vault 整合。這提供了更強大的安全性、更輕鬆的角色和職責分離、對託管證書的支援以及更輕鬆的證書續訂和輪換過程。", + "guid": "c1e7b351-a459-49d1-b473-a1f663310205", + "service": "Azure Application Gateway", + "text": "使用 Azure Key Vault 儲存 TLS 證書", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "後端伺服器的TLS證書必須由知名的CA頒發。如果證書不是由受信任的 CA 頒發的，則應用程式閘道會檢查證書是否由受信任的 CA 頒發，依此類推，直到找到受信任的 CA 證書。只有這樣才能建立安全連接。否則，應用程式閘道會將後端標記為不正常。", + "guid": "1f53df88-090e-4f67-8a41-866ea4938cb1", + "service": "Azure Application Gateway", + "text": "重新加密後端流量時，請確保後端伺服器證書包含根證書頒發機構 （CA） 和中間證書頒發機構 （CA）", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "當後端池包含可解析的 FQDN 時，DNS 解析基於專用 DNS 區域或自定義 DNS 伺服器（如果在 VNet 上配置），或者使用 Azure 提供的預設 DNS。", + "guid": "0e1af02a-017b-4a41-a7e5-98b47d7b1fd7", + "service": "Azure Application Gateway", + "text": "對後端池資源使用適當的 DNS 伺服器", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "應用程式閘道子網支援 NSG，但存在一些限制。例如，禁止與某些埠範圍進行某些通信。確保您了解這些限制的含義。有關詳細資訊，請參閱網路安全組。", + "guid": "75da1adb-f8a2-4ad5-879a-a8552d1c836a", + "service": "Azure Application Gateway", + "text": "遵守應用程式閘道的所有 NSG 限制", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "在應用程式閘道子網上使用使用者定義的路由 （UDR） 可能會導致一些問題。後端的運行狀況可能是未知的。可能無法生成應用程式閘道日誌和指標。建議不要在應用程式閘道子網上使用UDR，以便可以查看後端運行狀況、日誌和指標。如果組織需要在應用程式閘道子網中使用 UDR，請確保查看支援的方案。有關詳細資訊，請參閱支援的使用者自定義路由。", + "guid": "7776e1c9-a0a7-4fd5-8fe9-1b2b9c56cf31", + "service": "Azure Application Gateway", + "text": "避免在應用程式閘道子網上使用UDR", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "啟用WAF后，應用程式閘道必須緩衝每個請求，直到它完全到達，檢查請求是否與其核心規則集中的任何規則衝突匹配，然後將數據包轉發到後端實例。當有大檔上傳（大小為 30MB+）時，可能會導致嚴重的延遲。由於應用程式閘道的容量要求與 WAF 不同，因此建議在未進行適當測試和驗證的情況下在應用程式閘道上啟用 WAF。", + "guid": "7c173790-6fac-43bc-b1b4-e787fdbb904f", + "service": "Azure Application Gateway", + "text": "啟用 WAF 時，請注意應用程式閘道容量更改", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "有關應用程式閘道定價的資訊，請參閱瞭解 Azure 應用程式閘道和 Web 應用程式防火牆的定價。您還可以利用定價計算機。確保選項的大小足夠大，以滿足容量需求，並在不浪費資源的情況下提供預期的性能。", + "guid": "13adc786-048a-4720-9aad-610419507199", + "service": "Azure Application Gateway", + "text": "熟悉應用程式閘道定價", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "識別並刪除後端池為空的應用程式閘道實例，以避免不必要的成本。", + "guid": "8d3979f9-bd25-4455-9e2f-2cc7e0deaf5e", + "service": "Azure Application Gateway", + "text": "審查未充分利用的資源", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "當應用程式閘道處於停止狀態時，不會向你收費。持續運行的應用程式閘道實例可能會產生額外的成本。評估使用模式，並在不需要實例時停止實例。例如，在開發/測試環境中，下班后的使用率預計會很低。有關如何停止和啟動實例的資訊，請參閱以下文章。", + "guid": "fc01794b-1808-4152-a82c-95b43b2a4c45", + "service": "Azure Application Gateway", + "text": "在不使用時停止應用程式閘道實例", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "橫向擴展策略可確保有足夠的實例來處理傳入流量和峰值。此外，制定縮減策略，確保在需求下降時減少實例數量。考慮實例大小的選擇。大小會對成本產生重大影響。估計應用程式閘道實例計數中介紹了一些注意事項。有關詳細資訊，請參閱什麼是 Azure 應用程式閘道 v2？", + "guid": "4e5743d9-44ec-4a09-9c80-d77056109fc6", + "service": "Azure Application Gateway", + "text": "具有縮減和橫向擴展策略", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "根據 Azure 跟蹤的指標，根據應用程式閘道的計量實例進行計費。評估各種指標和容量單位，並確定成本驅動因素。有關詳細資訊，請參閱 Microsoft 成本管理和計費。以下指標是應用程式閘道的關鍵。此資訊可用於驗證預配的實例計數是否與傳入流量匹配。 估計的計費容量單位- 固定計費容量單位- 當前容量單位有關詳細資訊，請參閱應用程式網關指標。請確保將頻寬成本考慮在內。", + "guid": "30129a61-cd84-4085-9533-5d42f89372d9", + "service": "Azure Application Gateway", + "text": "查看不同參數的消耗指標", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "使用這些指標作為預配的應用程式閘道容量利用率的指標。我們強烈建議設置有關容量的警報。有關詳細資訊，請參閱應用程式網關高流量支援。", + "guid": "57cc0c49-939f-46d9-864e-d7ce31733771", + "service": "Azure Application Gateway", + "text": "監控容量指標", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "還有其他指標可以指示應用程式閘道或後端的問題。建議評估以下警報：- 不正常主機計數 - 響應狀態 （維度 4xx 和 5xx） - 後端回應狀態 （維度 4xx 和 5xx） - 後端最後一個字節回應時間 - 應用程式網關總時間有關詳細資訊，請參閱應用程式網關的指標。", + "guid": "071e5241-c008-41a2-9e62-c056081158d2", + "service": "Azure Application Gateway", + "text": "使用指標進行故障排除", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "診斷日誌允許您查看防火牆日誌、性能日誌和訪問日誌。使用這些日誌來管理和排查應用程式閘道實例的問題。有關詳細資訊，請參閱應用程式網關的後端運行狀況和診斷日誌。", + "guid": "7e160588-dc1c-48d5-9a56-4ddc6aeb8fc2", + "service": "Azure Application Gateway", + "text": "在應用程式閘道和 Web 應用程式防火牆 （WAF） 上啟用診斷Enable diagnostics on Application Gateway and Web Application Firewall （WAF）", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "Azure Monitor 網路見解提供網路資源（包括應用程式閘道）的運行狀況和指標的全面檢視。有關應用程式閘道的其他詳細資訊和支援的功能，請參閱 Azure Monitor 網路見解。", + "guid": "260dc49f-05b9-4c43-9cda-afc5b1923c89", + "service": "Azure Application Gateway", + "text": "使用 Azure Monitor 網路見解", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "確保您已配置 IdleTimeout 設定以符合後端應用程式的偵聽器和流量特徵。默認值設置為 4 分鐘，最大值為 30 分鐘。有關詳細資訊，請參閱Load Balancer TCP Reset and Idle Timeout。有關工作負載注意事項，請參閱Monitoring application health for reliability。", + "guid": "8c5e5e8f-44d7-4494-8819-c1d765838fec", + "service": "Azure Application Gateway", + "text": "將超時設置與後端應用程式匹配", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "應用程式閘道每 4 小時檢查一次連結的 Key Vault 中是否存在續訂的證書版本。如果由於任何不正確的 Key Vault 配置而無法訪問它，它會記錄該錯誤並推送相應的顧問建議。您必須配置 Advisor 警報以保持更新並立即修復此類問題，以避免任何與控制或數據平面相關的問題。有關詳細資訊，請參閱調查和解決密鑰保管庫錯誤。若要為此特定情況設置警報，請使用“建議類型”作為應用程式網關的“解決 Azure Key Vault 問題”。", + "guid": "4123369e-cbd7-472d-9879-e155476c2595", + "service": "Azure Application Gateway", + "text": "使用 Azure 顧問監視 Key Vault 配置問題", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "SNAT 埠限制對於應用程式閘道上的後端連接非常重要。有一些單獨的因素會影響應用程式閘道達到 SNAT 埠限制的方式。例如，如果後端是公共IP位址，則需要自己的SNAT埠。為了避免 SNAT 埠限制，可以增加每個應用程式閘道的實例數，橫向擴展後端以具有更多 IP 位址，或者將後端移動到同一虛擬網路中併為後端使用專用 IP 位址。如果達到 SNAT 埠限制，應用程式閘道上的每秒請求數 （RPS） 將受到影響。例如，如果應用程式閘道達到 SNAT 埠限制，則它將無法打開與後端的新連接，並且請求將失敗。", + "guid": "d2713c48-1e6f-4ee8-b91c-8499e7146945", + "service": "Azure Application Gateway", + "text": "在設計中考慮 SNAT 埠限制", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "對於應用程式閘道 v2 SKU，自動縮放需要一些時間（大約 6 到 7 分鐘），然後額外的實例集才能準備好為流量提供服務。在此期間，如果流量出現短暫的高峰，則會出現暫時性延遲或流量丟失。我們建議您將最小實例計數設置為最佳水準。在估計平均實例計數並確定應用程式閘道自動縮放趨勢後，請根據應用程式模式定義最小實例計數。有關資訊，請參閱應用程式閘道高流量支援。檢查過去一個月的當前計算單元。此指標表示閘道的CPU利用率。要定義最小實例計數，請將峰值使用量除以 10。例如，如果過去一個月的平均當前計算單位數為50，則將最小實例計數設置為5。", + "guid": "8bba115b-e086-458e-beca-ae9d8144a1f6", + "service": "Azure Application Gateway", + "text": "定義最小實例計數", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "建議將 125 作為最大自動縮放實例計數。請確保具有應用程式閘道的子網具有足夠的可用IP位址來支援縱向擴展實例集。將最大實例計數設置為125不會產生任何成本影響，因為您只需為已使用的容量付費。", + "guid": "1250aa80-2761-4138-9565-57735472779b", + "service": "Azure Application Gateway", + "text": "定義最大實例計數", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "應用程式閘道需要虛擬網路中的專用子網。子網可以包含已部署的應用程式閘道資源的多個實例。還可以在該子網 v1 或 v2 SKU 中部署其他應用程式閘道資源。以下是定義子網大小的一些注意事項：- 應用程式閘道為每個實例使用一個專用IP位址，如果配置了專用前端IP，則使用另一個專用IP位址。- Azure 在每個子網中保留5個IP位址供內部使用。- 應用程式閘道（標準或 WAF SKU）最多可支援 32 個實例。以 32 個實例 IP 位址 + 1 個專用前端 IP + 5 個 Azure 預留為例，建議最小子網大小為 /26。由於 Standard_v2 或 WAF_v2 SKU 最多可以支援 125 個實例，因此使用相同的計算，建議使用子網大小為 /24。- 如果要在同一子網中部署其他應用程式網關資源，請考慮標準和標準 v2 的最大實例計數所需的其他 IP 位址。", + "guid": "dbf3ca82-d3a8-431e-a86e-65df49c72032", + "service": "Azure Application Gateway", + "text": "定義應用程式閘道子網大小", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "v2 SKU 提供自動縮放功能，以確保應用程式閘道可以隨著流量的增加而縱向擴展。與 v1 SKU 相比，v2 具有增強工作負載性能的功能。例如，更好的 TLS 卸載性能、更快的部署和更新時間、區域冗餘等。有關自動縮放功能的詳細資訊，請參閱縮放應用程式網關 v2 和 WAF v2。如果運行的是 v1 SKU 應用程式閘道，請考慮遷移到應用程式閘道 v2 SKU。有關詳細資訊，請參閱將 Azure 應用程式閘道和 Web 應用程式防火牆從 v1 遷移到 v2。", + "guid": "dffdc8e9-9139-46c1-93df-638e00cb3657", + "service": "Azure Application Gateway", + "text": "利用自動縮放和性能優勢的功能", + "type": "recommendation", + "waf": "性能" + } + ], + "metadata": { + "name": "Azure Application Gateway Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "此檢查尚未查看", + "name": "未驗證" + }, + { + "description": "有一個與此檢查關聯的操作項", + "name": "打開" + }, + { + "description": "此檢查已經過驗證，並且沒有與之關聯的其他操作項", + "name": "實現" + }, + { + "description": "不適用於當前設計", + "name": "N/A" + }, + { + "description": "不需要", + "name": "不需要" + } + ], + "waf": [ + { + "name": "安全" + }, + { + "name": "成本" + }, + { + "name": "成本" + }, + { + "name": "可靠性" + }, + { + "name": "可靠性" + }, + { + "name": "安全" + }, + { + "name": "性能" + }, + { + "name": "操作" + }, + { + "name": "操作" + }, + { + "name": "性能" + } + ], + "yesno": [ + { + "name": "是的" + }, + { + "name": "不" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azureblobstorage_sg_checklist.en.json b/checklists-ext/azureblobstorage_sg_checklist.en.json index 0026f0ef2..2f698da13 100644 --- a/checklists-ext/azureblobstorage_sg_checklist.en.json +++ b/checklists-ext/azureblobstorage_sg_checklist.en.json @@ -277,6 +277,6 @@ "name": "Azure Blob Storage Service Guide", "waf": "all", "state": "preview", - "timestamp": "August 04, 2024" + "timestamp": "August 05, 2024" } } \ No newline at end of file diff --git a/checklists-ext/azureblobstorage_sg_checklist.es.json b/checklists-ext/azureblobstorage_sg_checklist.es.json new file mode 100644 index 000000000..eb2973899 --- /dev/null +++ b/checklists-ext/azureblobstorage_sg_checklist.es.json @@ -0,0 +1,282 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "La redundancia protege sus datos contra fallos inesperados. Las opciones de configuración de ZRS y GZRS se replican en diferentes zonas de disponibilidad y permiten que las aplicaciones continúen leyendo datos durante una interrupción. Para obtener más información, consulte Durabilidad y disponibilidad por escenario de interrupción y Parámetros de durabilidad y disponibilidad.", + "guid": "561e09d2-403f-42d4-9d64-dcf0c8845a7b", + "service": "Azure Blob Storage", + "text": "Configure su cuenta para la redundancia. Para obtener la máxima disponibilidad y durabilidad, configure su cuenta mediante el almacenamiento con redundancia de zona (ZRS) o GZRS.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Esta propiedad le ayuda a calcular la cantidad de datos que podría perder al iniciar una conmutación por error de la cuenta. Todos los datos y metadatos escritos antes de la última hora de sincronización están disponibles en la región secundaria, pero es posible que los datos y metadatos escritos después de la última hora de sincronización se pierdan porque no se escriben en la región secundaria.", + "guid": "1cb9a83e-5e1f-4fa2-9fd6-b2e26a5462db", + "service": "Azure Blob Storage", + "text": "Antes de iniciar una conmutación por error o conmutación por recuperación, evalúe la posibilidad de pérdida de datos comprobando el valor de la última propiedad de tiempo de sincronización. Esta recomendación sólo se aplica a las configuraciones GRS y GZRS.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "La opción de eliminación temporal permite que una cuenta de almacenamiento recupere contenedores y blobs eliminados. La opción de control de versiones realiza automáticamente un seguimiento de los cambios realizados en los blobs. Esta opción permite restaurar un blob a un estado anterior. La opción de restauración a un momento dado protege contra la eliminación accidental o los daños de blobs y permite restaurar los datos de blobs en bloques a un estado anterior. Para obtener más información, consulte Información general sobre la protección de datos.", + "guid": "d095b8f1-86f8-4345-a730-c079330d8a19", + "service": "Azure Blob Storage", + "text": "Como parte de la estrategia de copia de seguridad y recuperación, habilite las opciones de eliminación temporal de contenedor, eliminación temporal de blobs, control de versiones y restauración a un momento dado.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Cuando se permite el acceso anónimo a una cuenta de almacenamiento, un usuario que tenga los permisos adecuados puede modificar la configuración de acceso anónimo de un contenedor para habilitar el acceso anónimo a los datos de ese contenedor.", + "guid": "0906a42b-c081-4ba8-bef8-04633017558c", + "service": "Azure Blob Storage", + "text": "Deshabilite el acceso de lectura anónimo a los contenedores y blobs.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Bloquear una cuenta evita que se elimine y provoque la pérdida de datos.", + "guid": "ed64645f-1d29-48f6-ac60-d072f840a0b9", + "service": "Azure Blob Storage", + "text": "Aplique un bloqueo de Azure Resource Manager en la cuenta de almacenamiento.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Comience con acceso cero y, a continuación, autorice gradualmente los niveles más bajos de acceso necesarios para los clientes y los servicios a fin de minimizar el riesgo de crear aperturas innecesarias para los atacantes.", + "guid": "c8c2f2d2-3aca-4483-9092-c5e078bd7488", + "service": "Azure Blob Storage", + "text": "Deshabilite el tráfico a los puntos de conexión públicos de la cuenta de almacenamiento. Cree puntos de conexión privados para los clientes que se ejecutan en Azure. Habilite el punto de conexión público solo si los clientes y servicios externos a Azure requieren acceso directo a la cuenta de almacenamiento. Habilite reglas de firewall que limiten el acceso a redes virtuales específicas.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Con RBAC, no hay contraseñas ni claves que puedan verse comprometidas. La entidad de seguridad (usuario, grupo, identidad administrada o entidad de servicio) se autentica mediante el identificador de Microsoft Entra para devolver un token de OAuth 2.0. El token se usa para autorizar una solicitud en el servicio Blob Storage.", + "guid": "4784f5c3-bc75-45a7-b309-e39a328d352b", + "service": "Azure Blob Storage", + "text": "Autorice el acceso mediante el control de acceso basado en rol (RBAC) de Azure.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Solo se permiten las solicitudes protegidas que estén autorizadas con el identificador de Microsoft Entra.", + "guid": "9b699609-816c-4658-af6d-dc939f1edd51", + "service": "Azure Blob Storage", + "text": "No permitir la autorización de clave compartida. Esto deshabilita no solo el acceso a la clave de cuenta, sino también los tokens de firma de acceso compartido de cuenta y servicio, ya que se basan en claves de cuenta.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Key Vault permite recuperar claves en tiempo de ejecución, en lugar de guardarlas mediante la aplicación. Key Vault también facilita la rotación de las claves sin interrumpir las aplicaciones. La rotación periódica de las claves de cuenta reduce el riesgo de exponer los datos a ataques malintencionados.", + "guid": "edf07227-fd13-41c0-8e4e-dbba1e9e5240", + "service": "Azure Blob Storage", + "text": "Te recomendamos que no utilices una clave de cuenta. Si debe usar claves de cuenta, almacénelas en Key Vault y asegúrese de volver a generarlas periódicamente.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Las prácticas recomendadas pueden ayudarle a evitar que se filtre un token de firma de acceso compartido y a recuperarse rápidamente si se produce una fuga.", + "guid": "1432d7ef-8818-4563-86fe-eead1fc727b9", + "service": "Azure Blob Storage", + "text": "Se recomienda no usar tokens de firma de acceso compartido. Evalúe si necesita tokens de firma de acceso compartido para proteger el acceso a los recursos de Blob Storage. Si debe crear una, revise esta lista de prácticas recomendadas para la firma de acceso compartido antes de crearla y distribuirla.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "TLS 1.2 es más seguro y rápido que TLS 1.0 y 1.1, que no son compatibles con los algoritmos criptográficos modernos ni los conjuntos de cifrado.", + "guid": "d2308a89-4f5c-4997-b38f-d4fa5585fbda", + "service": "Azure Blob Storage", + "text": "Configure la cuenta de almacenamiento para que los clientes puedan enviar y recibir datos mediante la versión mínima de TLS 1.2.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Las claves administradas por el cliente proporcionan una mayor flexibilidad y control. Por ejemplo, puede almacenar claves de cifrado en Key Vault y rotarlas automáticamente.", + "guid": "82c9cd68-5f8f-496a-a84f-abbf6ce339c3", + "service": "Azure Blob Storage", + "text": "Considere la posibilidad de usar su propia clave de cifrado para proteger los datos de la cuenta de almacenamiento. Para más información, consulte Claves administradas por el cliente para el cifrado de Azure Storage.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Los niveles de esporádico tienen costos de transferencia de datos más altos. Al tener menos archivos grandes, puede reducir el número de operaciones necesarias para transferir datos.", + "guid": "d7f07d9a-eff1-48c0-85c1-31c641051313", + "service": "Azure Blob Storage", + "text": "Empaquete archivos pequeños en archivos más grandes antes de moverlos a niveles más esporádicos. Puede utilizar formatos de archivo como TAR o ZIP.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "La rehidratación de alta prioridad desde el nivel de archivo puede dar lugar a facturas más altas de lo normal.", + "guid": "c122df96-d477-4595-acf5-501023d8f002", + "service": "Azure Blob Storage", + "text": "Use la rehidratación de prioridad estándar al rehidratar blobs desde el almacenamiento de archivos. Utilice la rehidratación de alta prioridad solo para situaciones de restauración de datos de emergencia. Para obtener más información, consulte Rehidratación de un blob archivado en un nivel en línea", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Almacenar registros de recursos en una cuenta de almacenamiento para su posterior análisis puede ser una opción más económica. El uso de políticas de administración del ciclo de vida para administrar la retención de registros en una cuenta de almacenamiento evita que se acumule un gran número de archivos de registros con el tiempo, lo que puede provocar cargos de capacidad innecesarios.", + "guid": "0393ace4-ae00-4510-a626-24fd6c331e91", + "service": "Azure Blob Storage", + "text": "Reduzca el costo de usar registros de recursos eligiendo la ubicación de almacenamiento de registros adecuada y administrando los períodos de retención de registros. Si solo planea consultar registros ocasionalmente (por ejemplo, consultar registros para auditoría de cumplimiento), considere la posibilidad de enviar registros de recursos a una cuenta de almacenamiento en lugar de enviarlos a un área de trabajo de registros de Azure Monitor. Puede usar una solución de consulta sin servidor, como Azure Synapse Analytics, para analizar los registros. Para obtener más información, consulte Optimización del costo para consultas poco frecuentes. Utilice políticas de administración del ciclo de vida para eliminar o archivar registros.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Cada operación de escritura en un blob crea una nueva versión. Esto aumenta los costos de capacidad. Puede mantener los costos bajo control eliminando las versiones que ya no necesita.", + "guid": "514fae4b-0f5c-4107-9b2e-cf9d20192634", + "service": "Azure Blob Storage", + "text": "Si habilita el control de versiones, use una política de administración del ciclo de vida para eliminar automáticamente las versiones antiguas de los blobs.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Cada vez que se sobrescribe un blob, se agrega una nueva versión, lo que aumenta los cargos por capacidad de almacenamiento. Para reducir los cargos de capacidad, almacene los datos que se sobrescriben con frecuencia en una cuenta de almacenamiento independiente con el control de versiones deshabilitado.", + "guid": "c33bbf5b-3635-4aed-acb1-0a0b697cff0a", + "service": "Azure Blob Storage", + "text": "Si habilita el control de versiones, coloque los blobs que se sobrescriben con frecuencia en una cuenta que no tenga habilitado el control de versiones.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Cada vez que se sobrescribe un blob, se crea una nueva instantánea. La causa del aumento de los cargos por capacidad puede ser difícil de acceder porque la creación de estas instantáneas no aparece en los registros. Para reducir los cargos de capacidad, almacene los datos sobrescritos con frecuencia en una cuenta de almacenamiento independiente con la eliminación temporal deshabilitada. Un período de retención evita que los blobs eliminados temporalmente se acumulen y aumenten el costo de la capacidad.", + "guid": "0d4d5fa0-eff6-4fff-88b1-17b542978ea1", + "service": "Azure Blob Storage", + "text": "Si habilita la eliminación temporal, coloque los blobs que se sobrescriben con frecuencia en una cuenta que no tenga habilitada la eliminación temporal. Establecer períodos de retención. Considere comenzar con un período de retención corto para comprender mejor cómo afecta la función a su factura. El período de retención mínimo recomendado es de siete días.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "La habilitación del punto de conexión SFTP incurre en un costo por hora. Al deshabilitar cuidadosamente la compatibilidad con SFTP y luego habilitarla según sea necesario, puede evitar que se acumulen cargos pasivos en su cuenta.", + "guid": "35ebda6d-7534-4808-84f7-70bd3adb0f35", + "service": "Azure Blob Storage", + "text": "Habilite la compatibilidad con SFTP solo cuando se use para transferir datos.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Los ámbitos de cifrado incurren en un cargo mensual.", + "guid": "9ca25392-5ed4-43e6-af70-33fea033e859", + "service": "Azure Blob Storage", + "text": "Deshabilite los ámbitos de cifrado que no sean necesarios para evitar cargos innecesarios.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Puede usar los procesos de DevOps existentes para implementar nuevas cuentas de almacenamiento y usar Azure Policy para aplicar su configuración.", + "guid": "ce1d3a00-f0c5-47c1-b230-5a199e462b52", + "service": "Azure Blob Storage", + "text": "Use la infraestructura como código (IaC) para definir los detalles de las cuentas de almacenamiento en plantillas de Azure Resource Manager (plantillas de ARM), Bicep o Terraform.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Puede realizar un seguimiento del estado y el funcionamiento de cada una de sus cuentas. Cree fácilmente paneles e informes que las partes interesadas pueden usar para realizar un seguimiento del estado de sus cuentas de almacenamiento.", + "guid": "a06df82c-98fb-4219-9708-6cb27a3b9c71", + "service": "Azure Blob Storage", + "text": "Use la información de almacenamiento para realizar un seguimiento del estado y el rendimiento de las cuentas de almacenamiento. Storage Insights proporciona una vista unificada de los errores, el rendimiento, la disponibilidad y la capacidad de todas las cuentas de almacenamiento.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "La reducción de la distancia física entre la cuenta de almacenamiento y las máquinas virtuales, los servicios y los clientes locales puede mejorar el rendimiento y reducir la latencia de la red. La reducción de la distancia física también reduce el costo de las aplicaciones hospedadas en Azure, ya que el uso del ancho de banda dentro de una sola región es gratuito.", + "guid": "5e724a0a-d268-47ae-9dcf-7ef18d870d1d", + "service": "Azure Blob Storage", + "text": "Aprovisione cuentas de almacenamiento en la misma región donde se colocan los recursos dependientes. En el caso de las aplicaciones que no están hospedadas en Azure, como aplicaciones de dispositivos móviles o servicios empresariales locales, ubique la cuenta de almacenamiento en una región más cercana a esos clientes. Para obtener más información, consulte Geografías de Azure. Si los clientes de una región diferente no requieren los mismos datos, cree una cuenta independiente en cada región. Si los clientes de una región diferente solo requieren algunos datos, considere la posibilidad de usar una directiva de replicación de objetos para copiar de forma asincrónica los objetos relevantes en una cuenta de almacenamiento de la otra región.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "El contenido se entrega a los clientes más rápido porque usa la red perimetral global de Microsoft con cientos de puntos de presencia globales y locales en todo el mundo.", + "guid": "4dea9363-c277-4793-b9e2-e8737aeb619f", + "service": "Azure Blob Storage", + "text": "Para un consumo amplio por parte de los clientes web (streaming de vídeo, audio o contenido estático de sitios web), considere la posibilidad de usar una red de entrega de contenido a través de Azure Front Door.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "El uso de un código hash o un valor de segundos más cercano al principio de una clave de partición reduce el tiempo necesario para enumerar los blobs de consulta y lectura.", + "guid": "cc147319-67cb-4737-ba01-285f3ebddcea", + "service": "Azure Blob Storage", + "text": "Agregue una secuencia de caracteres hash (por ejemplo, tres dígitos) lo antes posible en la clave de partición de un blob. La clave de partición es el nombre de la cuenta, el nombre del contenedor, el nombre del directorio virtual y el nombre del blob. Si planea usar marcas de tiempo en los nombres, considere agregar un valor de segundos al principio de esa marca. Para obtener más información, consulte Creación de particiones.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Los tamaños de blob o bloque superiores a 256 KiB aprovechan las mejoras de rendimiento de la plataforma creadas específicamente para blobs y tamaños de bloque más grandes.", + "guid": "a0addee3-cb0e-4235-b93c-8d5a8ddfbab2", + "service": "Azure Blob Storage", + "text": "Al cargar blobs o bloques, use un tamaño de blob o bloque superior a 256 KiB.", + "type": "recommendation", + "waf": "Rendimiento" + } + ], + "metadata": { + "name": "Azure Blob Storage Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "Este control aún no se ha examinado", + "name": "No verificado" + }, + { + "description": "Hay un elemento de acción asociado a esta comprobación", + "name": "Abrir" + }, + { + "description": "Esta comprobación se ha verificado y no hay más elementos de acción asociados a ella", + "name": "Cumplido" + }, + { + "description": "No aplicable para el diseño actual", + "name": "N/A" + }, + { + "description": "No es necesario", + "name": "No es necesario" + } + ], + "waf": [ + { + "name": "seguridad" + }, + { + "name": "Costar" + }, + { + "name": "costar" + }, + { + "name": "Fiabilidad" + }, + { + "name": "fiabilidad" + }, + { + "name": "Seguridad" + }, + { + "name": "rendimiento" + }, + { + "name": "Operaciones" + }, + { + "name": "Operaciones" + }, + { + "name": "Rendimiento" + } + ], + "yesno": [ + { + "name": "Sí" + }, + { + "name": "No" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azureblobstorage_sg_checklist.ja.json b/checklists-ext/azureblobstorage_sg_checklist.ja.json new file mode 100644 index 000000000..bfea3c58b --- /dev/null +++ b/checklists-ext/azureblobstorage_sg_checklist.ja.json @@ -0,0 +1,282 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "冗長性は、予期しない障害からデータを保護します。ZRS と GZRS の構成オプションは、異なる可用性ゾーン間でレプリケートされ、停止中もアプリケーションがデータの読み取りを続行できるようにします。詳細については、「停止シナリオ別の持続性と可用性」および「持続性と可用性のパラメーター」を参照してください。", + "guid": "561e09d2-403f-42d4-9d64-dcf0c8845a7b", + "service": "Azure Blob Storage", + "text": "冗長性のためにアカウントを構成します。可用性と持続性を最大限に高めるには、ゾーン冗長ストレージ (ZRS) または GZRS を使用してアカウントを構成します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "このプロパティは、アカウントのフェイルオーバーを開始することで失われる可能性のあるデータ量を見積もるのに役立ちます。最終同期時刻より前に書き込まれたすべてのデータとメタデータはセカンダリリージョンで使用できますが、最終同期時刻より後に書き込まれたデータとメタデータは、セカンダリリージョンに書き込まれていないため、失われる可能性があります。", + "guid": "1cb9a83e-5e1f-4fa2-9fd6-b2e26a5462db", + "service": "Azure Blob Storage", + "text": "フェイルオーバーまたはフェイルバックを開始する前に、最終同期時間プロパティの値を確認して、データ損失の可能性を評価します。この推奨事項は、GRS および GZRS 構成にのみ適用されます。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "論理的な削除オプションを使用すると、ストレージ アカウントは削除されたコンテナーと BLOB を回復できます。バージョン管理オプションは、BLOB に加えられた変更を自動的に追跡します。このオプションを使用すると、BLOB を以前の状態に復元できます。ポイントインタイム リストア オプションは、BLOB の偶発的な削除や破損から保護し、ブロック BLOB データを以前の状態に復元できます。詳細については、「データ保護の概要」を参照してください。", + "guid": "d095b8f1-86f8-4345-a730-c079330d8a19", + "service": "Azure Blob Storage", + "text": "バックアップと復旧の戦略の一環として、コンテナーの論理的な削除、BLOB の論理的な削除、バージョン管理、およびポイントインタイム リストアのオプションを有効にします。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "ストレージ アカウントに対して匿名アクセスが許可されている場合、適切なアクセス許可を持つユーザーは、コンテナーの匿名アクセス設定を変更して、そのコンテナー内のデータへの匿名アクセスを有効にすることができます。", + "guid": "0906a42b-c081-4ba8-bef8-04633017558c", + "service": "Azure Blob Storage", + "text": "コンテナーと BLOB への匿名読み取りアクセスを無効にします。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "アカウントをロックすると、アカウントが削除されてデータが失われるのを防ぐことができます。", + "guid": "ed64645f-1d29-48f6-ac60-d072f840a0b9", + "service": "Azure Blob Storage", + "text": "ストレージ アカウントに Azure Resource Manager ロックを適用します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "ゼロアクセスから始めて、クライアントとサービスに必要な最低レベルのアクセスを段階的に承認して、攻撃者に不必要な隙を与えるリスクを最小限に抑えます。", + "guid": "c8c2f2d2-3aca-4483-9092-c5e078bd7488", + "service": "Azure Blob Storage", + "text": "ストレージ アカウントのパブリック エンドポイントへのトラフィックを無効にします。Azure で実行されるクライアントのプライベート エンドポイントを作成します。パブリック エンドポイントは、Azure の外部のクライアントとサービスがストレージ アカウントに直接アクセスする必要がある場合にのみ有効にします。特定の仮想ネットワークへのアクセスを制限するファイアウォール規則を有効にします。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "RBAC を使用すると、パスワードやキーが侵害されることはありません。セキュリティ プリンシパル (ユーザー、グループ、マネージド ID、またはサービス プリンシパル) は、OAuth 2.0 トークンを返すために Microsoft Entra ID によって認証されます。トークンは、Blob Storage サービスに対する要求を承認するために使用されます。", + "guid": "4784f5c3-bc75-45a7-b309-e39a328d352b", + "service": "Azure Blob Storage", + "text": "Azure ロールベースのアクセス制御 (RBAC) を使用してアクセスを承認します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Microsoft Entra ID で承認されたセキュリティで保護された要求のみが許可されます。", + "guid": "9b699609-816c-4658-af6d-dc939f1edd51", + "service": "Azure Blob Storage", + "text": "共有キーの認証を禁止します。これにより、アカウント キーへのアクセスだけでなく、アカウント キーに基づいているため、サービスとアカウントの共有アクセス署名トークンも無効になります。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Key Vault を使用すると、アプリケーションを使用してキーを保存する代わりに、実行時にキーを取得できます。また、Key Vault を使用すると、アプリケーションを中断することなくキーを簡単にローテーションできます。アカウント キーを定期的にローテーションすると、データが悪意のある攻撃にさらされるリスクが軽減されます。", + "guid": "edf07227-fd13-41c0-8e4e-dbba1e9e5240", + "service": "Azure Blob Storage", + "text": "アカウントキーは使用しないことをお勧めします。アカウント キーを使用する必要がある場合は、Key Vault に格納し、定期的に再生成するようにしてください。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "ベスト プラクティスは、Shared Access Signature トークンの漏洩を防ぎ、漏洩が発生した場合に迅速に回復するのに役立ちます。", + "guid": "1432d7ef-8818-4563-86fe-eead1fc727b9", + "service": "Azure Blob Storage", + "text": "Shared Access Signature トークンは使用しないことをお勧めします。Blob Storage リソースへのアクセスをセキュリティで保護するために Shared Access Signature トークンが必要かどうかを評価します。作成する必要がある場合は、作成して配布する前に、この共有アクセス署名のベスト プラクティスの一覧を確認してください。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "TLS 1.2 は、最新の暗号化アルゴリズムと暗号スイートをサポートしていない TLS 1.0 および 1.1 よりも安全で高速です。", + "guid": "d2308a89-4f5c-4997-b38f-d4fa5585fbda", + "service": "Azure Blob Storage", + "text": "クライアントが TLS 1.2 の最小バージョンを使用してデータを送受信できるように、ストレージ アカウントを構成します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "カスタマー マネージド キーは、柔軟性と制御性に優れています。たとえば、暗号化キーを Key Vault に格納し、自動的にローテーションできます。", + "guid": "82c9cd68-5f8f-496a-a84f-abbf6ce339c3", + "service": "Azure Blob Storage", + "text": "ストレージ アカウント内のデータを保護するために、独自の暗号化キーを使用することを検討してください。詳細については、「Azure Storage 暗号化のカスタマー マネージド キー」を参照してください。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "クーラー層は、データ転送コストが高くなります。大きなファイルの数を減らすことで、データの転送に必要な操作の数を減らすことができます。", + "guid": "d7f07d9a-eff1-48c0-85c1-31c641051313", + "service": "Azure Blob Storage", + "text": "小さなファイルを大きなファイルにパックしてから、クーラー層に移動します。TAR や ZIP などのファイル形式を使用できます。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "アーカイブ層からの優先度の高いリハイドレートは、通常よりも高額な請求につながる可能性があります。", + "guid": "c122df96-d477-4595-acf5-501023d8f002", + "service": "Azure Blob Storage", + "text": "アーカイブ ストレージから BLOB をリハイドレートする場合は、標準優先度のリハイドレートを使用します。優先度の高いリハイドレートは、緊急時のデータ復元状況でのみ使用してください。詳細については、「アーカイブされた BLOB をオンライン層にリハイドレートする」を参照してください", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "後で分析するためにリソース ログをストレージ アカウントに格納することは、より安価なオプションになる可能性があります。ライフサイクル管理ポリシーを使用してストレージ アカウントのログ保有期間を管理すると、時間の経過と共に大量のログ ファイルが蓄積され、不要な容量料金が発生するのを防ぐことができます。", + "guid": "0393ace4-ae00-4510-a626-24fd6c331e91", + "service": "Azure Blob Storage", + "text": "リソース・ログの使用コストを削減するには、適切なログ・ストレージ・ロケーションを選択し、ログ保持期間を管理します。ログのクエリをたまにしか行わない場合 (たとえば、コンプライアンス監査のためにログのクエリを実行する場合) は、リソース ログを Azure Monitor ログ ワークスペースに送信するのではなく、ストレージ アカウントに送信することを検討してください。Azure Synapse Analytics などのサーバーレス クエリ ソリューションを使用して、ログを分析できます。詳細については、「頻度の低いクエリのコストを最適化する」を参照してください。ライフサイクル管理ポリシーを使用して、ログを削除またはアーカイブします。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "BLOB への書き込み操作ごとに、新しいバージョンが作成されます。これにより、容量コストが増加します。不要になったバージョンを削除することで、コストを抑えることができます。", + "guid": "514fae4b-0f5c-4107-9b2e-cf9d20192634", + "service": "Azure Blob Storage", + "text": "バージョン管理を有効にする場合は、ライフサイクル管理ポリシーを使用して、古い BLOB バージョンを自動的に削除します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "BLOB が上書きされるたびに新しいバージョンが追加され、ストレージ容量の料金が増加します。容量の料金を削減するには、頻繁に上書きされるデータを、バージョン管理を無効にした別のストレージ アカウントに格納します。", + "guid": "c33bbf5b-3635-4aed-acb1-0a0b697cff0a", + "service": "Azure Blob Storage", + "text": "バージョニングを有効にする場合は、頻繁に上書きされる BLOB を、バージョニングが有効になっていないアカウントに配置します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "BLOB が上書きされるたびに、新しいスナップショットが作成されます。容量料金の増加の原因は、これらのスナップショットの作成がログに表示されないため、アクセスが困難になる場合があります。容量の料金を削減するには、頻繁に上書きされるデータを、論理的な削除を無効にして別のストレージ アカウントに格納します。保持期間により、論理的に削除された BLOB が積み重なって容量のコストが増えるのを防ぐことができます。", + "guid": "0d4d5fa0-eff6-4fff-88b1-17b542978ea1", + "service": "Azure Blob Storage", + "text": "論理的な削除を有効にする場合は、頻繁に上書きされる BLOB を、論理的な削除が有効になっていないアカウントに配置します。保持期間を設定します。この機能が請求にどのように影響するかをよりよく理解するために、短い保持期間から始めることを検討してください。推奨される最小保持期間は 7 日間です。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "SFTP エンドポイントを有効にすると、時間単位のコストが発生します。SFTPサポートを慎重に無効にし、必要に応じて有効にすることで、アカウントに受動的料金が発生するのを防ぐことができます。", + "guid": "35ebda6d-7534-4808-84f7-70bd3adb0f35", + "service": "Azure Blob Storage", + "text": "SFTP サポートは、データの転送に使用する場合にのみ有効にします。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "暗号化スコープには、月額料金が発生します。", + "guid": "9ca25392-5ed4-43e6-af70-33fea033e859", + "service": "Azure Blob Storage", + "text": "不要な料金を回避するために、不要な暗号化スコープを無効にします。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "既存の DevOps プロセスを使用して新しいストレージ アカウントをデプロイし、Azure Policy を使用してその構成を適用できます。", + "guid": "ce1d3a00-f0c5-47c1-b230-5a199e462b52", + "service": "Azure Blob Storage", + "text": "コードとしてのインフラストラクチャ (IaC) を使用して、Azure Resource Manager テンプレート (ARM テンプレート)、Bicep、または Terraform でストレージ アカウントの詳細を定義します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "各アカウントの健康状態と操作を追跡できます。ダッシュボードとレポートを簡単に作成して、関係者がストレージ アカウントの正常性を追跡できます。", + "guid": "a06df82c-98fb-4219-9708-6cb27a3b9c71", + "service": "Azure Blob Storage", + "text": "Storage insights を使用して、ストレージ アカウントの正常性とパフォーマンスを追跡します。Storage insights は、すべてのストレージ アカウントの障害、パフォーマンス、可用性、容量の統合ビューを提供します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "ストレージ アカウントと VM、サービス、およびオンプレミス クライアントとの間の物理的な距離を短くすると、パフォーマンスが向上し、ネットワーク待機時間が短縮されます。物理的な距離を短くすると、1 つのリージョン内での帯域幅の使用が無料になるため、Azure でホストされているアプリケーションのコストも削減されます。", + "guid": "5e724a0a-d268-47ae-9dcf-7ef18d870d1d", + "service": "Azure Blob Storage", + "text": "ストレージ アカウントは、依存リソースが配置されているのと同じリージョンにプロビジョニングします。Azure でホストされていないアプリケーション (モバイル デバイス アプリやオンプレミスのエンタープライズ サービスなど) の場合は、それらのクライアントに近いリージョンにストレージ アカウントを配置します。詳細については、「Azure の地域」を参照してください。異なる地域のクライアントが同じデータを必要としない場合は、各地域に個別のアカウントを作成します。別のリージョンのクライアントが一部のデータのみを必要とする場合は、オブジェクト レプリケーション ポリシーを使用して、関連するオブジェクトを他のリージョンのストレージ アカウントに非同期的にコピーすることを検討してください。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "コンテンツは、世界中に数百のグローバルおよびローカルのプレゼンスポイントを持つMicrosoftグローバルエッジネットワークを使用しているため、クライアントにより迅速に配信されます。", + "guid": "4dea9363-c277-4793-b9e2-e8737aeb619f", + "service": "Azure Blob Storage", + "text": "Web クライアント (ストリーミング ビデオ、オーディオ、または静的 Web サイト コンテンツ) による広範な消費については、Azure Front Door を介したコンテンツ配信ネットワークの使用を検討してください。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "パーティション キーの先頭に最も近いハッシュ コードまたは秒値を使用すると、BLOB の一覧表示、クエリ、読み取りに必要な時間が短縮されます。", + "guid": "cc147319-67cb-4737-ba01-285f3ebddcea", + "service": "Azure Blob Storage", + "text": "ハッシュ文字シーケンス (3 桁など) を BLOB のパーティション キーにできるだけ早く追加します。パーティション キーは、アカウント名、コンテナー名、仮想ディレクトリ名、BLOB 名です。名前にタイムスタンプを使用する予定の場合は、そのスタンプの先頭に秒の値を追加することを検討してください。詳細については、「パーティション分割」を参照してください。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "256 KiB を超える BLOB またはブロック サイズは、より大きな BLOB とブロック サイズ専用に作成されたプラットフォームのパフォーマンス強化を利用します。", + "guid": "a0addee3-cb0e-4235-b93c-8d5a8ddfbab2", + "service": "Azure Blob Storage", + "text": "BLOB またはブロックをアップロードするときは、256 KiB を超える BLOB またはブロック サイズを使用します。", + "type": "recommendation", + "waf": "パフォーマンス" + } + ], + "metadata": { + "name": "Azure Blob Storage Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "このチェックはまだ見ていません", + "name": "未確認" + }, + { + "description": "このチェックにはアクションアイテムが関連付けられています", + "name": "開ける" + }, + { + "description": "このチェックは検証済みであり、これ以上のアクション アイテムは関連付けられていません", + "name": "達成" + }, + { + "description": "現在のデザインには適用されません", + "name": "該当なし" + }, + { + "description": "必須ではありません", + "name": "必須ではありません" + } + ], + "waf": [ + { + "name": "安全" + }, + { + "name": "費用" + }, + { + "name": "費用" + }, + { + "name": "確実" + }, + { + "name": "確実" + }, + { + "name": "安全" + }, + { + "name": "パフォーマンス" + }, + { + "name": "オペレーションズ" + }, + { + "name": "オペレーションズ" + }, + { + "name": "パフォーマンス" + } + ], + "yesno": [ + { + "name": "はい" + }, + { + "name": "いいえ" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azureblobstorage_sg_checklist.ko.json b/checklists-ext/azureblobstorage_sg_checklist.ko.json new file mode 100644 index 000000000..b61de6eaf --- /dev/null +++ b/checklists-ext/azureblobstorage_sg_checklist.ko.json @@ -0,0 +1,282 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "중복성은 예기치 않은 오류로부터 데이터를 보호합니다. ZRS 및 GZRS 구성 옵션은 서로 다른 가용성 영역에 복제되며 애플리케이션이 중단 중에도 데이터를 계속 읽을 수 있도록 합니다. 자세한 내용은 Durability and availability by outage scenario 및 Durability and availability parameters를 참조하세요.", + "guid": "561e09d2-403f-42d4-9d64-dcf0c8845a7b", + "service": "Azure Blob Storage", + "text": "중복을 위해 계정을 구성합니다. 가용성과 내구성을 최대화하려면 ZRS(영역 중복 스토리지) 또는 GZRS를 사용하여 계정을 구성합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "이 속성은 계정 장애 조치(failover)를 시작하여 손실될 수 있는 데이터의 양을 예측하는 데 도움이 됩니다. 마지막 동기화 시간 이전에 작성된 모든 데이터 및 메타데이터는 보조 지역에서 사용할 수 있지만 마지막 동기화 시간 이후에 기록된 데이터 및 메타데이터는 보조 지역에 기록되지 않기 때문에 손실될 수 있습니다.", + "guid": "1cb9a83e-5e1f-4fa2-9fd6-b2e26a5462db", + "service": "Azure Blob Storage", + "text": "장애 조치(failover) 또는 장애 복구(failback)를 시작하기 전에 마지막 동기화 시간 속성의 값을 확인하여 데이터 손실 가능성을 평가합니다. 이 권장 사항은 GRS 및 GZRS 구성에만 적용됩니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "일시 삭제 옵션을 사용하면 스토리지 계정에서 삭제된 컨테이너 및 Blob을 복구할 수 있습니다. 버전 관리 옵션은 Blob에 대한 변경 내용을 자동으로 추적합니다. 이 옵션을 사용하면 Blob을 이전 상태로 복원할 수 있습니다. 특정 시점 복원 옵션을 사용하면 실수로 인한 Blob 삭제 또는 손상을 방지하고 블록 Blob 데이터를 이전 상태로 복원할 수 있습니다. 자세한 내용은 데이터 보호 개요를 참조하세요.", + "guid": "d095b8f1-86f8-4345-a730-c079330d8a19", + "service": "Azure Blob Storage", + "text": "백업 및 복구 전략의 일부로 컨테이너 일시 삭제, Blob 일시 삭제, 버전 관리 및 특정 시점 복원 옵션을 사용하도록 설정합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "스토리지 계정에 대해 익명 액세스가 허용되는 경우 적절한 권한이 있는 사용자는 컨테이너의 익명 액세스 설정을 수정하여 해당 컨테이너의 데이터에 대한 익명 액세스를 사용하도록 설정할 수 있습니다.", + "guid": "0906a42b-c081-4ba8-bef8-04633017558c", + "service": "Azure Blob Storage", + "text": "컨테이너 및 blob에 대한 익명 읽기 액세스를 사용하지 않도록 설정합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "계정을 잠그면 계정이 삭제되어 데이터가 손실되는 것을 방지할 수 있습니다.", + "guid": "ed64645f-1d29-48f6-ac60-d072f840a0b9", + "service": "Azure Blob Storage", + "text": "스토리지 계정에 Azure Resource Manager 잠금을 적용합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "제로 액세스부터 시작한 다음 클라이언트 및 서비스에 필요한 가장 낮은 수준의 액세스 권한을 증분 방식으로 부여하여 공격자에게 불필요한 틈을 만드는 위험을 최소화합니다.", + "guid": "c8c2f2d2-3aca-4483-9092-c5e078bd7488", + "service": "Azure Blob Storage", + "text": "스토리지 계정의 퍼블릭 엔드포인트에 대한 트래픽을 사용하지 않도록 설정합니다. Azure에서 실행되는 클라이언트에 대한 프라이빗 엔드포인트를 만듭니다. Azure 외부의 클라이언트 및 서비스에 스토리지 계정에 대한 직접 액세스가 필요한 경우에만 퍼블릭 엔드포인트를 사용하도록 설정합니다. 특정 가상 네트워크에 대한 액세스를 제한하는 방화벽 규칙을 사용하도록 설정합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "RBAC를 사용하면 손상될 수 있는 암호나 키가 없습니다. 보안 주체(사용자, 그룹, 관리 ID 또는 서비스 주체)는 OAuth 2.0 토큰을 반환하기 위해 Microsoft Entra ID로 인증됩니다. 토큰은 Blob Storage 서비스에 대한 요청을 승인하는 데 사용됩니다.", + "guid": "4784f5c3-bc75-45a7-b309-e39a328d352b", + "service": "Azure Blob Storage", + "text": "Azure RBAC(역할 기반 액세스 제어)를 사용하여 액세스 권한을 부여합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "Microsoft Entra ID로 권한이 부여된 보안 요청만 허용됩니다.", + "guid": "9b699609-816c-4658-af6d-dc939f1edd51", + "service": "Azure Blob Storage", + "text": "공유 키 권한 부여를 허용하지 않습니다. 이렇게 하면 계정 키 액세스뿐만 아니라 서비스 및 계정 공유 액세스 서명 토큰도 계정 키를 기반으로 하기 때문에 비활성화됩니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "Key Vault를 사용하면 애플리케이션을 사용하여 키를 저장하는 대신 런타임에 키를 검색할 수 있습니다. 또한 Key Vault를 사용하면 애플리케이션을 중단하지 않고 키를 쉽게 회전할 수 있습니다. 계정 키를 주기적으로 교체하면 데이터가 악의적인 공격에 노출될 위험을 줄일 수 있습니다.", + "guid": "edf07227-fd13-41c0-8e4e-dbba1e9e5240", + "service": "Azure Blob Storage", + "text": "계정 키는 사용하지 않는 것이 좋습니다. 계정 키를 사용해야 하는 경우 Key Vault에 저장하고 주기적으로 다시 생성해야 합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "모범 사례는 공유 액세스 서명 토큰이 유출되는 것을 방지하고 유출이 발생할 경우 신속하게 복구하는 데 도움이 될 수 있습니다.", + "guid": "1432d7ef-8818-4563-86fe-eead1fc727b9", + "service": "Azure Blob Storage", + "text": "공유 액세스 서명 토큰을 사용하지 않는 것이 좋습니다. Blob Storage 리소스에 대한 액세스를 보호하기 위해 공유 액세스 서명 토큰이 필요한지 여부를 평가합니다. 공유 액세스 서명을 만들어야 하는 경우 공유 액세스 서명을 만들고 배포하기 전에 이 공유 액세스 서명 모범 사례 목록을 검토하세요.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "TLS 1.2는 최신 암호화 알고리즘 및 암호 그룹을 지원하지 않는 TLS 1.0 및 1.1보다 안전하고 빠릅니다.", + "guid": "d2308a89-4f5c-4997-b38f-d4fa5585fbda", + "service": "Azure Blob Storage", + "text": "클라이언트가 최소 버전의 TLS 1.2를 사용하여 데이터를 보내고 받을 수 있도록 스토리지 계정을 구성합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "고객 관리형 키는 더 큰 유연성과 제어를 제공합니다. 예를 들어 Key Vault에 암호화 키를 저장하고 자동으로 회전할 수 있습니다.", + "guid": "82c9cd68-5f8f-496a-a84f-abbf6ce339c3", + "service": "Azure Blob Storage", + "text": "사용자 고유의 암호화 키를 사용하여 스토리지 계정의 데이터를 보호하는 것이 좋습니다. 자세한 내용은 Azure Storage 암호화에 대한 고객 관리형 키를 참조하세요.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "쿨 계층은 데이터 전송 비용이 더 높습니다. 더 적은 수의 큰 파일을 보유하면 데이터를 전송하는 데 필요한 작업 수를 줄일 수 있습니다.", + "guid": "d7f07d9a-eff1-48c0-85c1-31c641051313", + "service": "Azure Blob Storage", + "text": "쿨 계층으로 이동하기 전에 작은 파일을 더 큰 파일로 압축합니다. TAR 또는 ZIP과 같은 파일 형식을 사용할 수 있습니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "보관 계층의 우선 순위가 높은 리하이드레이션은 정상보다 높은 청구로 이어질 수 있습니다.", + "guid": "c122df96-d477-4595-acf5-501023d8f002", + "service": "Azure Blob Storage", + "text": "보관 스토리지에서 Blob을 리하이드레이션할 때 표준 우선 순위 리하이드레이션을 사용합니다. 우선 순위가 높은 리하이드레이션은 응급 데이터 복원 상황에만 사용합니다. 자세한 내용은 보관된 Blob을 온라인 계층으로 리하이드레이션을 참조하세요.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "나중에 분석하기 위해 스토리지 계정에 리소스 로그를 저장하는 것이 더 저렴한 옵션일 수 있습니다. 수명 주기 관리 정책을 사용하여 스토리지 계정의 로그 보존을 관리하면 시간이 지남에 따라 많은 수의 로그 파일이 쌓이는 것을 방지할 수 있으며, 이로 인해 불필요한 용량 요금이 발생할 수 있습니다.", + "guid": "0393ace4-ae00-4510-a626-24fd6c331e91", + "service": "Azure Blob Storage", + "text": "적절한 로그 저장 위치를 선택하고 로그 보존 기간을 관리하여 리소스 로그 사용 비용을 줄입니다. 가끔씩만 로그를 쿼리하려는 경우(예: 규정 준수 감사를 위해 로그를 쿼리하는 경우) 리소스 로그를 Azure Monitor 로그 작업 영역으로 보내는 대신 스토리지 계정으로 보내는 것이 좋습니다. Azure Synapse Analytics와 같은 서버리스 쿼리 솔루션을 사용하여 로그를 분석할 수 있습니다. 자세한 내용은 자주 발생하지 않는 쿼리에 대한 비용 최적화를 참조하세요. 수명 주기 관리 정책을 사용하여 로그를 삭제하거나 보관합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "Blob에 대한 모든 쓰기 작업은 새 버전을 만듭니다. 이로 인해 용량 비용이 증가합니다. 더 이상 필요하지 않은 버전을 제거하여 비용을 확인할 수 있습니다.", + "guid": "514fae4b-0f5c-4107-9b2e-cf9d20192634", + "service": "Azure Blob Storage", + "text": "버전 관리를 사용하도록 설정하는 경우 수명 주기 관리 정책을 사용하여 이전 Blob 버전을 자동으로 삭제합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "Blob을 덮어쓸 때마다 새 버전이 추가되어 스토리지 용량 요금이 증가합니다. 용량 요금을 줄이려면 버전 관리를 사용하지 않도록 설정된 별도의 스토리지 계정에 자주 덮어쓰는 데이터를 저장합니다.", + "guid": "c33bbf5b-3635-4aed-acb1-0a0b697cff0a", + "service": "Azure Blob Storage", + "text": "버전 관리를 사용하도록 설정하는 경우 버전 관리를 사용하도록 설정하지 않은 계정에 자주 덮어쓰는 Blob을 배치합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "Blob을 덮어쓸 때마다 새 스냅샷이 만들어집니다. 용량 요금 증가의 원인은 이러한 스냅샷의 생성이 로그에 표시되지 않기 때문에 액세스하기 어려울 수 있습니다. 용량 요금을 줄이려면 자주 덮어쓰는 데이터를 일시 삭제가 비활성화된 별도의 스토리지 계정에 저장합니다. 보존 기간은 일시 삭제된 Blob이 쌓여 용량 비용에 추가되는 것을 방지합니다.", + "guid": "0d4d5fa0-eff6-4fff-88b1-17b542978ea1", + "service": "Azure Blob Storage", + "text": "일시 삭제를 사용하도록 설정하는 경우 자주 덮어쓰는 Blob을 일시 삭제를 사용하도록 설정하지 않은 계정에 배치합니다. 보존 기간을 설정합니다. 기능이 청구서에 어떤 영향을 미치는지 더 잘 이해하기 위해 짧은 보존 기간부터 시작하는 것이 좋습니다. 최소 권장 보존 기간은 7일입니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "SFTP 엔드포인트를 활성화하면 시간당 비용이 발생합니다. SFTP 지원을 신중하게 비활성화한 다음 필요에 따라 활성화하면 계정에 수동 요금이 발생하는 것을 방지할 수 있습니다.", + "guid": "35ebda6d-7534-4808-84f7-70bd3adb0f35", + "service": "Azure Blob Storage", + "text": "데이터 전송에 사용되는 경우에만 SFTP 지원을 사용하도록 설정합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "암호화 범위에는 월별 요금이 부과됩니다.", + "guid": "9ca25392-5ed4-43e6-af70-33fea033e859", + "service": "Azure Blob Storage", + "text": "불필요한 요금을 방지하기 위해 필요하지 않은 암호화 범위를 사용하지 않도록 설정합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "기존 DevOps 프로세스를 사용하여 새 스토리지 계정을 배포하고 Azure Policy를 사용하여 구성을 적용할 수 있습니다.", + "guid": "ce1d3a00-f0c5-47c1-b230-5a199e462b52", + "service": "Azure Blob Storage", + "text": "IaC(Infrastructure as Code)를 사용하여 ARM 템플릿(Azure Resource Manager 템플릿), Bicep 또는 Terraform에서 스토리지 계정의 세부 정보를 정의합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "각 계정의 상태와 운영을 추적할 수 있습니다. 이해 관계자가 스토리지 계정의 상태를 추적하는 데 사용할 수 있는 대시보드 및 보고서를 쉽게 만들 수 있습니다.", + "guid": "a06df82c-98fb-4219-9708-6cb27a3b9c71", + "service": "Azure Blob Storage", + "text": "Storage 인사이트를 사용하여 스토리지 계정의 상태와 성능을 추적합니다. Storage 인사이트는 모든 스토리지 계정에 대한 오류, 성능, 가용성 및 용량에 대한 통합 보기를 제공합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "스토리지 계정과 VM, 서비스 및 온-프레미스 클라이언트 간의 물리적 거리를 줄이면 성능이 향상되고 네트워크 대기 시간이 줄어들 수 있습니다. 물리적 거리를 줄이면 단일 지역 내의 대역폭 사용량이 무료이기 때문에 Azure에서 호스팅되는 애플리케이션의 비용도 절감됩니다.", + "guid": "5e724a0a-d268-47ae-9dcf-7ef18d870d1d", + "service": "Azure Blob Storage", + "text": "종속 리소스가 배치된 동일한 지역에 저장소 계정을 프로비전합니다. 모바일 디바이스 앱 또는 온-프레미스 엔터프라이즈 서비스와 같이 Azure에서 호스트되지 않는 애플리케이션의 경우 해당 클라이언트에 더 가까운 지역에서 스토리지 계정을 찾습니다. 자세한 내용은 Azure 지역을 참조하세요. 다른 지역의 클라이언트에 동일한 데이터가 필요하지 않은 경우 각 지역에서 별도의 계정을 만듭니다. 다른 지역의 클라이언트에 일부 데이터만 필요한 경우 개체 복제 정책을 사용하여 관련 개체를 다른 지역의 스토리지 계정에 비동기적으로 복사하는 것이 좋습니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "콘텐츠는 전 세계 수백 개의 글로벌 및 로컬 접속 지점이 있는 Microsoft 글로벌 에지 네트워크를 사용하기 때문에 클라이언트에게 더 빠르게 제공됩니다.", + "guid": "4dea9363-c277-4793-b9e2-e8737aeb619f", + "service": "Azure Blob Storage", + "text": "웹 클라이언트(스트리밍 비디오, 오디오 또는 정적 웹 사이트 콘텐츠)에서 광범위하게 사용하려면 Azure Front Door를 통해 콘텐츠 배달 네트워크를 사용하는 것이 좋습니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "파티션 키의 시작 부분에 가장 가까운 해시 코드 또는 초 값을 사용하면 Blob을 나열, 쿼리 및 읽는 데 필요한 시간이 줄어듭니다.", + "guid": "cc147319-67cb-4737-ba01-285f3ebddcea", + "service": "Azure Blob Storage", + "text": "Blob의 파티션 키에 가능한 한 빨리 해시 문자 시퀀스(예: 3자리 숫자)를 추가합니다. 파티션 키는 계정 이름, 컨테이너 이름, 가상 디렉터리 이름 및 Blob 이름입니다. 이름에 타임스탬프를 사용하려는 경우 해당 스탬프의 시작 부분에 초 값을 추가하는 것이 좋습니다. 자세한 내용은 Partitioning을 참조하십시오.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "Blob 또는 256KiB 이상의 블록 크기는 더 큰 Blob 및 블록 크기를 위해 특별히 제작된 플랫폼의 성능 향상을 활용합니다.", + "guid": "a0addee3-cb0e-4235-b93c-8d5a8ddfbab2", + "service": "Azure Blob Storage", + "text": "Blob 또는 블록을 업로드할 때 256KiB보다 큰 Blob 또는 블록 크기를 사용합니다.", + "type": "recommendation", + "waf": "공연" + } + ], + "metadata": { + "name": "Azure Blob Storage Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "이 검사는 아직 검토되지 않았습니다", + "name": "확인되지 않음" + }, + { + "description": "이 검사와 연관된 작업 항목이 있습니다", + "name": "열다" + }, + { + "description": "이 검사는 확인되었으며 이와 관련된 추가 작업 항목이 없습니다", + "name": "성취" + }, + { + "description": "현재 설계에는 적용되지 않습니다.", + "name": "해당 없음" + }, + { + "description": "필요 없음", + "name": "필요 없음" + } + ], + "waf": [ + { + "name": "안전" + }, + { + "name": "비용" + }, + { + "name": "비용" + }, + { + "name": "신뢰도" + }, + { + "name": "신뢰도" + }, + { + "name": "안전" + }, + { + "name": "공연" + }, + { + "name": "작업" + }, + { + "name": "작업" + }, + { + "name": "공연" + } + ], + "yesno": [ + { + "name": "예" + }, + { + "name": "아니요" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azureblobstorage_sg_checklist.pt.json b/checklists-ext/azureblobstorage_sg_checklist.pt.json new file mode 100644 index 000000000..9e792e214 --- /dev/null +++ b/checklists-ext/azureblobstorage_sg_checklist.pt.json @@ -0,0 +1,282 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "A redundância protege seus dados contra falhas inesperadas. As opções de configuração ZRS e GZRS são replicadas em diferentes zonas de disponibilidade e permitem que os aplicativos continuem lendo dados durante uma interrupção. Para obter mais informações, consulte Durabilidade e disponibilidade por cenário de interrupção e Parâmetros de durabilidade e disponibilidade.", + "guid": "561e09d2-403f-42d4-9d64-dcf0c8845a7b", + "service": "Azure Blob Storage", + "text": "Configure sua conta para redundância. Para obter disponibilidade e durabilidade máximas, configure sua conta usando ZRS (armazenamento com redundância de zona) ou GZRS.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Essa propriedade ajuda a estimar a quantidade de dados que você pode perder ao iniciar um failover de conta. Todos os dados e metadados gravados antes da última hora de sincronização estão disponíveis na região secundária, mas os dados e metadados gravados após a última hora de sincronização podem ser perdidos porque não são gravados na região secundária.", + "guid": "1cb9a83e-5e1f-4fa2-9fd6-b2e26a5462db", + "service": "Azure Blob Storage", + "text": "Antes de iniciar um failover ou failback, avalie o potencial de perda de dados verificando o valor da propriedade da hora da última sincronização. Essa recomendação se aplica somente às configurações GRS e GZRS.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "A opção de exclusão reversível permite que uma conta de armazenamento recupere contêineres e blobs excluídos. A opção de controle de versão rastreia automaticamente as alterações feitas nos blobs. Essa opção permite restaurar um blob para um estado anterior. A opção de restauração pontual protege contra exclusão ou corrupção acidental de blob e permite restaurar dados de blob de blocos para um estado anterior. Para obter mais informações, consulte Visão geral da proteção de dados.", + "guid": "d095b8f1-86f8-4345-a730-c079330d8a19", + "service": "Azure Blob Storage", + "text": "Como parte de sua estratégia de backup e recuperação, habilite as opções de exclusão reversível de contêiner, exclusão reversível de blob, controle de versão e restauração pontual.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Quando o acesso anônimo é permitido para uma conta de armazenamento, um usuário que tenha as permissões apropriadas pode modificar a configuração de acesso anônimo de um contêiner para habilitar o acesso anônimo aos dados nesse contêiner.", + "guid": "0906a42b-c081-4ba8-bef8-04633017558c", + "service": "Azure Blob Storage", + "text": "Desabilite o acesso de leitura anônimo a contêineres e blob.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Bloquear uma conta impede que ela seja excluída e cause perda de dados.", + "guid": "ed64645f-1d29-48f6-ac60-d072f840a0b9", + "service": "Azure Blob Storage", + "text": "Aplique um bloqueio do Azure Resource Manager na conta de armazenamento.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Comece com acesso zero e, em seguida, autorize incrementalmente os níveis mais baixos de acesso necessários para clientes e serviços para minimizar o risco de criar aberturas desnecessárias para invasores.", + "guid": "c8c2f2d2-3aca-4483-9092-c5e078bd7488", + "service": "Azure Blob Storage", + "text": "Desabilite o tráfego para os pontos de extremidade públicos da sua conta de armazenamento. Crie pontos de extremidade privados para clientes executados no Azure. Habilite o ponto de extremidade público somente se os clientes e serviços externos ao Azure exigirem acesso direto à sua conta de armazenamento. Habilite regras de firewall que limitam o acesso a redes virtuais específicas.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Com o RBAC, não há senhas ou chaves que possam ser comprometidas. A entidade de segurança (usuário, grupo, identidade gerenciada ou entidade de serviço) é autenticada pela ID do Microsoft Entra para retornar um token OAuth 2.0. O token é usado para autorizar uma solicitação no serviço de Armazenamento de Blobs.", + "guid": "4784f5c3-bc75-45a7-b309-e39a328d352b", + "service": "Azure Blob Storage", + "text": "Autorize o acesso usando o RBAC (controle de acesso baseado em função) do Azure.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Somente solicitações protegidas autorizadas com a ID do Microsoft Entra são permitidas.", + "guid": "9b699609-816c-4658-af6d-dc939f1edd51", + "service": "Azure Blob Storage", + "text": "Não permitir autorização de chave compartilhada. Isso desabilita não apenas o acesso à chave da conta, mas também os tokens de assinatura de acesso compartilhado do serviço e da conta, pois eles são baseados em chaves de conta.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "O Key Vault permite recuperar chaves em runtime, em vez de salvá-las usando seu aplicativo. O Key Vault também facilita a rotação de suas chaves sem interrupção de seus aplicativos. Girar as chaves da conta periodicamente reduz o risco de expor seus dados a ataques maliciosos.", + "guid": "edf07227-fd13-41c0-8e4e-dbba1e9e5240", + "service": "Azure Blob Storage", + "text": "Recomendamos que você não use uma chave de conta. Se você precisar usar chaves de conta, armazene-as no Key Vault e certifique-se de regenerá-las periodicamente.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "As práticas recomendadas podem ajudá-lo a evitar que um token de assinatura de acesso compartilhado seja vazado e se recuperar rapidamente se ocorrer um vazamento.", + "guid": "1432d7ef-8818-4563-86fe-eead1fc727b9", + "service": "Azure Blob Storage", + "text": "Recomendamos que você não use tokens de assinatura de acesso compartilhado. Avalie se você precisa de tokens de assinatura de acesso compartilhado para proteger o acesso aos recursos do Armazenamento de Blobs. Se você precisar criar uma, examine esta lista de práticas recomendadas de assinatura de acesso compartilhado antes de criá-la e distribuí-la.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "O TLS 1.2 é mais seguro e rápido do que o TLS 1.0 e 1.1, que não oferecem suporte a algoritmos criptográficos modernos e conjuntos de criptografia.", + "guid": "d2308a89-4f5c-4997-b38f-d4fa5585fbda", + "service": "Azure Blob Storage", + "text": "Configure sua conta de armazenamento para que os clientes possam enviar e receber dados usando a versão mínima do TLS 1.2.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "As chaves gerenciadas pelo cliente fornecem maior flexibilidade e controle. Por exemplo, você pode armazenar chaves de criptografia no Key Vault e girá-las automaticamente.", + "guid": "82c9cd68-5f8f-496a-a84f-abbf6ce339c3", + "service": "Azure Blob Storage", + "text": "Considere usar sua própria chave de criptografia para proteger os dados em sua conta de armazenamento. Para obter mais informações, consulte Chaves gerenciadas pelo cliente para criptografia do Armazenamento do Azure.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "As camadas mais frias têm custos de transferência de dados mais altos. Com menos arquivos grandes, você pode reduzir o número de operações necessárias para transferir dados.", + "guid": "d7f07d9a-eff1-48c0-85c1-31c641051313", + "service": "Azure Blob Storage", + "text": "Empacote arquivos pequenos em arquivos maiores antes de movê-los para camadas mais frias. Você pode usar formatos de arquivo como TAR ou ZIP.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "A reidratação de alta prioridade da camada de arquivamento pode levar a contas mais altas do que o normal.", + "guid": "c122df96-d477-4595-acf5-501023d8f002", + "service": "Azure Blob Storage", + "text": "Use a reidratação de prioridade padrão ao reidratar blobs do armazenamento de arquivos. Use a reidratação de alta prioridade apenas para situações de restauração de dados de emergência. Para obter mais informações, consulte Reidratar um blob arquivado para uma camada online", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Armazenar logs de recursos em uma conta de armazenamento para análise posterior pode ser uma opção mais barata. O uso de políticas de gerenciamento de ciclo de vida para gerenciar a retenção de log em uma conta de armazenamento evita que um grande número de arquivos de log se acumule ao longo do tempo, o que pode levar a cobranças de capacidade desnecessárias.", + "guid": "0393ace4-ae00-4510-a626-24fd6c331e91", + "service": "Azure Blob Storage", + "text": "Reduza o custo do uso de logs de recursos escolhendo o local de armazenamento de log apropriado e gerenciando os períodos de retenção de log. Se você planeja consultar logs apenas ocasionalmente (por exemplo, consultar logs para auditoria de conformidade), considere enviar logs de recursos para uma conta de armazenamento em vez de enviá-los para um workspace de Logs do Azure Monitor. Você pode usar uma solução de consulta sem servidor, como o Azure Synapse Analytics, para analisar logs. Para obter mais informações, consulte Otimizar o custo para consultas pouco frequentes. Use políticas de gerenciamento de ciclo de vida para excluir ou arquivar logs.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Cada operação de gravação em um blob cria uma nova versão. Isso aumenta os custos de capacidade. Você pode manter os custos sob controle removendo versões que não são mais necessárias.", + "guid": "514fae4b-0f5c-4107-9b2e-cf9d20192634", + "service": "Azure Blob Storage", + "text": "Se você habilitar o controle de versão, use uma política de gerenciamento de ciclo de vida para excluir automaticamente versões antigas de blob.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Sempre que um blob é substituído, uma nova versão é adicionada, o que leva a um aumento nos encargos de capacidade de armazenamento. Para reduzir os encargos de capacidade, armazene dados substituídos com frequência em uma conta de armazenamento separada com o controle de versão desabilitado.", + "guid": "c33bbf5b-3635-4aed-acb1-0a0b697cff0a", + "service": "Azure Blob Storage", + "text": "Se você habilitar o controle de versão, coloque os blobs que são substituídos com frequência em uma conta que não tenha o controle de versão habilitado.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Sempre que um blob é substituído, um novo instantâneo é criado. A causa do aumento das cobranças de capacidade pode ser difícil de acessar porque a criação desses snapshots não aparece nos logs. Para reduzir os encargos de capacidade, armazene dados substituídos com frequência em uma conta de armazenamento separada com a exclusão reversível desabilitada. Um período de retenção impede que os blobs excluídos temporariamente se acumulem e aumentem o custo da capacidade.", + "guid": "0d4d5fa0-eff6-4fff-88b1-17b542978ea1", + "service": "Azure Blob Storage", + "text": "Se você habilitar a exclusão reversível, coloque os blobs que são substituídos com frequência em uma conta que não tenha a exclusão reversível habilitada. Defina períodos de retenção. Considere começar com um curto período de retenção para entender melhor como o recurso afeta sua fatura. O período mínimo de retenção recomendado é de sete dias.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "A ativação do ponto de extremidade do SFTP incorre em um custo por hora. Ao desabilitar cuidadosamente o suporte ao SFTP e, em seguida, ativá-lo conforme necessário, você pode evitar que cobranças passivas sejam acumuladas em sua conta.", + "guid": "35ebda6d-7534-4808-84f7-70bd3adb0f35", + "service": "Azure Blob Storage", + "text": "Habilite o suporte a SFTP somente quando ele for usado para transferir dados.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Os escopos de criptografia incorrem em uma cobrança por mês.", + "guid": "9ca25392-5ed4-43e6-af70-33fea033e859", + "service": "Azure Blob Storage", + "text": "Desabilite todos os escopos de criptografia que não são necessários para evitar cobranças desnecessárias.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Você pode usar seus processos de DevOps existentes para implantar novas contas de armazenamento e usar o Azure Policy para impor sua configuração.", + "guid": "ce1d3a00-f0c5-47c1-b230-5a199e462b52", + "service": "Azure Blob Storage", + "text": "Use a IaC (infraestrutura como código) para definir os detalhes de suas contas de armazenamento em modelos do ARM (modelos do Azure Resource Manager), Bicep ou Terraform.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Você pode acompanhar a integridade e a operação de cada uma de suas contas. Crie facilmente dashboards e relatórios que os stakeholders podem usar para acompanhar a integridade de suas contas de armazenamento.", + "guid": "a06df82c-98fb-4219-9708-6cb27a3b9c71", + "service": "Azure Blob Storage", + "text": "Use os insights de armazenamento para acompanhar a integridade e o desempenho de suas contas de armazenamento. Os insights de armazenamento fornecem uma visão unificada das falhas, desempenho, disponibilidade e capacidade de todas as suas contas de armazenamento.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Reduzir a distância física entre a conta de armazenamento e VMs, serviços e clientes locais pode melhorar o desempenho e reduzir a latência da rede. Reduzir a distância física também reduz o custo para aplicativos hospedados no Azure porque o uso da largura de banda em uma única região é gratuito.", + "guid": "5e724a0a-d268-47ae-9dcf-7ef18d870d1d", + "service": "Azure Blob Storage", + "text": "Provisione contas de armazenamento na mesma região em que os recursos dependentes são colocados. Para aplicativos que não estão hospedados no Azure, como aplicativos de dispositivo móvel ou serviços empresariais locais, localize a conta de armazenamento em uma região mais próxima desses clientes. Para obter mais informações, consulte Geografias do Azure. Se os clientes de uma região diferente não exigirem os mesmos dados, crie uma conta separada em cada região. Se os clientes de uma região diferente exigirem apenas alguns dados, considere usar uma política de replicação de objeto para copiar objetos relevantes de forma assíncrona para uma conta de armazenamento na outra região.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "O conteúdo é entregue aos clientes mais rapidamente porque usa a rede de borda global da Microsoft com centenas de pontos de presença globais e locais em todo o mundo.", + "guid": "4dea9363-c277-4793-b9e2-e8737aeb619f", + "service": "Azure Blob Storage", + "text": "Para amplo consumo por clientes Web (streaming de vídeo, áudio ou conteúdo estático do site), considere usar uma rede de distribuição de conteúdo por meio do Azure Front Door.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "O uso de um código de hash ou um valor de segundos mais próximo do início de uma chave de partição reduz o tempo necessário para listar, consultar e ler blobs.", + "guid": "cc147319-67cb-4737-ba01-285f3ebddcea", + "service": "Azure Blob Storage", + "text": "Adicione uma sequência de caracteres de hash (como três dígitos) o mais cedo possível na chave de partição de um blob. A chave de partição é o nome da conta, o nome do contêiner, o nome do diretório virtual e o nome do blob. Se você planeja usar carimbos de data/hora em nomes, considere adicionar um valor de segundos ao início desse carimbo. Para obter mais informações, consulte Particionamento.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "Tamanhos de blob ou bloco acima de 256 KiB aproveitam os aprimoramentos de desempenho na plataforma feitos especificamente para blobs e tamanhos de bloco maiores.", + "guid": "a0addee3-cb0e-4235-b93c-8d5a8ddfbab2", + "service": "Azure Blob Storage", + "text": "Ao carregar blobs ou blocos, use um tamanho de blob ou bloco maior que 256 KiB.", + "type": "recommendation", + "waf": "Desempenho" + } + ], + "metadata": { + "name": "Azure Blob Storage Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "Esta verificação ainda não foi analisada", + "name": "Não verificado" + }, + { + "description": "Há um item de ação associado a essa verificação", + "name": "Abrir" + }, + { + "description": "Essa verificação foi verificada e não há mais itens de ação associados a ela", + "name": "Cumprido" + }, + { + "description": "Não aplicável para o projeto atual", + "name": "N/A" + }, + { + "description": "Não é necessário", + "name": "Não é necessário" + } + ], + "waf": [ + { + "name": "segurança" + }, + { + "name": "Custar" + }, + { + "name": "custar" + }, + { + "name": "Fiabilidade" + }, + { + "name": "fiabilidade" + }, + { + "name": "Segurança" + }, + { + "name": "desempenho" + }, + { + "name": "Operações" + }, + { + "name": "Operações" + }, + { + "name": "Desempenho" + } + ], + "yesno": [ + { + "name": "Sim" + }, + { + "name": "Não" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azureblobstorage_sg_checklist.zh-Hant.json b/checklists-ext/azureblobstorage_sg_checklist.zh-Hant.json new file mode 100644 index 000000000..3d91b936f --- /dev/null +++ b/checklists-ext/azureblobstorage_sg_checklist.zh-Hant.json @@ -0,0 +1,282 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "冗餘可保護您的數據免受意外故障的影響。ZRS 和 GZRS 設定選項可在不同的可用性區域之間複製，並使應用程式能夠在中斷期間繼續讀取數據。有關詳細資訊，請參閱按中斷方案劃分的持久性和可用性以及持久性和可用性參數。", + "guid": "561e09d2-403f-42d4-9d64-dcf0c8845a7b", + "service": "Azure Blob Storage", + "text": "配置您的帳戶以實現冗餘。為了獲得最大的可用性和持久性，請使用區域冗餘存儲 （ZRS） 或 GZRS 配置您的帳戶。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "此屬性可幫助您估計啟動帳戶故障轉移時可能丟失的數據量。在上次同步時間之前寫入的所有數據和元數據在次要區域上都可用，但在上次同步時間之後寫入的數據和元數據可能會丟失，因為它不會寫入次要區域。", + "guid": "1cb9a83e-5e1f-4fa2-9fd6-b2e26a5462db", + "service": "Azure Blob Storage", + "text": "在啟動故障轉移或故障回復之前，請通過檢查上次同步時間屬性的值來評估數據丟失的可能性。此建議僅適用於 GRS 和 GZRS 配置。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "使用軟刪除選項，存儲帳戶可以恢復已刪除的容器和 Blob。版本控制選項會自動跟蹤對 blob 所做的更改。此選項使您可以將 blob 還原到以前的狀態。時間點還原選項可防止意外刪除或損壞 blob，並允許將塊 blob 數據還原到早期狀態。有關詳細資訊，請參閱數據保護概述。", + "guid": "d095b8f1-86f8-4345-a730-c079330d8a19", + "service": "Azure Blob Storage", + "text": "作為備份和恢復策略的一部分，請啟用容器軟刪除、blob 軟刪除、版本控制和時間點還原選項。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "當允許對存儲帳戶進行匿名訪問時，具有適當許可權的使用者可以修改容器的匿名訪問設置，以啟用對該容器中數據的匿名訪問。", + "guid": "0906a42b-c081-4ba8-bef8-04633017558c", + "service": "Azure Blob Storage", + "text": "禁用對容器和 blob 的匿名讀取訪問。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "鎖定帳戶可以防止其被刪除並導致數據丟失。", + "guid": "ed64645f-1d29-48f6-ac60-d072f840a0b9", + "service": "Azure Blob Storage", + "text": "在存儲帳戶上應用 Azure 資源管理器鎖。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "從零訪問開始，然後逐步授權客戶端和服務所需的最低訪問級別，以最大限度地降低為攻擊者創造不必要機會的風險。", + "guid": "c8c2f2d2-3aca-4483-9092-c5e078bd7488", + "service": "Azure Blob Storage", + "text": "禁用流向存儲帳戶的公共終結點的流量。為在 Azure 中運行的用戶端創建專用終結點。僅當 Azure 外部的用戶端和服務需要直接存取記憶體帳戶時，才啟用公共終結點。啟用防火牆規則，限制對特定虛擬網路的訪問。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "使用 RBAC，沒有可以洩露的密碼或金鑰。安全主體（使用者、組、託管標識或服務主體）由 Microsoft Entra ID 進行身份驗證，以返回 OAuth 2.0 令牌。令牌用於授權針對 Blob 儲存服務的請求。", + "guid": "4784f5c3-bc75-45a7-b309-e39a328d352b", + "service": "Azure Blob Storage", + "text": "使用 Azure 基於角色的存取控制 （RBAC） 授權存取權限。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "僅允許使用 Microsoft Entra ID 授權的安全請求。", + "guid": "9b699609-816c-4658-af6d-dc939f1edd51", + "service": "Azure Blob Storage", + "text": "禁止共用金鑰授權。這不僅會禁用帳戶密鑰訪問，還會禁用服務和帳戶共用訪問簽名令牌，因為它們基於帳戶密鑰。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Key Vault 允許在運行時檢索金鑰，而不是使用應用程式保存密鑰。Key Vault 還使輪換密鑰變得容易，而不會中斷應用程式。定期輪換帳戶密鑰可以降低將數據暴露給惡意攻擊的風險。", + "guid": "edf07227-fd13-41c0-8e4e-dbba1e9e5240", + "service": "Azure Blob Storage", + "text": "我們建議您不要使用帳戶密鑰。如果必須使用帳戶密鑰，請將其存儲在 Key Vault 中，並確保定期重新生成它們。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "最佳做法可説明你防止共享訪問簽名令牌洩露，並在發生洩漏時快速恢復。", + "guid": "1432d7ef-8818-4563-86fe-eead1fc727b9", + "service": "Azure Blob Storage", + "text": "建議不要使用共用訪問簽名令牌。評估是否需要共用訪問簽名令牌來保護對 Blob 儲存資源的訪問。如果必須創建一個，請在創建和分發共用訪問簽名之前查看此共享訪問簽名最佳做法清單。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "TLS 1.2 比 TLS 1.0 和 1.1 更安全、更快，後者不支援現代加密演算法和密碼套件。", + "guid": "d2308a89-4f5c-4997-b38f-d4fa5585fbda", + "service": "Azure Blob Storage", + "text": "配置存儲帳戶，以便用戶端可以使用 TLS 1.2 的最低版本發送和接收數據。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "客戶管理的金鑰提供了更大的靈活性和控制力。例如，可以將加密密鑰存儲在 Key Vault 中，並自動輪換它們。", + "guid": "82c9cd68-5f8f-496a-a84f-abbf6ce339c3", + "service": "Azure Blob Storage", + "text": "請考慮使用自己的加密金鑰來保護記憶體中的資料。有關詳細資訊，請參閱用於 Azure 儲存加密的客戶管理的密鑰。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "較冷的層具有更高的數據傳輸成本。通過減少大文件的數量，可以減少傳輸數據所需的操作數量。", + "guid": "d7f07d9a-eff1-48c0-85c1-31c641051313", + "service": "Azure Blob Storage", + "text": "將小檔打包到較大檔中，然後再將它們移動到較冷的層。您可以使用 TAR 或 ZIP 等檔案格式。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "來自存檔層的高優先順序解除凍結可能會導致帳單高於正常水準。", + "guid": "c122df96-d477-4595-acf5-501023d8f002", + "service": "Azure Blob Storage", + "text": "從存檔存儲中解除凍結 blob 時，請使用標準優先順序解除凍結。僅在緊急數據恢復情況下使用高優先順序解除凍結。有關詳細資訊，請參閱將存檔的 blob 解除凍結到連線層", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "將資源日誌存儲在存儲帳戶中以供以後分析可能是一個更便宜的選項。使用生命週期管理策略來管理存儲帳戶中的日誌保留期可以防止大量日誌檔隨著時間的推移而積累，這可能會導致不必要的容量費用。", + "guid": "0393ace4-ae00-4510-a626-24fd6c331e91", + "service": "Azure Blob Storage", + "text": "通過選擇適當的日誌存儲位置並管理日誌保留期，降低使用資源日誌的成本。如果只計劃偶爾查詢日誌（例如，查詢日誌以進行合規性審核），請考慮將資源日誌發送到存儲帳戶，而不是將其發送到 Azure Monitor 日誌工作區。可以使用無伺服器查詢解決方案（例如 Azure Synapse Analytics）來分析日誌。有關詳細資訊，請參閱優化不頻繁查詢的成本。使用生命週期管理策略刪除或歸檔日誌。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "對 blob 的每個寫入操作都會創建一個新版本。這會增加容量成本。您可以通過刪除不再需要的版本來控制成本。", + "guid": "514fae4b-0f5c-4107-9b2e-cf9d20192634", + "service": "Azure Blob Storage", + "text": "如果啟用版本控制，請使用生命週期管理策略自動刪除舊的 blob 版本。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "每次覆蓋 blob 時，都會添加一個新版本，這會導致存儲容量費用增加。若要降低容量費用，請將經常覆蓋的數據存儲在禁用了版本控制的單獨存儲帳戶中。", + "guid": "c33bbf5b-3635-4aed-acb1-0a0b697cff0a", + "service": "Azure Blob Storage", + "text": "如果啟用版本控制，則將經常被覆蓋的 blob 放入未啟用版本控制的帳戶中。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "每次覆蓋 blob 時，都會創建一個新的快照。容量費用增加的原因可能難以訪問，因為這些快照的創建不會顯示在日誌中。若要降低容量費用，請將經常覆蓋的數據存儲在禁用軟刪除的單獨存儲帳戶中。保留期可防止軟刪除的 blob 堆積起來並增加容量成本。", + "guid": "0d4d5fa0-eff6-4fff-88b1-17b542978ea1", + "service": "Azure Blob Storage", + "text": "如果啟用軟刪除，則將經常被覆蓋的 blob 放入未啟用軟刪除的帳戶中。設置保留期。請考慮從較短的保留期開始，以更好地瞭解該功能如何影響您的帳單。建議的最短保留期為 7 天。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "啟用SFTP終端節點會產生每小時費用。通過深思熟慮地禁用 SFTP 支援，然後根據需要啟用它，您可以避免在您的帳戶中產生被動費用。", + "guid": "35ebda6d-7534-4808-84f7-70bd3adb0f35", + "service": "Azure Blob Storage", + "text": "僅當 SFTP 支援用於傳輸數據時，才啟用 SFTP 支援。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "加密範圍每月產生費用。", + "guid": "9ca25392-5ed4-43e6-af70-33fea033e859", + "service": "Azure Blob Storage", + "text": "禁用任何不需要的加密範圍，以避免產生不必要的費用。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "可以使用現有的 DevOps 流程來部署新的儲存帳戶，並使用 Azure Policy 強制實施其配置。", + "guid": "ce1d3a00-f0c5-47c1-b230-5a199e462b52", + "service": "Azure Blob Storage", + "text": "使用基礎結構即代碼 （IaC） 在 Azure 資源管理器範本（ARM 範本）、Bicep 或 Terraform 中定義記憶體帳戶的詳細資訊。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "您可以追蹤每個帳戶的運行狀況和操作。輕鬆創建儀錶板和報告，利益幹系人可以使用這些儀錶板和報告來跟蹤存儲帳戶的運行狀況。", + "guid": "a06df82c-98fb-4219-9708-6cb27a3b9c71", + "service": "Azure Blob Storage", + "text": "使用存儲見解跟蹤存儲帳戶的運行狀況和性能。存儲見解提供所有存儲帳戶的故障、性能、可用性和容量的統一視圖。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "減少存儲帳戶與 VM、服務和本地用戶端之間的物理距離可以提高性能並減少網路延遲。減少物理距離還可以降低託管在 Azure 中的應用程式的成本，因為單個區域內的頻寬使用是免費的。", + "guid": "5e724a0a-d268-47ae-9dcf-7ef18d870d1d", + "service": "Azure Blob Storage", + "text": "在放置依賴資源的同一區域中預配存儲帳戶。對於未託管在 Azure 上的應用程式（例如行動裝置應用或本地企業服務），請將儲存帳戶放置在離這些用戶端更近的區域中。有關詳細資訊，請參閱 Azure 地理位置。如果來自不同區域的用戶端不需要相同的數據，則在每個區域創建一個單獨的帳戶。如果來自不同區域的用戶端只需要一些數據，請考慮使用物件複製策略將相關物件異步複製到另一個區域中的存儲帳戶。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "內容可以更快地交付給客戶端，因為它使用 Microsoft 全球邊緣網路，該網路在全球擁有數百個全球和本地存取點。", + "guid": "4dea9363-c277-4793-b9e2-e8737aeb619f", + "service": "Azure Blob Storage", + "text": "對於 Web 用戶端（流式傳輸視頻、音訊或靜態網站內容）的廣泛使用，請考慮通過 Azure Front Door 使用內容分發網路。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "使用最接近分區鍵開頭的哈希代碼或秒值可減少列出、查詢和讀取 blob 所需的時間。", + "guid": "cc147319-67cb-4737-ba01-285f3ebddcea", + "service": "Azure Blob Storage", + "text": "盡早在 blob 的分區鍵中添加哈希字元序列（例如三位數位）。分區鍵是帳戶名稱、容器名稱、虛擬目錄名稱和 blob 名稱。如果您計劃在名稱中使用時間戳，請考慮在該標記的開頭添加秒值。有關詳細資訊，請參閱分區。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "大於 256 KiB 的 blob 或塊大小可利用平臺中專門針對較大 blob 和塊大小的性能增強功能。", + "guid": "a0addee3-cb0e-4235-b93c-8d5a8ddfbab2", + "service": "Azure Blob Storage", + "text": "上傳 blob 或塊時，請使用大於 256 KiB 的 blob 或塊大小。", + "type": "recommendation", + "waf": "性能" + } + ], + "metadata": { + "name": "Azure Blob Storage Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "此檢查尚未查看", + "name": "未驗證" + }, + { + "description": "有一個與此檢查關聯的操作項", + "name": "打開" + }, + { + "description": "此檢查已經過驗證，並且沒有與之關聯的其他操作項", + "name": "實現" + }, + { + "description": "不適用於當前設計", + "name": "N/A" + }, + { + "description": "不需要", + "name": "不需要" + } + ], + "waf": [ + { + "name": "安全" + }, + { + "name": "成本" + }, + { + "name": "成本" + }, + { + "name": "可靠性" + }, + { + "name": "可靠性" + }, + { + "name": "安全" + }, + { + "name": "性能" + }, + { + "name": "操作" + }, + { + "name": "操作" + }, + { + "name": "性能" + } + ], + "yesno": [ + { + "name": "是的" + }, + { + "name": "不" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azureexpressroute_sg_checklist.en.json b/checklists-ext/azureexpressroute_sg_checklist.en.json index bc72f8c77..a85f93a38 100644 --- a/checklists-ext/azureexpressroute_sg_checklist.en.json +++ b/checklists-ext/azureexpressroute_sg_checklist.en.json @@ -277,6 +277,6 @@ "name": "Azure Expressroute Service Guide", "waf": "all", "state": "preview", - "timestamp": "August 04, 2024" + "timestamp": "August 05, 2024" } } \ No newline at end of file diff --git a/checklists-ext/azureexpressroute_sg_checklist.es.json b/checklists-ext/azureexpressroute_sg_checklist.es.json new file mode 100644 index 000000000..a2e7d822d --- /dev/null +++ b/checklists-ext/azureexpressroute_sg_checklist.es.json @@ -0,0 +1,282 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "Durante la fase de planeación inicial, debe decidir si desea configurar un circuito ExpressRoute o una conexión ExpressRoute Direct. Un circuito ExpressRoute permite una conexión privada dedicada a Azure con la ayuda de un proveedor de conectividad. ExpressRoute Direct permite extender la red local directamente a la red de Microsoft en una ubicación de emparejamiento. También debe identificar el requisito de ancho de banda y el requisito de tipo de SKU para las necesidades de su empresa.", + "guid": "e89fb4a5-9cdd-4fd5-bb8b-388dee7bc217", + "service": "Azure Expressroute", + "text": "Planeación del circuito ExpressRoute o ExpressRoute Direct", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Para mejorar la resistencia, planee tener varias rutas de acceso entre el perímetro local y las ubicaciones de emparejamiento (ubicaciones perimetrales del proveedor/Microsoft). Esta configuración se puede lograr a través de un proveedor de servicios diferente o a través de una ubicación diferente de la red local.", + "guid": "4f51aa2e-2a6a-4ea1-9c8a-f9ee668052af", + "service": "Azure Expressroute", + "text": "Diversidad de capas físicas", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Para planear la recuperación ante desastres, configure circuitos ExpressRoute en más de una ubicación de emparejamiento. Puede crear circuitos en ubicaciones de emparejamiento en el mismo metro o en uno diferente y elegir trabajar con diferentes proveedores de servicios para diversas rutas a través de cada circuito. Para obtener más información, consulte Diseño para la recuperación ante desastres y Diseño para alta disponibilidad.", + "guid": "14b83764-dab1-4741-85ee-7b3cf55cde49", + "service": "Azure Expressroute", + "text": "Planeación de circuitos con redundancia geográfica", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Los circuitos dedicados de ExpressRoute garantizan una disponibilidad del \"99,95 %\" cuando se configura una conectividad activo-activo entre el entorno local y Azure. Este modo proporciona una mayor disponibilidad de la conexión de Expressroute. También se recomienda configurar BFD para una conmutación por error más rápida si hay un error de vínculo en una conexión.", + "guid": "f28fea39-a9e2-45ef-a711-997456c3d42c", + "service": "Azure Expressroute", + "text": "Planeación de la conectividad Activo-Activo", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Cree una puerta de enlace de red virtual compatible con la zona de disponibilidad para una mayor resistencia y planifique puertas de enlace de red virtual en diferentes regiones para la recuperación ante desastres y la alta disponibilidad.", + "guid": "8e29e63c-2da5-4242-8a86-c7083b231b0f", + "service": "Azure Expressroute", + "text": "Planeación de puertas de enlace de red virtual", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Configure la supervisión y las alertas para los circuitos ExpressRoute y el estado de la puerta de enlace de red virtual en función de varias métricas disponibles.", + "guid": "0367cde8-2954-4b20-8be0-fb2b7e50eb91", + "service": "Azure Expressroute", + "text": "Supervise el estado de los circuitos y las puertas de enlace", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "ExpressRoute usa el estado del servicio para notificar sobre el mantenimiento planeado y no planeado. La configuración del estado del servicio le notificará sobre los cambios realizados en los circuitos ExpressRoute.", + "guid": "c7bf09c0-317f-4f7f-be8d-3d74444757c8", + "service": "Azure Expressroute", + "text": "Habilitar el estado del servicio", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Los registros de actividad proporcionan información sobre las operaciones que se realizaron en el nivel de suscripción para los recursos de ExpressRoute. Con los registros de actividad, puede determinar quién y cuándo se realizó una operación en el plano de control. La retención de datos es de solo 90 días y debe almacenarse en Log Analytics, Event Hubs o una cuenta de almacenamiento para el archivo.", + "guid": "b1f76928-0fc3-407e-8658-f93f2812873f", + "service": "Azure Expressroute", + "text": "Configurar el registro de actividad para enviar registros al archivo", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Use Azure RBAC para configurar roles para limitar las cuentas de usuario que pueden agregar, actualizar o eliminar la configuración de emparejamiento en un circuito ExpressRoute.", + "guid": "61fced7c-71af-4061-a73a-b880e8ee4f78", + "service": "Azure Expressroute", + "text": "Mantener el inventario de las cuentas administrativas", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Durante la configuración del emparejamiento privado o del emparejamiento de Microsoft, aplique un hash MD5 para proteger los mensajes entre la ruta local y los enrutadores MSEE.", + "guid": "7091a086-8128-45f8-81e6-c93548433b87", + "service": "Azure Expressroute", + "text": "Configuración del hash MD5 en el circuito ExpressRoute", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "La seguridad del control de acceso a medios es una seguridad punto a punto en la capa de enlace de datos. ExpressRoute Direct admite la configuración de MACSec para evitar amenazas de seguridad a protocolos como ARP, DHCP, LACP que normalmente no están protegidos en el vínculo Ethernet. Para obtener más información sobre cómo configurar MACSec, consulte MACSec para puertos ExpressRoute Direct.", + "guid": "90d32454-fcb9-496d-a411-166a2fe50b6b", + "service": "Azure Expressroute", + "text": "Configuración de MACSec para recursos de ExpressRoute Direct", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Configure un túnel VPN de sitio a sitio a través del circuito ExpressRoute para cifrar la transferencia de datos entre la red local y la red virtual de Azure. Puede configurar un túnel mediante el emparejamiento privado o mediante el emparejamiento de Microsoft.", + "guid": "ef702434-e1ce-4c4b-a2a6-553c1d58f881", + "service": "Azure Expressroute", + "text": "Cifrar el tráfico mediante IPsec", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Para obtener información sobre los precios de ExpressRoute, consulte Descripción de los precios de Azure ExpressRoute. También puede utilizar la calculadora de precios. Asegúrese de que las opciones tengan el tamaño adecuado para satisfacer la demanda de capacidad y ofrecer el rendimiento esperado sin desperdiciar recursos.", + "guid": "8ae8772a-7131-42f9-9d2f-ce2aa5bcdd2b", + "service": "Azure Expressroute", + "text": "Familiarícese con los precios de ExpressRoute", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "La forma en que se le cobra por el uso de ExpressRoute varía entre los tres tipos de SKU diferentes. Con el SKU local, se te cobra automáticamente un plan de datos ilimitados. Con los SKU Estándar y Premium, puedes seleccionar entre un plan de datos medido o ilimitado. Todos los datos de entrada son gratuitos, excepto cuando se utiliza el complemento Global Reach. Es importante comprender qué tipos de SKU y plan de datos funcionan mejor para su carga de trabajo para optimizar mejor el costo y el presupuesto. Para obtener más información sobre cómo cambiar el tamaño del circuito ExpressRoute, consulte Actualización del ancho de banda del circuito ExpressRoute.", + "guid": "18ef72cd-862c-43e8-b9ee-921fb5f079f0", + "service": "Azure Expressroute", + "text": "Determinar el SKU y el ancho de banda necesarios", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Las puertas de enlace de red virtual de ExpressRoute se usan para pasar tráfico a una red virtual a través del emparejamiento privado. Revise las necesidades de rendimiento y escalado de la SKU de puerta de enlace de red virtual preferida. Seleccione la SKU de puerta de enlace adecuada en la carga de trabajo local a Azure.", + "guid": "3655e3bc-9d56-47f6-b7bc-c1a568aa3c8a", + "service": "Azure Expressroute", + "text": "Determinación del tamaño de la puerta de enlace de red virtual de ExpressRoute", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Supervise el costo del circuito ExpressRoute y cree alertas para anomalías de gasto y riesgos de gasto excesivo. Para obtener más información, consulte Supervisión de los costos de ExpressRoute.", + "guid": "3ade6188-d99d-47de-99e7-639136d3ac36", + "service": "Azure Expressroute", + "text": "Supervise los costos y cree alertas de presupuesto", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Los circuitos ExpressRoute se cargan desde el momento en que se crean. Para reducir el costo innecesario, desaprovisione el circuito con el proveedor de servicios y elimine el circuito ExpressRoute de la suscripción. Para conocer los pasos sobre cómo quitar un circuito ExpressRoute, consulte Desaprovisionamiento de un circuito ExpressRoute.", + "guid": "ca8f1e36-5762-4510-b0af-5a073cc9185a", + "service": "Azure Expressroute", + "text": "Desaprovisionar y eliminar circuitos ExpressRoute que ya no estén en uso.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "La supervisión de conexiones permite supervisar la conectividad entre los recursos locales y Azure a través del emparejamiento privado de ExpressRoute y la conexión de emparejamiento de Microsoft. El monitor de conexión puede detectar problemas de red identificando en qué parte de la ruta de red se encuentra el problema y ayudarlo a resolver rápidamente fallas de configuración o hardware.", + "guid": "c1dcf762-0191-4963-89d7-3cc1df34b653", + "service": "Azure Expressroute", + "text": "Configurar la supervisión de la conexión", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Configure las notificaciones de estado del servicio para avisar cuando se produzca un mantenimiento planeado y próximo en todos los circuitos ExpressRoute de la suscripción. El estado del servicio también muestra el mantenimiento anterior junto con el RCA si se produjera un mantenimiento no planificado.", + "guid": "60f840b9-1818-4967-a115-68e90f47daf3", + "service": "Azure Expressroute", + "text": "Configurar el estado del servicio", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "ExpressRoute Insights con Network Insights le permite revisar y analizar circuitos, puertas de enlace, métricas de conexiones y paneles de estado de ExpressRoute. ExpressRoute Insights también proporciona una vista de topología de las conexiones de ExpressRoute en la que puede ver los detalles de los componentes del emparejamiento en un solo lugar. Métricas disponibles:- Disponibilidad- Rendimiento- Métricas de puerta de enlace", + "guid": "c3c5fe66-1901-4786-99ea-845944bd6ca3", + "service": "Azure Expressroute", + "text": "Revise las métricas con Network Insights", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "ExpressRoute usa Azure Monitor para recopilar métricas y crear alertas en función de la configuración. Las métricas se recopilan para los circuitos ExpressRoute, las puertas de enlace de ExpressRoute, las conexiones de puerta de enlace de ExpressRoute y ExpressRoute Direct. Estas métricas son útiles para diagnosticar problemas de conectividad y comprender el rendimiento de la conexión de ExpressRoute.", + "guid": "03914313-6287-41c4-9e4a-4980c2ee3aa9", + "service": "Azure Expressroute", + "text": "Revisión de las métricas de recursos de ExpressRoute", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Use Azure Connectivity Toolkit para probar el rendimiento en el circuito ExpressRoute para comprender la capacidad de ancho de banda y la latencia de la conexión de red.", + "guid": "07fac8bb-13c5-44b8-a4e8-7e2ed1a84b48", + "service": "Azure Expressroute", + "text": "Pruebe el rendimiento de la puerta de enlace de ExpressRoute para cumplir los requisitos de carga de trabajo.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Actualice a una SKU de puerta de enlace superior para mejorar el rendimiento entre el entorno local y el entorno de Azure.", + "guid": "7f788e1a-71dd-4a3e-b19f-6bd8ef8ad815", + "service": "Azure Expressroute", + "text": "Aumente el tamaño de la puerta de enlace de ExpressRoute.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Actualice el ancho de banda de su circuito para cumplir con sus requisitos de carga de trabajo. El ancho de banda del circuito se comparte entre todas las redes virtuales conectadas al circuito ExpressRoute. En función de la carga de trabajo, una o varias redes virtuales pueden utilizar todo el ancho de banda del circuito.", + "guid": "5cd4120c-3a0b-42d0-8114-2663988f43b8", + "service": "Azure Expressroute", + "text": "Actualización del ancho de banda del circuito ExpressRoute", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Si usa una puerta de enlace de red virtual ErGW3AZ o de rendimiento Ultra, puede habilitar FastPath para mejorar el rendimiento de la ruta de acceso de datos entre la red local y la red virtual de Azure.", + "guid": "ef778b99-5006-4adf-bef1-d709456a4c51", + "service": "Azure Expressroute", + "text": "Habilitación de ExpressRoute FastPath para un mayor rendimiento", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Configure alertas basadas en métricas de ExpressRoute para que le notifiquen de forma proactiva cuando se alcance un umbral determinado. Estas métricas son útiles para comprender las anomalías que pueden producirse con la conexión de ExpressRoute, como las interrupciones y el mantenimiento que se producen en los circuitos de ExpressRoute.", + "guid": "4a0e8302-106d-48a3-abc4-9e4875a48309", + "service": "Azure Expressroute", + "text": "Supervisión de métricas de circuitos y puertas de enlace de ExpressRoute", + "type": "recommendation", + "waf": "Rendimiento" + } + ], + "metadata": { + "name": "Azure Expressroute Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "Este control aún no se ha examinado", + "name": "No verificado" + }, + { + "description": "Hay un elemento de acción asociado a esta comprobación", + "name": "Abrir" + }, + { + "description": "Esta comprobación se ha verificado y no hay más elementos de acción asociados a ella", + "name": "Cumplido" + }, + { + "description": "No aplicable para el diseño actual", + "name": "N/A" + }, + { + "description": "No es necesario", + "name": "No es necesario" + } + ], + "waf": [ + { + "name": "seguridad" + }, + { + "name": "Costar" + }, + { + "name": "costar" + }, + { + "name": "Fiabilidad" + }, + { + "name": "fiabilidad" + }, + { + "name": "Seguridad" + }, + { + "name": "rendimiento" + }, + { + "name": "Operaciones" + }, + { + "name": "Operaciones" + }, + { + "name": "Rendimiento" + } + ], + "yesno": [ + { + "name": "Sí" + }, + { + "name": "No" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azureexpressroute_sg_checklist.ja.json b/checklists-ext/azureexpressroute_sg_checklist.ja.json new file mode 100644 index 000000000..f953ab3d1 --- /dev/null +++ b/checklists-ext/azureexpressroute_sg_checklist.ja.json @@ -0,0 +1,282 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "最初の計画フェーズでは、ExpressRoute 回線と ExpressRoute Direct 接続のどちらを構成するかを決定します。ExpressRoute 回線を使用すると、接続プロバイダーの助けを借りて Azure へのプライベート専用接続が可能になります。ExpressRoute Direct を使用すると、オンプレミス ネットワークをピアリングの場所にある Microsoft ネットワークに直接拡張できます。また、ビジネス ニーズの帯域幅要件と SKU タイプ要件を特定する必要もあります。", + "guid": "e89fb4a5-9cdd-4fd5-bb8b-388dee7bc217", + "service": "Azure Expressroute", + "text": "ExpressRoute 回線または ExpressRoute Direct の計画", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "回復性を向上させるには、オンプレミスのエッジとピアリングの場所 (プロバイダー/Microsoft エッジの場所) の間に複数のパスを用意するように計画します。この構成は、別のサービス プロバイダーを経由するか、オンプレミス ネットワークとは異なる場所を経由することで実現できます。", + "guid": "4f51aa2e-2a6a-4ea1-9c8a-f9ee668052af", + "service": "Azure Expressroute", + "text": "物理層の多様性", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "ディザスター リカバリーを計画するには、ExpressRoute 回線を複数のピアリング場所にセットアップします。同じ都市圏または異なる都市圏のピアリング ロケーションに回線を作成し、各回線を経由するさまざまなパスに対して異なるサービス プロバイダーと連携することを選択できます。詳細については、「障害復旧のための設計」および「高可用性のための設計」を参照してください。", + "guid": "14b83764-dab1-4741-85ee-7b3cf55cde49", + "service": "Azure Expressroute", + "text": "geo 冗長回線の計画", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "ExpressRoute 専用回線では、オンプレミスと Azure の間にアクティブ/アクティブ接続が構成されている場合、\"99.95%\" の可用性が保証されます。このモードでは、ExpressRoute 接続の可用性が向上します。また、接続でリンク障害が発生した場合にフェイルオーバーを高速化するために、BFD を構成することもお勧めします。", + "guid": "f28fea39-a9e2-45ef-a711-997456c3d42c", + "service": "Azure Expressroute", + "text": "アクティブ/アクティブ接続の計画", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "可用性ゾーン対応の Virtual Network Gateway を作成して回復性を高め、ディザスター リカバリーと高可用性のためにさまざまなリージョンで Virtual Network Gateway を計画します。", + "guid": "8e29e63c-2da5-4242-8a86-c7083b231b0f", + "service": "Azure Expressroute", + "text": "仮想ネットワーク ゲートウェイの計画", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "ExpressRoute 回線と Virtual Network Gateway の正常性の監視とアラートを、使用可能なさまざまなメトリックに基づいて設定します。", + "guid": "0367cde8-2954-4b20-8be0-fb2b7e50eb91", + "service": "Azure Expressroute", + "text": "回線とゲートウェイの正常性を監視する", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "ExpressRoute は、サービス正常性を使用して、計画メンテナンスと計画外メンテナンスについて通知します。サービス正常性を構成すると、ExpressRoute 回線に加えられた変更について通知されます。", + "guid": "c7bf09c0-317f-4f7f-be8d-3d74444757c8", + "service": "Azure Expressroute", + "text": "サービス正常性を有効にする", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "アクティビティ ログは、ExpressRoute リソースのサブスクリプション レベルで実行された操作に関する分析情報を提供します。アクティビティ ログを使用すると、コントロール プレーンで操作が実行されたユーザーと日時を判断できます。データ保持期間はわずか 90 日間で、アーカイブのために Log Analytics、Event Hubs、またはストレージ アカウントに格納する必要があります。", + "guid": "b1f76928-0fc3-407e-8658-f93f2812873f", + "service": "Azure Expressroute", + "text": "アーカイブにログを送信するようにアクティビティログを構成する", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Azure RBAC を使用して、ExpressRoute 回線でピアリング構成を追加、更新、または削除できるユーザー アカウントを制限するロールを構成します。", + "guid": "61fced7c-71af-4061-a73a-b880e8ee4f78", + "service": "Azure Expressroute", + "text": "管理アカウントのインベントリを維持する", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "プライベート ピアリングまたは Microsoft ピアリングの構成中に、MD5 ハッシュを適用して、オンプレミス ルートと MSEE ルーター間のメッセージをセキュリティで保護します。", + "guid": "7091a086-8128-45f8-81e6-c93548433b87", + "service": "Azure Expressroute", + "text": "ExpressRoute 回線で MD5 ハッシュを構成する", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Media Access Control セキュリティは、データ リンク層でのポイント ツー ポイント セキュリティです。ExpressRoute Direct では、イーサネット リンクで通常は保護されていない ARP、DHCP、LACP などのプロトコルに対するセキュリティの脅威を防ぐための MACSec の構成がサポートされています。MACSec の構成方法の詳細については、「ExpressRoute Direct ポートの MACSec」を参照してください。", + "guid": "90d32454-fcb9-496d-a411-166a2fe50b6b", + "service": "Azure Expressroute", + "text": "ExpressRoute Direct リソースの MACSec を構成する", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "ExpressRoute 回線経由でサイト間 VPN トンネルを構成して、オンプレミス ネットワークと Azure 仮想ネットワーク間のデータ転送を暗号化します。トンネルは、プライベート ピアリングまたは Microsoft ピアリングを使用して構成できます。", + "guid": "ef702434-e1ce-4c4b-a2a6-553c1d58f881", + "service": "Azure Expressroute", + "text": "IPsecを使用したトラフィックの暗号化", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "ExpressRoute の価格については、「Azure ExpressRoute の価格について」を参照してください。料金計算ツールを使用することもできます。オプションが容量の需要を満たすために適切なサイズに設定され、リソースを無駄にすることなく期待されるパフォーマンスを提供することを確認します。", + "guid": "8ae8772a-7131-42f9-9d2f-ce2aa5bcdd2b", + "service": "Azure Expressroute", + "text": "ExpressRoute の価格について理解する", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "ExpressRoute の使用に対する課金方法は、3 つの異なる SKU の種類によって異なります。ローカル SKU では、無制限のデータ プランが自動的に課金されます。Standard SKU と Premium SKU では、従量制課金または無制限のデータ プランを選択できます。すべてのイングレス データは、Global Reach アドオンを使用する場合を除いて無料です。コストと予算を最適化するには、ワークロードに最適な SKU の種類とデータ プランを理解することが重要です。ExpressRoute 回線のサイズ変更の詳細については、「ExpressRoute 回線の帯域幅のアップグレード」を参照してください。", + "guid": "18ef72cd-862c-43e8-b9ee-921fb5f079f0", + "service": "Azure Expressroute", + "text": "必要な SKU と帯域幅を決定する", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "ExpressRoute 仮想ネットワーク ゲートウェイは、プライベート ピアリング経由で仮想ネットワークにトラフィックを渡すために使用されます。優先する Virtual Network Gateway SKU のパフォーマンスとスケールのニーズを確認します。オンプレミスから Azure へのワークロードで適切なゲートウェイ SKU を選択します。", + "guid": "3655e3bc-9d56-47f6-b7bc-c1a568aa3c8a", + "service": "Azure Expressroute", + "text": "ExpressRoute 仮想ネットワーク ゲートウェイのサイズを決定する", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "ExpressRoute 回線のコストを監視し、支出の異常と過剰支出のリスクに関するアラートを作成します。詳細については、「ExpressRoute のコストの監視」を参照してください。", + "guid": "3ade6188-d99d-47de-99e7-639136d3ac36", + "service": "Azure Expressroute", + "text": "コストを監視し、予算アラートを作成する", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "ExpressRoute 回線は、作成された瞬間から課金されます。不要なコストを削減するには、サービス プロバイダーで回線のプロビジョニングを解除し、サブスクリプションから ExpressRoute 回線を削除します。ExpressRoute 回線を削除する手順については、「ExpressRoute 回線のプロビジョニング解除」を参照してください。", + "guid": "ca8f1e36-5762-4510-b0af-5a073cc9185a", + "service": "Azure Expressroute", + "text": "使用されなくなった ExpressRoute 回線のプロビジョニングを解除して削除します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "接続監視を使用すると、ExpressRoute プライベート ピアリングと Microsoft ピアリング接続を介して、オンプレミスのリソースと Azure の間の接続を監視できます。接続モニタは、ネットワーク パス上のどこに問題があるかを特定することでネットワークの問題を検出し、構成やハードウェアの障害を迅速に解決するのに役立ちます。", + "guid": "c1dcf762-0191-4963-89d7-3cc1df34b653", + "service": "Azure Expressroute", + "text": "接続監視の構成", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "サービス正常性通知を設定して、サブスクリプション内のすべての ExpressRoute 回線に対して計画メンテナンスと今後のメンテナンスが発生したときにアラートを生成します。Service Health では、計画外のメンテナンスが発生した場合は、RCA と共に過去のメンテナンスも表示されます。", + "guid": "60f840b9-1818-4967-a115-68e90f47daf3", + "service": "Azure Expressroute", + "text": "サービス正常性の構成", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "ExpressRoute Insights と Network Insights を使用すると、ExpressRoute 回線、ゲートウェイ、接続メトリック、および正常性ダッシュボードを確認および分析できます。ExpressRoute Insights では、ExpressRoute 接続のトポロジ ビューも提供され、ピアリング コンポーネントの詳細をすべて 1 か所で表示できます。利用可能なメトリック:- 可用性- スループット- ゲートウェイメトリック", + "guid": "c3c5fe66-1901-4786-99ea-845944bd6ca3", + "service": "Azure Expressroute", + "text": "Network Insights でメトリクスを確認する", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "ExpressRoute では、Azure Monitor を使用してメトリックを収集し、構成に基づいてアラートを作成します。メトリックは、ExpressRoute 回線、ExpressRoute ゲートウェイ、ExpressRoute ゲートウェイ接続、ExpressRoute Direct について収集されます。これらのメトリックは、接続の問題を診断し、ExpressRoute 接続のパフォーマンスを理解するのに役立ちます。", + "guid": "03914313-6287-41c4-9e4a-4980c2ee3aa9", + "service": "Azure Expressroute", + "text": "ExpressRoute リソースのメトリックを確認する", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "Azure Connectivity Toolkit を使用して ExpressRoute 回線全体のパフォーマンスをテストし、ネットワーク接続の帯域幅容量と待機時間を把握します。", + "guid": "07fac8bb-13c5-44b8-a4e8-7e2ed1a84b48", + "service": "Azure Expressroute", + "text": "ワークロードの要件を満たすために ExpressRoute ゲートウェイのパフォーマンスをテストします。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "より高いゲートウェイ SKU にアップグレードして、オンプレミス環境と Azure 環境間のスループット パフォーマンスを向上させます。", + "guid": "7f788e1a-71dd-4a3e-b19f-6bd8ef8ad815", + "service": "Azure Expressroute", + "text": "ExpressRoute ゲートウェイのサイズを大きくします。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "作業負荷の要件を満たすために、回線帯域幅をアップグレードします。回線の帯域幅は、ExpressRoute 回線に接続されているすべての仮想ネットワーク間で共有されます。ワークロードによっては、1 つ以上の仮想ネットワークが回線上のすべての帯域幅を使い果たす可能性があります。", + "guid": "5cd4120c-3a0b-42d0-8114-2663988f43b8", + "service": "Azure Expressroute", + "text": "ExpressRoute 回線の帯域幅をアップグレードする", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "Ultra パフォーマンスまたは ErGW3AZ 仮想ネットワーク ゲートウェイを使用している場合は、FastPath を有効にして、オンプレミス ネットワークと Azure 仮想ネットワーク間のデータ パスのパフォーマンスを向上させることができます。", + "guid": "ef778b99-5006-4adf-bef1-d709456a4c51", + "service": "Azure Expressroute", + "text": "ExpressRoute FastPath を有効にしてスループットを向上させる", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "ExpressRoute メトリックに基づいてアラートを設定し、特定のしきい値に達したときに事前に通知します。これらのメトリックは、ExpressRoute 回線で発生する停止やメンテナンスなど、ExpressRoute 接続で発生する可能性のある異常を理解するのに役立ちます。", + "guid": "4a0e8302-106d-48a3-abc4-9e4875a48309", + "service": "Azure Expressroute", + "text": "ExpressRoute 回線とゲートウェイのメトリックを監視する", + "type": "recommendation", + "waf": "パフォーマンス" + } + ], + "metadata": { + "name": "Azure Expressroute Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "このチェックはまだ見ていません", + "name": "未確認" + }, + { + "description": "このチェックにはアクションアイテムが関連付けられています", + "name": "開ける" + }, + { + "description": "このチェックは検証済みであり、これ以上のアクション アイテムは関連付けられていません", + "name": "達成" + }, + { + "description": "現在のデザインには適用されません", + "name": "該当なし" + }, + { + "description": "必須ではありません", + "name": "必須ではありません" + } + ], + "waf": [ + { + "name": "安全" + }, + { + "name": "費用" + }, + { + "name": "費用" + }, + { + "name": "確実" + }, + { + "name": "確実" + }, + { + "name": "安全" + }, + { + "name": "パフォーマンス" + }, + { + "name": "オペレーションズ" + }, + { + "name": "オペレーションズ" + }, + { + "name": "パフォーマンス" + } + ], + "yesno": [ + { + "name": "はい" + }, + { + "name": "いいえ" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azureexpressroute_sg_checklist.ko.json b/checklists-ext/azureexpressroute_sg_checklist.ko.json new file mode 100644 index 000000000..3c33fe44b --- /dev/null +++ b/checklists-ext/azureexpressroute_sg_checklist.ko.json @@ -0,0 +1,282 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "초기 계획 단계에서 ExpressRoute 회로를 구성할지 또는 ExpressRoute Direct 연결을 구성할지 결정하려고 합니다. ExpressRoute 회로를 사용하면 연결 공급자의 도움을 받아 Azure에 대한 프라이빗 전용 연결을 사용할 수 있습니다. ExpressRoute Direct를 사용하면 피어링 위치에서 온-프레미스 네트워크를 Microsoft 네트워크로 직접 확장할 수 있습니다. 또한 비즈니스 요구 사항에 대한 대역폭 요구 사항 및 SKU 유형 요구 사항을 식별해야 합니다.", + "guid": "e89fb4a5-9cdd-4fd5-bb8b-388dee7bc217", + "service": "Azure Expressroute", + "text": "ExpressRoute 회로 또는 ExpressRoute Direct 계획", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "복원력을 높이려면 온-프레미스 에지와 피어링 위치(공급자/Microsoft 에지 위치) 간에 여러 경로를 계획합니다. 이 구성은 다른 서비스 공급자를 통하거나 온-프레미스 네트워크의 다른 위치를 통해 수행할 수 있습니다.", + "guid": "4f51aa2e-2a6a-4ea1-9c8a-f9ee668052af", + "service": "Azure Expressroute", + "text": "물리적 계층 다양성", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "재해 복구를 계획하려면 둘 이상의 피어링 위치에서 ExpressRoute 회로를 설정합니다. 동일한 메트로 또는 다른 메트로의 피어링 위치에 회로를 만들고 각 회로를 통한 다양한 경로에 대해 다른 서비스 공급자와 협력하도록 선택할 수 있습니다. 자세한 내용은 재해 복구를 위한 설계 및 고가용성을 위한 설계를 참조하세요.", + "guid": "14b83764-dab1-4741-85ee-7b3cf55cde49", + "service": "Azure Expressroute", + "text": "지역 중복 회로 계획Plan for geo-redundant circuits", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "ExpressRoute 전용 회로는 온-프레미스와 Azure 간에 활성-활성 연결이 구성된 경우 '99.95%' 가용성을 보장합니다. 이 모드는 Expressroute 연결의 고가용성을 제공합니다. 또한 연결에 링크 오류가 있는 경우 더 빠른 장애 조치(failover)를 위해 BFD를 구성하는 것이 좋습니다.", + "guid": "f28fea39-a9e2-45ef-a711-997456c3d42c", + "service": "Azure Expressroute", + "text": "액티브-액티브 연결 계획", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "더 높은 복원력을 위해 가용성 영역 인식 Virtual Network Gateway를 만들고 재해 복구 및 고가용성을 위해 다른 지역의 Virtual Network 게이트웨이를 계획합니다.", + "guid": "8e29e63c-2da5-4242-8a86-c7083b231b0f", + "service": "Azure Expressroute", + "text": "가상 네트워크 게이트웨이 계획", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "사용 가능한 다양한 메트릭에 따라 ExpressRoute 회로 및 Virtual Network 게이트웨이 상태에 대한 모니터링 및 경고를 설정합니다.", + "guid": "0367cde8-2954-4b20-8be0-fb2b7e50eb91", + "service": "Azure Expressroute", + "text": "회로 및 게이트웨이 상태 모니터링Monitor circuits and gateway health", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "ExpressRoute는 서비스 상태를 사용하여 계획된 유지 관리 및 계획되지 않은 유지 관리에 대해 알립니다. 서비스 상태를 구성하면 ExpressRoute 회로에 대한 변경 내용에 대해 알려 줍니다.", + "guid": "c7bf09c0-317f-4f7f-be8d-3d74444757c8", + "service": "Azure Expressroute", + "text": "서비스 상태 사용", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "활동 로그는 ExpressRoute 리소스에 대한 구독 수준에서 수행된 작업에 대한 인사이트를 제공합니다. 활동 로그를 사용하면 컨트롤 플레인에서 작업이 수행된 사람과 시기를 확인할 수 있습니다. 데이터 보존 기간은 90일이며 Log Analytics, Event Hubs 또는 보관용 스토리지 계정에 저장해야 합니다.", + "guid": "b1f76928-0fc3-407e-8658-f93f2812873f", + "service": "Azure Expressroute", + "text": "로그를 보관하도록 활동 로그 구성", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "Azure RBAC를 사용하여 ExpressRoute 회로에서 피어링 구성을 추가, 업데이트 또는 삭제할 수 있는 사용자 계정을 제한하는 역할을 구성합니다.", + "guid": "61fced7c-71af-4061-a73a-b880e8ee4f78", + "service": "Azure Expressroute", + "text": "관리 계정의 인벤토리 유지 관리", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "개인 피어링 또는 Microsoft 피어링을 구성하는 동안 MD5 해시를 적용하여 온-프레미스 경로와 MSEE 라우터 간의 메시지를 보호합니다.", + "guid": "7091a086-8128-45f8-81e6-c93548433b87", + "service": "Azure Expressroute", + "text": "ExpressRoute 회로에서 MD5 해시 구성", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "Media Access Control 보안은 데이터 링크 계층의 지점 간 보안입니다. ExpressRoute Direct는 이더넷 링크에서 일반적으로 보안되지 않는 ARP, DHCP, LACP와 같은 프로토콜에 대한 보안 위협을 방지하기 위해 MACSec 구성을 지원합니다. MACSec을 구성하는 방법에 대한 자세한 내용은 ExpressRoute Direct 포트에 대한 MACSec을 참조하세요.", + "guid": "90d32454-fcb9-496d-a411-166a2fe50b6b", + "service": "Azure Expressroute", + "text": "ExpressRoute Direct 리소스에 대한 MACSec 구성", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "ExpressRoute 회로를 통해 사이트 간 VPN 터널을 구성하여 온-프레미스 네트워크와 Azure 가상 네트워크 간의 데이터 전송을 암호화합니다. 개인 피어링 또는 Microsoft 피어링을 사용하여 터널을 구성할 수 있습니다.", + "guid": "ef702434-e1ce-4c4b-a2a6-553c1d58f881", + "service": "Azure Expressroute", + "text": "IPsec을 사용하여 트래픽 암호화", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "ExpressRoute 가격 책정에 대한 자세한 내용은 Azure ExpressRoute의 가격 책정 이해를 참조하세요. 가격 계산기를 사용할 수도 있습니다. 용량 수요를 충족하고 리소스 낭비 없이 예상 성능을 제공할 수 있도록 옵션의 크기가 적절하게 조정되었는지 확인합니다.", + "guid": "8ae8772a-7131-42f9-9d2f-ce2aa5bcdd2b", + "service": "Azure Expressroute", + "text": "ExpressRoute 가격 책정 숙지", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "ExpressRoute 사용량에 대한 요금이 청구되는 방식은 세 가지 SKU 유형에 따라 다릅니다. 현지 SKU를 사용하면 무제한 데이터 요금제가 자동으로 청구됩니다. 표준 및 프리미엄 SKU를 사용하면 데이터 요금제 또는 무제한 요금제 중에서 선택할 수 있습니다. 모든 수신 데이터는 Global Reach 추가 기능을 사용하는 경우를 제외하고 무료입니다. 비용과 예산을 가장 잘 최적화하려면 워크로드에 가장 적합한 SKU 유형 및 데이터 요금제를 이해하는 것이 중요합니다. ExpressRoute 회로 크기 조정에 대한 자세한 내용은 ExpressRoute 회로 대역폭 업그레이드를 참조하세요.", + "guid": "18ef72cd-862c-43e8-b9ee-921fb5f079f0", + "service": "Azure Expressroute", + "text": "필요한 SKU 및 대역폭 확인", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "ExpressRoute 가상 네트워크 게이트웨이는 개인 피어링을 통해 가상 네트워크로 트래픽을 전달하는 데 사용됩니다. 선호하는 Virtual Network Gateway SKU의 성능 및 크기 조정 요구 사항을 검토합니다. 온-프레미스에서 Azure 워크로드에 대한 적절한 게이트웨이 SKU를 선택합니다.", + "guid": "3655e3bc-9d56-47f6-b7bc-c1a568aa3c8a", + "service": "Azure Expressroute", + "text": "ExpressRoute 가상 네트워크 게이트웨이 크기 확인", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "ExpressRoute 회로의 비용을 모니터링하고 지출 변칙 및 초과 지출 위험에 대한 경고를 만듭니다. 자세한 내용은 ExpressRoute 비용 모니터링을 참조하세요.", + "guid": "3ade6188-d99d-47de-99e7-639136d3ac36", + "service": "Azure Expressroute", + "text": "비용 모니터링 및 예산 알림 생성", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "ExpressRoute 회로는 만들어지는 순간부터 요금이 청구됩니다. 불필요한 비용을 줄이려면 서비스 공급자를 통해 회로의 프로비전을 해제하고 구독에서 ExpressRoute 회로를 삭제합니다. ExpressRoute 회로를 제거하는 방법에 대한 단계는 ExpressRoute 회로 프로비전 해제를 참조하세요.", + "guid": "ca8f1e36-5762-4510-b0af-5a073cc9185a", + "service": "Azure Expressroute", + "text": "더 이상 사용되지 않는 ExpressRoute 회로의 프로비전을 해제하고 삭제합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "연결 모니터링을 사용하면 ExpressRoute 개인 피어링 및 Microsoft 피어링 연결을 통해 온-프레미스 리소스와 Azure 간의 연결을 모니터링할 수 있습니다. 연결 모니터는 네트워크 경로에서 문제가 발생한 위치를 식별하여 네트워킹 문제를 감지하고 구성 또는 하드웨어 오류를 신속하게 해결하는 데 도움이 될 수 있습니다.", + "guid": "c1dcf762-0191-4963-89d7-3cc1df34b653", + "service": "Azure Expressroute", + "text": "연결 모니터링 구성", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "Service Health 알림을 설정하여 구독의 모든 ExpressRoute 회로에 계획된 유지 관리 및 예정된 유지 관리가 발생할 때 경고합니다. 또한 Service Health는 계획되지 않은 유지 관리가 발생하는 경우 RCA와 함께 과거 유지 관리를 표시합니다.", + "guid": "60f840b9-1818-4967-a115-68e90f47daf3", + "service": "Azure Expressroute", + "text": "서비스 상태 구성", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "Network Insights를 사용하는 ExpressRoute Insights를 사용하면 ExpressRoute 회로, 게이트웨이, 연결 메트릭 및 상태 대시보드를 검토하고 분석할 수 있습니다. 또한 ExpressRoute Insights는 피어링 구성 요소의 세부 정보를 모두 한 곳에서 볼 수 있는 ExpressRoute 연결의 토폴로지 보기를 제공합니다. 사용 가능한 메트릭:- 가용성- 처리량- 게이트웨이 메트릭", + "guid": "c3c5fe66-1901-4786-99ea-845944bd6ca3", + "service": "Azure Expressroute", + "text": "Network Insights를 사용하여 메트릭 검토", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "ExpressRoute는 Azure Monitor를 사용하여 메트릭을 수집하고 구성에 따라 경고를 만듭니다. ExpressRoute 회로, ExpressRoute 게이트웨이, ExpressRoute 게이트웨이 연결 및 ExpressRoute Direct에 대한 메트릭이 수집됩니다. 이러한 메트릭은 연결 문제를 진단하고 ExpressRoute 연결의 성능을 이해하는 데 유용합니다.", + "guid": "03914313-6287-41c4-9e4a-4980c2ee3aa9", + "service": "Azure Expressroute", + "text": "ExpressRoute 리소스 메트릭 검토Review ExpressRoute resource metrics", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "Azure Connectivity Toolkit를 사용하여 ExpressRoute 회로에서 성능을 테스트하여 네트워크 연결의 대역폭, 용량 및 대기 시간을 파악합니다.", + "guid": "07fac8bb-13c5-44b8-a4e8-7e2ed1a84b48", + "service": "Azure Expressroute", + "text": "ExpressRoute 게이트웨이 성능을 테스트하여 작업 부하 요구 사항을 충족합니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "온-프레미스와 Azure 환경 간의 처리량 성능 향상을 위해 더 높은 게이트웨이 SKU로 업그레이드합니다.", + "guid": "7f788e1a-71dd-4a3e-b19f-6bd8ef8ad815", + "service": "Azure Expressroute", + "text": "ExpressRoute 게이트웨이의 크기를 늘립니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "작업 부하 요구 사항을 충족하도록 회로 대역폭을 업그레이드하십시오. 회로 대역폭은 ExpressRoute 회로에 연결된 모든 가상 네트워크 간에 공유됩니다. 작업 부하에 따라 하나 이상의 가상 네트워크가 회로의 모든 대역폭을 사용할 수 있습니다.", + "guid": "5cd4120c-3a0b-42d0-8114-2663988f43b8", + "service": "Azure Expressroute", + "text": "ExpressRoute 회로 대역폭 업그레이드", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "울트라 성능 또는 ErGW3AZ 가상 네트워크 게이트웨이를 사용하는 경우 FastPath를 사용하도록 설정하여 온-프레미스 네트워크와 Azure 가상 네트워크 간의 데이터 경로 성능을 향상시킬 수 있습니다.", + "guid": "ef778b99-5006-4adf-bef1-d709456a4c51", + "service": "Azure Expressroute", + "text": "처리량 증가를 위해 ExpressRoute FastPath 사용", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "ExpressRoute 메트릭을 기반으로 경고를 설정하여 특정 임계값이 충족될 때 사전에 알림을 제공합니다. 이러한 메트릭은 ExpressRoute 회로에서 발생하는 중단 및 유지 관리와 같이 ExpressRoute 연결에서 발생할 수 있는 변칙을 이해하는 데 유용합니다.", + "guid": "4a0e8302-106d-48a3-abc4-9e4875a48309", + "service": "Azure Expressroute", + "text": "ExpressRoute 회로 및 게이트웨이 메트릭 모니터링", + "type": "recommendation", + "waf": "공연" + } + ], + "metadata": { + "name": "Azure Expressroute Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "이 검사는 아직 검토되지 않았습니다", + "name": "확인되지 않음" + }, + { + "description": "이 검사와 연관된 작업 항목이 있습니다", + "name": "열다" + }, + { + "description": "이 검사는 확인되었으며 이와 관련된 추가 작업 항목이 없습니다", + "name": "성취" + }, + { + "description": "현재 설계에는 적용되지 않습니다.", + "name": "해당 없음" + }, + { + "description": "필요 없음", + "name": "필요 없음" + } + ], + "waf": [ + { + "name": "안전" + }, + { + "name": "비용" + }, + { + "name": "비용" + }, + { + "name": "신뢰도" + }, + { + "name": "신뢰도" + }, + { + "name": "안전" + }, + { + "name": "공연" + }, + { + "name": "작업" + }, + { + "name": "작업" + }, + { + "name": "공연" + } + ], + "yesno": [ + { + "name": "예" + }, + { + "name": "아니요" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azureexpressroute_sg_checklist.pt.json b/checklists-ext/azureexpressroute_sg_checklist.pt.json new file mode 100644 index 000000000..3219a0f4e --- /dev/null +++ b/checklists-ext/azureexpressroute_sg_checklist.pt.json @@ -0,0 +1,282 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "Durante a fase de planejamento inicial, você deseja decidir se deseja configurar um circuito do ExpressRoute ou uma conexão do ExpressRoute Direct. Um circuito do ExpressRoute permite uma conexão privada dedicada ao Azure com a ajuda de um provedor de conectividade. O ExpressRoute Direct permite que você estenda a rede local diretamente para a rede da Microsoft em um local de emparelhamento. Você também precisa identificar o requisito de largura de banda e o requisito de tipo de SKU para suas necessidades de negócios.", + "guid": "e89fb4a5-9cdd-4fd5-bb8b-388dee7bc217", + "service": "Azure Expressroute", + "text": "Planejar o circuito do ExpressRoute ou o ExpressRoute Direct", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Para obter melhor resiliência, planeje ter vários caminhos entre a borda local e os locais de emparelhamento (locais de borda do provedor/Microsoft). Essa configuração pode ser obtida passando por um provedor de serviços diferente ou por um local diferente da rede local.", + "guid": "4f51aa2e-2a6a-4ea1-9c8a-f9ee668052af", + "service": "Azure Expressroute", + "text": "Diversidade de camadas físicas", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Para planejar a recuperação de desastre, configure circuitos do ExpressRoute em mais de um local de emparelhamento. Você pode criar circuitos em locais de emparelhamento na mesma área metropolitana ou em uma área metropolitana diferente e optar por trabalhar com diferentes provedores de serviços para diversos caminhos em cada circuito. Para obter mais informações, consulte Projetando para recuperação de desastre e Projetando para alta disponibilidade.", + "guid": "14b83764-dab1-4741-85ee-7b3cf55cde49", + "service": "Azure Expressroute", + "text": "Planejar circuitos com redundância geográfica", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Os circuitos dedicados do ExpressRoute garantem a disponibilidade de '99,95%' quando uma conectividade ativa-ativa é configurada entre o local e o Azure. Esse modo fornece maior disponibilidade da conexão do Expressroute. Também é recomendável configurar o BFD para failover mais rápido se houver uma falha de link em uma conexão.", + "guid": "f28fea39-a9e2-45ef-a711-997456c3d42c", + "service": "Azure Expressroute", + "text": "Planejar a conectividade Ativo-Ativo", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Crie um Gateway de Rede Virtual com reconhecimento de zona de disponibilidade para maior resiliência e planeje Gateways de Rede Virtual em diferentes regiões para recuperação de desastre e alta disponibilidade.", + "guid": "8e29e63c-2da5-4242-8a86-c7083b231b0f", + "service": "Azure Expressroute", + "text": "Planejando gateways de rede virtual", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Configure o monitoramento e os alertas para circuitos do ExpressRoute e a integridade do Gateway de Rede Virtual com base em várias métricas disponíveis.", + "guid": "0367cde8-2954-4b20-8be0-fb2b7e50eb91", + "service": "Azure Expressroute", + "text": "Monitorar circuitos e integridade do gateway", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "O ExpressRoute usa a integridade do serviço para notificar sobre manutenção planejada e não planejada. A configuração da integridade do serviço notificará você sobre as alterações feitas nos circuitos do ExpressRoute.", + "guid": "c7bf09c0-317f-4f7f-be8d-3d74444757c8", + "service": "Azure Expressroute", + "text": "Habilitar a integridade do serviço", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Os logs de atividades fornecem insights sobre as operações que foram executadas no nível da assinatura para recursos do ExpressRoute. Com os logs de atividades, você pode determinar quem e quando uma operação foi executada no plano de controle. A retenção de dados é de apenas 90 dias e precisa ser armazenada no Log Analytics, nos Hubs de Eventos ou em uma conta de armazenamento para arquivamento.", + "guid": "b1f76928-0fc3-407e-8658-f93f2812873f", + "service": "Azure Expressroute", + "text": "Configurar o log de atividades para enviar logs para o arquivo morto", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Use o RBAC do Azure para configurar funções para limitar contas de usuário que podem adicionar, atualizar ou excluir a configuração de emparelhamento em um circuito do ExpressRoute.", + "guid": "61fced7c-71af-4061-a73a-b880e8ee4f78", + "service": "Azure Expressroute", + "text": "Manter inventário de contas administrativas", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Durante a configuração do emparelhamento privado ou do emparelhamento da Microsoft, aplique um hash MD5 para proteger mensagens entre a rota local e os roteadores MSEE.", + "guid": "7091a086-8128-45f8-81e6-c93548433b87", + "service": "Azure Expressroute", + "text": "Configurar hash MD5 no circuito do ExpressRoute", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "A segurança do Controle de Acesso à Mídia é uma segurança ponto a ponto na camada de enlace de dados. O ExpressRoute Direct dá suporte à configuração do MACSec para evitar ameaças de segurança a protocolos como ARP, DHCP, LACP normalmente não protegidos no link Ethernet. Para obter mais informações sobre como configurar o MACSec, consulte MACSec para portas do ExpressRoute Direct.", + "guid": "90d32454-fcb9-496d-a411-166a2fe50b6b", + "service": "Azure Expressroute", + "text": "Configurar o MACSec para recursos do ExpressRoute Direct", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Configure um túnel VPN site a site no circuito do ExpressRoute para criptografar a transferência de dados entre a rede local e a rede virtual do Azure. Você pode configurar um túnel usando o emparelhamento privado ou usando o emparelhamento da Microsoft.", + "guid": "ef702434-e1ce-4c4b-a2a6-553c1d58f881", + "service": "Azure Expressroute", + "text": "Criptografar o tráfego usando IPsec", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Para obter informações sobre os preços do ExpressRoute, consulte Entender os preços do Azure ExpressRoute. Você também pode usar a calculadora de preços. Certifique-se de que as opções sejam dimensionadas adequadamente para atender à demanda de capacidade e fornecer o desempenho esperado sem desperdiçar recursos.", + "guid": "8ae8772a-7131-42f9-9d2f-ce2aa5bcdd2b", + "service": "Azure Expressroute", + "text": "Familiarize-se com os preços do ExpressRoute", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "A maneira como você é cobrado pelo uso do ExpressRoute varia entre os três tipos diferentes de SKU. Com o SKU Local, você é cobrado automaticamente com um plano de dados ilimitado. Com o SKU Standard e Premium, você pode selecionar entre um plano de dados medido ou ilimitado. Todos os dados de entrada são gratuitos, exceto ao usar o complemento Global Reach. É importante entender quais tipos de SKU e plano de dados funcionam melhor para sua carga de trabalho para otimizar melhor o custo e o orçamento. Para obter mais informações sobre como redimensionar o circuito do ExpressRoute, consulte atualizando a largura de banda do circuito do ExpressRoute.", + "guid": "18ef72cd-862c-43e8-b9ee-921fb5f079f0", + "service": "Azure Expressroute", + "text": "Determinar SKU e largura de banda necessárias", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Os gateways de rede virtual do ExpressRoute são usados para passar o tráfego para uma rede virtual por meio de emparelhamento privado. Examine as necessidades de desempenho e escala do SKU do Gateway de Rede Virtual preferencial. Selecione o SKU de gateway apropriado em sua carga de trabalho local para o Azure.", + "guid": "3655e3bc-9d56-47f6-b7bc-c1a568aa3c8a", + "service": "Azure Expressroute", + "text": "Determinar o tamanho do gateway de rede virtual do ExpressRoute", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Monitore o custo do circuito do ExpressRoute e crie alertas para anomalias de gastos e riscos de gastos excessivos. Para obter mais informações, consulte Monitorando os custos do ExpressRoute.", + "guid": "3ade6188-d99d-47de-99e7-639136d3ac36", + "service": "Azure Expressroute", + "text": "Monitore o custo e crie alertas de orçamento", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Os circuitos do ExpressRoute são cobrados a partir do momento em que são criados. Para reduzir custos desnecessários, desprovisione o circuito com o provedor de serviços e exclua o circuito do ExpressRoute de sua assinatura. Para obter etapas sobre como remover um circuito do ExpressRoute, consulte Desprovisionando um circuito do ExpressRoute.", + "guid": "ca8f1e36-5762-4510-b0af-5a073cc9185a", + "service": "Azure Expressroute", + "text": "Desprovisione e exclua circuitos do ExpressRoute que não estão mais em uso.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "O monitoramento de conexão permite que você monitore a conectividade entre seus recursos locais e o Azure por meio do emparelhamento privado do ExpressRoute e da conexão de emparelhamento da Microsoft. O Monitor de Conexão pode detectar problemas de rede identificando onde o problema está ao longo do caminho de rede e ajudá-lo a resolver rapidamente falhas de configuração ou hardware.", + "guid": "c1dcf762-0191-4963-89d7-3cc1df34b653", + "service": "Azure Expressroute", + "text": "Configurar o monitoramento de conexão", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Configure notificações de Integridade do Serviço para alertar quando a manutenção planejada e futura estiver acontecendo em todos os circuitos do ExpressRoute em sua assinatura. A integridade do serviço também exibe a manutenção anterior junto com a RCA se ocorrer uma manutenção não planejada.", + "guid": "60f840b9-1818-4967-a115-68e90f47daf3", + "service": "Azure Expressroute", + "text": "Configurar a integridade do serviço", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "O ExpressRoute Insights com Network Insights permite que você examine e analise circuitos, gateways, métricas de conexões e painéis de integridade do ExpressRoute. O ExpressRoute Insights também fornece uma exibição de topologia de suas conexões do ExpressRoute, onde você pode exibir detalhes de seus componentes de emparelhamento em um único local. Métricas disponíveis:- Disponibilidade- Taxa de transferência- Métricas de gateway", + "guid": "c3c5fe66-1901-4786-99ea-845944bd6ca3", + "service": "Azure Expressroute", + "text": "Analisar métricas com o Network Insights", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "O ExpressRoute usa o Azure Monitor para coletar métricas e criar alertas com base em sua configuração. As métricas são coletadas para circuitos do ExpressRoute, gateways do ExpressRoute, conexões de gateway do ExpressRoute e ExpressRoute Direct. Essas métricas são úteis para diagnosticar problemas de conectividade e entender o desempenho da conexão do ExpressRoute.", + "guid": "03914313-6287-41c4-9e4a-4980c2ee3aa9", + "service": "Azure Expressroute", + "text": "Examinar as métricas de recursos do ExpressRoute", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Use o Kit de Ferramentas de Conectividade do Azure para testar o desempenho em seu circuito do ExpressRoute para entender a capacidade de largura de banda e a latência de sua conexão de rede.", + "guid": "07fac8bb-13c5-44b8-a4e8-7e2ed1a84b48", + "service": "Azure Expressroute", + "text": "Teste o desempenho do gateway do ExpressRoute para atender aos requisitos de carga de trabalho.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "Atualize para um SKU de gateway mais alto para melhorar o desempenho da taxa de transferência entre o ambiente local e o Azure.", + "guid": "7f788e1a-71dd-4a3e-b19f-6bd8ef8ad815", + "service": "Azure Expressroute", + "text": "Aumente o tamanho do gateway do ExpressRoute.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "Atualize a largura de banda do circuito para atender aos requisitos de carga de trabalho. A largura de banda do circuito é compartilhada entre todas as redes virtuais conectadas ao circuito do ExpressRoute. Dependendo da carga de trabalho, uma ou mais redes virtuais podem usar toda a largura de banda no circuito.", + "guid": "5cd4120c-3a0b-42d0-8114-2663988f43b8", + "service": "Azure Expressroute", + "text": "Atualizar a largura de banda do circuito do ExpressRoute", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "Se você estiver usando um desempenho Ultra ou um gateway de rede virtual ErGW3AZ, poderá habilitar o FastPath para melhorar o desempenho do caminho de dados entre sua rede local e a rede virtual do Azure.", + "guid": "ef778b99-5006-4adf-bef1-d709456a4c51", + "service": "Azure Expressroute", + "text": "Habilitar o ExpressRoute FastPath para maior taxa de transferência", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "Configure alertas com base nas métricas do ExpressRoute para notificá-lo proativamente quando um determinado limite for atingido. Essas métricas são úteis para entender anomalias que podem ocorrer com sua conexão do ExpressRoute, como interrupções e manutenção que ocorrem em seus circuitos do ExpressRoute.", + "guid": "4a0e8302-106d-48a3-abc4-9e4875a48309", + "service": "Azure Expressroute", + "text": "Monitorar métricas de gateway e circuito do ExpressRoute", + "type": "recommendation", + "waf": "Desempenho" + } + ], + "metadata": { + "name": "Azure Expressroute Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "Esta verificação ainda não foi analisada", + "name": "Não verificado" + }, + { + "description": "Há um item de ação associado a essa verificação", + "name": "Abrir" + }, + { + "description": "Essa verificação foi verificada e não há mais itens de ação associados a ela", + "name": "Cumprido" + }, + { + "description": "Não aplicável para o projeto atual", + "name": "N/A" + }, + { + "description": "Não é necessário", + "name": "Não é necessário" + } + ], + "waf": [ + { + "name": "segurança" + }, + { + "name": "Custar" + }, + { + "name": "custar" + }, + { + "name": "Fiabilidade" + }, + { + "name": "fiabilidade" + }, + { + "name": "Segurança" + }, + { + "name": "desempenho" + }, + { + "name": "Operações" + }, + { + "name": "Operações" + }, + { + "name": "Desempenho" + } + ], + "yesno": [ + { + "name": "Sim" + }, + { + "name": "Não" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azureexpressroute_sg_checklist.zh-Hant.json b/checklists-ext/azureexpressroute_sg_checklist.zh-Hant.json new file mode 100644 index 000000000..76f7a45fa --- /dev/null +++ b/checklists-ext/azureexpressroute_sg_checklist.zh-Hant.json @@ -0,0 +1,282 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "在初始規劃階段，需要決定是要配置 ExpressRoute 線路還是 ExpressRoute Direct 連接。ExpressRoute 線路允許在連接供應商的説明下連接到 Azure。ExpressRoute Direct 允許將本地網路直接擴展到對等互連位置的 Microsoft 網路。您還需要確定頻寬要求和 SKU 類型要求，以滿足您的業務需求。", + "guid": "e89fb4a5-9cdd-4fd5-bb8b-388dee7bc217", + "service": "Azure Expressroute", + "text": "規劃 ExpressRoute 線路或 ExpressRoute Direct", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "為了提高復原能力，請計劃在本地邊緣和對等互連位置（供應商/Microsoft 邊緣位置）之間設置多個路徑。可以通過不同的服務提供者或與本地網路不同的位置來實現此配置。", + "guid": "4f51aa2e-2a6a-4ea1-9c8a-f9ee668052af", + "service": "Azure Expressroute", + "text": "物理層多樣性", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "若要規劃災難恢復，請在多個對等互連位置設置ExpressRoute線路。您可以在同一城域網或不同城域網的對等位置創建線路，並選擇與不同的服務提供者合作，以實現通過每個線路的不同路徑。有關詳細資訊，請參閱設計災難恢復和設計高可用性。", + "guid": "14b83764-dab1-4741-85ee-7b3cf55cde49", + "service": "Azure Expressroute", + "text": "規劃異地冗餘線路", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "在本地和 Azure 之間配置主動-主動連接時，ExpressRoute 專用線路可保證“99.95%”的可用性。此模式提供更高的 Expressroute 連接可用性。此外，還建議配置 BFD，以便在連接上出現鏈路故障時更快地進行故障轉移。", + "guid": "f28fea39-a9e2-45ef-a711-997456c3d42c", + "service": "Azure Expressroute", + "text": "規劃主動-主動連接", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "創建可用性區域感知虛擬網路閘道以提高復原能力，並規劃不同區域中的虛擬網路閘道以實現災難恢復和高可用性。", + "guid": "8e29e63c-2da5-4242-8a86-c7083b231b0f", + "service": "Azure Expressroute", + "text": "規劃虛擬網路閘道", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "根據各種可用指標為 ExpressRoute 線路和虛擬網路閘道運行狀況設置監視和警報。", + "guid": "0367cde8-2954-4b20-8be0-fb2b7e50eb91", + "service": "Azure Expressroute", + "text": "監控電路和網關運行狀況", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "ExpressRoute 使用服務運行狀況來通知計劃內和計劃外維護。配置服務運行狀況將通知你對 ExpressRoute 線路所做的更改。", + "guid": "c7bf09c0-317f-4f7f-be8d-3d74444757c8", + "service": "Azure Expressroute", + "text": "啟用服務運行狀況", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "通過活動日誌，可以深入瞭解在訂閱級別對 ExpressRoute 資源執行的操作。使用活動日誌，您可以確定在控制平面上執行操作的人員和時間。數據保留期僅為 90 天，需要存儲在 Log Analytics、事件中心或存儲帳戶中以進行存檔。", + "guid": "b1f76928-0fc3-407e-8658-f93f2812873f", + "service": "Azure Expressroute", + "text": "配置活動記錄以將日誌發送到存檔", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "使用 Azure RBAC 配置角色，以限制可以在 ExpressRoute 線路上添加、更新或刪除對等互連配置的用戶帳戶。", + "guid": "61fced7c-71af-4061-a73a-b880e8ee4f78", + "service": "Azure Expressroute", + "text": "維護管理帳戶的清單", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "在配置專用對等互連或 Microsoft 對等互連期間，應用 MD5 哈希來保護本地路由和 MSEE 路由器之間的消息。", + "guid": "7091a086-8128-45f8-81e6-c93548433b87", + "service": "Azure Expressroute", + "text": "在 ExpressRoute 線路上配置 MD5 哈希", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "媒體訪問控制安全是數據鏈路層的點對點安全。ExpressRoute Direct 支援配置 MACSec，以防止對 ARP、DHCP、LACP 等協定的安全威脅，這些協定通常在乙太網路上不受保護。有關如何配置 MACSec 的詳細資訊，請參閱適用於 ExpressRoute Direct 埠的 MACSec。", + "guid": "90d32454-fcb9-496d-a411-166a2fe50b6b", + "service": "Azure Expressroute", + "text": "為 ExpressRoute Direct 資源配置 MACSecConfigure MACSec for ExpressRoute Direct resources", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "在 ExpressRoute 線路上配置網站到網站 VPN 隧道，以加密本地網路和 Azure 虛擬網路之間的數據傳輸。您可以使用專用對等互連或使用 Microsoft 對等互連來配置隧道。", + "guid": "ef702434-e1ce-4c4b-a2a6-553c1d58f881", + "service": "Azure Expressroute", + "text": "使用 IPsec 加密流量", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "有關 ExpressRoute 定價的資訊，請參閱瞭解 Azure ExpressRoute 的定價。您也可以使用定價計算機。確保選項的大小足夠大，以滿足容量需求，並在不浪費資源的情況下提供預期的性能。", + "guid": "8ae8772a-7131-42f9-9d2f-ce2aa5bcdd2b", + "service": "Azure Expressroute", + "text": "熟悉 ExpressRoute 定價", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "ExpressRoute 使用費的收費方式在三種不同的 SKU 類型之間有所不同。使用本地 SKU 時，系統會自動向您收取無限數據計劃的費用。使用標準和高級 SKU，可以選擇按流量計費或無限制的數據計劃。所有入口數據都是免費的，除非使用 Global Reach 外掛程式。請務必瞭解哪些 SKU 類型和數據計劃最適合您的工作負載，以最好地優化成本和預算。有關調整 ExpressRoute 線路大小的詳細資訊，請參閱升級 ExpressRoute 線路頻寬。", + "guid": "18ef72cd-862c-43e8-b9ee-921fb5f079f0", + "service": "Azure Expressroute", + "text": "確定所需的 SKU 和頻寬", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "ExpressRoute 虛擬網路閘道用於通過專用對等互連將流量傳遞到虛擬網路。查看首選虛擬網路閘道 SKU 的性能和規模需求。在本地到 Azure 工作負載上選擇適當的閘道 SKU。", + "guid": "3655e3bc-9d56-47f6-b7bc-c1a568aa3c8a", + "service": "Azure Expressroute", + "text": "確定 ExpressRoute 虛擬網路閘道大小", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "監視 ExpressRoute 線路的成本，並創建針對支出異常和超支風險的警報。有關詳細資訊，請參閱監視ExpressRoute成本。", + "guid": "3ade6188-d99d-47de-99e7-639136d3ac36", + "service": "Azure Expressroute", + "text": "監控成本並創建預算警報", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "ExpressRoute 線路從創建的那一刻起就收費。為了減少不必要的成本，請與服務提供者取消預配線路，並從訂閱中刪除 ExpressRoute 線路。有關如何刪除 ExpressRoute 線路的步驟，請參閱取消預配 ExpressRoute 線路。", + "guid": "ca8f1e36-5762-4510-b0af-5a073cc9185a", + "service": "Azure Expressroute", + "text": "取消預配並刪除不再使用的 ExpressRoute 線路。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "通過連接監視，可以通過 ExpressRoute 專用對等互連和 Microsoft 對等互連連接監視本地資源與 Azure 之間的連接。連接監視器可以通過識別問題在網路路徑上的位置來檢測網路問題，並説明您快速解決配置或硬體故障。", + "guid": "c1dcf762-0191-4963-89d7-3cc1df34b653", + "service": "Azure Expressroute", + "text": "配置連接監視", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "設置服務運行狀況通知，以便在訂閱中的所有 ExpressRoute 線路發生計劃內和即將進行的維護時發出警報。如果發生計劃外維護，服務運行狀況還會顯示過去的維護以及 RCA。", + "guid": "60f840b9-1818-4967-a115-68e90f47daf3", + "service": "Azure Expressroute", + "text": "配置服務運行狀況", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "通過具有網路見解的 ExpressRoute 見解，可以查看和分析 ExpressRoute 線路、閘道、連接指標和運行狀況儀錶板。ExpressRoute 見解還提供 ExpressRoute 連接的拓撲視圖，可在其中在一個位置查看對等互連元件的詳細資訊。可用指標：- 可用性- 輸送量- 閘道指標", + "guid": "c3c5fe66-1901-4786-99ea-845944bd6ca3", + "service": "Azure Expressroute", + "text": "使用 Network Insights 查看指標", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "ExpressRoute 使用 Azure Monitor 收集指標，並根據配置創建警報。收集 ExpressRoute 線路、ExpressRoute 閘道、ExpressRoute 閘道連接和 ExpressRoute Direct 的指標。這些指標可用於診斷連接問題和瞭解 ExpressRoute 連接的性能。", + "guid": "03914313-6287-41c4-9e4a-4980c2ee3aa9", + "service": "Azure Expressroute", + "text": "查看 ExpressRoute 資源指標", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "使用 Azure 連接工具包測試 ExpressRoute 線路的性能，以瞭解網路連接的頻寬、容量和延遲。", + "guid": "07fac8bb-13c5-44b8-a4e8-7e2ed1a84b48", + "service": "Azure Expressroute", + "text": "測試 ExpressRoute 閘道性能以滿足工作負載要求。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "升級到更高的閘道 SKU，以提高本地環境和 Azure 環境之間的輸送量性能。", + "guid": "7f788e1a-71dd-4a3e-b19f-6bd8ef8ad815", + "service": "Azure Expressroute", + "text": "增加 ExpressRoute 閘道的大小。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "升級您的電路頻寬以滿足您的工作負載要求。線路頻寬在連接到 ExpressRoute 線路的所有虛擬網路之間共用。根據工作負載，一個或多個虛擬網路可能會耗盡線路上的所有頻寬。", + "guid": "5cd4120c-3a0b-42d0-8114-2663988f43b8", + "service": "Azure Expressroute", + "text": "升級 ExpressRoute 線路頻寬", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "如果使用的是超高性能或 ErGW3AZ 虛擬網路閘道，則可以啟用 FastPath 以提高本地網路和 Azure 虛擬網路之間的數據路徑性能。", + "guid": "ef778b99-5006-4adf-bef1-d709456a4c51", + "service": "Azure Expressroute", + "text": "啟用 ExpressRoute FastPath 以獲得更高的輸送量", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "根據 ExpressRoute 指標設置警報，以便在達到特定閾值時主動通知你。這些指標有助於瞭解 ExpressRoute 連接可能發生的異常情況，例如 ExpressRoute 線路發生的中斷和維護。", + "guid": "4a0e8302-106d-48a3-abc4-9e4875a48309", + "service": "Azure Expressroute", + "text": "監視 ExpressRoute 線路和閘道指標", + "type": "recommendation", + "waf": "性能" + } + ], + "metadata": { + "name": "Azure Expressroute Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "此檢查尚未查看", + "name": "未驗證" + }, + { + "description": "有一個與此檢查關聯的操作項", + "name": "打開" + }, + { + "description": "此檢查已經過驗證，並且沒有與之關聯的其他操作項", + "name": "實現" + }, + { + "description": "不適用於當前設計", + "name": "N/A" + }, + { + "description": "不需要", + "name": "不需要" + } + ], + "waf": [ + { + "name": "安全" + }, + { + "name": "成本" + }, + { + "name": "成本" + }, + { + "name": "可靠性" + }, + { + "name": "可靠性" + }, + { + "name": "安全" + }, + { + "name": "性能" + }, + { + "name": "操作" + }, + { + "name": "操作" + }, + { + "name": "性能" + } + ], + "yesno": [ + { + "name": "是的" + }, + { + "name": "不" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurefiles_sg_checklist.en.json b/checklists-ext/azurefiles_sg_checklist.en.json index 9cf0846c6..1370ce917 100644 --- a/checklists-ext/azurefiles_sg_checklist.en.json +++ b/checklists-ext/azurefiles_sg_checklist.en.json @@ -301,6 +301,6 @@ "name": "Azure Files Service Guide", "waf": "all", "state": "preview", - "timestamp": "August 04, 2024" + "timestamp": "August 05, 2024" } } \ No newline at end of file diff --git a/checklists-ext/azurefiles_sg_checklist.es.json b/checklists-ext/azurefiles_sg_checklist.es.json new file mode 100644 index 000000000..39002d4ce --- /dev/null +++ b/checklists-ext/azurefiles_sg_checklist.es.json @@ -0,0 +1,306 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "La redundancia protege sus datos contra fallos inesperados. Las opciones de configuración de ZRS y GZRS se replican en varias zonas de disponibilidad y permiten que las aplicaciones continúen leyendo datos durante una interrupción. Para obtener más información, consulte Durabilidad y disponibilidad por escenario de interrupción y Parámetros de durabilidad y disponibilidad.", + "guid": "7005fc93-af02-4183-af03-e363ccf31456", + "service": "Azure Files", + "text": "Configure la cuenta de almacenamiento para la redundancia. Para obtener la máxima disponibilidad y durabilidad, configure su cuenta con almacenamiento con redundancia de zona (ZRS), GRS o GZRS. Las regiones limitadas de Azure admiten ZRS para recursos compartidos de archivos estándar y premium. Solo las cuentas SMB estándar son compatibles con GRS y GZRS. Los recursos compartidos premium de SMB y NFS no son compatibles con GRS y GZRS. Azure Files no admite el almacenamiento con redundancia geográfica con acceso de lectura (RA-GRS) ni el almacenamiento con redundancia de zona geográfica con acceso de lectura (RA-GZRS). Si configura una cuenta de almacenamiento para usar RA-GRS o RA-GZRS, los recursos compartidos de archivos se configuran y facturan como GRS o GZRS.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Esta propiedad le ayuda a calcular la cantidad de datos que podría perder si inicia una conmutación por error de la cuenta. Todos los datos y metadatos que se escriben antes de la última hora de sincronización están disponibles en la región secundaria, pero es posible que se pierdan los datos y metadatos que se escriben después de la última hora de sincronización porque no se escriben en la región secundaria.", + "guid": "f547bc73-43a1-4cd6-96c0-aee917f85daf", + "service": "Azure Files", + "text": "Antes de iniciar una conmutación por error o conmutación por recuperación, compruebe el valor de la propiedad de tiempo de la última sincronización para evaluar la posibilidad de pérdida de datos. Esta recomendación sólo se aplica a las configuraciones GRS y GZRS.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "La eliminación temporal funciona en un nivel de recurso compartido de archivos para proteger los recursos compartidos de archivos de Azure frente a la eliminación accidental. La restauración a un momento dado protege contra la eliminación accidental o los daños porque puede restaurar los recursos compartidos de archivos a un estado anterior. Para obtener más información, consulte Información general sobre la protección de datos.", + "guid": "8f7b75e8-8b14-44ce-b4a5-3e994995479d", + "service": "Azure Files", + "text": "Como parte de su estrategia de copia de seguridad y recuperación, habilite la eliminación temporal y use instantáneas para la restauración a un momento dado. Puede usar Azure Backup para realizar copias de seguridad de los recursos compartidos de archivos SMB. También puede usar Azure File Sync para realizar copias de seguridad de recursos compartidos de archivos SMB locales en un recurso compartido de archivos de Azure. Azure Backup también le permite realizar una copia de seguridad almacenada (versión preliminar) de Azure Files para proteger sus datos de ataques de ransomware o pérdida de datos de origen debido a un actor malintencionado o un administrador no autorizado. Mediante el uso de la copia de seguridad almacenada, Azure Backup copia y almacena los datos en el almacén de Recovery Services. Esto crea una copia externa de los datos que puede conservar durante un máximo de 99 años. Azure Backup crea y administra los puntos de recuperación según la programación y la retención definidas en la directiva de copia de seguridad. Aprende más.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Bloquee la cuenta para evitar la eliminación accidental o malintencionada de la cuenta de almacenamiento, lo que puede provocar la pérdida de datos.", + "guid": "39e5cade-9e6a-4bde-bedd-5ec33dbf5634", + "service": "Azure Files", + "text": "Aplique un bloqueo de Azure Resource Manager en la cuenta de almacenamiento.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "SMB 3.x es un protocolo seguro para Internet, pero es posible que no tenga la capacidad de cambiar las directivas de la organización o del ISP. Puede usar una puerta de enlace de VPN o una conexión de ExpressRoute como opción alternativa.", + "guid": "9f70f1de-9f49-4425-9fba-2bae24f81014", + "service": "Azure Files", + "text": "Abra el puerto TCP 445 de salida o configure una puerta de enlace de VPN o una conexión de Azure ExpressRoute para que los clientes fuera de Azure accedan al recurso compartido de archivos.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "SMB 1 es un protocolo anticuado, ineficiente e inseguro. Desactívelo en los clientes para mejorar su posición de seguridad.", + "guid": "6ad18c63-4c63-45c3-b002-5b305235c439", + "service": "Azure Files", + "text": "Si abre el puerto 445, asegúrese de deshabilitar SMBv1 en clientes Windows y Linux. Azure Files no es compatible con SMB 1, pero debe deshabilitarlo en sus clientes.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "El tráfico de red viaja a través de la red troncal de Microsoft en lugar de la red pública de Internet, lo que elimina la exposición al riesgo de la red pública de Internet.", + "guid": "0291451b-94f7-4f9c-a479-48c142e6c208", + "service": "Azure Files", + "text": "Considere la posibilidad de deshabilitar el acceso de red pública a la cuenta de almacenamiento. Habilite el acceso a la red pública solo si los clientes y servicios SMB externos a Azure requieren acceso a la cuenta de almacenamiento. Si deshabilita el acceso a la red pública, cree un punto de conexión privado para la cuenta de almacenamiento. Se aplican las tarifas estándar de procesamiento de datos para los puntos de conexión privados. Un punto de conexión privado no bloquea las conexiones con el punto de conexión público. De todos modos, debe deshabilitar el acceso a la red pública como se describió anteriormente. Si no necesita una dirección IP estática para el recurso compartido de archivos y desea evitar el costo de los puntos de conexión privados, puede restringir el acceso del punto de conexión público a redes virtuales y direcciones IP específicas.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Minimice el riesgo de crear oportunidades para los atacantes.", + "guid": "28051b58-caf9-415f-ab61-daa7c3bf37c5", + "service": "Azure Files", + "text": "Habilite reglas de firewall que limiten el acceso a redes virtuales específicas. Comience con acceso cero y, a continuación, proporcione de forma metódica e incremental la menor cantidad de acceso necesaria para los clientes y los servicios.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Use la autenticación basada en identidad para reducir la posibilidad de que un atacante use una clave de cuenta de almacenamiento para acceder a recursos compartidos de archivos.", + "guid": "fa742663-b3d8-4808-a5bb-213c9f4ae78b", + "service": "Azure Files", + "text": "Cuando sea posible, use la autenticación basada en identidad con el cifrado de vales Kerberos AES-256 para autorizar el acceso a los recursos compartidos de archivos de Azure SMB.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Use Key Vault para recuperar claves en tiempo de ejecución en lugar de guardarlas con la aplicación. Key Vault también facilita la rotación de las claves sin interrumpir las aplicaciones. Rote periódicamente las claves de cuenta para reducir el riesgo de exponer sus datos a ataques maliciosos.", + "guid": "90b83f1c-670f-44e6-93b7-c22ac3bb73c3", + "service": "Azure Files", + "text": "Si usa claves de cuenta de almacenamiento, almacénelas en Key Vault y asegúrese de volver a generarlas periódicamente. Puede denegar por completo el acceso de la clave de la cuenta de almacenamiento al recurso compartido de archivos quitando NTLMv2 de la configuración de seguridad SMB del recurso compartido. Pero, por lo general, no debe quitar NTLMv2 de la configuración de seguridad de SMB del recurso compartido, ya que los administradores aún necesitan usar la clave de cuenta para algunas tareas.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Esta configuración garantiza que todas las solicitudes que se realicen en la cuenta de almacenamiento se realicen a través de conexiones seguras (HTTPS). Se producirá un error en cualquier solicitud realizada a través de HTTP.", + "guid": "ad87891d-330d-4482-abd0-938ff9e700cc", + "service": "Azure Files", + "text": "En la mayoría de los casos, debe habilitar la opción Transferencia segura necesaria en todas las cuentas de almacenamiento para habilitar el cifrado en tránsito para los recursos compartidos de archivos SMB. No habilite esta opción si necesita permitir que clientes muy antiguos accedan al recurso compartido. Si deshabilita la transferencia segura, asegúrese de usar los controles de red para restringir el tráfico.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "TLS 1.2 es más seguro y rápido que TLS 1.0 y 1.1, que no son compatibles con los algoritmos criptográficos modernos ni los conjuntos de cifrado.", + "guid": "8809e836-d9ae-41d8-b357-e0d4610892af", + "service": "Azure Files", + "text": "Configure la cuenta de almacenamiento para que TLS 1.2 sea la versión mínima para que los clientes envíen y reciban datos.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "SMB 3.1.1, lanzado con Windows 10, contiene importantes actualizaciones de seguridad y rendimiento. AES-256-GCM ofrece un cifrado de canal más seguro.", + "guid": "7704ad4b-c605-458a-bca3-b9915288379d", + "service": "Azure Files", + "text": "Utilice solo la versión más reciente del protocolo SMB compatible (actualmente 3.1.1%) y use solo AES-256-GCM para el cifrado de canales SMB. Azure Files expone la configuración que puede usar para alternar el protocolo SMB y hacerlo más compatible o más seguro, en función de los requisitos de su organización. De forma predeterminada, se permiten todas las versiones SMB. Sin embargo, SMB 2.1 no está permitido si habilita Requerir transferencia segura porque SMB 2.1 no admite el cifrado de datos en tránsito. Si restringe esta configuración a un alto nivel de seguridad, es posible que algunos clientes no puedan conectarse al recurso compartido de archivos.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Bloquee la cuenta para evitar la eliminación accidental o malintencionada de la cuenta de almacenamiento, lo que podría provocar la pérdida de datos.", + "guid": "8aba3a20-da7c-41fb-baf6-a954da9480fc", + "service": "Azure Files", + "text": "Aplique un bloqueo de Resource Manager en la cuenta de almacenamiento.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Abra el puerto 2049 para permitir que los clientes se comuniquen con el recurso compartido de archivos de Azure NFS.", + "guid": "c0363075-4c11-41ae-bea9-c203481eb76e", + "service": "Azure Files", + "text": "Debe abrir el puerto 2049 en los clientes en los que desea montar el recurso compartido NFS.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "El tráfico de red viaja a través de la red troncal de Microsoft en lugar de la red pública de Internet, lo que elimina la exposición al riesgo de la red pública de Internet.", + "guid": "d3fffd01-afd2-4654-94cf-b971a379cb1e", + "service": "Azure Files", + "text": "Solo se puede acceder a los recursos compartidos de archivos de NFS Azure a través de redes restringidas. Por lo tanto, debe crear un punto de conexión privado para la cuenta de almacenamiento o restringir el acceso del punto de conexión público a las redes virtuales y direcciones IP seleccionadas. Se recomienda crear un punto de conexión privado. Debe configurar la seguridad de nivel de red para los recursos compartidos de NFS, ya que Azure Files no admite el cifrado en tránsito con el protocolo NFS. Debe deshabilitar la opción Requerir transferencia segura en la cuenta de almacenamiento para usar recursos compartidos de archivos de Azure NFS. Se aplican tarifas estándar de procesamiento de datos para los puntos de conexión privados. Si no necesita una dirección IP estática para el recurso compartido de archivos y desea evitar el costo de los puntos de conexión privados, puede restringir el acceso a los puntos de conexión públicos.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "No permitir el uso de claves de cuenta de almacenamiento para que la cuenta de almacenamiento sea más segura.", + "guid": "e262e0ea-2a15-4870-a43e-77fae1ef4075", + "service": "Azure Files", + "text": "Considere la posibilidad de no permitir el acceso a la clave de la cuenta de almacenamiento en el nivel de la cuenta de almacenamiento. No necesita este acceso para montar recursos compartidos de archivos NFS. Pero tenga en cuenta que el control administrativo total de un recurso compartido de archivos, incluida la capacidad de tomar posesión de un archivo, requiere el uso de una clave de cuenta de almacenamiento.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "La migración a Azure Files es una carga de trabajo temporal que requiere muchas transacciones. Optimice el precio de las cargas de trabajo de transacciones elevadas para ayudar a reducir los costos de migración.", + "guid": "8ed27044-e89f-438c-a654-545697e9b951", + "service": "Azure Files", + "text": "Al migrar a recursos compartidos de archivos estándar de Azure, se recomienda comenzar en el nivel optimizado para transacciones durante la migración inicial. El uso de transacciones durante la migración no suele ser indicativo del uso normal de transacciones. Esta consideración no se aplica a los recursos compartidos de archivos premium porque el modelo de facturación aprovisionada no cobra por las transacciones.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Seleccione el nivel de acceso adecuado para los recursos compartidos de archivos estándar a fin de reducir considerablemente los costos.", + "guid": "2b332ca7-f600-49c3-a072-ee3679cdcb3a", + "service": "Azure Files", + "text": "Después de migrar la carga de trabajo, si usa recursos compartidos de archivos estándar, elija cuidadosamente el nivel de acceso más rentable para el recurso compartido de archivos: frecuente, esporádico u optimizado para transacciones. Después de operar durante unos días o semanas con uso regular, puede insertar los recuentos de transacciones en la calculadora de precios para averiguar qué nivel se adapta mejor a su carga de trabajo. La mayoría de los clientes deben elegir cool incluso si usan activamente el recurso compartido. Pero debe examinar cada recurso compartido y comparar el saldo de la capacidad de almacenamiento con las transacciones para determinar su nivel. Si los costos de transacción representan un porcentaje significativo de su factura, los ahorros del uso del nivel de acceso esporádico a menudo compensan este costo y minimizan el costo total total. Se recomienda mover recursos compartidos de archivos estándar entre niveles de acceso solo cuando sea necesario para optimizar los cambios en el patrón de carga de trabajo. Cada movimiento incurre en transacciones. Para obtener más información, consulte Cambiar entre niveles estándar.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Aprovisione en exceso los recursos compartidos de archivos premium en una cantidad razonable para ayudar a mantener el rendimiento y tener en cuenta el crecimiento futuro y los requisitos de rendimiento.", + "guid": "9680a4b4-2878-45eb-bbc4-9954adf25eaa", + "service": "Azure Files", + "text": "Si usa recursos compartidos premium, asegúrese de aprovisionar capacidad y rendimiento más que suficientes para su carga de trabajo, pero no tanto como para incurrir en costos innecesarios. Se recomienda sobreaprovisionar dos o tres veces. Puede escalar dinámicamente los recursos compartidos de archivos premium hacia arriba o hacia abajo en función de las características de rendimiento de almacenamiento y entrada/salida (E/S).", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Las reservas de tres años pueden proporcionar un descuento de hasta el 36% en el costo total del almacenamiento de archivos. Las reservas no afectan al rendimiento.", + "guid": "21d765dd-5a9c-44d7-908f-422102db61a1", + "service": "Azure Files", + "text": "Use las reservas de Azure Files, también conocidas como instancias reservadas, para confirmar previamente el uso de almacenamiento y obtener un descuento. Use reservas para cargas de trabajo de producción o cargas de trabajo de desarrollo y pruebas con huellas coherentes. Para obtener más información, consulte Optimización de costos con reservas de almacenamiento. Las reservas no incluyen cargos por transacción, ancho de banda, transferencia de datos y almacenamiento de metadatos.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Las instantáneas diferenciales garantizan que no se le facture varias veces por almacenar los mismos datos. Sin embargo, debe seguir supervisando el uso de instantáneas para ayudar a reducir la factura de Azure Files.", + "guid": "2600163f-0687-47c0-af5d-ebbc2e4f052b", + "service": "Azure Files", + "text": "Supervise el uso de instantáneas. Las instantáneas conllevan cargos, pero se facturan en función del uso de almacenamiento diferencial de cada instantánea. Solo pagas por la diferencia en cada instantánea. Para obtener más información, consulte Instantáneas. Azure File Sync toma instantáneas de nivel de recurso compartido y de nivel de archivo como parte del uso normal, lo que puede aumentar la factura total de Azure Files.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Establezca un período de retención para que los archivos eliminados temporalmente no se acumulen y aumenten el costo de la capacidad. Después del período de retención configurado, los datos eliminados permanentemente no incurren en ningún costo.", + "guid": "e2920277-545a-464d-83be-dd28b3e5c9db", + "service": "Azure Files", + "text": "Establezca períodos de retención para la función de eliminación temporal, especialmente cuando comience a usarla por primera vez. Considere comenzar con un período de retención corto para comprender mejor cómo afecta la función a su factura. El período de retención mínimo recomendado es de siete días. Al eliminar temporalmente recursos compartidos de archivos estándar y premium, se facturan como capacidad usada en lugar de capacidad aprovisionada. Y los recursos compartidos de archivos premium se facturan a la tarifa de instantánea mientras se encuentran en el estado de eliminación temporal. Los recursos compartidos de archivos estándar se facturan a la tarifa normal mientras se encuentran en el estado de eliminación temporal.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Puede usar los procesos de DevOps existentes para implementar nuevas cuentas de almacenamiento y usar Azure Policy para aplicar su configuración.", + "guid": "328229e7-0291-48e8-ad52-9c38e3b1dbd2", + "service": "Azure Files", + "text": "Use la infraestructura como código (IaC) para definir los detalles de las cuentas de almacenamiento en plantillas de Azure Resource Manager (plantillas de ARM), Bicep o Terraform.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Puede realizar un seguimiento del estado y el funcionamiento de cada una de sus cuentas. Cree fácilmente paneles e informes que las partes interesadas pueden usar para realizar un seguimiento del estado de sus cuentas de almacenamiento.", + "guid": "d2414f84-0b9f-44a6-ab13-bef6984774bc", + "service": "Azure Files", + "text": "Use la información de almacenamiento para realizar un seguimiento del estado y el rendimiento de las cuentas de almacenamiento. Storage Insights proporciona una vista unificada de los errores, el rendimiento, la disponibilidad y la capacidad de todas las cuentas de almacenamiento.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Monitor proporciona una vista de la disponibilidad, el rendimiento y la resistencia de los recursos compartidos de archivos.", + "guid": "3a2cca3e-b3c7-46b2-b87e-7db328897503", + "service": "Azure Files", + "text": "Utilice Monitor para analizar métricas, como la disponibilidad, la latencia y el uso, y para crear alertas.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Aumente el rendimiento y las IOPS a la vez que reduce el coste total de propiedad. Las ventajas de rendimiento aumentan con el número de archivos que distribuyen la carga.", + "guid": "7e271270-4f79-4418-b668-5c4a16627bbd", + "service": "Azure Files", + "text": "Habilite SMB Multicanal para recursos compartidos de archivos SMB premium. SMB Multichannel permite a un cliente SMB 3.1.1 establecer varias conexiones de red a un recurso compartido de archivos de Azure SMB. SMB multicanal solo funciona cuando la característica está habilitada tanto en el lado del cliente (su cliente) como en el lado del servicio (Azure). En los clientes de Windows, SMB Multicanal está habilitado de forma predeterminada, pero debe habilitarlo en su cuenta de almacenamiento.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Aumente el rendimiento a escala y reduzca el costo total de propiedad de los recursos compartidos de archivos NFS.", + "guid": "9f9cb641-df29-440a-8f30-513367264e14", + "service": "Azure Files", + "text": "Use la opción de montaje del lado cliente nconnect con recursos compartidos de archivos de Azure NFS en clientes Linux. Nconnect permite usar más conexiones TCP entre el cliente y el servicio premium de Azure Files para NFSv4.1.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Evite la limitación para proporcionar la mejor experiencia posible al cliente.", + "guid": "e85fb837-f8a0-4b2f-b759-6ccdafa4f05c", + "service": "Azure Files", + "text": "Asegúrese de que el recurso compartido de archivos o la cuenta de almacenamiento no se estén limitando, lo que puede dar lugar a una alta latencia, un bajo rendimiento o un bajo número de IOPS. Las solicitudes se limitan cuando se alcanzan los límites de IOPS, entrada o salida. En el caso de las cuentas de almacenamiento estándar, la limitación se produce en el nivel de cuenta. En el caso de los recursos compartidos de archivos premium, la limitación suele producirse en el nivel de recurso compartido.", + "type": "recommendation", + "waf": "Rendimiento" + } + ], + "metadata": { + "name": "Azure Files Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "Este control aún no se ha examinado", + "name": "No verificado" + }, + { + "description": "Hay un elemento de acción asociado a esta comprobación", + "name": "Abrir" + }, + { + "description": "Esta comprobación se ha verificado y no hay más elementos de acción asociados a ella", + "name": "Cumplido" + }, + { + "description": "No aplicable para el diseño actual", + "name": "N/A" + }, + { + "description": "No es necesario", + "name": "No es necesario" + } + ], + "waf": [ + { + "name": "seguridad" + }, + { + "name": "Costar" + }, + { + "name": "costar" + }, + { + "name": "Fiabilidad" + }, + { + "name": "fiabilidad" + }, + { + "name": "Seguridad" + }, + { + "name": "rendimiento" + }, + { + "name": "Operaciones" + }, + { + "name": "Operaciones" + }, + { + "name": "Rendimiento" + } + ], + "yesno": [ + { + "name": "Sí" + }, + { + "name": "No" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurefiles_sg_checklist.ja.json b/checklists-ext/azurefiles_sg_checklist.ja.json new file mode 100644 index 000000000..30868bb0e --- /dev/null +++ b/checklists-ext/azurefiles_sg_checklist.ja.json @@ -0,0 +1,306 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "冗長性は、予期しない障害からデータを保護します。ZRS と GZRS の構成オプションは、さまざまな可用性ゾーン間でレプリケートされ、障害発生時にアプリケーションがデータの読み取りを続行できるようにします。詳細については、「停止シナリオ別の持続性と可用性」および「持続性と可用性のパラメーター」を参照してください。", + "guid": "7005fc93-af02-4183-af03-e363ccf31456", + "service": "Azure Files", + "text": "ストレージ アカウントを冗長性のために構成します。可用性と持続性を最大限に高めるには、ゾーン冗長ストレージ (ZRS)、GRS、または GZRS を使用してアカウントを構成します。限られた Azure リージョンでは、Standard ファイル共有と Premium ファイル共有の ZRS がサポートされています。標準の SMB アカウントのみが GRS と GZRS をサポートします。Premium SMB 共有と NFS 共有では、GRS と GZRS はサポートされていません。Azure Files では、読み取りアクセス geo 冗長ストレージ (RA-GRS) または読み取りアクセス geo ゾーン冗長ストレージ (RA-GZRS) はサポートされていません。RA-GRS または RA-GZRS を使用するようにストレージ アカウントを構成すると、ファイル共有は GRS または GZRS として構成され、課金されます。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "このプロパティは、アカウントのフェールオーバーを開始した場合に失われる可能性のあるデータの量を見積もるのに役立ちます。最終同期時刻より前に書き込まれたすべてのデータとメタデータはセカンダリリージョンで使用できますが、最終同期時刻より後に書き込まれたデータとメタデータは、セカンダリリージョンに書き込まれていないため、失われる可能性があります。", + "guid": "f547bc73-43a1-4cd6-96c0-aee917f85daf", + "service": "Azure Files", + "text": "フェイルオーバーまたはフェイルバックを開始する前に、最終同期時刻プロパティの値を確認して、データ損失の可能性を評価してください。この推奨事項は、GRS および GZRS 構成にのみ適用されます。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "論理的な削除は、ファイル共有レベルで機能し、Azure ファイル共有を誤って削除しないように保護します。ポイントインタイム リストアでは、ファイル共有を以前の状態に復元できるため、誤って削除や破損が発生するのを防ぐことができます。詳細については、「データ保護の概要」を参照してください。", + "guid": "8f7b75e8-8b14-44ce-b4a5-3e994995479d", + "service": "Azure Files", + "text": "バックアップとリカバリの戦略の一環として、論理的な削除を有効にし、スナップショットを使用してポイントインタイム リストアを行います。Azure Backup を使用して、SMB ファイル共有をバックアップできます。また、Azure File Sync を使用して、オンプレミスの SMB ファイル共有を Azure ファイル共有にバックアップすることもできます。 Azure Backup では、Azure Files の保管型バックアップ (プレビュー) を実行して、ランサムウェア攻撃や、悪意のあるアクターや悪意のある管理者によるソース データの損失からデータを保護することもできます。コンテナー バックアップを使用すると、Azure Backup は Recovery Services コンテナーにデータをコピーして格納します。これにより、データのオフサイトコピーが作成され、最大99年間保持できます。Azure Backup は、バックアップ ポリシーで定義されているスケジュールとリテンション期間に従って復旧ポイントを作成および管理します。詳細情報。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "アカウントをロックして、ストレージ・アカウントが誤ってまたは悪意を持って削除され、データが失われるのを防ぎます。", + "guid": "39e5cade-9e6a-4bde-bedd-5ec33dbf5634", + "service": "Azure Files", + "text": "ストレージ アカウントに Azure Resource Manager ロックを適用します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "SMB 3.x はインターネットに安全なプロトコルですが、組織ポリシーや ISP ポリシーを変更できない場合があります。別のオプションとして、VPN ゲートウェイまたは ExpressRoute 接続を使用できます。", + "guid": "9f70f1de-9f49-4425-9fba-2bae24f81014", + "service": "Azure Files", + "text": "TCP ポート 445 を送信で開くか、Azure の外部のクライアントがファイル共有にアクセスするための VPN ゲートウェイまたは Azure ExpressRoute 接続を設定します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "SMB 1 は、古く、非効率的で、安全でないプロトコルです。クライアントで無効にして、セキュリティ体制を改善します。", + "guid": "6ad18c63-4c63-45c3-b002-5b305235c439", + "service": "Azure Files", + "text": "ポート 445 を開く場合は、Windows クライアントと Linux クライアントで SMBv1 を必ず無効にしてください。Azure Files では SMB 1 はサポートされていませんが、クライアントで無効にする必要があります。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "ネットワーク トラフィックは、パブリック インターネットではなく Microsoft バックボーン ネットワークを経由するため、パブリック インターネットからのリスクにさらされる必要がなくなります。", + "guid": "0291451b-94f7-4f9c-a479-48c142e6c208", + "service": "Azure Files", + "text": "ストレージ アカウントへのパブリック ネットワーク アクセスを無効にすることを検討してください。パブリック ネットワーク アクセスは、Azure の外部にある SMB クライアントとサービスがストレージ アカウントへのアクセスを必要とする場合にのみ有効にします。パブリック ネットワーク アクセスを無効にする場合は、ストレージ アカウントのプライベート エンドポイントを作成します。プライベートエンドポイントの標準的なデータ処理料金が適用されます。プライベート エンドポイントは、パブリック エンドポイントへの接続をブロックしません。前述のように、パブリックネットワークアクセスを無効にする必要があります。ファイル共有に静的 IP アドレスを必要とせず、プライベート エンドポイントのコストを回避したい場合は、代わりにパブリック エンドポイントのアクセスを特定の仮想ネットワークと IP アドレスに制限できます。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "攻撃者に隙を与えるリスクを最小限に抑えます。", + "guid": "28051b58-caf9-415f-ab61-daa7c3bf37c5", + "service": "Azure Files", + "text": "特定の仮想ネットワークへのアクセスを制限するファイアウォール規則を有効にします。ゼロアクセスから始めて、クライアントとサービスに必要な最小限のアクセスを系統的かつ段階的に提供します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "ID ベースの認証を使用して、攻撃者がストレージ アカウント キーを使用してファイル共有にアクセスする可能性を減らします。", + "guid": "fa742663-b3d8-4808-a5bb-213c9f4ae78b", + "service": "Azure Files", + "text": "可能な場合は、AES-256 Kerberos チケット暗号化による ID ベースの認証を使用して、SMB Azure ファイル共有へのアクセスを承認します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Key Vault を使用して、アプリケーションと共にキーを保存するのではなく、実行時にキーを取得します。また、Key Vault を使用すると、アプリケーションを中断することなくキーを簡単にローテーションできます。アカウント キーを定期的にローテーションして、データが悪意のある攻撃にさらされるリスクを軽減します。", + "guid": "90b83f1c-670f-44e6-93b7-c22ac3bb73c3", + "service": "Azure Files", + "text": "ストレージ アカウント キーを使用する場合は、Key Vault に格納し、定期的に再生成してください。共有の SMB セキュリティ設定から NTLMv2 を削除することで、ストレージ アカウント キーによるファイル共有へのアクセスを完全に禁止できます。ただし、管理者は一部のタスクでアカウント キーを使用する必要があるため、通常は共有の SMB セキュリティ設定から NTLMv2 を削除しないでください。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "この設定により、ストレージ アカウントに対して行われるすべての要求が、セキュリティで保護された接続 (HTTPS) 経由で行われるようになります。HTTP 経由で行われた要求はすべて失敗します。", + "guid": "ad87891d-330d-4482-abd0-938ff9e700cc", + "service": "Azure Files", + "text": "ほとんどの場合、すべてのストレージ アカウントで [安全な転送が必要] オプションを有効にして、SMB ファイル共有の転送中の暗号化を有効にする必要があります。非常に古いクライアントが共有にアクセスできるようにする必要がある場合は、このオプションを有効にしないでください。安全な転送を無効にする場合は、ネットワーク制御を使用してトラフィックを制限してください。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "TLS 1.2 は、最新の暗号化アルゴリズムと暗号スイートをサポートしていない TLS 1.0 および 1.1 よりも安全で高速です。", + "guid": "8809e836-d9ae-41d8-b357-e0d4610892af", + "service": "Azure Files", + "text": "TLS 1.2 がクライアントがデータを送受信するための最小バージョンになるように、ストレージ アカウントを構成します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Windows 10 と共にリリースされた SMB 3.1.1 には、重要なセキュリティ更新プログラムとパフォーマンス更新プログラムが含まれています。AES-256-GCM は、より安全なチャネル暗号化を提供します。", + "guid": "7704ad4b-c605-458a-bca3-b9915288379d", + "service": "Azure Files", + "text": "サポートされている最新の SMB プロトコル バージョン (現在は 3.1.1.) のみを使用し、SMB チャネルの暗号化には AES-256-GCM のみを使用します。Azure Files では、組織の要件に応じて、SMB プロトコルを切り替え、互換性や安全性を高めるために使用できる設定が公開されています。デフォルトでは、すべての SMB バージョンが許可されます。ただし、SMB 2.1 は転送中のデータの暗号化をサポートしていないため、[安全な転送が必要] を有効にした場合、SMB 2.1 は許可されません。これらの設定を高レベルのセキュリティに制限すると、一部のクライアントがファイル共有に接続できなくなる可能性があります。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "アカウントをロックして、ストレージ アカウントが誤ってまたは悪意を持って削除され、データが失われる可能性があるのを防ぎます。", + "guid": "8aba3a20-da7c-41fb-baf6-a954da9480fc", + "service": "Azure Files", + "text": "ストレージ アカウントに Resource Manager ロックを適用します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "ポート 2049 を開いて、クライアントが NFS Azure ファイル共有と通信できるようにします。", + "guid": "c0363075-4c11-41ae-bea9-c203481eb76e", + "service": "Azure Files", + "text": "NFS 共有をマウントするクライアントでポート 2049 を開く必要があります。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "ネットワーク トラフィックは、パブリック インターネットではなく Microsoft バックボーン ネットワークを経由するため、パブリック インターネットからのリスクにさらされる必要がなくなります。", + "guid": "d3fffd01-afd2-4654-94cf-b971a379cb1e", + "service": "Azure Files", + "text": "NFS Azure ファイル共有には、制限されたネットワーク経由でのみアクセスできます。そのため、ストレージ アカウントのプライベート エンドポイントを作成するか、パブリック エンドポイントへのアクセスを選択した仮想ネットワークと IP アドレスに制限する必要があります。プライベートエンドポイントを作成することをお勧めします。Azure Files では NFS プロトコルを使用した転送中の暗号化がサポートされていないため、NFS 共有のネットワーク レベルのセキュリティを構成する必要があります。NFS Azure ファイル共有を使用するには、ストレージ アカウントの [セキュリティで保護された転送が必要] 設定を無効にする必要があります。プライベートエンドポイントには、標準のデータ処理料金が適用されます。ファイル共有に静的 IP アドレスを必要とせず、プライベート エンドポイントのコストを回避したい場合は、代わりにパブリック エンドポイントのアクセスを制限できます。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "ストレージ アカウント キーの使用を禁止して、ストレージ アカウントのセキュリティを強化します。", + "guid": "e262e0ea-2a15-4870-a43e-77fae1ef4075", + "service": "Azure Files", + "text": "ストレージ アカウント キーへのアクセスをストレージ アカウント レベルで禁止することを検討してください。NFS ファイル共有をマウントするために、このアクセス権は必要ありません。ただし、ファイル共有の完全な管理制御 (ファイルの所有権を取得する機能を含む) には、ストレージ アカウント キーの使用が必要であることに注意してください。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Azure Files への移行は、トランザクション負荷の高い一時的なワークロードです。トランザクションの多いワークロードの価格を最適化して、移行コストを削減します。", + "guid": "8ed27044-e89f-438c-a654-545697e9b951", + "service": "Azure Files", + "text": "標準の Azure ファイル共有に移行する場合は、初期移行時にトランザクション最適化レベルで開始することをお勧めします。移行中のトランザクション使用量は、通常、通常のトランザクション使用量を示すものではありません。この考慮事項は、プロビジョニングされた課金モデルではトランザクションに対して課金されないため、Premium ファイル共有には適用されません。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "Standard ファイル共有に適切なアクセス層を選択して、コストを大幅に削減します。", + "guid": "2b332ca7-f600-49c3-a072-ee3679cdcb3a", + "service": "Azure Files", + "text": "ワークロードを移行した後、Standard ファイル共有を使用する場合は、ファイル共有に最もコスト効率の高いアクセス階層 (ホット、クール、またはトランザクション最適化) を慎重に選択します。数日または数週間定期的に使用した後、料金計算ツールにトランザクション数を挿入して、ワークロードに最適な階層を特定できます。ほとんどのお客様は、シェアを積極的に使用している場合でも、クールを選択する必要があります。ただし、各共有を調べ、ストレージ容量とトランザクションのバランスを比較して、階層を決定する必要があります。トランザクション コストが請求額のかなりの割合を占める場合、クール アクセス層の使用による節約により、多くの場合、このコストが相殺され、全体的なコスト全体が最小限に抑えられます。Standard ファイル共有をアクセス階層間で移動するのは、ワークロード パターンの変更を最適化するために必要な場合にのみ行うことをお勧めします。各移動にはトランザクションが発生します。詳細については、「Standard レベル間の切り替え」を参照してください。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "プレミアム ファイル共有を妥当な量だけオーバープロビジョニングして、パフォーマンスを維持し、将来の成長とパフォーマンス要件を考慮に入れます。", + "guid": "9680a4b4-2878-45eb-bbc4-9954adf25eaa", + "service": "Azure Files", + "text": "Premium 共有を使用する場合は、ワークロードに対して十分な容量とパフォーマンスをプロビジョニングし、不要なコストが発生するほど多くはプロビジョニングしないようにします。2 倍から 3 倍のオーバープロビジョニングをお勧めします。Premium ファイル共有は、ストレージと入出力 (IO) のパフォーマンス特性に応じて動的にスケールアップまたはスケールダウンできます。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "3年間の予約では、ファイルストレージの総コストから最大36%の割引を受けることができます。予約はパフォーマンスに影響しません。", + "guid": "21d765dd-5a9c-44d7-908f-422102db61a1", + "service": "Azure Files", + "text": "Azure Files の予約 (予約インスタンスとも呼ばれます) を使用して、ストレージの使用を事前にコミットし、割引を受けます。運用ワークロードまたは一貫したフットプリントの開発/テスト ワークロードに予約を使用します。詳細については、「ストレージ予約によるコストの最適化」を参照してください。予約には、トランザクション、帯域幅、データ転送、メタデータ ストレージの料金は含まれません。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "差分スナップショットを使用すると、同じデータを格納しても複数回課金されることはありません。ただし、Azure Files の請求額を削減するために、スナップショットの使用状況を監視する必要があります。", + "guid": "2600163f-0687-47c0-af5d-ebbc2e4f052b", + "service": "Azure Files", + "text": "スナップショットの使用状況を監視します。スナップショットには料金が発生しますが、各スナップショットのストレージ使用量の差分に基づいて課金されます。各スナップショットの差額に対してのみ支払います。詳細については、「スナップショット」を参照してください。Azure File Sync では、通常の使用の一部として共有レベルとファイルレベルのスナップショットが取得されるため、Azure Files の請求額が増加する可能性があります。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "論理的に削除されたファイルが積み重なって容量のコストが増加しないように、保持期間を設定します。構成された保持期間が経過すると、完全に削除されたデータにはコストはかかりません。", + "guid": "e2920277-545a-464d-83be-dd28b3e5c9db", + "service": "Azure Files", + "text": "論理的な削除機能の保持期間を設定します (特に、最初に使用を開始するとき)。この機能が請求にどのように影響するかをよりよく理解するために、短い保持期間から始めることを検討してください。推奨される最小保持期間は 7 日間です。Standard ファイル共有と Premium ファイル共有を論理的な削除を行うと、プロビジョニングされた容量ではなく、使用済み容量として課金されます。また、Premium ファイル共有は、論理的な削除状態の間はスナップショット レートで課金されます。Standard ファイル共有は、論理的な削除状態の間、通常のレートで課金されます。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "既存の DevOps プロセスを使用して新しいストレージ アカウントをデプロイし、Azure Policy を使用してその構成を適用できます。", + "guid": "328229e7-0291-48e8-ad52-9c38e3b1dbd2", + "service": "Azure Files", + "text": "コードとしてのインフラストラクチャ (IaC) を使用して、Azure Resource Manager テンプレート (ARM テンプレート)、Bicep、または Terraform でストレージ アカウントの詳細を定義します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "各アカウントの健康状態と操作を追跡できます。ダッシュボードとレポートを簡単に作成して、関係者がストレージ アカウントの正常性を追跡できます。", + "guid": "d2414f84-0b9f-44a6-ab13-bef6984774bc", + "service": "Azure Files", + "text": "Storage insights を使用して、ストレージ アカウントの正常性とパフォーマンスを追跡します。Storage insights は、すべてのストレージ アカウントの障害、パフォーマンス、可用性、容量の統合ビューを提供します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "Monitor は、ファイル共有の可用性、パフォーマンス、回復性を表示します。", + "guid": "3a2cca3e-b3c7-46b2-b87e-7db328897503", + "service": "Azure Files", + "text": "Monitor を使用して、可用性、待機時間、使用状況などのメトリックを分析し、アラートを作成します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "スループットとIOPSを向上させながら、総所有コストを削減します。パフォーマンス上の利点は、負荷を分散するファイルの数とともに増加します。", + "guid": "7e271270-4f79-4418-b668-5c4a16627bbd", + "service": "Azure Files", + "text": "Premium SMB ファイル共有の SMB マルチチャネルを有効にします。SMB マルチチャネルを使用すると、SMB 3.1.1 クライアントは SMB Azure ファイル共有への複数のネットワーク接続を確立できます。SMB マルチチャネルは、クライアント側 (クライアント) とサービス側 (Azure) の両方で機能が有効になっている場合にのみ機能します。Windows クライアントでは、SMB マルチチャネルは既定で有効になっていますが、ストレージ アカウントで有効にする必要があります。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "大規模なパフォーマンスを向上させ、NFS ファイル共有の総保有コストを削減します。", + "guid": "9f9cb641-df29-440a-8f30-513367264e14", + "service": "Azure Files", + "text": "Linux クライアント上の NFS Azure ファイル共有で nconnect クライアント側マウント オプションを使用します。Nconnect を使用すると、クライアントと NFSv4.1 の Azure Files Premium サービスとの間で、より多くの TCP 接続を使用できます。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "可能な限り最高のクライアント エクスペリエンスを提供するために、調整を回避します。", + "guid": "e85fb837-f8a0-4b2f-b759-6ccdafa4f05c", + "service": "Azure Files", + "text": "ファイル共有またはストレージ アカウントが調整されていないことを確認します。これにより、待機時間が長くなったり、スループットが低くなったり、IOPS が低くなったりする可能性があります。要求は、IOPS、イングレス、またはエグレスの制限に達すると調整されます。Standard ストレージ アカウントの場合、調整はアカウント レベルで行われます。Premium ファイル共有の場合、通常、調整は共有レベルで行われます。", + "type": "recommendation", + "waf": "パフォーマンス" + } + ], + "metadata": { + "name": "Azure Files Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "このチェックはまだ見ていません", + "name": "未確認" + }, + { + "description": "このチェックにはアクションアイテムが関連付けられています", + "name": "開ける" + }, + { + "description": "このチェックは検証済みであり、これ以上のアクション アイテムは関連付けられていません", + "name": "達成" + }, + { + "description": "現在のデザインには適用されません", + "name": "該当なし" + }, + { + "description": "必須ではありません", + "name": "必須ではありません" + } + ], + "waf": [ + { + "name": "安全" + }, + { + "name": "費用" + }, + { + "name": "費用" + }, + { + "name": "確実" + }, + { + "name": "確実" + }, + { + "name": "安全" + }, + { + "name": "パフォーマンス" + }, + { + "name": "オペレーションズ" + }, + { + "name": "オペレーションズ" + }, + { + "name": "パフォーマンス" + } + ], + "yesno": [ + { + "name": "はい" + }, + { + "name": "いいえ" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurefiles_sg_checklist.ko.json b/checklists-ext/azurefiles_sg_checklist.ko.json new file mode 100644 index 000000000..35f9e078f --- /dev/null +++ b/checklists-ext/azurefiles_sg_checklist.ko.json @@ -0,0 +1,306 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "중복성은 예기치 않은 오류로부터 데이터를 보호합니다. ZRS 및 GZRS 구성 옵션은 다양한 가용성 영역에서 복제되며 애플리케이션이 중단 중에도 데이터를 계속 읽을 수 있도록 합니다. 자세한 내용은 Durability and availability by outage scenario 및 Durability and availability parameters를 참조하세요.", + "guid": "7005fc93-af02-4183-af03-e363ccf31456", + "service": "Azure Files", + "text": "중복성을 위해 저장소 계정을 구성합니다. 가용성과 내구성을 최대화하려면 ZRS(영역 중복 스토리지), GRS 또는 GZRS를 사용하여 계정을 구성합니다. 제한된 Azure 지역은 표준 및 프리미엄 파일 공유에 대해 ZRS를 지원합니다. 표준 SMB 계정만 GRS 및 GZRS를 지원합니다. 프리미엄 SMB 공유 및 NFS 공유는 GRS 및 GZRS를 지원하지 않습니다. Azure Files는 RA-GRS(읽기 액세스 지역 중복 스토리지) 또는 RA-GZRS(읽기 액세스 지역 영역 중복 스토리지)를 지원하지 않습니다. RA-GRS 또는 RA-GZRS를 사용하도록 스토리지 계정을 구성하는 경우 파일 공유가 GRS 또는 GZRS로 구성되고 청구됩니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "이 속성은 계정 장애 조치(failover)를 시작할 경우 손실될 수 있는 데이터의 양을 예측하는 데 도움이 됩니다. 마지막 동기화 시간 이전에 기록된 모든 데이터 및 메타데이터는 보조 지역에서 사용할 수 있지만 마지막 동기화 시간 이후에 기록된 데이터 및 메타데이터는 보조 지역에 기록되지 않기 때문에 손실될 수 있습니다.", + "guid": "f547bc73-43a1-4cd6-96c0-aee917f85daf", + "service": "Azure Files", + "text": "장애 조치(failover) 또는 장애 복구(failback)를 시작하기 전에 마지막 동기화 시간 속성의 값을 확인하여 데이터 손실 가능성을 평가합니다. 이 권장 사항은 GRS 및 GZRS 구성에만 적용됩니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "일시 삭제는 파일 공유 수준에서 작동하여 실수로 삭제되지 않도록 Azure 파일 공유를 보호합니다. 특정 시점 복원은 파일 공유를 이전 상태로 복원할 수 있으므로 실수로 인한 삭제 또는 손상을 방지합니다. 자세한 내용은 데이터 보호 개요를 참조하세요.", + "guid": "8f7b75e8-8b14-44ce-b4a5-3e994995479d", + "service": "Azure Files", + "text": "백업 및 복구 전략의 일환으로 일시 삭제를 활성화하고 특정 시점 복원을 위해 스냅샷을 사용합니다. Azure Backup을 사용하여 SMB 파일 공유를 백업할 수 있습니다. Azure 파일 동기화를 사용하여 온-프레미스 SMB 파일 공유를 Azure 파일 공유에 백업할 수도 있습니다. 또한 Azure Backup을 사용하면 Azure Files의 자격 증명 모음 백업(미리 보기)을 수행하여 악의적인 행위자 또는 악의적인 관리자로 인한 랜섬웨어 공격 또는 원본 데이터 손실로부터 데이터를 보호할 수 있습니다. Azure Backup은 자격 증명 모음 백업을 사용하여 Recovery Services 자격 증명 모음에 데이터를 복사하고 저장합니다. 이렇게 하면 최대 99년 동안 보존할 수 있는 데이터의 오프사이트 복사본이 만들어집니다. Azure Backup은 백업 정책에 정의된 일정 및 보존에 따라 복구 지점을 만들고 관리합니다. 더 알아보세요.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "데이터 손실이 발생할 수 있는 스토리지 계정의 우발적 또는 악의적 삭제를 방지하기 위해 계정을 잠급니다.", + "guid": "39e5cade-9e6a-4bde-bedd-5ec33dbf5634", + "service": "Azure Files", + "text": "스토리지 계정에 Azure Resource Manager 잠금을 적용합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "SMB 3.x는 인터넷 안전 프로토콜이지만 조직 또는 ISP 정책을 변경할 수 없는 경우가 있습니다. VPN 게이트웨이 또는 ExpressRoute 연결을 대체 옵션으로 사용할 수 있습니다.", + "guid": "9f70f1de-9f49-4425-9fba-2bae24f81014", + "service": "Azure Files", + "text": "TCP 포트 445 아웃바운드를 열거나 Azure 외부의 클라이언트가 파일 공유에 액세스할 수 있도록 VPN 게이트웨이 또는 Azure ExpressRoute 연결을 설정합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "SMB 1은 오래되고 비효율적이며 안전하지 않은 프로토콜입니다. 보안 태세를 강화하기 위해 클라이언트에서 비활성화합니다.", + "guid": "6ad18c63-4c63-45c3-b002-5b305235c439", + "service": "Azure Files", + "text": "포트 445를 여는 경우 Windows 및 Linux 클라이언트에서 SMBv1을 비활성화해야 합니다. Azure Files는 SMB 1을 지원하지 않지만 클라이언트에서 사용하지 않도록 설정해야 합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "네트워크 트래픽은 공용 인터넷 대신 Microsoft 백본 네트워크를 통해 이동하므로 공용 인터넷에서 위험에 노출되지 않습니다.", + "guid": "0291451b-94f7-4f9c-a479-48c142e6c208", + "service": "Azure Files", + "text": "스토리지 계정에 대한 공용 네트워크 액세스를 사용하지 않도록 설정하는 것이 좋습니다. Azure 외부에 있는 SMB 클라이언트 및 서비스에 스토리지 계정에 액세스해야 하는 경우에만 공용 네트워크 액세스를 사용하도록 설정합니다. 공용 네트워크 액세스를 사용하지 않도록 설정하는 경우 스토리지 계정에 대한 프라이빗 엔드포인트를 만듭니다. 프라이빗 엔드포인트에 대한 표준 데이터 처리 요금이 적용됩니다. 프라이빗 엔드포인트는 퍼블릭 엔드포인트에 대한 연결을 차단하지 않습니다. 앞에서 설명한 대로 공용 네트워크 액세스를 사용하지 않도록 설정해야 합니다. 파일 공유에 고정 IP 주소가 필요하지 않고 프라이빗 엔드포인트 비용을 방지하려는 경우 대신 특정 가상 네트워크 및 IP 주소에 대한 퍼블릭 엔드포인트 액세스를 제한할 수 있습니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "공격자에게 틈을 만들 위험을 최소화합니다.", + "guid": "28051b58-caf9-415f-ab61-daa7c3bf37c5", + "service": "Azure Files", + "text": "특정 가상 네트워크에 대한 액세스를 제한하는 방화벽 규칙을 사용하도록 설정합니다. 제로 액세스부터 시작한 다음, 클라이언트 및 서비스에 필요한 최소한의 액세스 권한을 체계적이고 점진적으로 제공합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "ID 기반 인증을 사용하여 공격자가 스토리지 계정 키를 사용하여 파일 공유에 액세스할 가능성을 줄입니다.", + "guid": "fa742663-b3d8-4808-a5bb-213c9f4ae78b", + "service": "Azure Files", + "text": "가능한 경우 AES-256 Kerberos 티켓 암호화와 함께 ID 기반 인증을 사용하여 SMB Azure 파일 공유에 대한 액세스 권한을 부여합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "Key Vault를 사용하여 애플리케이션과 함께 키를 저장하는 대신 런타임에 키를 검색합니다. 또한 Key Vault를 사용하면 애플리케이션을 중단하지 않고 키를 쉽게 회전할 수 있습니다. 계정 키를 주기적으로 교체하여 데이터가 악의적인 공격에 노출될 위험을 줄입니다.", + "guid": "90b83f1c-670f-44e6-93b7-c22ac3bb73c3", + "service": "Azure Files", + "text": "스토리지 계정 키를 사용하는 경우 Key Vault에 저장하고 주기적으로 다시 생성해야 합니다. 공유의 SMB 보안 설정에서 NTLMv2를 제거하여 파일 공유에 대한 스토리지 계정 키 액세스를 완전히 허용하지 않을 수 있습니다. 그러나 관리자는 여전히 일부 작업에 계정 키를 사용해야 하므로 일반적으로 공유의 SMB 보안 설정에서 NTLMv2를 제거해서는 안 됩니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "이 설정은 스토리지 계정에 대한 모든 요청이 보안 연결(HTTPS)을 통해 수행되도록 합니다. HTTP를 통한 모든 요청은 실패합니다.", + "guid": "ad87891d-330d-4482-abd0-938ff9e700cc", + "service": "Azure Files", + "text": "대부분의 경우 모든 스토리지 계정에서 보안 전송 필요 옵션을 사용하도록 설정하여 SMB 파일 공유에 대해 전송 중 암호화를 사용하도록 설정해야 합니다. 매우 오래된 클라이언트가 공유에 액세스할 수 있도록 허용해야 하는 경우 이 옵션을 활성화하지 마세요. 보안 전송을 비활성화하는 경우 네트워크 제어를 사용하여 트래픽을 제한해야 합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "TLS 1.2는 최신 암호화 알고리즘 및 암호 그룹을 지원하지 않는 TLS 1.0 및 1.1보다 안전하고 빠릅니다.", + "guid": "8809e836-d9ae-41d8-b357-e0d4610892af", + "service": "Azure Files", + "text": "TLS 1.2가 클라이언트가 데이터를 보내고 받을 수 있는 최소 버전이 되도록 스토리지 계정을 구성합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "Windows 10과 함께 릴리스된 SMB 3.1.1에는 중요한 보안 및 성능 업데이트가 포함되어 있습니다. AES-256-GCM은 보다 안전한 채널 암호화를 제공합니다.", + "guid": "7704ad4b-c605-458a-bca3-b9915288379d", + "service": "Azure Files", + "text": "지원되는 가장 최근의 SMB 프로토콜 버전(현재 3.1.1)만 사용하고 SMB 채널 암호화에는 AES-256-GCM만 사용합니다. Azure Files는 SMB 프로토콜을 전환하고 조직의 요구 사항에 따라 호환성을 높이거나 보안을 강화하는 데 사용할 수 있는 설정을 노출합니다. 기본적으로 모든 SMB 버전이 허용됩니다. 그러나 SMB 2.1은 전송 중인 데이터의 암호화를 지원하지 않으므로 보안 전송 필요를 사용하도록 설정하면 SMB 2.1이 허용되지 않습니다. 이러한 설정을 높은 수준의 보안으로 제한하면 일부 클라이언트가 파일 공유에 연결하지 못할 수 있습니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "데이터 손실이 발생할 수 있는 스토리지 계정의 우발적 또는 악의적 삭제를 방지하기 위해 계정을 잠급니다.", + "guid": "8aba3a20-da7c-41fb-baf6-a954da9480fc", + "service": "Azure Files", + "text": "스토리지 계정에 Resource Manager 잠금을 적용합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "포트 2049를 열어 클라이언트가 NFS Azure 파일 공유와 통신할 수 있도록 합니다.", + "guid": "c0363075-4c11-41ae-bea9-c203481eb76e", + "service": "Azure Files", + "text": "NFS 공유를 탑재하려는 클라이언트에서 포트 2049를 열어야 합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "네트워크 트래픽은 공용 인터넷 대신 Microsoft 백본 네트워크를 통해 이동하므로 공용 인터넷에서 위험에 노출되지 않습니다.", + "guid": "d3fffd01-afd2-4654-94cf-b971a379cb1e", + "service": "Azure Files", + "text": "NFS Azure 파일 공유는 제한된 네트워크를 통해서만 액세스할 수 있습니다. 따라서 스토리지 계정에 대한 프라이빗 엔드포인트를 만들거나 선택한 가상 네트워크 및 IP 주소에 대한 퍼블릭 엔드포인트 액세스를 제한해야 합니다. 프라이빗 엔드포인트를 만드는 것이 좋습니다. Azure Files는 NFS 프로토콜을 사용한 전송 중 암호화를 지원하지 않으므로 NFS 공유에 대한 네트워크 수준 보안을 구성해야 합니다. NFS Azure 파일 공유를 사용하려면 스토리지 계정에서 보안 전송 필요 설정을 사용하지 않도록 설정해야 합니다. 프라이빗 엔드포인트에는 표준 데이터 처리 요금이 적용됩니다. 파일 공유에 고정 IP 주소가 필요하지 않고 프라이빗 엔드포인트 비용을 피하려면 대신 퍼블릭 엔드포인트 액세스를 제한할 수 있습니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "스토리지 계정을 더 안전하게 만들기 위해 스토리지 계정 키 사용을 허용하지 않습니다.", + "guid": "e262e0ea-2a15-4870-a43e-77fae1ef4075", + "service": "Azure Files", + "text": "스토리지 계정 수준에서 스토리지 계정 키 액세스를 허용하지 않는 것이 좋습니다. NFS 파일 공유를 탑재하는 데 이 액세스 권한이 필요하지 않습니다. 그러나 파일 소유권을 가져오는 기능을 포함하여 파일 공유에 대한 모든 관리 제어를 하려면 스토리지 계정 키를 사용해야 합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "Azure Files로 마이그레이션하는 것은 일시적이고 트랜잭션이 많은 워크로드입니다. 트랜잭션이 많은 워크로드에 대한 가격을 최적화하여 마이그레이션 비용을 줄일 수 있습니다.", + "guid": "8ed27044-e89f-438c-a654-545697e9b951", + "service": "Azure Files", + "text": "표준 Azure 파일 공유로 마이그레이션하는 경우 초기 마이그레이션 중에 트랜잭션 최적화 계층에서 시작하는 것이 좋습니다. 마이그레이션 중 트랜잭션 사용량은 일반적으로 정상적인 트랜잭션 사용량을 나타내지 않습니다. 프로비저닝된 청구 모델은 트랜잭션에 대한 요금을 청구하지 않으므로 프리미엄 파일 공유에는 이 고려 사항이 적용되지 않습니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "표준 파일 공유에 적합한 액세스 계층을 선택하면 비용을 크게 줄일 수 있습니다.", + "guid": "2b332ca7-f600-49c3-a072-ee3679cdcb3a", + "service": "Azure Files", + "text": "워크로드를 마이그레이션한 후 표준 파일 공유를 사용하는 경우 파일 공유에 대해 가장 비용 효율적인 액세스 계층(핫, 쿨 또는 트랜잭션 최적화)을 신중하게 선택합니다. 며칠 또는 몇 주 동안 정기적으로 사용한 후 가격 계산기에 트랜잭션 수를 삽입하여 워크로드에 가장 적합한 계층을 파악할 수 있습니다. 대부분의 고객은 쉐어를 적극적으로 사용하더라도 쿨한 선택을 해야 합니다. 그러나 각 공유를 검사하고 스토리지 용량의 균형을 트랜잭션과 비교하여 계층을 결정해야 합니다. 트랜잭션 비용이 청구서의 상당 부분을 차지하는 경우 쿨 액세스 계층을 사용하여 절감된 금액이 이 비용을 상쇄하고 총 전체 비용을 최소화하는 경우가 많습니다. 워크로드 패턴의 변경을 최적화하기 위해 필요한 경우에만 액세스 계층 간에 표준 파일 공유를 이동하는 것이 좋습니다. 이동할 때마다 트랜잭션이 발생합니다. 자세한 내용은 표준 계층 간 전환을 참조하세요.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "성능을 유지하고 향후 성장 및 성능 요구 사항을 고려하는 데 도움이 되도록 프리미엄 파일 공유를 합리적인 금액만큼 과도하게 프로비저닝합니다.", + "guid": "9680a4b4-2878-45eb-bbc4-9954adf25eaa", + "service": "Azure Files", + "text": "프리미엄 공유를 사용하는 경우 워크로드에 충분한 용량과 성능을 프로비전해야 하지만 불필요한 비용이 발생할 정도는 아니어야 합니다. 2-3회 오버프로비저닝하는 것이 좋습니다. 프리미엄 파일 공유는 스토리지 및 IO(입력/출력) 성능 특성에 따라 동적으로 확장하거나 축소할 수 있습니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "3년 예약은 총 파일 스토리지 비용의 최대 36%를 할인받을 수 있습니다. 예약은 성능에 영향을 주지 않습니다.", + "guid": "21d765dd-5a9c-44d7-908f-422102db61a1", + "service": "Azure Files", + "text": "예약 인스턴스라고도 하는 Azure Files 예약을 사용하여 스토리지 사용량을 미리 커밋하고 할인을 받으세요. 프로덕션 워크로드 또는 개발/테스트 워크로드에 대한 예약을 일관된 공간으로 사용합니다. 자세한 내용은 스토리지 예약을 사용하여 비용 최적화를 참조하세요. 예약에는 트랜잭션, 대역폭, 데이터 전송 및 메타데이터 스토리지 요금이 포함되지 않습니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "차등 스냅샷은 동일한 데이터를 저장하는 데 여러 번 요금이 청구되지 않도록 합니다. 그러나 Azure Files 청구액을 줄이기 위해 스냅샷 사용량을 계속 모니터링해야 합니다.", + "guid": "2600163f-0687-47c0-af5d-ebbc2e4f052b", + "service": "Azure Files", + "text": "스냅샷 사용량을 모니터링합니다. 스냅샷에는 요금이 발생하지만 각 스냅샷의 차등 스토리지 사용량에 따라 요금이 청구됩니다. 각 스냅샷의 차이에 대해서만 비용을 지불하면 됩니다. 자세한 내용은 스냅샷을 참조하십시오. Azure 파일 동기화는 일반 사용의 일부로 공유 수준 및 파일 수준 스냅샷을 사용하므로 총 Azure Files 청구액이 증가할 수 있습니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "일시 삭제된 파일이 쌓이지 않고 용량 비용이 증가하지 않도록 보존 기간을 설정합니다. 구성된 보존 기간이 지나면 영구적으로 삭제된 데이터에 비용이 발생하지 않습니다.", + "guid": "e2920277-545a-464d-83be-dd28b3e5c9db", + "service": "Azure Files", + "text": "일시 삭제 기능에 대한 보존 기간을 설정합니다(특히 처음 사용하기 시작할 때). 기능이 청구서에 어떤 영향을 미치는지 더 잘 이해하기 위해 짧은 보존 기간부터 시작하는 것이 좋습니다. 최소 권장 보존 기간은 7일입니다. 표준 및 프리미엄 파일 공유를 일시 삭제하면 프로비저닝된 용량이 아닌 사용된 용량으로 청구됩니다. 또한 프리미엄 파일 공유는 일시 삭제 상태에 있는 동안 스냅샷 요금으로 청구됩니다. 표준 파일 공유는 일시 삭제 상태에 있는 동안 일반 요금으로 청구됩니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "기존 DevOps 프로세스를 사용하여 새 스토리지 계정을 배포하고 Azure Policy를 사용하여 구성을 적용할 수 있습니다.", + "guid": "328229e7-0291-48e8-ad52-9c38e3b1dbd2", + "service": "Azure Files", + "text": "IaC(Infrastructure as Code)를 사용하여 ARM 템플릿(Azure Resource Manager 템플릿), Bicep 또는 Terraform에서 스토리지 계정의 세부 정보를 정의합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "각 계정의 상태와 운영을 추적할 수 있습니다. 이해 관계자가 스토리지 계정의 상태를 추적하는 데 사용할 수 있는 대시보드 및 보고서를 쉽게 만들 수 있습니다.", + "guid": "d2414f84-0b9f-44a6-ab13-bef6984774bc", + "service": "Azure Files", + "text": "Storage 인사이트를 사용하여 스토리지 계정의 상태와 성능을 추적합니다. Storage 인사이트는 모든 스토리지 계정에 대한 오류, 성능, 가용성 및 용량에 대한 통합 보기를 제공합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "Monitor는 파일 공유에 대한 가용성, 성능 및 복원력에 대한 보기를 제공합니다.", + "guid": "3a2cca3e-b3c7-46b2-b87e-7db328897503", + "service": "Azure Files", + "text": "Monitor를 사용하여 가용성, 대기 시간 및 사용량과 같은 메트릭을 분석하고 경고를 만듭니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "처리량과 IOPS를 늘리는 동시에 총 소유 비용을 절감합니다. 성능 이점은 부하를 분산하는 파일 수에 따라 증가합니다.", + "guid": "7e271270-4f79-4418-b668-5c4a16627bbd", + "service": "Azure Files", + "text": "프리미엄 SMB 파일 공유에 대해 SMB 다중 채널을 사용하도록 설정합니다. SMB 다중 채널을 사용하면 SMB 3.1.1 클라이언트가 SMB Azure 파일 공유에 대한 여러 네트워크 연결을 설정할 수 있습니다. SMB 다중 채널은 클라이언트 쪽(클라이언트)과 서비스 쪽(Azure) 모두에서 기능을 사용하도록 설정한 경우에만 작동합니다. Windows 클라이언트에서는 SMB 다중 채널이 기본적으로 사용하도록 설정되지만 스토리지 계정에서 사용하도록 설정해야 합니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "규모에 맞게 성능을 높이고 NFS 파일 공유의 총 소유 비용을 줄입니다.", + "guid": "9f9cb641-df29-440a-8f30-513367264e14", + "service": "Azure Files", + "text": "Linux 클라이언트에서 NFS Azure 파일 공유와 함께 nconnect 클라이언트 쪽 탑재 옵션을 사용합니다. Nconnect를 사용하면 클라이언트와 NFSv4.1용 Azure Files 프리미엄 서비스 간에 더 많은 TCP 연결을 사용할 수 있습니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "최상의 클라이언트 환경을 제공하기 위해 제한을 피합니다.", + "guid": "e85fb837-f8a0-4b2f-b759-6ccdafa4f05c", + "service": "Azure Files", + "text": "파일 공유 또는 스토리지 계정이 제한되어 대기 시간이 길거나 처리량이 낮거나 IOPS가 낮을 수 있는 상황이 아닌지 확인합니다. IOPS, 수신 또는 송신 제한에 도달하면 요청이 제한됩니다. 표준 스토리지 계정의 경우 계정 수준에서 제한이 발생합니다. 프리미엄 파일 공유의 경우 제한은 일반적으로 공유 수준에서 발생합니다.", + "type": "recommendation", + "waf": "공연" + } + ], + "metadata": { + "name": "Azure Files Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "이 검사는 아직 검토되지 않았습니다", + "name": "확인되지 않음" + }, + { + "description": "이 검사와 연관된 작업 항목이 있습니다", + "name": "열다" + }, + { + "description": "이 검사는 확인되었으며 이와 관련된 추가 작업 항목이 없습니다", + "name": "성취" + }, + { + "description": "현재 설계에는 적용되지 않습니다.", + "name": "해당 없음" + }, + { + "description": "필요 없음", + "name": "필요 없음" + } + ], + "waf": [ + { + "name": "안전" + }, + { + "name": "비용" + }, + { + "name": "비용" + }, + { + "name": "신뢰도" + }, + { + "name": "신뢰도" + }, + { + "name": "안전" + }, + { + "name": "공연" + }, + { + "name": "작업" + }, + { + "name": "작업" + }, + { + "name": "공연" + } + ], + "yesno": [ + { + "name": "예" + }, + { + "name": "아니요" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurefiles_sg_checklist.pt.json b/checklists-ext/azurefiles_sg_checklist.pt.json new file mode 100644 index 000000000..8962144f1 --- /dev/null +++ b/checklists-ext/azurefiles_sg_checklist.pt.json @@ -0,0 +1,306 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "A redundância protege seus dados contra falhas inesperadas. As opções de configuração ZRS e GZRS são replicadas em várias zonas de disponibilidade e permitem que os aplicativos continuem lendo dados durante uma interrupção. Para obter mais informações, consulte Durabilidade e disponibilidade por cenário de interrupção e Parâmetros de durabilidade e disponibilidade.", + "guid": "7005fc93-af02-4183-af03-e363ccf31456", + "service": "Azure Files", + "text": "Configure sua conta de armazenamento para redundância. Para obter o máximo de disponibilidade e durabilidade, configure sua conta com ZRS (armazenamento com redundância de zona), GRS ou GZRS. As regiões limitadas do Azure dão suporte ao ZRS para compartilhamentos de arquivos standard e premium. Somente contas SMB padrão são compatíveis com GRS e GZRS. Os compartilhamentos SMB premium e os compartilhamentos NFS não oferecem suporte a GRS e GZRS. Os Arquivos do Azure não dão suporte ao RA-GRS (armazenamento com redundância geográfica com acesso de leitura) ou ao RA-GZRS (armazenamento com redundância de zona geográfica com acesso de leitura). Se você configurar uma conta de armazenamento para usar RA-GRS ou RA-GZRS, os compartilhamentos de arquivos serão configurados e cobrados como GRS ou GZRS.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Essa propriedade ajuda a estimar a quantidade de dados que você pode perder se iniciar um failover de conta. Todos os dados e metadados gravados antes da última hora de sincronização estão disponíveis na região secundária, mas você pode perder dados e metadados gravados após a última hora de sincronização porque não foram gravados na região secundária.", + "guid": "f547bc73-43a1-4cd6-96c0-aee917f85daf", + "service": "Azure Files", + "text": "Antes de iniciar um failover ou failback, verifique o valor da propriedade da hora da última sincronização para avaliar o potencial de perda de dados. Essa recomendação se aplica somente às configurações GRS e GZRS.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "A exclusão reversível funciona em um nível de compartilhamento de arquivos para proteger os compartilhamentos de arquivos do Azure contra exclusão acidental. A restauração pontual protege contra exclusão acidental ou corrupção porque você pode restaurar compartilhamentos de arquivos para um estado anterior. Para obter mais informações, consulte Visão geral da proteção de dados.", + "guid": "8f7b75e8-8b14-44ce-b4a5-3e994995479d", + "service": "Azure Files", + "text": "Como parte de sua estratégia de backup e recuperação, habilite a exclusão reversível e use instantâneos para restauração pontual. Você pode usar o Backup do Azure para fazer backup de seus compartilhamentos de arquivos SMB. Você também pode usar a Sincronização de Arquivos do Azure para fazer backup de compartilhamentos de arquivos SMB locais em um compartilhamento de arquivos do Azure. O Backup do Azure também permite que você faça um backup em cofre (versão prévia) dos Arquivos do Azure para proteger seus dados contra ataques de ransomware ou perda de dados de origem devido a um ator mal-intencionado ou administrador não autorizado. Usando o backup protegido, o Backup do Azure copia e armazena dados no cofre dos Serviços de Recuperação. Isso cria uma cópia externa dos dados que você pode reter por até 99 anos. O Backup do Azure cria e gerencia os pontos de recuperação de acordo com o agendamento e a retenção definidos na política de backup. Saiba Mais.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Bloqueie a conta para evitar a exclusão acidental ou mal-intencionada da conta de armazenamento, o que pode causar perda de dados.", + "guid": "39e5cade-9e6a-4bde-bedd-5ec33dbf5634", + "service": "Azure Files", + "text": "Aplique um bloqueio do Azure Resource Manager na conta de armazenamento.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "O SMB 3.x é um protocolo seguro para a Internet, mas talvez você não tenha a capacidade de alterar as políticas organizacionais ou de ISP. Você pode usar um gateway de VPN ou uma conexão ExpressRoute como uma opção alternativa.", + "guid": "9f70f1de-9f49-4425-9fba-2bae24f81014", + "service": "Azure Files", + "text": "Abra a porta TCP 445 de saída ou configure um gateway de VPN ou uma conexão do Azure ExpressRoute para que clientes fora do Azure acessem o compartilhamento de arquivos.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "O SMB 1 é um protocolo desatualizado, ineficiente e inseguro. Desative-o em clientes para melhorar sua postura de segurança.", + "guid": "6ad18c63-4c63-45c3-b002-5b305235c439", + "service": "Azure Files", + "text": "Se você abrir a porta 445, certifique-se de desabilitar o SMBv1 em clientes Windows e Linux. Os Arquivos do Azure não dão suporte ao SMB 1, mas você ainda deve desabilitá-lo em seus clientes.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "O tráfego de rede viaja pela rede de backbone da Microsoft em vez da Internet pública, o que elimina a exposição ao risco da Internet pública.", + "guid": "0291451b-94f7-4f9c-a479-48c142e6c208", + "service": "Azure Files", + "text": "Considere desabilitar o acesso à rede pública para sua conta de armazenamento. Habilite o acesso à rede pública somente se os clientes e serviços SMB externos ao Azure exigirem acesso à sua conta de armazenamento. Se você desabilitar o acesso à rede pública, crie um ponto de extremidade privado para sua conta de armazenamento. Aplicam-se taxas de processamento de dados padrão para pontos de extremidade privados. Um ponto de extremidade privado não bloqueia conexões com o ponto de extremidade público. Você ainda deve desabilitar o acesso à rede pública conforme descrito anteriormente. Se você não precisar de um endereço IP estático para o compartilhamento de arquivos e quiser evitar o custo de pontos de extremidade privados, poderá restringir o acesso ao ponto de extremidade público a redes virtuais e endereços IP específicos.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Minimize o risco de criar aberturas para invasores.", + "guid": "28051b58-caf9-415f-ab61-daa7c3bf37c5", + "service": "Azure Files", + "text": "Habilite regras de firewall que limitam o acesso a redes virtuais específicas. Comece com acesso zero e, em seguida, forneça de forma metódica e incremental a menor quantidade de acesso necessária para clientes e serviços.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Use a autenticação baseada em identidade para diminuir a possibilidade de um invasor usar uma chave de conta de armazenamento para acessar compartilhamentos de arquivos.", + "guid": "fa742663-b3d8-4808-a5bb-213c9f4ae78b", + "service": "Azure Files", + "text": "Quando possível, use a autenticação baseada em identidade com criptografia de tíquete Kerberos AES-256 para autorizar o acesso a compartilhamentos de arquivos SMB do Azure.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Use o Key Vault para recuperar chaves em tempo de execução em vez de salvá-las com seu aplicativo. O Key Vault também facilita a rotação de suas chaves sem interrupção de seus aplicativos. Alterne periodicamente as chaves da conta para reduzir o risco de expor seus dados a ataques mal-intencionados.", + "guid": "90b83f1c-670f-44e6-93b7-c22ac3bb73c3", + "service": "Azure Files", + "text": "Se você usar chaves de conta de armazenamento, armazene-as no Key Vault e certifique-se de regenerá-las periodicamente. Você pode proibir completamente o acesso da chave da conta de armazenamento ao compartilhamento de arquivos removendo o NTLMv2 das configurações de segurança SMB do compartilhamento. Mas você geralmente não deve remover o NTLMv2 das configurações de segurança SMB do compartilhamento porque os administradores ainda precisam usar a chave de conta para algumas tarefas.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Essa configuração garante que todas as solicitações feitas na conta de armazenamento ocorram por meio de conexões seguras (HTTPS). Todas as solicitações feitas por HTTP falharão.", + "guid": "ad87891d-330d-4482-abd0-938ff9e700cc", + "service": "Azure Files", + "text": "Na maioria dos casos, você deve habilitar a opção Transferência segura necessária em todas as suas contas de armazenamento para habilitar a criptografia em trânsito para compartilhamentos de arquivos SMB. Não habilite essa opção se precisar permitir que clientes muito antigos acessem o compartilhamento. Se você desabilitar a transferência segura, certifique-se de usar controles de rede para restringir o tráfego.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "O TLS 1.2 é mais seguro e rápido do que o TLS 1.0 e 1.1, que não oferecem suporte a algoritmos criptográficos modernos e conjuntos de criptografia.", + "guid": "8809e836-d9ae-41d8-b357-e0d4610892af", + "service": "Azure Files", + "text": "Configure sua conta de armazenamento para que o TLS 1.2 seja a versão mínima para os clientes enviarem e receberem dados.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "O SMB 3.1.1, lançado com o Windows 10, contém atualizações importantes de segurança e desempenho. O AES-256-GCM oferece criptografia de canal mais segura.", + "guid": "7704ad4b-c605-458a-bca3-b9915288379d", + "service": "Azure Files", + "text": "Use apenas a versão mais recente do protocolo SMB com suporte (atualmente 3.1.1.) e use apenas AES-256-GCM para criptografia de canal SMB. Os Arquivos do Azure expõem configurações que você pode usar para alternar o protocolo SMB e torná-lo mais compatível ou mais seguro, dependendo dos requisitos da sua organização. Por padrão, todas as versões SMB são permitidas. No entanto, o SMB 2.1 não será permitido se você habilitar Exigir transferência segura porque o SMB 2.1 não dá suporte à criptografia de dados em trânsito. Se você restringir essas configurações a um alto nível de segurança, alguns clientes talvez não consigam se conectar ao compartilhamento de arquivos.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Bloqueie a conta para evitar a exclusão acidental ou mal-intencionada da conta de armazenamento, o que pode causar perda de dados.", + "guid": "8aba3a20-da7c-41fb-baf6-a954da9480fc", + "service": "Azure Files", + "text": "Aplique um bloqueio do Resource Manager na conta de armazenamento.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Abra a porta 2049 para permitir que os clientes se comuniquem com o compartilhamento de arquivos do Azure NFS.", + "guid": "c0363075-4c11-41ae-bea9-c203481eb76e", + "service": "Azure Files", + "text": "Você deve abrir a porta 2049 nos clientes nos quais deseja montar seu compartilhamento NFS.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "O tráfego de rede viaja pela rede de backbone da Microsoft em vez da Internet pública, o que elimina a exposição ao risco da Internet pública.", + "guid": "d3fffd01-afd2-4654-94cf-b971a379cb1e", + "service": "Azure Files", + "text": "Os compartilhamentos de arquivos NFS do Azure só podem ser acessados por meio de redes restritas. Portanto, você deve criar um ponto de extremidade privado para sua conta de armazenamento ou restringir o acesso ao ponto de extremidade público a redes virtuais e endereços IP selecionados. Recomendamos que você crie um ponto de extremidade privado. Você deve configurar a segurança no nível da rede para compartilhamentos NFS porque os Arquivos do Azure não dão suporte à criptografia em trânsito com o protocolo NFS. Você precisa desabilitar a configuração Exigir transferência segura na conta de armazenamento para usar compartilhamentos de arquivos NFS do Azure. As taxas de processamento de dados padrão se aplicam a pontos de extremidade privados. Se você não precisar de um endereço IP estático para o compartilhamento de arquivos e quiser evitar o custo de pontos de extremidade privados, poderá restringir o acesso ao ponto de extremidade público.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Não permita o uso de chaves de conta de armazenamento para tornar sua conta de armazenamento mais segura.", + "guid": "e262e0ea-2a15-4870-a43e-77fae1ef4075", + "service": "Azure Files", + "text": "Considere não permitir o acesso à chave da conta de armazenamento no nível da conta de armazenamento. Você não precisa desse acesso para montar compartilhamentos de arquivos NFS. Mas lembre-se de que o controle administrativo total de um compartilhamento de arquivos, incluindo a capacidade de se apropriar de um arquivo, requer o uso de uma chave de conta de armazenamento.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "A migração para os Arquivos do Azure é uma carga de trabalho temporária e pesada de transações. Otimize o preço para cargas de trabalho de alta transação para ajudar a reduzir os custos de migração.", + "guid": "8ed27044-e89f-438c-a654-545697e9b951", + "service": "Azure Files", + "text": "Ao migrar para compartilhamentos de arquivos padrão do Azure, recomendamos que você comece na camada otimizada para transações durante a migração inicial. O uso da transação durante a migração normalmente não é indicativo do uso normal da transação. Essa consideração não se aplica a compartilhamentos de arquivos premium porque o modelo de cobrança provisionado não cobra por transações.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Selecione a camada de acesso apropriada para compartilhamentos de arquivos padrão para reduzir consideravelmente seus custos.", + "guid": "2b332ca7-f600-49c3-a072-ee3679cdcb3a", + "service": "Azure Files", + "text": "Depois de migrar sua carga de trabalho, se você usar compartilhamentos de arquivos padrão, escolha cuidadosamente a camada de acesso mais econômica para seu compartilhamento de arquivos: frequente, esporádico ou otimizado para transações. Depois de operar por alguns dias ou semanas com uso regular, você pode inserir suas contagens de transações na calculadora de preços para descobrir qual camada melhor se adapta à sua carga de trabalho. A maioria dos clientes deve escolher o cool, mesmo que use ativamente o compartilhamento. Mas você deve examinar cada compartilhamento e comparar o saldo da capacidade de armazenamento com as transações para determinar sua camada. Se os custos de transação representarem uma porcentagem significativa de sua fatura, a economia do uso da camada de acesso esporádico geralmente compensa esse custo e minimiza o custo total geral. Recomendamos que você mova compartilhamentos de arquivos padrão entre camadas de acesso somente quando necessário para otimizar as alterações em seu padrão de carga de trabalho. Cada movimento incorre em transações. Para obter mais informações, consulte Alternando entre camadas padrão.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Provisione em excesso compartilhamentos de arquivos premium em um valor razoável para ajudar a manter o desempenho e levar em conta o crescimento futuro e os requisitos de desempenho.", + "guid": "9680a4b4-2878-45eb-bbc4-9954adf25eaa", + "service": "Azure Files", + "text": "Se você usar compartilhamentos premium, certifique-se de provisionar capacidade e desempenho mais do que suficientes para sua carga de trabalho, mas não tanto a ponto de incorrer em custos desnecessários. Recomendamos o provisionamento excessivo de duas a três vezes. Você pode escalar ou reduzir dinamicamente os compartilhamentos de arquivos premium, dependendo das características de desempenho de armazenamento e entrada/saída (E/S).", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "As reservas de três anos podem oferecer um desconto de até 36% no custo total do armazenamento de arquivos. As reservas não afetam o desempenho.", + "guid": "21d765dd-5a9c-44d7-908f-422102db61a1", + "service": "Azure Files", + "text": "Use as reservas dos Arquivos do Azure, também conhecidas como instâncias reservadas, para confirmar previamente o uso do armazenamento e obter um desconto. Use reservas para cargas de trabalho de produção ou cargas de trabalho de desenvolvimento/teste com volumes consistentes. Para obter mais informações, consulte Otimizar custos com reservas de armazenamento. As reservas não incluem cobranças de transação, largura de banda, transferência de dados e armazenamento de metadados.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Os snapshots diferenciais garantem que você não seja cobrado várias vezes pelo armazenamento dos mesmos dados. No entanto, você ainda deve monitorar o uso do instantâneo para ajudar a reduzir sua fatura dos Arquivos do Azure.", + "guid": "2600163f-0687-47c0-af5d-ebbc2e4f052b", + "service": "Azure Files", + "text": "Monitore o uso do snapshot. Os snapshots incorrem em cobranças, mas são cobrados com base no uso diferencial de armazenamento de cada snapshot. Você paga apenas pela diferença em cada instantâneo. Para obter mais informações, consulte Instantâneos. A Sincronização de Arquivos do Azure tira instantâneos no nível do compartilhamento e no nível do arquivo como parte do uso regular, o que pode aumentar sua fatura total dos Arquivos do Azure.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Defina um período de retenção para que os arquivos excluídos temporariamente não se acumulem e aumentem o custo da capacidade. Após o período de retenção configurado, os dados excluídos permanentemente não incorrem em custo.", + "guid": "e2920277-545a-464d-83be-dd28b3e5c9db", + "service": "Azure Files", + "text": "Defina períodos de retenção para o recurso de exclusão reversível, especialmente quando você começar a usá-lo pela primeira vez. Considere começar com um curto período de retenção para entender melhor como o recurso afeta sua fatura. O período mínimo de retenção recomendado é de sete dias. Quando você exclui temporariamente compartilhamentos de arquivos padrão e premium, eles são cobrados como capacidade usada em vez de capacidade provisionada. E os compartilhamentos de arquivos premium são cobrados na taxa de instantâneo enquanto estão no estado de exclusão reversível. Os compartilhamentos de arquivos padrão são cobrados à taxa normal enquanto estão no estado de exclusão reversível.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Você pode usar seus processos de DevOps existentes para implantar novas contas de armazenamento e usar o Azure Policy para impor sua configuração.", + "guid": "328229e7-0291-48e8-ad52-9c38e3b1dbd2", + "service": "Azure Files", + "text": "Use a IaC (infraestrutura como código) para definir os detalhes de suas contas de armazenamento em modelos do ARM (modelos do Azure Resource Manager), Bicep ou Terraform.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Você pode acompanhar a integridade e a operação de cada uma de suas contas. Crie facilmente dashboards e relatórios que os stakeholders podem usar para acompanhar a integridade de suas contas de armazenamento.", + "guid": "d2414f84-0b9f-44a6-ab13-bef6984774bc", + "service": "Azure Files", + "text": "Use os insights de armazenamento para acompanhar a integridade e o desempenho de suas contas de armazenamento. Os insights de armazenamento fornecem uma visão unificada das falhas, desempenho, disponibilidade e capacidade de todas as suas contas de armazenamento.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "O Monitor fornece uma exibição de disponibilidade, desempenho e resiliência para seus compartilhamentos de arquivos.", + "guid": "3a2cca3e-b3c7-46b2-b87e-7db328897503", + "service": "Azure Files", + "text": "Use o Monitor para analisar métricas, como disponibilidade, latência e uso, e para criar alertas.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Aumente a taxa de transferência e o IOPS enquanto reduz o custo total de propriedade. Os benefícios de desempenho aumentam com o número de arquivos que distribuem a carga.", + "guid": "7e271270-4f79-4418-b668-5c4a16627bbd", + "service": "Azure Files", + "text": "Habilite o SMB Multichannel para compartilhamentos de arquivos SMB premium. O SMB Multichannel permite que um cliente SMB 3.1.1 estabeleça várias conexões de rede com um compartilhamento de arquivos SMB do Azure. O SMB Multichannel só funciona quando o recurso está habilitado no lado do cliente (seu cliente) e no lado do serviço (Azure). Em clientes Windows, o SMB Multichannel está habilitado por padrão, mas você precisa habilitá-lo em sua conta de armazenamento.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "Aumente o desempenho em escala e reduza o custo total de propriedade dos compartilhamentos de arquivos NFS.", + "guid": "9f9cb641-df29-440a-8f30-513367264e14", + "service": "Azure Files", + "text": "Use a opção de montagem do lado do cliente nconnect com compartilhamentos de arquivos NFS do Azure em clientes Linux. O Nconnect permite que você use mais conexões TCP entre o cliente e o serviço premium dos Arquivos do Azure para NFSv4.1.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "Evite a limitação para fornecer a melhor experiência possível ao cliente.", + "guid": "e85fb837-f8a0-4b2f-b759-6ccdafa4f05c", + "service": "Azure Files", + "text": "Verifique se o compartilhamento de arquivos ou a conta de armazenamento não está sendo limitado, o que pode resultar em alta latência, baixa taxa de transferência ou baixo IOPS. As solicitações são limitadas quando os limites de IOPS, entrada ou saída são atingidos. Para contas de armazenamento padrão, a limitação ocorre no nível da conta. Para compartilhamentos de arquivos premium, a limitação geralmente ocorre no nível do compartilhamento.", + "type": "recommendation", + "waf": "Desempenho" + } + ], + "metadata": { + "name": "Azure Files Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "Esta verificação ainda não foi analisada", + "name": "Não verificado" + }, + { + "description": "Há um item de ação associado a essa verificação", + "name": "Abrir" + }, + { + "description": "Essa verificação foi verificada e não há mais itens de ação associados a ela", + "name": "Cumprido" + }, + { + "description": "Não aplicável para o projeto atual", + "name": "N/A" + }, + { + "description": "Não é necessário", + "name": "Não é necessário" + } + ], + "waf": [ + { + "name": "segurança" + }, + { + "name": "Custar" + }, + { + "name": "custar" + }, + { + "name": "Fiabilidade" + }, + { + "name": "fiabilidade" + }, + { + "name": "Segurança" + }, + { + "name": "desempenho" + }, + { + "name": "Operações" + }, + { + "name": "Operações" + }, + { + "name": "Desempenho" + } + ], + "yesno": [ + { + "name": "Sim" + }, + { + "name": "Não" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurefiles_sg_checklist.zh-Hant.json b/checklists-ext/azurefiles_sg_checklist.zh-Hant.json new file mode 100644 index 000000000..3a77abb0e --- /dev/null +++ b/checklists-ext/azurefiles_sg_checklist.zh-Hant.json @@ -0,0 +1,306 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "冗餘可保護您的數據免受意外故障的影響。ZRS 和 GZRS 設定選項可在各種可用性區域之間複製，並使應用程式能夠在中斷期間繼續讀取數據。有關詳細資訊，請參閱按中斷方案劃分的持久性和可用性以及持久性和可用性參數。", + "guid": "7005fc93-af02-4183-af03-e363ccf31456", + "service": "Azure Files", + "text": "配置存儲帳戶以實現冗餘。為了獲得最大的可用性和持久性，請使用區域冗餘存儲 （ZRS）、GRS 或 GZRS 配置您的帳戶。有限的 Azure 區域支援標準和高級文件共用的 ZRS。僅標準 SMB 帳戶支援 GRS 和 GZRS。高級SMB共用和NFS共用不支援 GRS 和 GZRS。Azure 檔存儲不支援讀取訪問異地冗餘存儲 （RA-GRS） 或讀取訪問異地區域冗餘存儲 （RA-GZRS）。如果將存儲帳戶配置為使用RA-GRS或RA-GZRS，則檔共用將配置為GRS或 GZRS 並計費。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "此屬性可幫助您估計在啟動帳戶故障轉移時可能丟失的數據量。在上次同步時間之前寫入的所有數據和元數據在次要區域上都可用，但你可能會丟失在上次同步時間之後寫入的數據和元數據，因為它不會寫入次要區域。", + "guid": "f547bc73-43a1-4cd6-96c0-aee917f85daf", + "service": "Azure Files", + "text": "在啟動故障轉移或故障回復之前，請檢查“上次同步時間”屬性的值，以評估數據丟失的可能性。此建議僅適用於 GRS 和 GZRS 配置。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "軟刪除在文件共享級別工作，可防止意外刪除 Azure 檔案共用。時間點還原可防止意外刪除或損壞，因為您可以將文件共用還原到早期狀態。有關詳細資訊，請參閱數據保護概述。", + "guid": "8f7b75e8-8b14-44ce-b4a5-3e994995479d", + "service": "Azure Files", + "text": "作為備份和恢復策略的一部分，請啟用軟刪除並使用快照進行時間點還原。可以使用 Azure 備份來備份 SMB 文件共用。還可以使用 Azure 檔案同步將本地 SMB 文件共享備份到 Azure 檔共用。 Azure 備份還允許執行 Azure 檔的保管備份（預覽版），以保護數據免受勒索軟體攻擊或由於惡意參與者或流氓管理員而導致的源數據丟失。通過使用保管備份，Azure 備份將數據複製並存儲在恢復服務保管庫中。這將創建數據的異地副本，您可以保留長達 99 年。Azure 備份根據備份策略中定義的計劃和保留期創建和管理恢復點。瞭解更多資訊。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "鎖定帳戶以防止意外或惡意刪除存儲帳戶，這可能會導致數據丟失。", + "guid": "39e5cade-9e6a-4bde-bedd-5ec33dbf5634", + "service": "Azure Files", + "text": "在存儲帳戶上應用 Azure 資源管理器鎖。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "SMB 3.x 是一種 Internet 安全協定，但您可能無法更改組織或 ISP 策略。可以使用 VPN 閘道或 ExpressRoute 連接作為替代選項。", + "guid": "9f70f1de-9f49-4425-9fba-2bae24f81014", + "service": "Azure Files", + "text": "打開 TCP 連接埠 445 出站，或為 Azure 外部的用戶端設置 VPN 閘道或 Azure ExpressRoute 連接，以存取檔案共用。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "SMB 1 是一種過時、低效且不安全的協定。在用戶端上禁用它以改善您的安全狀況。", + "guid": "6ad18c63-4c63-45c3-b002-5b305235c439", + "service": "Azure Files", + "text": "如果打開埠 445，請確保在 Windows 和 Linux 用戶端上禁用 SMBv1。Azure 檔存儲不支援 SMB 1，但你仍應在用戶端上禁用它。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "網路流量通過 Microsoft 主幹網路（而不是公共 Internet）傳輸，從而消除了公共 Internet 的風險暴露。", + "guid": "0291451b-94f7-4f9c-a479-48c142e6c208", + "service": "Azure Files", + "text": "請考慮禁用對存儲帳戶的公用網路訪問。僅當 Azure 外部的 SMB 用戶端和服務需要存取記憶體帳戶時，才啟用公用網路訪問。如果禁用公用網路訪問，請為存儲帳戶創建專用終結點。專用終結點的標準數據處理費率適用。專用終結點不會阻止與公共終結點的連接。如前所述，您仍應禁用公共網路訪問。如果文件共用不需要靜態 IP 位址，並且想要避免專用終結點的成本，則可以改為限制對特定虛擬網路和 IP 位址的公共終結點訪問。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "最大限度地降低為攻擊者創造機會的風險。", + "guid": "28051b58-caf9-415f-ab61-daa7c3bf37c5", + "service": "Azure Files", + "text": "啟用防火牆規則，限制對特定虛擬網路的訪問。從零訪問開始，然後有條不紊地逐步提供客戶端和服務所需的最少訪問量。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "使用基於身份的身份驗證可降低攻擊者使用存儲帳戶密鑰訪問檔共用的可能性。", + "guid": "fa742663-b3d8-4808-a5bb-213c9f4ae78b", + "service": "Azure Files", + "text": "如果可能，請將基於身份的身份驗證與 AES-256 Kerberos 票證加密結合使用，以授權訪問 SMB Azure 文件共用。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "使用 Key Vault 在運行時檢索金鑰，而不是將它們與應用程式一起保存。Key Vault 還使輪換密鑰變得容易，而不會中斷應用程式。定期輪換帳戶密鑰，以降低將數據暴露給惡意攻擊的風險。", + "guid": "90b83f1c-670f-44e6-93b7-c22ac3bb73c3", + "service": "Azure Files", + "text": "如果使用存儲帳戶密鑰，請將其存儲在 Key Vault 中，並確保定期重新生成它們。可以通過從共用的SMB安全設置中刪除NTLMv2來完全禁止儲存帳戶密鑰訪問檔案共用。但是，通常不應從共用的SMB安全設置中刪除NTLMv2，因為管理員仍需要使用帳戶密鑰執行某些任務。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "此設置可確保針對存儲帳戶發出的所有請求都通過安全連接 （HTTPS） 進行。通過 HTTP 發出的任何請求都將失敗。", + "guid": "ad87891d-330d-4482-abd0-938ff9e700cc", + "service": "Azure Files", + "text": "在大多數情況下，應在所有存儲帳戶上啟用「需要安全傳輸」選項，以便為SMB檔共用啟用傳輸中加密。如果您需要允許非常舊的用戶端訪問共用，請不要啟用此選項。如果禁用安全傳輸，請務必使用網路控制來限制流量。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "TLS 1.2 比 TLS 1.0 和 1.1 更安全、更快，後者不支援現代加密演算法和密碼套件。", + "guid": "8809e836-d9ae-41d8-b357-e0d4610892af", + "service": "Azure Files", + "text": "配置存儲帳戶，使TLS 1.2 成為客戶端發送和接收數據的最低版本。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "SMB 3.1.1 隨 Windows 10 一起發佈，其中包含重要的安全和性能更新。AES-256-GCM 提供更安全的通道加密。", + "guid": "7704ad4b-c605-458a-bca3-b9915288379d", + "service": "Azure Files", + "text": "僅使用受支援的最新SMB協定版本（當前為3.1.1.1.），並且僅使用AES-256-GCM進行SMB通道加密。Azure 檔公開了一些設置，您可以使用這些設置來切換 SMB 協定並使其更相容或更安全，具體取決於組織的要求。默認情況下，允許使用所有SMB版本。但是，如果啟用“需要安全傳輸”，則不允許使用SMB 2.1，因為SMB 2.1不支援對傳輸中的數據進行加密。如果將這些設置限制為高安全級別，則某些用戶端可能無法連接到文件共用。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "鎖定帳戶以防止意外或惡意刪除存儲帳戶，這可能會導致數據丟失。", + "guid": "8aba3a20-da7c-41fb-baf6-a954da9480fc", + "service": "Azure Files", + "text": "在存儲帳戶上應用資源管理器鎖。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "打開埠 2049，讓用戶端與 NFS Azure 檔共用通信。", + "guid": "c0363075-4c11-41ae-bea9-c203481eb76e", + "service": "Azure Files", + "text": "您必須在要將 NFS 共用裝載到的用戶端上打開埠 2049。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "網路流量通過 Microsoft 主幹網路（而不是公共 Internet）傳輸，從而消除了公共 Internet 的風險暴露。", + "guid": "d3fffd01-afd2-4654-94cf-b971a379cb1e", + "service": "Azure Files", + "text": "NFS Azure 檔共用只能通過受限網路訪問。因此，必須為存儲帳戶創建專用終結點，或限制對所選虛擬網路和IP位址的公共終結點訪問。建議創建專用終結點。必須為 NFS 共用配置網路級安全性，因為 Azure 檔案存儲不支援使用 NFS 協定進行傳輸中的加密。需要在存儲帳戶上禁用“需要安全傳輸”設置才能使用 NFS Azure 檔共用。標準數據處理費率適用於專用終結點。如果文件共用不需要靜態 IP 位址，並且想要避免專用終結點的成本，則可以改為限制公共終結點訪問。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "禁止使用存儲帳戶金鑰，以提高存儲帳戶的安全性。", + "guid": "e262e0ea-2a15-4870-a43e-77fae1ef4075", + "service": "Azure Files", + "text": "請考慮在儲存帳戶級別禁止存儲帳戶密鑰訪問。您不需要此存取權限即可載入 NFS 檔案共用。但請記住，對文件共用的完全管理控制（包括獲取檔擁有權的能力）需要使用存儲帳戶密鑰。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "遷移到 Azure 檔存儲是一種臨時的事務繁重工作負載。優化高事務工作負載的價格，以説明降低遷移成本。", + "guid": "8ed27044-e89f-438c-a654-545697e9b951", + "service": "Azure Files", + "text": "遷移到標準 Azure 檔共享時，建議在初始遷移期間從事務優化層開始。遷移期間的事務使用方式通常並不表示正常的事務使用方式。此注意事項不適用於高級文件共享，因為預配的計費模型不對事務收費。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "為標準文件共享選擇適當的訪問層，以大大降低成本。", + "guid": "2b332ca7-f600-49c3-a072-ee3679cdcb3a", + "service": "Azure Files", + "text": "遷移工作負載后，如果使用標準文件共用，請仔細為文件共享選擇最具成本效益的訪問層：熱訪問層、冷訪問層或事務優化訪問層。在正常使用幾天或幾周後，您可以在定價計算機中插入交易計數，以確定哪個層最適合您的工作負載。大多數客戶應該選擇酷，即使他們積極使用共用。但是，您應該檢查每個共用，並將儲存容量與事務的餘額進行比較，以確定您的層。如果事務成本在帳單中佔很大比例，則使用冷訪問層所節省的成本通常會抵消此成本，並最大程度地降低總成本。我們建議您僅在必要時才在訪問層之間移動標準文件共用，以針對工作負載模式的變化進行優化。每次移動都會產生事務。有關詳細資訊，請參閱在標準層之間切換。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "按合理的數量超額預置高級文件共用，以説明保持性能並考慮未來的增長和性能要求。", + "guid": "9680a4b4-2878-45eb-bbc4-9954adf25eaa", + "service": "Azure Files", + "text": "如果使用高級共用，請確保為工作負載預置足夠的容量和性能，但不要過多，以免產生不必要的成本。我們建議將預留空間超額增加 2 到 3 倍。您可以根據儲存和輸入/輸出 （IO） 性能特徵動態擴展或縮減高級檔案共用。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "三年期預留可以提供高達 36% 的文件存儲總成本折扣。預留不會影響性能。", + "guid": "21d765dd-5a9c-44d7-908f-422102db61a1", + "service": "Azure Files", + "text": "使用 Azure 檔存儲預留（也稱為預留實例）預先承諾存儲使用方式並獲得折扣。對生產工作負載或具有一致佔用空間的開發/測試工作負載使用預留。有關詳細資訊，請參閱使用存儲預留優化成本。預留不包括事務、頻寬、數據傳輸和元數據存儲費用。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "差異快照可確保您不會因存儲相同的數據而多次付費。但是，仍應監視快照使用方式，以幫助減少 Azure 檔存儲帳單。", + "guid": "2600163f-0687-47c0-af5d-ebbc2e4f052b", + "service": "Azure Files", + "text": "監控快照使用方式。快照會產生費用，但會根據每個快照的差異存儲使用方式進行計費。您只需為每個快照中的差額付費。有關更多資訊，請參閱快照。Azure 檔同步將共用級和檔級快照作為常規使用的一部分，這可能會增加 Azure 檔存儲總帳單。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "設置保留期，以便軟刪除的檔不會堆積起來並增加容量成本。在配置的保留期之後，永久刪除的數據不會產生費用。", + "guid": "e2920277-545a-464d-83be-dd28b3e5c9db", + "service": "Azure Files", + "text": "設置軟刪除功能的保留期，尤其是在您首次開始使用它時。請考慮從較短的保留期開始，以更好地瞭解該功能如何影響您的帳單。建議的最短保留期為 7 天。軟刪除標準檔共享和高級文件共享時，它們按已用容量計費，而不是按預配容量計費。高級文件共用在軟刪除狀態下按快照費率計費。在軟刪除狀態下，標準文件共用按正常費率計費。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "可以使用現有的 DevOps 流程來部署新的儲存帳戶，並使用 Azure Policy 強制實施其配置。", + "guid": "328229e7-0291-48e8-ad52-9c38e3b1dbd2", + "service": "Azure Files", + "text": "使用基礎結構即代碼 （IaC） 在 Azure 資源管理器範本（ARM 範本）、Bicep 或 Terraform 中定義記憶體帳戶的詳細資訊。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "您可以追蹤每個帳戶的運行狀況和操作。輕鬆創建儀錶板和報告，利益幹系人可以使用這些儀錶板和報告來跟蹤存儲帳戶的運行狀況。", + "guid": "d2414f84-0b9f-44a6-ab13-bef6984774bc", + "service": "Azure Files", + "text": "使用存儲見解跟蹤存儲帳戶的運行狀況和性能。存儲見解提供所有存儲帳戶的故障、性能、可用性和容量的統一視圖。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "Monitor 提供文件共用的可用性、性能和復原能力的視圖。", + "guid": "3a2cca3e-b3c7-46b2-b87e-7db328897503", + "service": "Azure Files", + "text": "使用「監視器」分析可用性、延遲和使用方式等指標，並創建警報。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "提高輸送量和 IOPS，同時降低總擁有成本。性能優勢隨著分配負載的文件數量的增加而增加。", + "guid": "7e271270-4f79-4418-b668-5c4a16627bbd", + "service": "Azure Files", + "text": "為高級SMB檔共享啟用SMB多通道。SMB 多通道允許SMB 3.1.1用戶端建立到SMB Azure檔共用的多個網路連接。僅當在用戶端（用戶端）和服務端 （Azure） 上都啟用該功能時，SMB 多通道才有效。在 Windows 用戶端上，SMB 多通道預設處於啟用狀態，但你需要在存儲帳戶上啟用它。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "大規模提高性能，並降低NFS檔共用的總擁有成本。", + "guid": "9f9cb641-df29-440a-8f30-513367264e14", + "service": "Azure Files", + "text": "在 Linux 用戶端上將 nconnect 用戶端裝載選項與 NFS Azure 檔共用一起使用。Nconnect 使你能夠在用戶端和適用於 NFSv4.1 的 Azure 檔案存儲高級服務之間使用更多 TCP 連接。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "避免限制，以提供最佳的客戶端體驗。", + "guid": "e85fb837-f8a0-4b2f-b759-6ccdafa4f05c", + "service": "Azure Files", + "text": "請確保檔共用或存儲帳戶未受到限制，這可能會導致高延遲、低輸送量或低 IOPS。當達到 IOPS、入口或出口限制時，請求將受到限制。對於標準存儲帳戶，限制發生在帳戶級別。對於高級文件共用，限制通常發生在共享級別。", + "type": "recommendation", + "waf": "性能" + } + ], + "metadata": { + "name": "Azure Files Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "此檢查尚未查看", + "name": "未驗證" + }, + { + "description": "有一個與此檢查關聯的操作項", + "name": "打開" + }, + { + "description": "此檢查已經過驗證，並且沒有與之關聯的其他操作項", + "name": "實現" + }, + { + "description": "不適用於當前設計", + "name": "N/A" + }, + { + "description": "不需要", + "name": "不需要" + } + ], + "waf": [ + { + "name": "安全" + }, + { + "name": "成本" + }, + { + "name": "成本" + }, + { + "name": "可靠性" + }, + { + "name": "可靠性" + }, + { + "name": "安全" + }, + { + "name": "性能" + }, + { + "name": "操作" + }, + { + "name": "操作" + }, + { + "name": "性能" + } + ], + "yesno": [ + { + "name": "是的" + }, + { + "name": "不" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurefirewall_sg_checklist.en.json b/checklists-ext/azurefirewall_sg_checklist.en.json index cf248e8a1..8aa4126ac 100644 --- a/checklists-ext/azurefirewall_sg_checklist.en.json +++ b/checklists-ext/azurefirewall_sg_checklist.en.json @@ -437,6 +437,6 @@ "name": "Azure Firewall Service Guide", "waf": "all", "state": "preview", - "timestamp": "August 04, 2024" + "timestamp": "August 05, 2024" } } \ No newline at end of file diff --git a/checklists-ext/azurefirewall_sg_checklist.es.json b/checklists-ext/azurefirewall_sg_checklist.es.json new file mode 100644 index 000000000..43acb0e89 --- /dev/null +++ b/checklists-ext/azurefirewall_sg_checklist.es.json @@ -0,0 +1,442 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "Cree fácilmente arquitecturas radiales y transitivas con servicios de seguridad nativos para la gobernanza y la protección del tráfico. Para obtener más información sobre las topologías de red, consulte la documentación de Azure Cloud Adoption Framework.", + "guid": "833670b0-5f05-4810-96be-dd79df30775d", + "service": "Azure Firewall", + "text": "Use Azure Firewall Manager con topologías de red tradicionales de Hub & Spokes o Azure Virtual WAN para implementar y administrar instancias de Azure Firewall.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Las directivas de Azure Firewall se pueden organizar en una estructura jerárquica para superponer una directiva base central. Permita que las políticas granulares cumplan con los requisitos de regiones específicas. Delegue políticas de firewall incrementales a los equipos de seguridad locales a través del control de acceso basado en roles (RBAC). Algunas configuraciones son específicas por instancia, por ejemplo, las reglas de DNAT y la configuración de DNS, por lo que es posible que se requieran varias políticas especializadas.", + "guid": "5b0404e7-a3be-4103-aff9-903f9fe447d2", + "service": "Azure Firewall", + "text": "Cree directivas de Azure Firewall para controlar la posición de seguridad en entornos de red globales. Asigne directivas a todas las instancias de Azure Firewall.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "En el caso de las implementaciones existentes, migre las reglas de Azure Firewall a las directivas de Azure Firewall Manager. Use Azure Firewall Manager para administrar de forma centralizada los firewalls y las directivas. Para más información, consulte Migración a Azure Firewall Premium.", + "guid": "182b6ed7-94f3-434c-be79-ce6a93d6560c", + "service": "Azure Firewall", + "text": "Migre las reglas de Azure Firewall clásico a las directivas de Azure Firewall Manager para las implementaciones existentes.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "El grupo de productos de Azure Firewall mantiene una lista actualizada de problemas conocidos en esta ubicación. Esta lista contiene información importante relacionada con el comportamiento por diseño, las correcciones en construcción, las limitaciones de la plataforma, junto con posibles soluciones alternativas o mitigaciones.", + "guid": "d34dc09b-f98f-47d4-92b7-79f77b9a755d", + "service": "Azure Firewall", + "text": "Revise la lista de problemas conocidos de Azure Firewall.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Hay límites en la estructura de la política, incluido el número de reglas y grupos de recopilación de reglas, el tamaño total de la política y los destinos de origen y destino. Asegúrese de redactar su póliza y mantenerse dentro de los umbrales documentados.", + "guid": "86b20eea-4ed0-4f79-adf4-4ff5f7edc227", + "service": "Azure Firewall", + "text": "Asegúrese de que la directiva de Azure Firewall se adhiere a los límites y recomendaciones de Azure Firewall.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Azure Firewall proporciona diferentes acuerdos de nivel de servicio cuando se implementa en una sola zona de disponibilidad y cuando se implementa en varias zonas. Para más información, consulte Acuerdo de Nivel de Servicio para Azure Firewall. Para obtener información sobre todos los acuerdos de nivel de servicio de Azure, consulte Resumen de acuerdos de nivel de servicio para los servicios de Azure.", + "guid": "7f303799-88af-49d0-ae85-73ce4bf33f76", + "service": "Azure Firewall", + "text": "Implemente Azure Firewall en varias zonas de disponibilidad para obtener un acuerdo de nivel de servicio (SLA) superior.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "En el caso de las arquitecturas tradicionales de Hub & Spokes, en este artículo se explican los detalles de varias regiones. En el caso de los centros virtuales protegidos (Azure Virtual WAN), la intención y las directivas de enrutamiento deben configurarse para proteger las comunicaciones entre centros y de sucursal a sucursal. En el caso de las cargas de trabajo diseñadas para ser resistentes a errores y tolerantes a errores, recuerde tener en cuenta que las instancias de Azure Firewall y Azure Virtual Network son recursos regionales.", + "guid": "69dcdc93-55e9-454e-9128-b9996b089e2c", + "service": "Azure Firewall", + "text": "En entornos de varias regiones, implemente una instancia de Azure Firewall por región.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Supervise de cerca el indicador de métricas clave del estado de mantenimiento de Azure Firewall, como el rendimiento, el estado de mantenimiento del firewall, la utilización del puerto SNAT y las métricas de sondeo de latencia de AZFW. Además, Azure Firewall ahora se integra con Azure Resource Health. Con la comprobación de estado de los recursos de Azure Firewall, ahora puede ver el estado de mantenimiento de Azure Firewall y solucionar los problemas de servicio que podrían afectar a los recursos de Azure Firewall.", + "guid": "dbadd7db-ba2d-4b33-bf38-3251fe3fb6fb", + "service": "Azure Firewall", + "text": "Supervise las métricas de Azure Firewall y el estado de mantenimiento de los recursos.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Azure Firewall debe tener conexión directa a Internet. Si AzureFirewallSubnet aprende una ruta predeterminada a la red local a través del protocolo de puerta de enlace fronteriza, debe configurar Azure Firewall en el modo de tunelización forzada. Con la característica de tunelización forzada, necesitará otro espacio de direcciones /26 para la subred de administración de Azure Firewall. Si se trata de una instancia de Azure Firewall existente que no se puede volver a configurar en el modo de tunelización forzada, cree una UDR con una ruta 0.0.0.0/0. Establezca el valor de NextHopType como Internet. Asócielo con AzureFirewallSubnet para mantener la conectividad a Internet.", + "guid": "55277728-2747-486c-be69-3428291856a4", + "service": "Azure Firewall", + "text": "Si es necesario enrutar todo el tráfico enlazado a Internet a un próximo salto designado en lugar de ir directamente a Internet, configure Azure Firewall en modo de tunelización forzada (no se aplica a Azure Virtual WAN).", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Al implementar una nueva instancia de Azure Firewall, si habilita el modo de tunelización forzada, puede establecer la dirección IP pública en None para implementar un plano de datos totalmente privado. Sin embargo, el plano de administración sigue requiriendo una dirección IP pública solo con fines de administración. El tráfico interno de las redes virtuales y locales no usará esa dirección IP pública. Para más información sobre la tunelización forzada, consulte Tunelización forzada de Azure Firewall.", + "guid": "7d9cd1f0-0f59-452e-be83-de6b49710ddc", + "service": "Azure Firewall", + "text": "Establezca la dirección IP pública en None para implementar un plano de datos totalmente privado al configurar Azure Firewall en el modo de tunelización forzada (no se aplica a Azure Virtual WAN).", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Las directivas de Azure Firewall se pueden organizar en una estructura jerárquica para superponer una directiva base central. Permita que las políticas granulares cumplan con los requisitos de regiones específicas. Cada política puede contener diferentes conjuntos de reglas DNAT, de red y de aplicación con prioridad, acción y orden de procesamiento específicos. Cree sus reglas basadas en el principio de confianza cero de acceso con privilegios mínimos. En este artículo se explica cómo se procesan las reglas.", + "guid": "c7600ea8-eb60-4eb1-9aee-c874efef69b7", + "service": "Azure Firewall", + "text": "Cree reglas para las políticas de firewall en función de los criterios de acceso con privilegios mínimos.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "IDPS es una de las características de seguridad más eficaces de Azure Firewall (Premium) y debe estar habilitada. En función de los requisitos de seguridad y de la aplicación, y teniendo en cuenta el impacto en el rendimiento (consulte la sección Costo a continuación), se pueden seleccionar los modos Alerta o Alerta y denegación.", + "guid": "d8fc2b4d-a183-4949-82ff-c6130a9d87dc", + "service": "Azure Firewall", + "text": "Habilite IDPS en modo Alerta o Alerta y denegación.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Al habilitar esta característica, los clientes de las redes virtuales apuntan a Azure Firewall como servidor DNS. Protegerá la infraestructura DNS interna a la que no se accederá ni se expondrá directamente. Azure Firewall también debe estar configurado para usar DNS personalizado que se usará para reenviar consultas DNS.", + "guid": "9fa0a48c-c3cb-4fc2-a02b-1182a047e076", + "service": "Azure Firewall", + "text": "Habilite la configuración de proxy de Azure Firewall (DNS).", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "En una arquitectura tradicional de Hub & Spokes, configure los UDR para forzar el tráfico a través de Azure Firewall para la conectividad \"SpoketoSpoke\", \"SpoketoInternet\" y \"SpoketoHybrid\". En Azure Virtual WAN, en su lugar, configure la intención y las directivas de enrutamiento para redirigir el tráfico privado o de Internet a través de la instancia de Azure Firewall integrada en el centro.", + "guid": "a3f23112-5986-4fd2-9d64-edfb0363c08c", + "service": "Azure Firewall", + "text": "Configure rutas definidas por el usuario (UDR) para forzar el tráfico a través de Azure Firewall.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Con la característica de proxy explícito habilitada en la ruta de salida, puede configurar una configuración de proxy en la aplicación web de envío (como un explorador web) con Azure Firewall configurado como proxy. Como resultado, el tráfico web llegará a la dirección IP privada del firewall y, por lo tanto, sale directamente del firewall sin usar una UDR. Esta característica también facilita el uso de múltiples firewalls sin modificar las rutas de red existentes.", + "guid": "f62b7e3d-b86d-4f84-888d-ec7f97b34e96", + "service": "Azure Firewall", + "text": "Si no es posible aplicar la UDR y solo se requiere el redireccionamiento del tráfico web, considere la posibilidad de usar Azure Firewall como proxy explícito", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Puede utilizar sus ofertas de SECaaS de terceros, las mejores de su clase, para proteger el acceso a Internet de sus usuarios. Este escenario requiere Azure Virtual WAN con una puerta de enlace de VPN S2S en el centro, ya que usa un túnel IPSec para conectarse a la infraestructura del proveedor. Los proveedores de SECaaS pueden cobrar tarifas de licencia adicionales y limitar el rendimiento de las conexiones IPSec. Existen soluciones alternativas como ZScaler Cloud Connector y podrían ser más adecuadas.", + "guid": "1f1a4239-f908-4fb5-aff5-7d716d9227a1", + "service": "Azure Firewall", + "text": "Configure los proveedores de seguridad de software como servicio (SaaS) de terceros compatibles dentro de Firewall Manager si desea utilizar estas soluciones para proteger las conexiones salientes.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Puede usar FQDN en función de la resolución de DNS en Azure Firewall y directivas de firewall. Esta capacidad le permite filtrar el tráfico saliente con cualquier protocolo TCP/UDP (incluidos NTP, SSH, RDP y más). Debe habilitar la configuración del proxy DNS de Azure Firewall para usar FQDN en las reglas de red. Para obtener información sobre cómo funciona, consulte Filtrado de FQDN de Azure Firewall en reglas de red.", + "guid": "cac3a2cc-688b-42c3-bfb5-e2b55270b8a0", + "service": "Azure Firewall", + "text": "Use el filtrado de nombres de dominio completos (FQDN) en las reglas de red.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Una etiqueta de servicio representa un grupo de prefijos de dirección IP para ayudar a minimizar la complejidad de la creación de reglas de seguridad. Con las etiquetas de servicio en las reglas de red, es posible habilitar el acceso saliente a servicios específicos en Azure, Dynamics y Office 365 sin abrir amplios rangos de direcciones IP. Azure mantendrá automáticamente la asignación entre estas etiquetas y las direcciones IP subyacentes usadas por cada servicio. La lista de etiquetas de servicio disponibles para Azure Firewall se muestra aquí: Az Firewall Service Tags.", + "guid": "8e718b0b-3ae5-4a85-9e5e-7f12ac48ace8", + "service": "Azure Firewall", + "text": "Use etiquetas de servicio en reglas de red para habilitar el acceso selectivo a servicios específicos de Microsoft.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Una etiqueta FQDN representa un grupo de nombres de dominio completos (FQDN) asociados a servicios conocidos de Microsoft. Puede usar una etiqueta FQDN en las reglas de la aplicación para permitir el tráfico de red saliente necesario a través del firewall para algunos servicios específicos de Azure, Office 365, Windows 365 e Intune.", + "guid": "66db2147-74f7-4b4a-af65-a946369ae551", + "service": "Azure Firewall", + "text": "Use etiquetas FQDN en las reglas de aplicación para habilitar el acceso selectivo a servicios específicos de Microsoft.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Un plan de protección contra DDoS proporciona funciones de mitigación mejoradas para defender su firewall de los ataques DDoS. Azure Firewall Manager es una herramienta integrada para crear la infraestructura de firewall y los planes de protección contra DDoS. Para más información, consulte Configuración de un plan de protección contra DDoS de Azure mediante Azure Firewall Manager.", + "guid": "0c87e550-0780-401e-9208-5464b378a8e7", + "service": "Azure Firewall", + "text": "Use Azure Firewall Manager para crear y asociar un plan de protección contra DDoS con la red virtual del centro (no se aplica a Azure Virtual WAN).", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Con Azure Firewall Premium, si se usa la característica de inspección TLS, se recomienda aprovechar una entidad de certificación (CA) empresarial interna para el entorno de producción. Los certificados autofirmados solo deben usarse con fines de prueba o PoC.", + "guid": "821132d4-1ba9-4709-9eb3-5906871b1721", + "service": "Azure Firewall", + "text": "Utilice una PKI empresarial para generar certificados para la inspección TLS.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Si sus requisitos de seguridad requieren la implementación de un enfoque Zero-Trust para las aplicaciones web (inspección y cifrado), se recomienda seguir esta guía. En este documento, se explicará cómo integrar Azure Firewall y Application Gateway, tanto en escenarios tradicionales de Hub & Spoke como de Virtual WAN.", + "guid": "0ecf166e-e415-45bf-bece-87a32e76b096", + "service": "Azure Firewall", + "text": "Revisión de la guía de configuración de Confianza cero para Azure Firewall y Application Gateway", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Azure Firewall se puede implementar en tres SKU diferentes: Básico, Estándar y Premium. Se recomienda Azure Firewall Premium para proteger aplicaciones muy confidenciales (como el procesamiento de pagos). Azure Firewall Standard se recomienda para los clientes que buscan un firewall de capa 3 a capa 7 y necesita escalado automático para controlar períodos de tráfico máximo de hasta 30 Gbps. Azure Firewall Basic se recomienda para clientes de pymes con necesidades de rendimiento de 250 Mbps. Si es necesario, es posible cambiar a una versión anterior o actualizar entre Standard y Premium, como se documenta aquí. Para más información, consulte Elección de la SKU de Azure Firewall adecuada para satisfacer sus necesidades.", + "guid": "fbcc2c4d-8026-46a9-8fe7-bdb04dbd1f20", + "service": "Azure Firewall", + "text": "Implemente la SKU de Azure Firewall adecuada.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Es posible que tenga entornos de desarrollo o pruebas que solo se usen durante el horario comercial. Para más información, consulte Desasignación y asignación de Azure Firewall.", + "guid": "4bf5b742-3a86-40a3-abce-a7991e9a0e78", + "service": "Azure Firewall", + "text": "Detenga las implementaciones de Azure Firewall que no necesitan ejecutarse las 24 horas del día, los 7 días de la semana.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Puede usar una instancia central de Azure Firewall en la red virtual del centro de conectividad o en el centro de conectividad segura de Virtual WAN y compartir el mismo firewall entre muchas redes virtuales de radio que estén conectadas al mismo centro de conectividad desde la misma región. Asegúrese de que no haya tráfico inesperado entre regiones como parte de la topología en estrella tipo hub-radi.", + "guid": "4468b60f-0f1d-4af5-98cd-b4f9fc3bd70f", + "service": "Azure Firewall", + "text": "Comparta la misma instancia de Azure Firewall en varias cargas de trabajo y redes virtuales de Azure.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "El registro de flujos principales (conocido en la industria como flujos de grasa) muestra las conexiones principales que contribuyen al rendimiento más alto a través del firewall. Se recomienda revisar periódicamente el tráfico procesado por Azure Firewall y buscar posibles optimizaciones para reducir la cantidad de tráfico que atraviesa el firewall.", + "guid": "3ec205f3-5201-4a2e-b82b-1c77c9ee139c", + "service": "Azure Firewall", + "text": "Revise periódicamente el tráfico procesado por Azure Firewall y busque optimizaciones de carga de trabajo de origen", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Para identificar las implementaciones de Azure Firewall no utilizadas, empiece por analizar las métricas de supervisión y las UDR asociadas a las subredes que apuntan a la dirección IP privada del firewall. Combine esa información con otras validaciones, por ejemplo, si la instancia de Azure Firewall tiene reglas (clásicas) para NAT, red y aplicación, o incluso si la configuración de Proxy DNS está configurada en Deshabilitado, y con documentación interna sobre el entorno y las implementaciones. Puede detectar implementaciones que sean rentables a lo largo del tiempo. Para obtener más información sobre la supervisión de registros y métricas, consulte Supervisión de registros y métricas de Azure Firewall y uso de puertos SNAT.", + "guid": "514f4dbe-5294-44e1-95c5-923a199ff687", + "service": "Azure Firewall", + "text": "Revise las instancias de Azure Firewall infrautilizadas. Identifique y elimine las implementaciones de Azure Firewall no utilizadas.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Revise detenidamente las políticas, las asociaciones y la herencia de Firewall Manager. Las políticas se facturan en función de las asociaciones de firewall. Una póliza con cero o una asociación de firewall es gratuita. Una política con varias asociaciones de firewall se factura a una tarifa fija. Para obtener más información, consulte Precios: Azure Firewall Manager.", + "guid": "90f29560-d536-46bf-a719-f0f95f89105e", + "service": "Azure Firewall", + "text": "Use Azure Firewall Manager y sus directivas para reducir los costos operativos, aumentar la eficiencia y reducir la sobrecarga de administración.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Valide si todas las direcciones IP públicas asociadas están en uso. Si no están en uso, desconsocie y elimínelos. Evalúe la utilización del puerto SNAT antes de eliminar cualquier dirección IP. Solo usarás el número de direcciones IP públicas que necesite tu firewall. Para más información, consulte Supervisión de registros y métricas de Azure Firewall y uso de puertos SNAT.", + "guid": "e81c61b3-0085-4029-82e3-d55513288f87", + "service": "Azure Firewall", + "text": "Elimine las direcciones IP públicas no utilizadas.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Azure Firewall tiene la capacidad de registrar de forma exhaustiva los metadatos de todo el tráfico que ve, en áreas de trabajo de Log Analytics, almacenamiento o soluciones de terceros a través de Event Hubs. Sin embargo, todas las soluciones de registro incurren en costos de procesamiento y almacenamiento de datos. En volúmenes muy grandes, estos costos pueden ser significativos, se debe considerar un enfoque rentable y una alternativa a Log Analytics y estimar los costos. Considere si es necesario registrar los metadatos de tráfico para todas las categorías de registro y modificarlos en Configuración de diagnóstico si es necesario.", + "guid": "a27d979a-c88c-4ce0-9310-9a69eba3460d", + "service": "Azure Firewall", + "text": "Revise los requisitos de registro.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Azure Firewall se debe usar para controlar el tráfico entre redes virtuales, entre redes virtuales y redes locales, el tráfico saliente a Internet y el tráfico entrante que no es HTTP/s. Para el control del tráfico dentro de la red virtual, se recomienda usar grupos de seguridad de red.", + "guid": "bce7644e-fefe-4d43-94ea-37af4d8743f9", + "service": "Azure Firewall", + "text": "No use Azure Firewall para el control del tráfico dentro de la red virtual.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Si se usa el enfoque de infraestructura como código (IaC) para mantener Azure Firewall y todas las dependencias, la copia de seguridad y el control de versiones de las directivas de Azure Firewall ya deben estar en su lugar. De lo contrario, se puede implementar un mecanismo complementario basado en una aplicación lógica externa para automatizar y proporcionar una solución eficaz.", + "guid": "8b0afffb-17aa-4839-b93f-c01d990ad7c6", + "service": "Azure Firewall", + "text": "Mantenga copias de seguridad periódicas de los artefactos de Azure Policy.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Los registros de diagnóstico son un componente clave para muchas herramientas y estrategias de supervisión de Azure Firewall y deben estar habilitados. Puede supervisar Azure Firewall mediante registros de firewall o libros. También puede usar registros de actividad para auditar operaciones en recursos de Azure Firewall.", + "guid": "6d52b11a-0034-4824-84c4-7383182dc4df", + "service": "Azure Firewall", + "text": "Habilite los registros de diagnóstico para Azure Firewall.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Los registros de firewall estructurados son un tipo de datos de registro que se organizan en un nuevo formato específico. Utilizan un esquema predefinido para estructurar los datos de registro de una manera que facilite la búsqueda, el filtrado y el análisis. Las últimas herramientas de monitoreo se basan en este tipo de registros, por lo que a menudo es un requisito previo. Utilice el formato de registros de diagnóstico anterior solo si hay una herramienta existente con un requisito previo para ello. No habilite ambos formatos de registro al mismo tiempo.", + "guid": "99a0621d-2643-4e46-afb0-dd3e5111dedd", + "service": "Azure Firewall", + "text": "Utilice el formato de registros de firewall estructurados.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "La experiencia del portal de Azure Firewall ahora incluye un nuevo libro en la interfaz de usuario de la sección Supervisión, por lo que ya no es necesaria una instalación independiente. Con el libro de Azure Firewall, puede extraer información valiosa de los eventos de Azure Firewall, profundizar en las reglas de red y aplicaciones, y examinar las estadísticas relativas a las actividades del firewall en direcciones URL, puertos y direcciones.", + "guid": "8c18d9ea-2440-4125-a0cb-c1cf35c0be70", + "service": "Azure Firewall", + "text": "Use el libro de supervisión de Azure Firewall integrado.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Se deben crear alertas para supervisar al menos el rendimiento, el estado de mantenimiento del firewall, la utilización del puerto SNAT y las métricas de sondeo de latencia de AZFW. Para obtener información sobre la supervisión de registros y métricas, consulte Supervisión de registros y métricas de Azure Firewall.", + "guid": "05877204-1759-4b71-8938-4766b1b24fa7", + "service": "Azure Firewall", + "text": "Supervise las métricas clave y cree alertas para los indicadores de la utilización de la capacidad de Azure Firewall.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Si estas herramientas están disponibles en el entorno, se recomienda aprovechar la integración con las soluciones de Microsoft Defender for Cloud y Microsoft Sentinel. Con la integración de Microsoft Defender for Cloud, puede visualizar el estado general de la infraestructura de red y la seguridad de la red en un solo lugar, incluida la seguridad de red de Azure en todas las redes virtuales y centros virtuales repartidos en diferentes regiones de Azure. La integración con Microsoft Sentinel proporciona capacidades de detección y prevención de amenazas.", + "guid": "0dd715ab-c76e-49b9-9616-ccb36ddb293e", + "service": "Azure Firewall", + "text": "Configure la integración de Azure Firewall con Microsoft Defender for Cloud y Microsoft Sentinel.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Policy Analytics es una nueva característica que proporciona información sobre el impacto de las directivas de Azure Firewall. Le ayuda a identificar posibles problemas (alcanzar los límites de las directivas, reglas de uso bajo, reglas redundantes, reglas demasiado genéricas, recomendación de uso de grupos IP) en las directivas y proporciona recomendaciones para mejorar la posición de seguridad y el rendimiento del procesamiento de reglas.", + "guid": "9e1b460f-0d41-40a1-9da7-89cda32f7190", + "service": "Azure Firewall", + "text": "Revise periódicamente el panel de análisis de políticas para identificar posibles problemas.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Se proporcionan consultas de ejemplo para Azure Firewall. Estos le permitirán identificar rápidamente lo que está sucediendo dentro de su firewall y verificar qué regla se activó o qué regla está permitiendo/bloqueando una solicitud.", + "guid": "8f1b00a0-2ba3-4dff-b808-072bbd316a88", + "service": "Azure Firewall", + "text": "Familiarícese con las consultas KQL (lenguaje de consulta Kusto) para permitir un análisis rápido y la solución de problemas mediante los registros de Azure Firewall.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Policy Analytics es una nueva característica que proporciona información sobre el impacto de las directivas de Azure Firewall. Le ayuda a identificar posibles problemas (alcanzar los límites de las directivas, reglas de uso bajo, reglas redundantes, reglas demasiado genéricas, recomendación de uso de grupos IP) en las directivas y proporciona recomendaciones para mejorar la posición de seguridad y el rendimiento del procesamiento de reglas.", + "guid": "f3a64299-022d-492e-a095-72965cbb79b8", + "service": "Azure Firewall", + "text": "Utilice el panel de análisis de políticas para identificar posibles optimizaciones para las políticas de firewall.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "En lugar de crear y mantener explícitamente una larga lista de sitios públicos de Internet, considere la posibilidad de usar las categorías web de Azure Firewall. Esta función categorizará dinámicamente el contenido web y permitirá la creación de reglas de aplicación compactas.", + "guid": "53e42e9b-6d25-4116-87ca-6c97252e1cd6", + "service": "Azure Firewall", + "text": "Considere la posibilidad de utilizar las categorías web para permitir o denegar el acceso saliente de forma masiva.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Si es necesario que Azure Firewall funcione en modo IDPS Alerta y denegación, considere detenidamente el impacto en el rendimiento, tal como se documenta en esta página.", + "guid": "4afedb20-a63a-4c17-907d-d8afc5cd1b43", + "service": "Azure Firewall", + "text": "Evalúe el impacto en el rendimiento de IDPS en modo de alerta y denegación.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Azure Firewall admite actualmente 2496 puertos por dirección IP pública por instancia de conjunto de escalado de máquinas virtuales de back-end. De forma predeterminada, hay dos instancias de Virtual Machine Scale Set. Por lo tanto, hay 4992 puertos por IP de destino de flujo, puerto de destino y protocolo (TCP o UDP). El firewall se escala hasta un máximo de 20 instancias. Puede evitar los límites configurando implementaciones de Azure Firewall con un mínimo de cinco direcciones IP públicas para implementaciones susceptibles al agotamiento de SNAT.", + "guid": "cdb16c9c-fe4e-41d6-bc0c-8519a606d37b", + "service": "Azure Firewall", + "text": "Evalúe el posible problema de agotamiento del puerto SNAT.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Cree tráfico inicial que no forme parte de las pruebas de carga 20 minutos antes de la prueba. Utilice la configuración de diagnóstico para capturar eventos de escalado vertical y reducido. Puede usar el servicio Azure Load Testing para generar el tráfico inicial. Permite que la instancia de Azure Firewall escale verticalmente sus instancias al máximo.", + "guid": "1859fa28-775d-433f-b189-6b250e51b441", + "service": "Azure Firewall", + "text": "Prepare correctamente Azure Firewall antes de cualquier prueba de rendimiento.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Azure Firewall es una implementación dedicada en la red virtual. Dentro de la red virtual, se requiere una subred dedicada para la instancia de Azure Firewall. Azure Firewall aprovisiona más capacidad a medida que se escala. Un espacio de direcciones /26 para sus subredes garantiza que el firewall tenga suficientes direcciones IP disponibles para acomodar el escalado. Azure Firewall no necesita una subred mayor que /26. El nombre de la subred de Azure Firewall debe ser AzureFirewallSubnet.", + "guid": "272b1122-494d-4baa-a328-928a89ebb0ad", + "service": "Azure Firewall", + "text": "Configure una subred de Azure Firewall (AzureFirewallSubnet) con un espacio de direcciones /26.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Azure Firewall proporciona algunas funcionalidades de registro avanzadas que pueden resultar costosas de mantener siempre activas. En su lugar, deben usarse solo con fines de solución de problemas y tener una duración limitada, y luego deshabilitarse cuando ya no sean necesarios. Por ejemplo, los flujos principales y los registros de seguimiento de flujo son costosos, lo que puede provocar un uso excesivo de CPU y almacenamiento en la infraestructura de Azure Firewall.", + "guid": "2b20c2ea-e6fd-4570-b86f-b20bfb695c6f", + "service": "Azure Firewall", + "text": "No habilite el registro avanzado si no es necesario", + "type": "recommendation", + "waf": "Rendimiento" + } + ], + "metadata": { + "name": "Azure Firewall Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "Este control aún no se ha examinado", + "name": "No verificado" + }, + { + "description": "Hay un elemento de acción asociado a esta comprobación", + "name": "Abrir" + }, + { + "description": "Esta comprobación se ha verificado y no hay más elementos de acción asociados a ella", + "name": "Cumplido" + }, + { + "description": "No aplicable para el diseño actual", + "name": "N/A" + }, + { + "description": "No es necesario", + "name": "No es necesario" + } + ], + "waf": [ + { + "name": "seguridad" + }, + { + "name": "Costar" + }, + { + "name": "costar" + }, + { + "name": "Fiabilidad" + }, + { + "name": "fiabilidad" + }, + { + "name": "Seguridad" + }, + { + "name": "rendimiento" + }, + { + "name": "Operaciones" + }, + { + "name": "Operaciones" + }, + { + "name": "Rendimiento" + } + ], + "yesno": [ + { + "name": "Sí" + }, + { + "name": "No" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurefirewall_sg_checklist.ja.json b/checklists-ext/azurefirewall_sg_checklist.ja.json new file mode 100644 index 000000000..aeb17b491 --- /dev/null +++ b/checklists-ext/azurefirewall_sg_checklist.ja.json @@ -0,0 +1,442 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "ハブアンドスポーク型で推移的なアーキテクチャを簡単に作成でき、トラフィックのガバナンスと保護のためのネイティブセキュリティサービスを利用できます。 ネットワーク トポロジの詳細については、Azure クラウド導入フレームワークのドキュメントを参照してください。", + "guid": "833670b0-5f05-4810-96be-dd79df30775d", + "service": "Azure Firewall", + "text": "Azure Firewall Manager を従来のハブ & スポークまたは Azure Virtual WAN ネットワーク トポロジと共に使用して、Azure Firewall のインスタンスをデプロイおよび管理します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "Azure Firewall ポリシーは、中央の基本ポリシーをオーバーレイするために階層構造に配置できます。特定のリージョンの要件を満たすためのきめ細かなポリシーを許可します。ロールベースのアクセス制御 (RBAC) を通じて、増分ファイアウォール ポリシーをローカル セキュリティ チームに委任します。DNAT ルールや DNS 設定など、一部の設定はインスタンスごとに固有ですが、複数の特殊なポリシーが必要になる場合があります。", + "guid": "5b0404e7-a3be-4103-aff9-903f9fe447d2", + "service": "Azure Firewall", + "text": "Azure Firewall ポリシーを作成して、グローバル ネットワーク環境全体のセキュリティ体制を管理します。Azure Firewall のすべてのインスタンスにポリシーを割り当てます。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "既存のデプロイの場合は、Azure Firewall ルールを Azure Firewall Manager ポリシーに移行します。Azure Firewall Manager を使用して、ファイアウォールとポリシーを一元的に管理します。 詳細については、「Azure Firewall Premium への移行」を参照してください。", + "guid": "182b6ed7-94f3-434c-be79-ce6a93d6560c", + "service": "Azure Firewall", + "text": "Azure Firewall クラシック ルールを既存のデプロイの Azure Firewall Manager ポリシーに移行します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "Azure Firewall 製品グループは、この場所で既知の問題の最新の一覧を保持しています。このリストには、設計上の動作、開発中の修正、プラットフォームの制限、および可能な回避策または軽減策に関連する重要な情報が含まれています。", + "guid": "d34dc09b-f98f-47d4-92b7-79f77b9a755d", + "service": "Azure Firewall", + "text": "Azure Firewall の既知の問題の一覧を確認します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "ポリシーの構造には、ルールとルール コレクション グループの数、ポリシーの合計サイズ、ソース/ターゲットの宛先など、制限があります。必ずポリシーを作成し、文書化されたしきい値を超えないようにしてください。", + "guid": "86b20eea-4ed0-4f79-adf4-4ff5f7edc227", + "service": "Azure Firewall", + "text": "Azure Firewall ポリシーが Azure Firewall の制限と推奨事項に準拠していることを確認します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "Azure Firewall では、1 つの可用性ゾーンにデプロイされる場合と、複数のゾーンにデプロイされる場合で異なる SLA が提供されます。詳細については、「Azure Firewall の SLA」を参照してください。すべての Azure SLA の詳細については、「Azure サービスの SLA の概要」を参照してください。", + "guid": "7f303799-88af-49d0-ae85-73ce4bf33f76", + "service": "Azure Firewall", + "text": "Azure Firewall を複数の可用性ゾーンにデプロイして、より高いサービス レベル アグリーメント (SLA) を実現します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "従来のハブ&スポークアーキテクチャについては、この記事でマルチリージョンの詳細について説明します。セキュリティ保護付き仮想ハブ (Azure Virtual WAN) の場合、ルーティング インテントとポリシーを構成して、ハブ間通信とブランチ間通信をセキュリティで保護する必要があります。障害に対する耐性とフォールト トレラント性を考慮して設計されたワークロードの場合は、Azure Firewall と Azure Virtual Network のインスタンスをリージョン リソースと見なすことを忘れないでください。", + "guid": "69dcdc93-55e9-454e-9128-b9996b089e2c", + "service": "Azure Firewall", + "text": "マルチリージョン環境では、リージョンごとに Azure Firewall インスタンスをデプロイします。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "Azure Firewall の正常性状態の主要なメトリック インジケーター (スループット、ファイアウォールの正常性状態、SNAT ポート使用率、AZFW 待機時間プローブ メトリックなど) を綿密に監視します。さらに、Azure Firewall は Azure Resource Health と統合されるようになりました。Azure Firewall リソース正常性チェックを使用すると、Azure Firewall の正常性状態を表示し、Azure Firewall リソースに影響を与える可能性のあるサービスの問題に対処できるようになりました。", + "guid": "dbadd7db-ba2d-4b33-bf38-3251fe3fb6fb", + "service": "Azure Firewall", + "text": "Azure Firewall のメトリックとリソースの正常性状態を監視します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "Azure Firewall には、インターネットに直接接続できる必要があります。AzureFirewallSubnet が Border Gateway プロトコルを介してオンプレミス ネットワークへの既定のルートを学習する場合は、Azure Firewall を強制トンネリング モードで構成する必要があります。強制トンネリング機能を使用すると、Azure Firewall Management サブネット用に別の /26 アドレス空間が必要になります。これが強制トンネリング モードで再構成できない既存の Azure Firewall インスタンスである場合は、0.0.0.0/0 ルートで UDR を作成します。NextHopType の値を Internet に設定します。AzureFirewallSubnet に関連付けて、インターネット接続を維持します。", + "guid": "55277728-2747-486c-be69-3428291856a4", + "service": "Azure Firewall", + "text": "インターネットへのすべてのトラフィックを、インターネットに直接アクセスするのではなく、指定された次ホップにルーティングする必要がある場合は、Azure Firewall を強制トンネリング モードで構成します (Azure Virtual WAN には適用されません)。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "新しい Azure Firewall インスタンスをデプロイするときに、強制トンネリング モードを有効にすると、パブリック IP アドレスを None に設定して、完全にプライベート データ プレーンをデプロイできます。ただし、管理プレーンには、管理目的のみにパブリック IP が必要です。仮想ネットワークとオンプレミス ネットワークからの内部トラフィックでは、そのパブリック IP は使用されません。強制トンネリングの詳細については、「Azure Firewall の強制トンネリング」を参照してください。", + "guid": "7d9cd1f0-0f59-452e-be83-de6b49710ddc", + "service": "Azure Firewall", + "text": "強制トンネリング モードで Azure Firewall を構成するときに、完全にプライベート データ プレーンをデプロイするには、パブリック IP アドレスを [なし] に設定します (Azure Virtual WAN には適用されません)。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Azure Firewall ポリシーは、中央の基本ポリシーをオーバーレイするために階層構造に配置できます。特定のリージョンの要件を満たすためのきめ細かなポリシーを許可します。各ポリシーには、特定の優先度、アクション、および処理順序を持つDNAT、ネットワーク、およびアプリケーションルールの異なるセットを含めることができます。最小特権アクセスゼロトラストの原則に基づいてルールを作成します。ルールの処理方法については、この記事で説明します。", + "guid": "c7600ea8-eb60-4eb1-9aee-c874efef69b7", + "service": "Azure Firewall", + "text": "最小特権アクセス基準に基づいてファイアウォールポリシーのルールを作成します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "IDPS は、最も強力な Azure Firewall (Premium) セキュリティ機能の 1 つであり、有効にする必要があります。セキュリティとアプリケーションの要件に基づいて、パフォーマンスへの影響 (以下の「コスト」セクションを参照) を考慮して、アラート モードまたはアラートと拒否モードを選択できます。", + "guid": "d8fc2b4d-a183-4949-82ff-c6130a9d87dc", + "service": "Azure Firewall", + "text": "IDPSをアラートまたはアラートと拒否モードで有効にします。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "この機能を有効にすると、VNet 内のクライアントは DNS サーバーとして Azure Firewall にポイントされます。直接アクセスされたり公開されたりしない内部DNSインフラストラクチャを保護します。Azure Firewall は、DNS クエリの転送に使用されるカスタム DNS を使用するようにも構成する必要があります。", + "guid": "9fa0a48c-c3cb-4fc2-a02b-1182a047e076", + "service": "Azure Firewall", + "text": "Azure Firewall (DNS) プロキシ構成を有効にします。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "従来のハブ & スポーク アーキテクチャでは、'SpoketoSpoke'、'SpoketoInternet'、'SpoketoHybrid' 接続のために Azure Firewall 経由のトラフィックを強制するように UDR を構成します。代わりに、Azure Virtual WAN では、ルーティングの意図とポリシーを構成して、ハブに統合された Azure Firewall インスタンスを介してプライベートまたはインターネットのトラフィックをリダイレクトします。", + "guid": "a3f23112-5986-4fd2-9d64-edfb0363c08c", + "service": "Azure Firewall", + "text": "ユーザー定義ルート (UDR) を構成して、Azure Firewall 経由のトラフィックを強制します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "送信パスで明示的なプロキシ機能を有効にすると、プロキシとして構成された Azure Firewall を使用して、送信側の Web アプリケーション (Web ブラウザーなど) でプロキシ設定を構成できます。その結果、Web トラフィックはファイアウォールのプライベート IP アドレスに到達するため、UDR を使用せずにファイアウォールから直接送信されます。また、この機能により、既存のネットワークルートを変更することなく、複数のファイアウォールの使用が容易になります。", + "guid": "f62b7e3d-b86d-4f84-888d-ec7f97b34e96", + "service": "Azure Firewall", + "text": "UDR を適用できず、Web トラフィックのリダイレクトのみが必要な場合は、Azure Firewall を明示的なプロキシとして使用することを検討してください", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "使い慣れた、最高のサードパーティであるSECaaS製品を使用して、ユーザーのインターネットアクセスを保護できます。このシナリオでは、IPSec トンネルを使用してプロバイダーのインフラストラクチャに接続するため、ハブに S2S VPN ゲートウェイを備えた Azure Virtual WAN が必要です。SECaaS プロバイダーは、追加のライセンス料金を請求し、IPSec 接続のスループットを制限する場合があります。ZScaler Cloud Connectorなどの代替ソリューションが存在し、より適している可能性があります。", + "guid": "1f1a4239-f908-4fb5-aff5-7d716d9227a1", + "service": "Azure Firewall", + "text": "サポートされているサードパーティ製の SaaS (Software as a Service) セキュリティプロバイダーを使用してアウトバウンド接続を保護する場合は、Firewall Manager 内でこれらのソリューションを設定します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "FQDN は、Azure Firewall とファイアウォール ポリシーの DNS 解決に基づいて使用できます。この機能により、任意の TCP/UDP プロトコル (NTP、SSH、RDP など) で送信トラフィックをフィルタリングできます。ネットワーク規則で FQDN を使用するには、Azure Firewall DNS プロキシ構成を有効にする必要があります。そのしくみについては、「ネットワーク ルールでの Azure Firewall FQDN フィルタリング」を参照してください。", + "guid": "cac3a2cc-688b-42c3-bfb5-e2b55270b8a0", + "service": "Azure Firewall", + "text": "ネットワークルールで完全修飾ドメイン名 (FQDN) フィルタリングを使用します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "サービス タグは、セキュリティ ルール作成の複雑さを最小限に抑えるために、IP アドレス プレフィックスのグループを表します。ネットワークルールでサービスタグを使用すると、さまざまなIPアドレスを開かずに、Azure、Dynamics、およびOffice 365の特定のサービスへのアウトバウンドアクセスを有効にすることができます。Azure では、これらのタグと各サービスで使用される基になる IP アドレスとの間のマッピングが自動的に維持されます。Azure Firewall で使用できるサービス タグの一覧は、「Az Firewall サービス タグ」の一覧です。", + "guid": "8e718b0b-3ae5-4a85-9e5e-7f12ac48ace8", + "service": "Azure Firewall", + "text": "ネットワーク ルールでサービス タグを使用して、特定の Microsoft サービスへの選択的なアクセスを有効にします。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "FQDN タグは、既知の Microsoft サービスに関連付けられている完全修飾ドメイン名 (FQDN) のグループを表します。アプリケーション規則で FQDN タグを使用すると、特定の Azure サービス (Office 365、Windows 365、Intune) のファイアウォール経由に必要な送信ネットワーク トラフィックを許可できます。", + "guid": "66db2147-74f7-4b4a-af65-a946369ae551", + "service": "Azure Firewall", + "text": "アプリケーションルールでFQDNタグを使用して、特定のMicrosoftサービスへの選択的なアクセスを有効にします。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "DDoS 保護プランでは、DDoS 攻撃からファイアウォールを保護するための強化された軽減機能が提供されます。Azure Firewall Manager は、ファイアウォール インフラストラクチャと DDoS 保護プランを作成するための統合ツールです。詳細については、「Azure Firewall Manager を使用して Azure DDoS Protection プランを構成する」を参照してください。", + "guid": "0c87e550-0780-401e-9208-5464b378a8e7", + "service": "Azure Firewall", + "text": "Azure Firewall Manager を使用して、DDoS 保護プランを作成し、ハブ仮想ネットワークに関連付けます (Azure Virtual WAN には適用されません)。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Azure Firewall Premium では、TLS 検査機能を使用する場合は、運用環境に内部のエンタープライズ証明機関 (CA) を活用することをお勧めします。自己署名証明書は、テスト/PoCの目的でのみ使用する必要があります。", + "guid": "821132d4-1ba9-4709-9eb3-5906871b1721", + "service": "Azure Firewall", + "text": "エンタープライズ PKI を使用して、TLS インスペクション用の証明書を生成します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "セキュリティ要件により、Webアプリケーションにゼロトラストアプローチ(検査と暗号化)を実装する必要がある場合は、このガイドに従うことをお勧めします。このドキュメントでは、従来のハブ アンド スポークと Virtual WAN の両方のシナリオで、Azure Firewall と Application Gateway を統合する方法について説明します。", + "guid": "0ecf166e-e415-45bf-bece-87a32e76b096", + "service": "Azure Firewall", + "text": "Azure Firewall と Application Gateway のゼロトラスト構成ガイドを確認する", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Azure Firewall は、Basic、Standard、Premium の 3 つの異なる SKU でデプロイできます。Azure Firewall Premium は、機密性の高いアプリケーション (支払い処理など) をセキュリティで保護するために推奨されます。Azure Firewall Standard は、レイヤー 3 からレイヤー 7 のファイアウォールをお探しのお客様で、最大 30 Gbps のピーク トラフィック期間を処理するために自動スケーリングが必要な場合に推奨されます。Azure Firewall Basic は、250 Mbps のスループットが必要な SMB のお客様にお勧めします。必要に応じて、こちらに記載されているように、Standard と Premium の間でダウングレードまたはアップグレードが可能です。 詳細については、「ニーズに合わせて適切な Azure Firewall SKU を選択する」を参照してください。", + "guid": "fbcc2c4d-8026-46a9-8fe7-bdb04dbd1f20", + "service": "Azure Firewall", + "text": "適切な Azure Firewall SKU をデプロイします。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "営業時間内のみ使用される開発環境またはテスト環境がある場合があります。詳細については、「Azure Firewall の割り当て解除と割り当て」を参照してください。", + "guid": "4bf5b742-3a86-40a3-abce-a7991e9a0e78", + "service": "Azure Firewall", + "text": "24x7 で実行する必要のない Azure Firewall のデプロイを停止します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "ハブ仮想ネットワークまたは Virtual WAN セキュア ハブで Azure Firewall の中央インスタンスを使用し、同じリージョンから同じハブに接続されている多くのスポーク仮想ネットワークで同じファイアウォールを共有できます。ハブスポークトポロジの一部として予期しないリージョン間トラフィックがないことを確認します。", + "guid": "4468b60f-0f1d-4af5-98cd-b4f9fc3bd70f", + "service": "Azure Firewall", + "text": "Azure Firewall の同じインスタンスを複数のワークロードと Azure Virtual Network で共有します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "上位フロー ログ (業界では Fat Flows) は、ファイアウォールを介して最高のスループットに貢献している上位の接続を示します。Azure Firewall によって処理されるトラフィックを定期的に確認し、ファイアウォールを通過するトラフィックの量を減らすための最適化の可能性を検索することをお勧めします。", + "guid": "3ec205f3-5201-4a2e-b82b-1c77c9ee139c", + "service": "Azure Firewall", + "text": "Azure Firewall によって処理されたトラフィックを定期的に確認し、発生元のワークロードの最適化を探します", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "未使用の Azure Firewall デプロイを特定するには、まず、ファイアウォールのプライベート IP を指すサブネットに関連付けられている監視メトリックと UDR を分析します。その情報を、Azure Firewall のインスタンスに NAT、ネットワーク、アプリケーションのルール (クラシック) があるかどうか、DNS プロキシ設定が [無効] に構成されているかどうかなど、他の検証と組み合わせ、環境とデプロイに関する内部ドキュメントと組み合わせます。時間の経過とともにコスト効率の高いデプロイを検出できます。 ログとメトリックの監視の詳細については、「Azure Firewall のログとメトリックと SNAT ポートの使用率を監視する」を参照してください。", + "guid": "514f4dbe-5294-44e1-95c5-923a199ff687", + "service": "Azure Firewall", + "text": "使用率の低い Azure Firewall インスタンスを確認します。未使用の Azure Firewall デプロイを特定して削除します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "Firewall Manager のポリシー、関連付け、および継承を慎重に確認してください。ポリシーは、ファイアウォールの関連付けに基づいて請求されます。ファイアウォールの関連付けが 0 個または 1 個のポリシーは無料です。複数のファイアウォールの関連付けを持つポリシーは、固定料金で請求されます。詳細については、「価格 - Azure Firewall Manager」を参照してください。", + "guid": "90f29560-d536-46bf-a719-f0f95f89105e", + "service": "Azure Firewall", + "text": "Azure Firewall Manager とそのポリシーを使用して、運用コストを削減し、効率を高め、管理オーバーヘッドを削減します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "関連付けられているすべてのパブリック IP アドレスが使用中かどうかを検証します。使用していない場合は、関連付けを解除して削除します。IP アドレスを削除する前に、SNAT ポートの使用率を評価します。ファイアウォールに必要な数のパブリック IP のみを使用します。詳細については、「Azure Firewall のログとメトリックの監視」および「SNAT ポートの使用率」を参照してください。", + "guid": "e81c61b3-0085-4029-82e3-d55513288f87", + "service": "Azure Firewall", + "text": "未使用のパブリック IP アドレスを削除します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "Azure Firewall には、表示されるすべてのトラフィックのメタデータを、Event Hubs を介して Log Analytics ワークスペース、ストレージ、またはサードパーティのソリューションに包括的に記録する機能があります。ただし、すべてのロギングソリューションでは、データの処理と保存にコストがかかります。非常に大量のコストがかかると、これらのコストは大きくなる可能性があるため、コスト効率の高いアプローチと Log Analytics の代替手段を検討し、コストを見積もる必要があります。すべてのロギングカテゴリのトラフィックメタデータをログに記録し、必要に応じて診断設定で変更する必要があるかどうかを検討します。", + "guid": "a27d979a-c88c-4ce0-9310-9a69eba3460d", + "service": "Azure Firewall", + "text": "ログ記録の要件を確認します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "Azure Firewall は、VNet 間、VNet とオンプレミス ネットワーク間のトラフィック、インターネットへの送信トラフィック、および受信 HTTP/s トラフィックを制御するために使用する必要があります。VNet 内のトラフィック制御には、ネットワーク セキュリティ グループを使用することをお勧めします。", + "guid": "bce7644e-fefe-4d43-94ea-37af4d8743f9", + "service": "Azure Firewall", + "text": "VNet 内のトラフィック制御に Azure Firewall を使用しないでください。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "コードとしてのインフラストラクチャ (IaC) アプローチを使用して Azure Firewall とすべての依存関係を維持する場合は、Azure Firewall ポリシーのバックアップとバージョン管理が既に実施されている必要があります。そうでない場合は、外部ロジック アプリに基づくコンパニオン メカニズムをデプロイして、効果的なソリューションを自動化し、提供できます。", + "guid": "8b0afffb-17aa-4839-b93f-c01d990ad7c6", + "service": "Azure Firewall", + "text": "Azure Policy 成果物の定期的なバックアップを維持します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "診断ログは、Azure Firewall の多くの監視ツールと戦略の主要なコンポーネントであり、有効にする必要があります。Azure Firewall は、ファイアウォールのログまたはブックを使用して監視できます。アクティビティ ログを使用して、Azure Firewall リソースに対する操作を監査することもできます。", + "guid": "6d52b11a-0034-4824-84c4-7383182dc4df", + "service": "Azure Firewall", + "text": "Azure Firewall の診断ログを有効にします。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "構造化ファイアウォールログは、特定の新しい形式で整理されたログデータの一種です。事前定義されたスキーマを使用して、検索、フィルタリング、分析を容易にする方法でログデータを構造化します。最新の監視ツールはこのタイプのログに基づいているため、多くの場合、前提条件となります。以前の診断ログ形式は、前提条件を持つ既存のツールがある場合にのみ使用してください。両方のログ形式を同時に有効にしないでください。", + "guid": "99a0621d-2643-4e46-afb0-dd3e5111dedd", + "service": "Azure Firewall", + "text": "構造化ファイアウォールログ形式を使用します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "Azure Firewall ポータル エクスペリエンスに、監視セクション UI の下に新しいブックが含まれるようになり、個別のインストールは不要になりました。Azure Firewall ブックを使用すると、Azure Firewall イベントから貴重な分析情報を抽出し、アプリケーションとネットワークのルールを詳しく調べ、URL、ポート、アドレス間のファイアウォール アクティビティに関する統計を調べることができます。", + "guid": "8c18d9ea-2440-4125-a0cb-c1cf35c0be70", + "service": "Azure Firewall", + "text": "組み込みの Azure Firewall 監視ブックを使用します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "アラートは、少なくともスループット、ファイアウォールの正常性状態、SNAT ポートの使用率、AZFW 待機時間プローブのメトリックを監視するために作成する必要があります。ログとメトリックの監視については、「Azure Firewall のログとメトリックを監視する」を参照してください。", + "guid": "05877204-1759-4b71-8938-4766b1b24fa7", + "service": "Azure Firewall", + "text": "主要なメトリックを監視し、Azure Firewall 容量の使用率を示すインジケーターのアラートを作成します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "これらのツールが環境で使用できる場合は、Microsoft Defender for Cloud および Microsoft Sentinel ソリューションとの統合を活用することをお勧めします。Microsoft Defender for Cloud の統合により、すべての VNet にわたる Azure ネットワーク セキュリティや、Azure のさまざまなリージョンに分散した仮想ハブなど、ネットワーク インフラストラクチャとネットワーク セキュリティの全体的な状態を 1 か所で視覚化できます。Microsoft Sentinel との統合により、脅威の検出と防止の機能が実現します。", + "guid": "0dd715ab-c76e-49b9-9616-ccb36ddb293e", + "service": "Azure Firewall", + "text": "Azure Firewall と Microsoft Defender for Cloud および Microsoft Sentinel との統合を構成します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "ポリシー分析は、Azure Firewall ポリシーの影響に関する分析情報を提供する新機能です。これは、ポリシーの潜在的な問題 (ポリシー制限のヒット、使用率の低いルール、冗長なルール、汎用すぎるルール、IP グループの使用に関する推奨事項) を特定するのに役立ち、セキュリティ体制とルール処理のパフォーマンスを向上させるための推奨事項を提供します。", + "guid": "9e1b460f-0d41-40a1-9da7-89cda32f7190", + "service": "Azure Firewall", + "text": "ポリシー分析ダッシュボードを定期的に確認して、潜在的な問題を特定します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "Azure Firewall のサンプル クエリが用意されています。これにより、ファイアウォール内で何が起こっているかをすばやく特定し、トリガーされたルールや、リクエストを許可/ブロックしているルールを確認できます。", + "guid": "8f1b00a0-2ba3-4dff-b808-072bbd316a88", + "service": "Azure Firewall", + "text": "KQL (Kusto 照会言語) クエリに慣れると、Azure Firewall ログを使用した迅速な分析とトラブルシューティングが可能になります。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "ポリシー分析は、Azure Firewall ポリシーの影響に関する分析情報を提供する新機能です。これは、ポリシーの潜在的な問題 (ポリシー制限のヒット、使用率の低いルール、冗長なルール、汎用すぎるルール、IP グループの使用に関する推奨事項) を特定するのに役立ち、セキュリティ体制とルール処理のパフォーマンスを向上させるための推奨事項を提供します。", + "guid": "f3a64299-022d-492e-a095-72965cbb79b8", + "service": "Azure Firewall", + "text": "ポリシー分析ダッシュボードを使用して、ファイアウォール ポリシーの潜在的な最適化を特定します。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "パブリック インターネット サイトの長いリストを明示的に構築して維持する代わりに、Azure Firewall Web カテゴリの使用を検討してください。この機能は、Webコンテンツを動的に分類し、コンパクトなアプリケーションルールの作成を可能にします。", + "guid": "53e42e9b-6d25-4116-87ca-6c97252e1cd6", + "service": "Azure Firewall", + "text": "Web カテゴリで、送信アクセスを一括で許可または拒否することを検討してください。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "Azure Firewall を IDPS モードのアラートと拒否で動作させる必要がある場合は、このページに記載されているパフォーマンスへの影響を慎重に検討してください。", + "guid": "4afedb20-a63a-4c17-907d-d8afc5cd1b43", + "service": "Azure Firewall", + "text": "アラート モードと拒否モードでの IDPS のパフォーマンスへの影響を評価します。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "Azure Firewall では現在、バックエンド仮想マシン スケール セット インスタンスごとにパブリック IP アドレスあたり 2496 ポートがサポートされています。既定では、2 つの Virtual Machine Scale Set インスタンスがあります。したがって、フローの宛先IP、宛先ポート、およびプロトコル(TCPまたはUDP)ごとに4992ポートがあります。ファイアウォールは、最大 20 インスタンスまでスケールアップできます。この制限を回避するには、SNAT の枯渇の影響を受けやすいデプロイに対して、少なくとも 5 つのパブリック IP アドレスを使用して Azure Firewall デプロイを構成します。", + "guid": "cdb16c9c-fe4e-41d6-bc0c-8519a606d37b", + "service": "Azure Firewall", + "text": "SNAT ポートの枯渇の潜在的な問題を評価します。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "ロード テストに含まれない初期トラフィックは、テストの 20 分前に作成します。診断設定を使用して、スケールアップとスケールダウンのイベントをキャプチャします。Azure Load Testing サービスを使用して、初期トラフィックを生成できます。Azure Firewall インスタンスがインスタンスを最大までスケールアップできるようにします。", + "guid": "1859fa28-775d-433f-b189-6b250e51b441", + "service": "Azure Firewall", + "text": "パフォーマンス テストの前に、Azure Firewall を適切にウォームアップします。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "Azure Firewall は、仮想ネットワーク内の専用デプロイです。仮想ネットワーク内では、Azure Firewall のインスタンスに専用のサブネットが必要です。Azure Firewall は、スケーリングに応じてより多くの容量をプロビジョニングします。サブネットの /26 アドレス空間により、ファイアウォールはスケーリングに対応するのに十分な IP アドレスを確保できます。Azure Firewall には、/26 より大きいサブネットは必要ありません。Azure Firewall サブネット名は AzureFirewallSubnet にする必要があります。", + "guid": "272b1122-494d-4baa-a328-928a89ebb0ad", + "service": "Azure Firewall", + "text": "Azure Firewall サブネット (AzureFirewallSubnet) を /26 アドレス空間で構成します。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "Azure Firewall には、常にアクティブに保つにはコストがかかる可能性のある高度なログ機能がいくつか用意されています。代わりに、トラブルシューティングの目的でのみ使用し、期間を制限し、不要になったら無効にする必要があります。たとえば、上位フローとフロー トレース ログは高価です は、Azure Firewall インフラストラクチャで CPU とストレージの過剰な使用を引き起こす可能性があります。", + "guid": "2b20c2ea-e6fd-4570-b86f-b20bfb695c6f", + "service": "Azure Firewall", + "text": "不要な場合は、詳細ログを有効にしないでください", + "type": "recommendation", + "waf": "パフォーマンス" + } + ], + "metadata": { + "name": "Azure Firewall Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "このチェックはまだ見ていません", + "name": "未確認" + }, + { + "description": "このチェックにはアクションアイテムが関連付けられています", + "name": "開ける" + }, + { + "description": "このチェックは検証済みであり、これ以上のアクション アイテムは関連付けられていません", + "name": "達成" + }, + { + "description": "現在のデザインには適用されません", + "name": "該当なし" + }, + { + "description": "必須ではありません", + "name": "必須ではありません" + } + ], + "waf": [ + { + "name": "安全" + }, + { + "name": "費用" + }, + { + "name": "費用" + }, + { + "name": "確実" + }, + { + "name": "確実" + }, + { + "name": "安全" + }, + { + "name": "パフォーマンス" + }, + { + "name": "オペレーションズ" + }, + { + "name": "オペレーションズ" + }, + { + "name": "パフォーマンス" + } + ], + "yesno": [ + { + "name": "はい" + }, + { + "name": "いいえ" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurefirewall_sg_checklist.ko.json b/checklists-ext/azurefirewall_sg_checklist.ko.json new file mode 100644 index 000000000..9ea223a78 --- /dev/null +++ b/checklists-ext/azurefirewall_sg_checklist.ko.json @@ -0,0 +1,442 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "허브 앤 스포크(hub-and-spoke) 및 전이적 아키텍처를 쉽게 생성할 수 있으며, 트래픽 관리 및 보호를 위한 기본 보안 서비스를 제공합니다. 네트워크 토폴로지에 대한 자세한 내용은 Azure Cloud Adoption Framework 설명서를 참조하세요.", + "guid": "833670b0-5f05-4810-96be-dd79df30775d", + "service": "Azure Firewall", + "text": "기존 허브 & 스포크 또는 Azure Virtual WAN 네트워크 토폴로지와 함께 Azure Firewall Manager를 사용하여 Azure Firewall 인스턴스를 배포하고 관리합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "Azure Firewall 정책은 중앙 기본 정책을 오버레이하기 위해 계층 구조로 정렬할 수 있습니다. 특정 지역의 요구 사항을 충족하기 위해 세분화된 정책을 허용합니다. 역할 기반 액세스 제어(RBAC)를 통해 증분 방화벽 정책을 로컬 보안 팀에 위임합니다. 일부 설정은 인스턴스별로 구체적이며(예: DNAT 규칙 및 DNS 구성) 여러 특수 정책이 필요할 수 있습니다.", + "guid": "5b0404e7-a3be-4103-aff9-903f9fe447d2", + "service": "Azure Firewall", + "text": "글로벌 네트워크 환경에서 보안 태세를 제어하는 Azure Firewall 정책을 만듭니다. Azure Firewall의 모든 인스턴스에 정책을 할당합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "기존 배포의 경우 Azure Firewall 규칙을 Azure Firewall Manager 정책으로 마이그레이션합니다. Azure Firewall Manager를 사용하여 방화벽 및 정책을 중앙에서 관리할 수 있습니다. 자세한 내용은 Azure Firewall 프리미엄으로 마이그레이션을 참조하세요.", + "guid": "182b6ed7-94f3-434c-be79-ce6a93d6560c", + "service": "Azure Firewall", + "text": "기존 배포에 대한 Azure Firewall 클래식 규칙을 Azure Firewall Manager 정책으로 마이그레이션합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "Azure Firewall 제품 그룹은 이 위치에서 알려진 문제의 업데이트된 목록을 유지 관리합니다. 이 목록에는 설계별 동작, 건설 중인 수정 사항, 플랫폼 제한 사항, 가능한 해결 방법 또는 완화와 관련된 중요한 정보가 포함되어 있습니다.", + "guid": "d34dc09b-f98f-47d4-92b7-79f77b9a755d", + "service": "Azure Firewall", + "text": "Azure Firewall 알려진 문제 목록을 검토합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "규칙 및 규칙 수집 그룹의 수, 총 정책 크기, 소스/대상 대상을 포함한 정책 구조에는 제한이 있습니다. 정책을 작성하고 문서화된 임계값을 준수해야 합니다.", + "guid": "86b20eea-4ed0-4f79-adf4-4ff5f7edc227", + "service": "Azure Firewall", + "text": "Azure Firewall 정책이 Azure Firewall 제한 및 권장 사항을 준수하는지 확인합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "Azure Firewall은 단일 가용성 영역에 배포될 때와 여러 영역에 배포될 때 서로 다른 SLA를 제공합니다. 자세한 내용은 Azure Firewall에 대한 SLA를 참조하세요. 모든 Azure SLA에 대한 자세한 내용은 Azure 서비스에 대한 SLA 요약을 참조하세요.", + "guid": "7f303799-88af-49d0-ae85-73ce4bf33f76", + "service": "Azure Firewall", + "text": "더 높은 SLA(서비스 수준 계약)를 위해 여러 가용성 영역에 Azure Firewall을 배포합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "기존 Hub & Spokes 아키텍처의 경우 다중 지역 세부 정보가 이 문서에 설명되어 있습니다. 보안 가상 허브(Azure Virtual WAN)의 경우 허브 간 및 분기 간 통신을 보호하도록 라우팅 의도 및 정책을 구성해야 합니다. 오류에 대한 내성 및 내결함성을 갖도록 설계된 워크로드의 경우 Azure Firewall 및 Azure Virtual Network의 인스턴스를 지역 리소스로 고려해야 합니다.", + "guid": "69dcdc93-55e9-454e-9128-b9996b089e2c", + "service": "Azure Firewall", + "text": "다중 지역 환경에서는 지역당 Azure Firewall 인스턴스를 배포합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "처리량, 방화벽 상태, SNAT 포트 사용률 및 AZFW 대기 시간 프로브 메트릭과 같은 Azure Firewall 건강 상태의 주요 메트릭 지표를 면밀히 모니터링합니다. 또한 Azure Firewall은 이제 Azure Resource Health와 통합됩니다. Azure Firewall 리소스 상태 검사를 통해 이제 Azure Firewall의 상태를 보고 Azure Firewall 리소스에 영향을 줄 수 있는 서비스 문제를 해결할 수 있습니다.", + "guid": "dbadd7db-ba2d-4b33-bf38-3251fe3fb6fb", + "service": "Azure Firewall", + "text": "Azure Firewall 메트릭 및 리소스 상태 모니터링.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "Azure Firewall은 인터넷에 직접 연결되어 있어야 합니다. AzureFirewallSubnet이 Border Gateway Protocol을 통해 온-프레미스 네트워크에 대한 기본 경로를 학습하는 경우 강제 터널링 모드에서 Azure Firewall을 구성해야 합니다. 강제 터널링 기능을 사용하면 Azure Firewall 관리 서브넷에 대한 또 다른 /26 주소 공간이 필요합니다. 이름을 AzureFirewallManagementSubnet으로 지정해야 합니다. 강제 터널링 모드에서 다시 구성할 수 없는 기존 Azure Firewall 인스턴스인 경우 0.0.0.0/0 경로를 사용하여 UDR을 만듭니다. NextHopType 값을 Internet으로 설정합니다. AzureFirewallSubnet과 연결하여 인터넷 연결을 유지합니다.", + "guid": "55277728-2747-486c-be69-3428291856a4", + "service": "Azure Firewall", + "text": "모든 인터넷 바인딩 트래픽을 인터넷으로 직접 이동하는 대신 지정된 다음 홉으로 라우팅해야 하는 경우 강제 터널링 모드에서 Azure Firewall을 구성합니다(Azure Virtual WAN에는 적용되지 않음).", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "새 Azure Firewall 인스턴스를 배포할 때 강제 터널링 모드를 사용하도록 설정하면 공용 IP 주소를 없음으로 설정하여 완전 프라이빗 데이터 평면을 배포할 수 있습니다. 그러나 관리 평면에는 관리 목적으로만 공용 IP가 필요합니다. 가상 및 온-프레미스 네트워크의 내부 트래픽은 해당 공용 IP를 사용하지 않습니다. 강제 터널링에 대한 자세한 내용은 Azure Firewall 강제 터널링을 참조하세요.", + "guid": "7d9cd1f0-0f59-452e-be83-de6b49710ddc", + "service": "Azure Firewall", + "text": "강제 터널링 모드에서 Azure Firewall을 구성할 때 공용 IP 주소를 없음으로 설정하여 완전한 프라이빗 데이터 평면을 배포합니다(Azure Virtual WAN에는 적용되지 않음).", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "Azure Firewall 정책은 중앙 기본 정책을 오버레이하기 위해 계층 구조로 정렬할 수 있습니다. 특정 지역의 요구 사항을 충족하기 위해 세분화된 정책을 허용합니다. 각 정책에는 특정 우선 순위, 작업 및 처리 순서가 있는 서로 다른 DNAT, 네트워크 및 애플리케이션 규칙 집합이 포함될 수 있습니다. 최소 권한 액세스 제로 트러스트 원칙에 따라 규칙을 만듭니다. 규칙이 처리되는 방법은 이 문서에 설명되어 있습니다.", + "guid": "c7600ea8-eb60-4eb1-9aee-c874efef69b7", + "service": "Azure Firewall", + "text": "최소 권한 액세스 기준에 따라 방화벽 정책에 대한 규칙을 생성합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "IDPS는 가장 강력한 Azure Firewall(프리미엄) 보안 기능 중 하나이며 사용하도록 설정해야 합니다. 보안 및 응용 프로그램 요구 사항에 따라 성능에 미치는 영향(아래 비용 섹션 참조)을 고려하여 경고 또는 경고 및 거부 모드를 선택할 수 있습니다.", + "guid": "d8fc2b4d-a183-4949-82ff-c6130a9d87dc", + "service": "Azure Firewall", + "text": "경고 또는 경고 및 거부 모드에서 IDPS를 사용하도록 설정합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "이 기능을 사용하도록 설정하면 VNet의 클라이언트가 Azure Firewall을 DNS 서버로 가리킵니다. 직접 액세스 및 노출되지 않는 내부 DNS 인프라를 보호합니다. 또한 DNS 쿼리를 전달하는 데 사용할 사용자 지정 DNS를 사용하도록 Azure Firewall을 구성해야 합니다.", + "guid": "9fa0a48c-c3cb-4fc2-a02b-1182a047e076", + "service": "Azure Firewall", + "text": "Azure Firewall(DNS) 프록시 구성을 사용하도록 설정합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "기존 Hub & Spokes 아키텍처에서는 'SpoketoSpoke', 'SpoketoInternet' 및 'SpoketoHybrid' 연결을 위해 Azure Firewall을 통해 트래픽을 강제 적용하도록 UDR을 구성합니다. 대신 Azure Virtual WAN에서 허브에 통합된 Azure Firewall 인스턴스를 통해 프라이빗 및/또는 인터넷 트래픽을 리디렉션하도록 라우팅 의도 및 정책을 구성합니다.", + "guid": "a3f23112-5986-4fd2-9d64-edfb0363c08c", + "service": "Azure Firewall", + "text": "Azure Firewall을 통해 트래픽을 강제 적용하도록 UDR(사용자 정의 경로)을 구성합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "아웃바운드 경로에서 명시적 프록시 기능을 사용하도록 설정하면 Azure Firewall을 프록시로 구성하여 보내는 웹 애플리케이션(예: 웹 브라우저)에서 프록시 설정을 구성할 수 있습니다. 따라서 웹 트래픽은 방화벽의 개인 IP 주소에 도달하므로 UDR을 사용하지 않고 방화벽에서 직접 송신됩니다. 또한 이 기능을 사용하면 기존 네트워크 경로를 수정하지 않고도 여러 방화벽을 쉽게 사용할 수 있습니다.", + "guid": "f62b7e3d-b86d-4f84-888d-ec7f97b34e96", + "service": "Azure Firewall", + "text": "UDR을 적용할 수 없고 웹 트래픽 리디렉션만 필요한 경우 Azure Firewall을 명시적 프록시로 사용하는 것이 좋습니다", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "익숙한 동급 최고의 타사 SECaaS 오퍼링을 사용하여 사용자의 인터넷 액세스를 보호할 수 있습니다. 이 시나리오에서는 IPSec 터널을 사용하여 공급자의 인프라에 연결하므로 허브에 S2S VPN Gateway가 있는 Azure Virtual WAN이 필요합니다. SECaaS 제공업체는 추가 라이선스 비용을 청구하고 IPSec 연결에 대한 처리량을 제한할 수 있습니다. ZScaler Cloud Connector와 같은 대체 솔루션이 있으며 더 적합할 수 있습니다.", + "guid": "1f1a4239-f908-4fb5-aff5-7d716d9227a1", + "service": "Azure Firewall", + "text": "이러한 솔루션을 사용하여 아웃바운드 연결을 보호하려면 Firewall Manager 내에서 지원되는 타사 SaaS(Software as a Service) 보안 공급자를 구성합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "Azure Firewall 및 방화벽 정책에서 DNS 확인에 따라 FQDN을 사용할 수 있습니다. 이 기능을 사용하면 모든 TCP/UDP 프로토콜(NTP, SSH, RDP 등 포함)을 사용하여 아웃바운드 트래픽을 필터링할 수 있습니다. 네트워크 규칙에서 FQDN을 사용하려면 Azure Firewall DNS 프록시 구성을 사용하도록 설정해야 합니다. 작동 방식을 알아보려면 네트워크 규칙에서 Azure Firewall FQDN 필터링을 참조하세요.", + "guid": "cac3a2cc-688b-42c3-bfb5-e2b55270b8a0", + "service": "Azure Firewall", + "text": "네트워크 규칙에서 FQDN(정규화된 도메인 이름) 필터링을 사용합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "서비스 태그는 보안 규칙 생성의 복잡성을 최소화하는 데 도움이 되는 IP 주소 접두사 그룹을 나타냅니다. 네트워크 규칙에서 서비스 태그를 사용하면 광범위한 IP 주소를 열지 않고도 Azure, Dynamics 및 Office 365의 특정 서비스에 대한 아웃바운드 액세스를 사용하도록 설정할 수 있습니다. Azure는 이러한 태그와 각 서비스에서 사용하는 기본 IP 주소 간의 매핑을 자동으로 유지 관리합니다. Azure Firewall에서 사용할 수 있는 서비스 태그 목록은 Az Firewall 서비스 태그에 나열되어 있습니다.", + "guid": "8e718b0b-3ae5-4a85-9e5e-7f12ac48ace8", + "service": "Azure Firewall", + "text": "네트워크 규칙에서 서비스 태그를 사용하여 특정 Microsoft 서비스에 대한 선택적 액세스를 사용하도록 설정합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "FQDN 태그는 잘 알려진 Microsoft 서비스와 연결된 FQDN(정규화된 도메인 이름) 그룹을 나타냅니다. 응용 프로그램 규칙에서 FQDN 태그를 사용하여 일부 특정 Azure 서비스, Office 365, Windows 365 및 Intune에 대해 방화벽을 통해 필요한 아웃바운드 네트워크 트래픽을 허용할 수 있습니다.", + "guid": "66db2147-74f7-4b4a-af65-a946369ae551", + "service": "Azure Firewall", + "text": "응용 프로그램 규칙에서 FQDN 태그를 사용하여 특정 Microsoft 서비스에 대한 선택적 액세스를 사용하도록 설정합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "DDoS 보호 계획은 DDoS 공격으로부터 방화벽을 보호하기 위한 향상된 완화 기능을 제공합니다. Azure Firewall Manager는 방화벽 인프라 및 DDoS 보호 계획을 만들기 위한 통합 도구입니다. 자세한 내용은 Azure Firewall Manager를 사용하여 Azure DDoS Protection 계획 구성을 참조하세요.", + "guid": "0c87e550-0780-401e-9208-5464b378a8e7", + "service": "Azure Firewall", + "text": "Azure Firewall Manager를 사용하여 DDoS 보호 계획을 만들고 허브 가상 네트워크와 연결합니다(Azure Virtual WAN에는 적용되지 않음).", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "Azure Firewall Premium에서 TLS 검사 기능을 사용하는 경우 프로덕션 환경에 내부 CA(엔터프라이즈 인증 기관)를 활용하는 것이 좋습니다. 자체 서명된 인증서는 테스트/PoC 목적으로만 사용해야 합니다.", + "guid": "821132d4-1ba9-4709-9eb3-5906871b1721", + "service": "Azure Firewall", + "text": "엔터프라이즈 PKI를 사용하여 TLS 검사용 인증서를 생성합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "보안 요구 사항에 따라 웹 애플리케이션(검사 및 암호화)에 대한 제로 트러스트 접근 방식을 구현해야 하는 경우 이 가이드를 따르는 것이 좋습니다. 이 문서에서는 기존 허브 및 스포크 및 Virtual WAN 시나리오 모두에서 Azure Firewall과 Application Gateway를 통합하는 방법을 설명합니다.", + "guid": "0ecf166e-e415-45bf-bece-87a32e76b096", + "service": "Azure Firewall", + "text": "Azure Firewall 및 Application Gateway에 대한 제로 트러스트 구성 가이드 검토", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "Azure Firewall은 기본, 표준 및 프리미엄의 세 가지 SKU로 배포할 수 있습니다. Azure Firewall 프리미엄은 매우 중요한 애플리케이션(예: 결제 처리)을 보호하는 데 권장됩니다. Azure Firewall 표준은 계층 3–계층 7 방화벽을 찾는 고객에게 권장되며 최대 30Gbps의 최대 트래픽 기간을 처리하기 위해 자동 크기 조정이 필요합니다. Azure Firewall Basic은 처리량이 250Mbps인 SMB 고객에게 권장됩니다. 필요한 경우 여기에 설명된 대로 Standard와 Premium 간에 다운그레이드 또는 업그레이드가 가능합니다. 자세한 내용은 요구 사항에 맞는 올바른 Azure Firewall SKU 선택을 참조하세요.", + "guid": "fbcc2c4d-8026-46a9-8fe7-bdb04dbd1f20", + "service": "Azure Firewall", + "text": "적절한 Azure Firewall SKU를 배포합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "업무 시간 중에만 사용되는 개발 또는 테스트 환경이 있을 수 있습니다. 자세한 내용은 Azure Firewall 할당 취소 및 할당을 참조하세요.", + "guid": "4bf5b742-3a86-40a3-abce-a7991e9a0e78", + "service": "Azure Firewall", + "text": "연중무휴(24x7) 실행할 필요가 없는 Azure Firewall 배포를 중지합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "허브 가상 네트워크 또는 Virtual WAN 보안 허브에서 Azure Firewall의 중앙 인스턴스를 사용하고 동일한 지역의 동일한 허브에 연결된 여러 스포크 가상 네트워크에서 동일한 방화벽을 공유할 수 있습니다. 허브-스포크 토폴로지의 일부로 예기치 않은 지역 간 트래픽이 없는지 확인합니다.", + "guid": "4468b60f-0f1d-4af5-98cd-b4f9fc3bd70f", + "service": "Azure Firewall", + "text": "여러 워크로드 및 Azure Virtual Network에서 동일한 Azure Firewall 인스턴스를 공유합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "상위 흐름 로그(업계에서는 Fat Flows라고 함)는 방화벽을 통해 가장 높은 처리량에 기여하는 상위 연결을 보여 줍니다. Azure Firewall에서 처리한 트래픽을 정기적으로 검토하고 가능한 최적화를 검색하여 방화벽을 통과하는 트래픽의 양을 줄이는 것이 좋습니다.", + "guid": "3ec205f3-5201-4a2e-b82b-1c77c9ee139c", + "service": "Azure Firewall", + "text": "Azure Firewall에서 처리한 트래픽을 정기적으로 검토하고 원래 워크로드 최적화를 찾습니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "사용되지 않는 Azure Firewall 배포를 식별하려면 먼저 방화벽의 개인 IP를 가리키는 서브넷과 연결된 모니터링 메트릭 및 UDR을 분석합니다. Azure Firewall 인스턴스에 NAT, 네트워크 및 애플리케이션에 대한 규칙(클래식)이 있는지 또는 DNS 프록시 설정이 사용 안 함으로 구성된 경우와 같은 다른 유효성 검사 및 환경 및 배포에 대한 내부 설명서와 해당 정보를 결합합니다. 시간이 지남에 따라 비용 효율적인 배포를 검색할 수 있습니다. 로그 및 메트릭 모니터링에 대한 자세한 내용은 Azure Firewall 로그 및 메트릭 모니터링 및 SNAT 포트 사용률을 참조하세요.", + "guid": "514f4dbe-5294-44e1-95c5-923a199ff687", + "service": "Azure Firewall", + "text": "활용도가 낮은 Azure Firewall 인스턴스를 검토합니다. 사용되지 않는 Azure Firewall 배포를 식별하고 삭제합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "Firewall Manager 정책, 연결 및 상속을 주의 깊게 검토합니다. 정책은 방화벽 연결을 기준으로 청구됩니다. 방화벽 연결이 0개 또는 1개 있는 정책은 무료입니다. 여러 방화벽 연결이 있는 정책은 고정 요율로 청구됩니다. 자세한 내용은 가격 책정 - Azure Firewall Manager를 참조하세요.", + "guid": "90f29560-d536-46bf-a719-f0f95f89105e", + "service": "Azure Firewall", + "text": "Azure Firewall Manager 및 해당 정책을 사용하여 운영 비용을 줄이고, 효율성을 높이고, 관리 오버헤드를 줄입니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "연결된 모든 공용 IP 주소가 사용 중인지 확인합니다. 사용하지 않는 경우 연결을 끊고 삭제하십시오. IP 주소를 제거하기 전에 SNAT 포트 사용률을 평가합니다. 방화벽에 필요한 공용 IP 수만 사용합니다. 자세한 내용은 Azure Firewall 로그 및 메트릭 모니터링 및 SNAT 포트 사용률을 참조하세요.", + "guid": "e81c61b3-0085-4029-82e3-d55513288f87", + "service": "Azure Firewall", + "text": "사용하지 않는 공용 IP 주소를 삭제합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "Azure Firewall은 Event Hubs를 통해 Log Analytics 작업 영역, 스토리지 또는 타사 솔루션에 표시되는 모든 트래픽의 메타데이터를 포괄적으로 기록할 수 있습니다. 그러나 모든 로깅 솔루션에는 데이터 처리 및 저장 비용이 발생합니다. 매우 큰 볼륨에서는 이러한 비용이 상당할 수 있으므로 Log Analytics에 대한 비용 효율적인 접근 방식 및 대안을 고려하고 비용을 예측해야 합니다. 모든 로깅 범주에 대한 트래픽 메타데이터를 기록해야 하는지 여부를 고려하고 필요한 경우 진단 설정에서 수정해야 합니다.", + "guid": "a27d979a-c88c-4ce0-9310-9a69eba3460d", + "service": "Azure Firewall", + "text": "로깅 요구 사항을 검토합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "Azure Firewall은 VNet 간, VNet과 온-프레미스 네트워크 간, 인터넷으로의 아웃바운드 트래픽 및 들어오는 비 HTTP/s 트래픽을 제어하는 데 사용해야 합니다. VNet 내 트래픽 제어의 경우 네트워크 보안 그룹을 사용하는 것이 좋습니다.", + "guid": "bce7644e-fefe-4d43-94ea-37af4d8743f9", + "service": "Azure Firewall", + "text": "VNet 내 트래픽 제어에 Azure Firewall을 사용하지 마세요.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "IaC(Infrastructure-as-Code) 접근 방식을 사용하여 Azure Firewall 및 모든 종속성을 유지 관리하는 경우 Azure Firewall 정책의 백업 및 버전 관리가 이미 마련되어 있어야 합니다. 그렇지 않은 경우 외부 Logic App을 기반으로 하는 도우미 메커니즘을 배포하여 자동화하고 효과적인 솔루션을 제공할 수 있습니다.", + "guid": "8b0afffb-17aa-4839-b93f-c01d990ad7c6", + "service": "Azure Firewall", + "text": "Azure Policy 아티팩트의 정기적인 백업을 유지 관리합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "진단 로그는 Azure Firewall에 대한 많은 모니터링 도구 및 전략의 핵심 구성 요소이며 사용하도록 설정해야 합니다. 방화벽 로그 또는 통합 문서를 사용하여 Azure Firewall을 모니터링할 수 있습니다. Azure Firewall 리소스에 대한 작업을 감사하기 위해 활동 로그를 사용할 수도 있습니다.", + "guid": "6d52b11a-0034-4824-84c4-7383182dc4df", + "service": "Azure Firewall", + "text": "Azure Firewall에 대한 진단 로그를 사용하도록 설정합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "구조적 방화벽 로그는 새로운 특정 형식으로 구성된 로그 데이터 유형입니다. 사전 정의된 스키마를 사용하여 쉽게 검색, 필터링 및 분석할 수 있는 방식으로 로그 데이터를 구조화합니다. 최신 모니터링 도구는 이러한 유형의 로그를 기반으로 하므로 필수 구성 요소인 경우가 많습니다. 이전 진단 로그 형식은 필수 구성 요소가 있는 기존 도구가 있는 경우에만 사용합니다. 두 로깅 형식을 동시에 활성화하지 마십시오.", + "guid": "99a0621d-2643-4e46-afb0-dd3e5111dedd", + "service": "Azure Firewall", + "text": "구조적 방화벽 로그 형식을 사용합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "이제 Azure Firewall 포털 환경에는 모니터링 섹션 UI 아래에 새 통합 문서가 포함되므로 더 이상 별도의 설치가 필요하지 않습니다. Azure Firewall 통합 문서를 사용하면 Azure Firewall 이벤트에서 중요한 인사이트를 추출하고, 애플리케이션 및 네트워크 규칙을 자세히 살펴보고, URL, 포트 및 주소에서 방화벽 활동과 관련된 통계를 검사할 수 있습니다.", + "guid": "8c18d9ea-2440-4125-a0cb-c1cf35c0be70", + "service": "Azure Firewall", + "text": "기본 제공 Azure Firewall 모니터링 통합 문서를 사용합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "최소한 처리량, 방화벽 상태, SNAT 포트 사용률 및 AZFW 대기 시간 프로브 메트릭을 모니터링하기 위해 경고를 만들어야 합니다. 로그 및 메트릭 모니터링에 대한 자세한 내용은 Azure Firewall 로그 및 메트릭 모니터링을 참조하세요.", + "guid": "05877204-1759-4b71-8938-4766b1b24fa7", + "service": "Azure Firewall", + "text": "주요 메트릭을 모니터링하고 Azure Firewall 용량 사용률 지표에 대한 경고를 만듭니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "이러한 도구를 환경에서 사용할 수 있는 경우 클라우드용 Microsoft Defender 및 Microsoft Sentinel 솔루션과의 통합을 활용하는 것이 좋습니다. 클라우드용 Microsoft Defender 통합을 사용하면 Azure의 여러 지역에 분산된 모든 VNet 및 가상 허브의 Azure 네트워크 보안을 포함하여 네트워크 인프라 및 네트워크 보안의 전체 상태를 한 곳에서 시각화할 수 있습니다. Microsoft Sentinel과 통합하면 위협 탐지 및 방지 기능이 제공됩니다.", + "guid": "0dd715ab-c76e-49b9-9616-ccb36ddb293e", + "service": "Azure Firewall", + "text": "클라우드용 Microsoft Defender 및 Microsoft Sentinel과 Azure Firewall 통합을 구성합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "정책 분석은 Azure Firewall 정책의 영향에 대한 인사이트를 제공하는 새로운 기능입니다. 정책에서 잠재적인 문제(정책 제한 적중, 낮은 사용률 규칙, 중복 규칙, 너무 일반적인 규칙, IP 그룹 사용 권장 사항)를 식별하는 데 도움이 되며 보안 상태 및 규칙 처리 성능을 개선하기 위한 권장 사항을 제공합니다.", + "guid": "9e1b460f-0d41-40a1-9da7-89cda32f7190", + "service": "Azure Firewall", + "text": "정책 분석 대시보드를 정기적으로 검토하여 잠재적인 문제를 식별합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "Azure Firewall에 대한 샘플 쿼리가 제공됩니다. 이를 통해 방화벽 내부에서 무슨 일이 일어나고 있는지 빠르게 식별하고 어떤 규칙이 트리거되었는지 또는 어떤 규칙이 요청을 허용/차단하는지 확인할 수 있습니다.", + "guid": "8f1b00a0-2ba3-4dff-b808-072bbd316a88", + "service": "Azure Firewall", + "text": "KQL(Kusto 쿼리 언어) 쿼리에 익숙해지면 Azure Firewall 로그를 사용하여 빠르게 분석하고 문제를 해결할 수 있습니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "정책 분석은 Azure Firewall 정책의 영향에 대한 인사이트를 제공하는 새로운 기능입니다. 정책에서 잠재적인 문제(정책 제한 적중, 낮은 사용률 규칙, 중복 규칙, 너무 일반적인 규칙, IP 그룹 사용 권장 사항)를 식별하는 데 도움이 되며 보안 상태 및 규칙 처리 성능을 개선하기 위한 권장 사항을 제공합니다.", + "guid": "f3a64299-022d-492e-a095-72965cbb79b8", + "service": "Azure Firewall", + "text": "정책 분석 대시보드를 사용하여 방화벽 정책에 대한 잠재적 최적화를 식별합니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "공용 인터넷 사이트의 긴 목록을 명시적으로 빌드하고 유지 관리하는 대신 Azure Firewall 웹 범주를 사용하는 것이 좋습니다. 이 기능은 웹 콘텐츠를 동적으로 분류하고 컴팩트한 응용 프로그램 규칙을 만들 수 있도록 합니다.", + "guid": "53e42e9b-6d25-4116-87ca-6c97252e1cd6", + "service": "Azure Firewall", + "text": "Web Categories를 사용하여 아웃바운드 액세스를 대량으로 허용하거나 거부하는 것이 좋습니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "Azure Firewall이 IDPS 모드 경고 및 거부에서 작동해야 하는 경우 이 페이지에 설명된 대로 성능 영향을 신중하게 고려합니다.", + "guid": "4afedb20-a63a-4c17-907d-d8afc5cd1b43", + "service": "Azure Firewall", + "text": "경고 및 거부 모드에서 IDPS의 성능 영향을 평가합니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "Azure Firewall은 현재 백 엔드 Virtual Machine Scale Set 인스턴스당 공용 IP 주소당 2496개의 포트를 지원합니다. 기본적으로 두 개의 Virtual Machine Scale Set 인스턴스가 있습니다. 따라서 흐름 대상 IP, 대상 포트 및 프로토콜(TCP 또는 UDP)당 4992개의 포트가 있습니다. 방화벽은 최대 20개의 인스턴스까지 확장됩니다. SNAT 고갈에 취약한 배포에 대해 최소 5개의 공용 IP 주소로 Azure Firewall 배포를 구성하여 제한을 해결할 수 있습니다.", + "guid": "cdb16c9c-fe4e-41d6-bc0c-8519a606d37b", + "service": "Azure Firewall", + "text": "잠재적인 SNAT 포트 소모 문제를 평가합니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "테스트 20분 전에 부하 테스트에 포함되지 않는 초기 트래픽을 만듭니다. 진단 설정을 사용하여 스케일 업 및 스케일 다운 이벤트를 캡처합니다. Azure Load Testing 서비스를 사용하여 초기 트래픽을 생성할 수 있습니다. Azure Firewall 인스턴스가 인스턴스를 최대로 확장할 수 있습니다.", + "guid": "1859fa28-775d-433f-b189-6b250e51b441", + "service": "Azure Firewall", + "text": "성능 테스트 전에 Azure Firewall을 적절하게 워밍업합니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "Azure Firewall은 가상 네트워크의 전용 배포입니다. 가상 네트워크 내에서 Azure Firewall 인스턴스에 전용 서브넷이 필요합니다. Azure Firewall은 크기가 조정됨에 따라 더 많은 용량을 프로비전합니다. 서브넷에 대한 /26 주소 공간은 방화벽에 크기 조정을 수용할 수 있는 충분한 IP 주소가 있는지 확인합니다. Azure Firewall에는 /26보다 큰 서브넷이 필요하지 않습니다. Azure Firewall 서브넷 이름은 AzureFirewallSubnet이어야 합니다.", + "guid": "272b1122-494d-4baa-a328-928a89ebb0ad", + "service": "Azure Firewall", + "text": "/26 주소 공간을 사용하여 Azure Firewall 서브넷(AzureFirewallSubnet)을 구성합니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "Azure Firewall은 항상 활성 상태를 유지하는 데 비용이 많이 들 수 있는 몇 가지 고급 로깅 기능을 제공합니다. 대신 문제 해결 목적으로만 사용해야 하며 기간을 제한한 다음 더 이상 필요하지 않을 때 비활성화해야 합니다. 예를 들어 상위 흐름 및 흐름 추적 로그가 비싸면 Azure Firewall 인프라에서 과도한 CPU 및 스토리지 사용량이 발생할 수 있습니다.", + "guid": "2b20c2ea-e6fd-4570-b86f-b20bfb695c6f", + "service": "Azure Firewall", + "text": "필요하지 않은 경우 고급 로깅을 사용하도록 설정하지 마십시오.", + "type": "recommendation", + "waf": "공연" + } + ], + "metadata": { + "name": "Azure Firewall Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "이 검사는 아직 검토되지 않았습니다", + "name": "확인되지 않음" + }, + { + "description": "이 검사와 연관된 작업 항목이 있습니다", + "name": "열다" + }, + { + "description": "이 검사는 확인되었으며 이와 관련된 추가 작업 항목이 없습니다", + "name": "성취" + }, + { + "description": "현재 설계에는 적용되지 않습니다.", + "name": "해당 없음" + }, + { + "description": "필요 없음", + "name": "필요 없음" + } + ], + "waf": [ + { + "name": "안전" + }, + { + "name": "비용" + }, + { + "name": "비용" + }, + { + "name": "신뢰도" + }, + { + "name": "신뢰도" + }, + { + "name": "안전" + }, + { + "name": "공연" + }, + { + "name": "작업" + }, + { + "name": "작업" + }, + { + "name": "공연" + } + ], + "yesno": [ + { + "name": "예" + }, + { + "name": "아니요" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurefirewall_sg_checklist.pt.json b/checklists-ext/azurefirewall_sg_checklist.pt.json new file mode 100644 index 000000000..4259a5c7f --- /dev/null +++ b/checklists-ext/azurefirewall_sg_checklist.pt.json @@ -0,0 +1,442 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "Crie facilmente arquiteturas hub-and-spoke e transitivas com serviços de segurança nativos para governança e proteção de tráfego. Para obter mais informações sobre topologias de rede, consulte a documentação do Azure Cloud Adoption Framework.", + "guid": "833670b0-5f05-4810-96be-dd79df30775d", + "service": "Azure Firewall", + "text": "Use o Gerenciador de Firewall do Azure com topologias de rede tradicionais de Hub & Spokes ou WAN Virtual do Azure para implantar e gerenciar instâncias do Firewall do Azure.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "As Políticas de Firewall do Azure podem ser organizadas em uma estrutura hierárquica para sobrepor uma política de base central. Permita políticas granulares para atender aos requisitos de regiões específicas. Delegue políticas de firewall incrementais às equipes de segurança locais por meio do RBAC (controle de acesso baseado em função). Algumas configurações são específicas por instância, por exemplo, regras DNAT e configuração de DNS, então várias políticas especializadas podem ser necessárias.", + "guid": "5b0404e7-a3be-4103-aff9-903f9fe447d2", + "service": "Azure Firewall", + "text": "Crie políticas de firewall do Azure para controlar a postura de segurança em ambientes de rede globais. Atribua políticas a todas as instâncias do Firewall do Azure.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Para implantações existentes, migre as regras do Firewall do Azure para as políticas do Gerenciador de Firewall do Azure. Use o Gerenciador de Firewall do Azure para gerenciar centralmente seus firewalls e políticas. Para obter mais informações, consulte Migrar para o Firewall do Azure Premium.", + "guid": "182b6ed7-94f3-434c-be79-ce6a93d6560c", + "service": "Azure Firewall", + "text": "Migre as Regras Clássicas do Firewall do Azure para as Políticas do Gerenciador de Firewall do Azure para implantações existentes.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "O Grupo de Produtos do Firewall do Azure mantém uma lista atualizada de problemas conhecidos neste local. Esta lista contém informações importantes relacionadas ao comportamento por design, correções em construção, limitações da plataforma, juntamente com possíveis soluções alternativas ou mitigação.", + "guid": "d34dc09b-f98f-47d4-92b7-79f77b9a755d", + "service": "Azure Firewall", + "text": "Examine a lista de Problemas Conhecidos do Firewall do Azure.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Há limites na estrutura da política, incluindo números de regras e grupos de coleta de regras, tamanho total da política, destinos de origem/destino. Certifique-se de redigir sua política e ficar atrás dos limites documentados.", + "guid": "86b20eea-4ed0-4f79-adf4-4ff5f7edc227", + "service": "Azure Firewall", + "text": "Verifique se a Política de Firewall do Azure está de acordo com os limites e recomendações do Firewall do Azure.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "O Firewall do Azure fornece SLAs diferentes quando é implantado em uma única zona de disponibilidade e quando é implantado em várias zonas. Para obter mais informações, consulte SLA para Firewall do Azure. Para obter informações sobre todos os SLAs do Azure, consulte Resumo de SLA para serviços do Azure.", + "guid": "7f303799-88af-49d0-ae85-73ce4bf33f76", + "service": "Azure Firewall", + "text": "Implante o Firewall do Azure em várias zonas de disponibilidade para obter um SLA (contrato de nível de serviço) mais alto.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Para arquiteturas tradicionais de Hub & Spokes, os detalhes de várias regiões são explicados neste artigo. Para hubs virtuais protegidos (WAN Virtual do Azure), a Intenção e as Políticas de Roteamento devem ser configuradas para proteger as comunicações entre hubs e branch a branch. Para cargas de trabalho projetadas para serem resistentes a falhas e tolerantes a falhas, lembre-se de considerar essas instâncias do Firewall do Azure e da Rede Virtual do Azure como recursos regionais.", + "guid": "69dcdc93-55e9-454e-9128-b9996b089e2c", + "service": "Azure Firewall", + "text": "Em ambientes de várias regiões, implante uma instância do Firewall do Azure por região.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Monitore de perto o indicador de métricas principais do estado de integridade do Firewall do Azure, como taxa de transferência, estado de integridade do firewall, utilização da porta SNAT e métricas de investigação de latência do AZFW. Além disso, o Firewall do Azure agora se integra ao Azure Resource Health. Com a verificação de Integridade do Recurso do Firewall do Azure, agora você pode exibir o status de integridade do Firewall do Azure e resolver problemas de serviço que podem afetar o recurso do Firewall do Azure.", + "guid": "dbadd7db-ba2d-4b33-bf38-3251fe3fb6fb", + "service": "Azure Firewall", + "text": "Monitore as métricas do Firewall do Azure e o estado do Resource Health.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "O Firewall do Azure deve ter conectividade direta com a Internet. Se o AzureFirewallSubnet aprender uma rota padrão para sua rede local por meio do Protocolo de Gateway de Borda, você deverá configurar o Firewall do Azure no modo de túnel forçado. Usando o recurso de túnel forçado, você precisará de outro espaço de endereço /26 para a sub-rede de Gerenciamento do Firewall do Azure. Se essa for uma instância existente do Firewall do Azure que não pode ser reconfigurada no modo de túnel forçado, crie uma UDR com uma rota 0.0.0.0/0. Defina o valor NextHopType como Internet. Associe-o a AzureFirewallSubnet para manter a conectividade com a Internet.", + "guid": "55277728-2747-486c-be69-3428291856a4", + "service": "Azure Firewall", + "text": "Se necessário rotear todo o tráfego vinculado à Internet para um próximo salto designado em vez de ir diretamente para a Internet, configure o Firewall do Azure no modo de túnel forçado (não se aplica à WAN Virtual do Azure).", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Ao implantar uma nova instância do Firewall do Azure, se você habilitar o modo de túnel forçado, poderá definir o endereço IP público como Nenhum para implantar um plano de dados totalmente privado. No entanto, o plano de gerenciamento ainda requer um IP público apenas para fins de gerenciamento. O tráfego interno de redes virtuais e locais não usará esse IP público. Para obter mais informações sobre o túnel forçado, consulte Túnel forçado do Firewall do Azure.", + "guid": "7d9cd1f0-0f59-452e-be83-de6b49710ddc", + "service": "Azure Firewall", + "text": "Defina o endereço IP público como Nenhum para implantar um plano de dados totalmente privado ao configurar o Firewall do Azure no modo de túnel forçado (não se aplica à WAN Virtual do Azure).", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "As Políticas de Firewall do Azure podem ser organizadas em uma estrutura hierárquica para sobrepor uma política de base central. Permita políticas granulares para atender aos requisitos de regiões específicas. Cada política pode conter diferentes conjuntos de regras de DNAT, Rede e Aplicativo com prioridade, ação e ordem de processamento específicas. Crie suas regras com base no princípio Zero Trust de acesso com privilégios mínimos. Como as regras são processadas é explicado neste artigo.", + "guid": "c7600ea8-eb60-4eb1-9aee-c874efef69b7", + "service": "Azure Firewall", + "text": "Crie regras para políticas de firewall com base em critérios de acesso com privilégios mínimos.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "O IDPS é um dos recursos de segurança mais poderosos do Firewall do Azure (Premium) e deve ser habilitado. Com base nos requisitos de segurança e do aplicativo, e considerando o impacto no desempenho (consulte a seção Custo abaixo), os modos Alerta ou Alerta e negação podem ser selecionados.", + "guid": "d8fc2b4d-a183-4949-82ff-c6130a9d87dc", + "service": "Azure Firewall", + "text": "Habilite o IDPS no modo Alerta ou Alerta e negação.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Habilitar esse recurso aponta clientes nas VNets para o Firewall do Azure como um servidor DNS. Ele protegerá a infraestrutura DNS interna que não será acessada e exposta diretamente. O Firewall do Azure também deve ser configurado para usar o DNS personalizado que será usado para encaminhar consultas DNS.", + "guid": "9fa0a48c-c3cb-4fc2-a02b-1182a047e076", + "service": "Azure Firewall", + "text": "Habilite a configuração de proxy do DNS (Firewall do Azure).", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Em uma arquitetura Hub e Spokes tradicional, configure UDRs para forçar o tráfego por meio do Firewall do Azure para conectividade 'SpoketoSpoke', 'SpoketoInternet' e 'SpoketoHybrid'. Na WAN Virtual do Azure, em vez disso, configure a Intenção de Roteamento e as Políticas para redirecionar o tráfego privado e/ou da Internet por meio da instância do Firewall do Azure integrada ao hub.", + "guid": "a3f23112-5986-4fd2-9d64-edfb0363c08c", + "service": "Azure Firewall", + "text": "Configure UDR (rotas definidas pelo usuário) para forçar o tráfego por meio do Firewall do Azure.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Com o recurso de proxy explícito habilitado no caminho de saída, você pode definir uma configuração de proxy no aplicativo Web de envio (como um navegador da Web) com o Firewall do Azure configurado como o proxy. Como resultado, o tráfego da Web alcançará o endereço IP privado do firewall e, portanto, sairá diretamente do firewall sem usar uma UDR. Esse recurso também facilita o uso de vários firewalls sem modificar as rotas de rede existentes.", + "guid": "f62b7e3d-b86d-4f84-888d-ec7f97b34e96", + "service": "Azure Firewall", + "text": "Se não for possível aplicar a UDR e apenas o redirecionamento de tráfego da Web for necessário, considere usar o Firewall do Azure como um Proxy Explícito", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Você pode usar suas ofertas conhecidas e de terceiros SECaaS para proteger o acesso à Internet para seus usuários. Esse cenário requer a WAN Virtual do Azure com um Gateway de VPN S2S no Hub, pois ele usa um túnel IPSec para se conectar à infraestrutura do provedor. Os provedores de SECaaS podem cobrar taxas de licença adicionais e limitar a taxa de transferência em conexões IPSec. Soluções alternativas, como o ZScaler Cloud Connector, existem e podem ser mais adequadas.", + "guid": "1f1a4239-f908-4fb5-aff5-7d716d9227a1", + "service": "Azure Firewall", + "text": "Configure provedores de segurança de software como serviço (SaaS) de terceiros com suporte no Firewall Manager se quiser usar essas soluções para proteger conexões de saída.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Você pode usar o FQDN com base na resolução DNS no Firewall do Azure e nas políticas de firewall. Esse recurso permite filtrar o tráfego de saída com qualquer protocolo TCP/UDP (incluindo NTP, SSH, RDP e muito mais). Você deve habilitar a configuração de Proxy DNS do Firewall do Azure para usar FQDNs em suas regras de rede. Para saber como funciona, confira Filtragem de FQDN do Firewall do Azure em regras de rede.", + "guid": "cac3a2cc-688b-42c3-bfb5-e2b55270b8a0", + "service": "Azure Firewall", + "text": "Use a filtragem de FQDN (Nome de Domínio Totalmente Qualificado) em regras de rede.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Uma marca de serviço representa um grupo de prefixos de endereço IP para ajudar a minimizar a complexidade da criação de regras de segurança. Usando marcas de serviço em regras de rede, é possível habilitar o acesso de saída a serviços específicos no Azure, Dynamics e Office 365 sem abrir grandes intervalos de endereços IP. O Azure manterá automaticamente o mapeamento entre essas marcas e os endereços IP subjacentes usados por cada serviço. A lista de marcas de serviço disponíveis para o Firewall do Azure está listada aqui: Marcas de serviço do Firewall Az.", + "guid": "8e718b0b-3ae5-4a85-9e5e-7f12ac48ace8", + "service": "Azure Firewall", + "text": "Use marcas de serviço em regras de rede para habilitar o acesso seletivo a serviços específicos da Microsoft.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Uma marca FQDN representa um grupo de FQDNs (nomes de domínio totalmente qualificados) associados a serviços conhecidos da Microsoft. Você pode usar uma marca FQDN em regras de aplicativo para permitir o tráfego de rede de saída necessário por meio do firewall para alguns serviços específicos do Azure, Office 365, Windows 365 e Intune.", + "guid": "66db2147-74f7-4b4a-af65-a946369ae551", + "service": "Azure Firewall", + "text": "Use marcas FQDN em regras de aplicativo para habilitar o acesso seletivo a serviços específicos da Microsoft.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Um plano de proteção contra DDoS fornece recursos aprimorados de mitigação para defender seu firewall contra ataques DDoS. O Gerenciador de Firewall do Azure é uma ferramenta integrada para criar sua infraestrutura de firewall e planos de proteção contra DDoS. Para obter mais informações, consulte Configurar um Plano de Proteção contra DDoS do Azure usando o Gerenciador de Firewall do Azure.", + "guid": "0c87e550-0780-401e-9208-5464b378a8e7", + "service": "Azure Firewall", + "text": "Use o Gerenciador de Firewall do Azure para criar e associar um plano de proteção contra DDoS à sua rede virtual do hub (não se aplica à WAN Virtual do Azure).", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Com o Firewall do Azure Premium, se o recurso de Inspeção TLS for usado, é recomendável aproveitar uma AC (Autoridade de Certificação) Corporativa interna para o ambiente de produção. Os certificados autoassinados devem ser usados apenas para fins de teste/PoC.", + "guid": "821132d4-1ba9-4709-9eb3-5906871b1721", + "service": "Azure Firewall", + "text": "Use uma PKI corporativa para gerar certificados para inspeção TLS.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Se seus requisitos de segurança exigirem a implementação de uma abordagem Zero-Trust para aplicativos Web (inspeção e criptografia), é recomendável seguir este guia. Neste documento, será explicado como integrar o Firewall do Azure e o Gateway de Aplicativo, em cenários tradicionais de Hub & Spoke e WAN Virtual.", + "guid": "0ecf166e-e415-45bf-bece-87a32e76b096", + "service": "Azure Firewall", + "text": "Examine o guia de configuração de Confiança Zero para o Firewall do Azure e o Gateway de Aplicativo", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "O Firewall do Azure pode ser implantado em três SKUs diferentes: Básico, Standard e Premium. O Firewall do Azure Premium é recomendado para proteger aplicativos altamente confidenciais (como processamento de pagamentos). O Firewall do Azure Standard é recomendado para clientes que procuram firewall de Camada 3 a Camada 7 e precisa de dimensionamento automático para lidar com períodos de pico de tráfego de até 30 Gbps. O Firewall do Azure Basic é recomendado para clientes SMB com necessidades de taxa de transferência de 250 Mbps. Se necessário, é possível fazer downgrade ou upgrade entre Standard e Premium, conforme documentado aqui. Para obter mais informações, consulte Escolher o SKU do Firewall do Azure certo para atender às suas necessidades.", + "guid": "fbcc2c4d-8026-46a9-8fe7-bdb04dbd1f20", + "service": "Azure Firewall", + "text": "Implante o SKU do Firewall do Azure adequado.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Você pode ter ambientes de desenvolvimento ou teste que são usados apenas durante o horário comercial. Para obter mais informações, consulte Desalocar e alocar o Firewall do Azure.", + "guid": "4bf5b742-3a86-40a3-abce-a7991e9a0e78", + "service": "Azure Firewall", + "text": "Interrompa as implantações do Firewall do Azure que não precisam ser executadas 24 horas por dia, 7 dias por semana.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Você pode usar uma instância central do Firewall do Azure na rede virtual do hub ou no hub seguro da WAN Virtual e compartilhar o mesmo firewall em várias redes virtuais spoke conectadas ao mesmo hub da mesma região. Verifique se não há tráfego inesperado entre regiões como parte da topologia hub-spoke.", + "guid": "4468b60f-0f1d-4af5-98cd-b4f9fc3bd70f", + "service": "Azure Firewall", + "text": "Compartilhe a mesma instância do Firewall do Azure em várias cargas de trabalho e Redes Virtuais do Azure.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "O log Top Flows (conhecido no setor como Fat Flows) mostra as principais conexões que estão contribuindo para a maior taxa de transferência por meio do firewall. É recomendável examinar regularmente o tráfego processado pelo Firewall do Azure e pesquisar possíveis otimizações para reduzir a quantidade de tráfego que atravessa o firewall.", + "guid": "3ec205f3-5201-4a2e-b82b-1c77c9ee139c", + "service": "Azure Firewall", + "text": "Examine regularmente o tráfego processado pelo Firewall do Azure e procure otimizações de carga de trabalho de origem", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Para identificar implantações de Firewall do Azure não utilizadas, comece analisando as métricas de monitoramento e UDRs associadas a sub-redes que apontam para o IP privado do firewall. Combine essas informações com outras validações, como se sua instância do Firewall do Azure tiver regras (clássicas) para NAT, Rede e Aplicativo, ou mesmo se a configuração de Proxy DNS estiver definida como Desabilitada e com documentação interna sobre seu ambiente e implantações. Você pode detectar implantações econômicas ao longo do tempo. Para obter mais informações sobre como monitorar logs e métricas, consulte Monitorar logs e métricas do Firewall do Azure e utilização da porta SNAT.", + "guid": "514f4dbe-5294-44e1-95c5-923a199ff687", + "service": "Azure Firewall", + "text": "Examine as instâncias subutilizadas do Firewall do Azure. Identifique e exclua implantações de Firewall do Azure não utilizadas.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Revise cuidadosamente as políticas, associações e herança do Firewall Manager. As políticas são cobradas com base em associações de firewall. Uma política com zero ou uma associação de firewall é gratuita. Uma política com várias associações de firewall é cobrada a uma taxa fixa. Para obter mais informações, consulte Preços – Gerenciador de Firewall do Azure.", + "guid": "90f29560-d536-46bf-a719-f0f95f89105e", + "service": "Azure Firewall", + "text": "Use o Gerenciador de Firewall do Azure e suas políticas para reduzir os custos operacionais, aumentar a eficiência e reduzir a sobrecarga de gerenciamento.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Valide se todos os endereços IP públicos associados estão em uso. Se eles não estiverem em uso, desassocie-os e exclua-os. Avalie a utilização da porta SNAT antes de remover qualquer endereço IP. Você usará apenas o número de IPs públicos de que seu firewall precisa. Para obter mais informações, consulte Monitorar logs e métricas do Firewall do Azure e utilização da porta SNAT.", + "guid": "e81c61b3-0085-4029-82e3-d55513288f87", + "service": "Azure Firewall", + "text": "Exclua endereços IP públicos não utilizados.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "O Firewall do Azure tem a capacidade de registrar metadados de forma abrangente de todo o tráfego que vê, para Workspaces do Log Analytics, Armazenamento ou soluções de terceiros por meio de Hubs de Eventos. No entanto, todas as soluções de registro incorrem em custos de processamento e armazenamento de dados. Em volumes muito grandes, esses custos podem ser significativos, uma abordagem econômica e uma alternativa ao Log Analytics devem ser consideradas e o custo estimado. Considere se é necessário registrar metadados de tráfego para todas as categorias de log e modificá-los em Configurações de Diagnóstico, se necessário.", + "guid": "a27d979a-c88c-4ce0-9310-9a69eba3460d", + "service": "Azure Firewall", + "text": "Revise os requisitos de registro.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "O Firewall do Azure deve ser usado para controlar o tráfego entre VNets, entre VNets e redes locais, o tráfego de saída para a Internet e o tráfego não HTTP/s de entrada. Para o controle de tráfego intra-VNet, é recomendável usar Grupos de Segurança de Rede.", + "guid": "bce7644e-fefe-4d43-94ea-37af4d8743f9", + "service": "Azure Firewall", + "text": "Não use o Firewall do Azure para controle de tráfego intra-VNet.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Se a abordagem de IaC (infraestrutura como código) for usada para manter o Firewall do Azure e todas as dependências, o backup e o controle de versão das Políticas de Firewall do Azure já deverão estar em vigor. Caso contrário, um mecanismo complementar baseado no Aplicativo Lógico externo poderá ser implantado para automatizar e fornecer uma solução eficaz.", + "guid": "8b0afffb-17aa-4839-b93f-c01d990ad7c6", + "service": "Azure Firewall", + "text": "Mantenha backups regulares de artefatos do Azure Policy.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Os Logs de Diagnóstico são um componente chave para muitas ferramentas e estratégias de monitoramento do Firewall do Azure e devem ser habilitados. Você pode monitorar o Firewall do Azure usando logs de firewall ou pastas de trabalho. Você também pode usar logs de atividades para auditar operações em recursos do Firewall do Azure.", + "guid": "6d52b11a-0034-4824-84c4-7383182dc4df", + "service": "Azure Firewall", + "text": "Habilite os Logs de Diagnóstico para o Firewall do Azure.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Os logs de firewall estruturados são um tipo de dados de log organizados em um novo formato específico. Eles usam um esquema predefinido para estruturar os dados de log de uma forma que facilite a pesquisa, a filtragem e a análise. As ferramentas de monitoramento mais recentes são baseadas nesse tipo de log, portanto, geralmente é um pré-requisito. Use o formato anterior de Logs de Diagnóstico somente se houver uma ferramenta existente com um pré-requisito para isso. Não habilite os dois formatos de log ao mesmo tempo.", + "guid": "99a0621d-2643-4e46-afb0-dd3e5111dedd", + "service": "Azure Firewall", + "text": "Use o formato Structured Firewall Logs.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "A experiência do portal do Firewall do Azure agora inclui uma nova pasta de trabalho na interface do usuário da seção Monitoramento, uma instalação separada não é mais necessária. Com a pasta de trabalho do Firewall do Azure, você pode extrair insights valiosos de eventos do Firewall do Azure, aprofundar suas regras de aplicativo e rede e examinar estatísticas sobre atividades de firewall em URLs, portas e endereços.", + "guid": "8c18d9ea-2440-4125-a0cb-c1cf35c0be70", + "service": "Azure Firewall", + "text": "Use a pasta de trabalho interna de monitoramento do Firewall do Azure.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Os alertas devem ser criados para monitorar pelo menos a taxa de transferência, o estado de integridade do firewall, a utilização da porta SNAT e as métricas de investigação de latência do AZFW. Para obter informações sobre como monitorar logs e métricas, consulte Monitorar logs e métricas do Firewall do Azure.", + "guid": "05877204-1759-4b71-8938-4766b1b24fa7", + "service": "Azure Firewall", + "text": "Monitore as principais métricas e crie alertas para indicadores da utilização da capacidade do Firewall do Azure.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Se essas ferramentas estiverem disponíveis no ambiente, é recomendável aproveitar a integração com as soluções Microsoft Defender para Nuvem e Microsoft Sentinel. Com a integração do Microsoft Defender para Nuvem, você pode visualizar o status total da infraestrutura de rede e da segurança de rede em um só lugar, incluindo a Segurança de Rede do Azure em todas as VNets e Hubs Virtuais espalhados por diferentes regiões no Azure. A integração com o Microsoft Sentinel fornece recursos de detecção e prevenção de ameaças.", + "guid": "0dd715ab-c76e-49b9-9616-ccb36ddb293e", + "service": "Azure Firewall", + "text": "Configure a integração do Firewall do Azure com o Microsoft Defender para Nuvem e o Microsoft Sentinel.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "A Análise de Política é um novo recurso que fornece insights sobre o impacto de suas políticas de Firewall do Azure. Ele ajuda você a identificar possíveis problemas (atingir limites de política, regras de baixa utilização, regras redundantes, regras muito genéricas, recomendação de uso de grupos de IP) em suas políticas e fornece recomendações para melhorar sua postura de segurança e desempenho de processamento de regras.", + "guid": "9e1b460f-0d41-40a1-9da7-89cda32f7190", + "service": "Azure Firewall", + "text": "Revise regularmente o painel de análise de políticas para identificar possíveis problemas.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Consultas de exemplo são fornecidas para o Firewall do Azure. Isso permitirá que você identifique rapidamente o que está acontecendo dentro do seu firewall e verifique qual regra foi acionada ou qual regra está permitindo / bloqueando uma solicitação.", + "guid": "8f1b00a0-2ba3-4dff-b808-072bbd316a88", + "service": "Azure Firewall", + "text": "Familiarize-se com as consultas KQL (Kusto Query Language) para permitir uma análise rápida e a solução de problemas usando os logs do Firewall do Azure.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "A Análise de Política é um novo recurso que fornece insights sobre o impacto de suas políticas de Firewall do Azure. Ele ajuda você a identificar possíveis problemas (atingir limites de política, regras de baixa utilização, regras redundantes, regras muito genéricas, recomendação de uso de grupos de IP) em suas políticas e fornece recomendações para melhorar sua postura de segurança e desempenho de processamento de regras.", + "guid": "f3a64299-022d-492e-a095-72965cbb79b8", + "service": "Azure Firewall", + "text": "Use o painel Análise de Política para identificar possíveis otimizações para Políticas de Firewall.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "Em vez de criar e manter explicitamente uma longa lista de sites públicos da Internet, considere o uso de Categorias da Web do Firewall do Azure. Esse recurso categorizará dinamicamente o conteúdo da Web e permitirá a criação de Regras de Aplicativo compactas.", + "guid": "53e42e9b-6d25-4116-87ca-6c97252e1cd6", + "service": "Azure Firewall", + "text": "Considere as categorias da Web para permitir ou negar o acesso de saída em massa.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "Se o Firewall do Azure precisar operar no modo IDPS Alertar e negar, considere cuidadosamente o impacto no desempenho, conforme documentado nesta página.", + "guid": "4afedb20-a63a-4c17-907d-d8afc5cd1b43", + "service": "Azure Firewall", + "text": "Avalie o impacto no desempenho do IDPS no modo de alerta e negação.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "Atualmente, o Firewall do Azure dá suporte a 2496 portas por endereço IP público por instância do Conjunto de Dimensionamento de Máquinas Virtuais de back-end. Por padrão, há duas instâncias do Conjunto de Dimensionamento de Máquinas Virtuais. Portanto, existem 4992 portas por IP de destino de fluxo, porta de destino e protocolo (TCP ou UDP). O firewall pode ser dimensionado até um máximo de 20 instâncias. Você pode contornar os limites configurando implantações do Firewall do Azure com um mínimo de cinco endereços IP públicos para implantações suscetíveis ao esgotamento de SNAT.", + "guid": "cdb16c9c-fe4e-41d6-bc0c-8519a606d37b", + "service": "Azure Firewall", + "text": "Avalie o possível problema de esgotamento da porta SNAT.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "Crie tráfego inicial que não faça parte de seus testes de carga 20 minutos antes do teste. Use as configurações de diagnóstico para capturar eventos de expansão e redução. Você pode usar o serviço de Teste de Carga do Azure para gerar o tráfego inicial. Permite que a instância do Firewall do Azure escale verticalmente suas instâncias ao máximo.", + "guid": "1859fa28-775d-433f-b189-6b250e51b441", + "service": "Azure Firewall", + "text": "Aqueça corretamente o Firewall do Azure antes de qualquer teste de desempenho.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "O Firewall do Azure é uma implantação dedicada em sua rede virtual. Em sua rede virtual, uma sub-rede dedicada é necessária para a instância do Firewall do Azure. O Firewall do Azure provisiona mais capacidade à medida que é dimensionado. Um espaço de endereço /26 para suas sub-redes garante que o firewall tenha endereços IP suficientes disponíveis para acomodar o dimensionamento. O Firewall do Azure não precisa de uma sub-rede maior que /26. O nome da sub-rede do Firewall do Azure deve ser AzureFirewallSubnet.", + "guid": "272b1122-494d-4baa-a328-928a89ebb0ad", + "service": "Azure Firewall", + "text": "Configure uma sub-rede do Firewall do Azure (AzureFirewallSubnet) com um espaço de endereço /26.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "O Firewall do Azure fornece alguns recursos avançados de log que podem ser caros para manter sempre ativos. Em vez disso, eles devem ser usados apenas para fins de solução de problemas e limitados em duração e, em seguida, desativados quando não forem mais necessários. Por exemplo, os principais fluxos e os logs de rastreamento de fluxo são caros podem causar uso excessivo de CPU e armazenamento na infraestrutura do Firewall do Azure.", + "guid": "2b20c2ea-e6fd-4570-b86f-b20bfb695c6f", + "service": "Azure Firewall", + "text": "Não habilite o registro avançado se não for necessário", + "type": "recommendation", + "waf": "Desempenho" + } + ], + "metadata": { + "name": "Azure Firewall Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "Esta verificação ainda não foi analisada", + "name": "Não verificado" + }, + { + "description": "Há um item de ação associado a essa verificação", + "name": "Abrir" + }, + { + "description": "Essa verificação foi verificada e não há mais itens de ação associados a ela", + "name": "Cumprido" + }, + { + "description": "Não aplicável para o projeto atual", + "name": "N/A" + }, + { + "description": "Não é necessário", + "name": "Não é necessário" + } + ], + "waf": [ + { + "name": "segurança" + }, + { + "name": "Custar" + }, + { + "name": "custar" + }, + { + "name": "Fiabilidade" + }, + { + "name": "fiabilidade" + }, + { + "name": "Segurança" + }, + { + "name": "desempenho" + }, + { + "name": "Operações" + }, + { + "name": "Operações" + }, + { + "name": "Desempenho" + } + ], + "yesno": [ + { + "name": "Sim" + }, + { + "name": "Não" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurefirewall_sg_checklist.zh-Hant.json b/checklists-ext/azurefirewall_sg_checklist.zh-Hant.json new file mode 100644 index 000000000..9f7966403 --- /dev/null +++ b/checklists-ext/azurefirewall_sg_checklist.zh-Hant.json @@ -0,0 +1,442 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "使用用於流量治理和保護的原生安全服務輕鬆創建中心輻射型和可傳遞架構。 有關網路拓撲的詳細資訊，請參閱 Azure 雲採用框架文檔。", + "guid": "833670b0-5f05-4810-96be-dd79df30775d", + "service": "Azure Firewall", + "text": "將 Azure 防火牆管理器與傳統的 Hub & Spokes 或 Azure 虛擬 WAN 網路拓撲結合使用，以部署和管理 Azure 防火牆的實例。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "Azure 防火牆策略可以按層次結構進行排列，以覆蓋中央基本策略。允許使用精細的策略來滿足特定區域的要求。通過基於角色的訪問控制 （RBAC） 將增量防火牆策略委派給本地安全團隊。某些設置是特定於每個實例的，例如 DNAT 規則和 DNS 配置，然後可能需要多個專用策略。", + "guid": "5b0404e7-a3be-4103-aff9-903f9fe447d2", + "service": "Azure Firewall", + "text": "創建 Azure 防火牆策略以管理全球網路環境中的安全狀況。將策略分配給 Azure 防火牆的所有實例。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "對於現有部署，請將 Azure 防火牆規則遷移到 Azure 防火牆管理器策略。使用 Azure 防火牆管理器集中管理防火牆和策略。 有關詳細資訊，請參閱遷移到 Azure 防火牆高級版。", + "guid": "182b6ed7-94f3-434c-be79-ce6a93d6560c", + "service": "Azure Firewall", + "text": "將 Azure 防火牆經典規則遷移到現有部署的 Azure 防火牆管理器策略。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "Azure 防火牆產品組在此位置維護已知問題的更新清單。此清單包含與按設計行為、正在構建的修復、平臺限制以及可能的解決方法或緩解措施相關的重要資訊。", + "guid": "d34dc09b-f98f-47d4-92b7-79f77b9a755d", + "service": "Azure Firewall", + "text": "查看 Azure 防火牆已知問題清單。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "策略結構存在限制，包括規則和規則集合組的數量、策略總大小、源/目標目標。請務必撰寫您的政策，並保持在記錄的閾值之後。", + "guid": "86b20eea-4ed0-4f79-adf4-4ff5f7edc227", + "service": "Azure Firewall", + "text": "確保 Azure 防火牆策略遵守 Azure 防火牆限制和建議。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "當 Azure 防火牆部署在單個可用性區域中時，以及當它部署在多個區域中時，它會提供不同的 SLA。有關詳細資訊，請參閱 Azure 防火牆的 SLA。有關所有 Azure SLA 的資訊，請參閱 Azure 服務的 SLA 摘要。", + "guid": "7f303799-88af-49d0-ae85-73ce4bf33f76", + "service": "Azure Firewall", + "text": "跨多個可用性區域部署 Azure 防火牆，以實現更高的服務級別協定 （SLA）。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "對於傳統的 Hub & Spokes 體系結構，本文將介紹多區域詳細資訊。對於受保護的虛擬中心 （Azure 虛擬 WAN） ，必須配置路由意向和策略，以保護中心間和分支到分支的通信。對於設計為具有抗故障和容錯能力的工作負載，請記住將 Azure 防火牆和 Azure 虛擬網路的實例視為區域資源。", + "guid": "69dcdc93-55e9-454e-9128-b9996b089e2c", + "service": "Azure Firewall", + "text": "在多區域環境中，為每個區域部署一個 Azure 防火牆實例。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "密切監視 Azure 防火牆運行狀況的關鍵指標指示器，例如輸送量、防火牆運行狀況、SNAT 埠利用率和 AZFW 延遲探測指標。此外，Azure 防火牆現在與 Azure 資源運行狀況集成。通過 Azure 防火牆資源運行狀況檢查，現在可以查看 Azure 防火牆的運行狀況，並解決可能影響 Azure 防火牆資源的服務問題。", + "guid": "dbadd7db-ba2d-4b33-bf38-3251fe3fb6fb", + "service": "Azure Firewall", + "text": "監視 Azure 防火牆指標和資源運行狀況狀態。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "Azure 防火牆必須具有直接的 Internet 連接。如果 AzureFirewallSubnet 透過邊界閘道協定獲知到本地網路的預設路由，則必須在強制隧道模式下配置 Azure 防火牆。使用強制隧道功能時，需要另一個 /26 位址空間用於 Azure 防火牆管理子網。如果這是無法在強制隧道模式下重新配置的現有 Azure 防火牆實例，則需要將其命名為 AzureFirewallManagementSubnet，請創建具有 0.0.0.0/0 路由的 UDR。將 NextHopType 值設置為 Internet。將其與 AzureFirewallSubnet 關聯以維護 Internet 連接。", + "guid": "55277728-2747-486c-be69-3428291856a4", + "service": "Azure Firewall", + "text": "如果需要將所有 Internet 綁定流量路由到指定的下一躍點，而不是直接路由到 Internet，請在強制隧道模式下配置 Azure 防火牆（不適用於 Azure 虛擬 WAN）。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "部署新的 Azure 防火牆實例時，如果啟用強制隧道模式，則可以將公共 IP 位址設置為“無”以部署完全專用的數據平面。但是，管理平面仍然需要公共IP僅用於管理目的。來自虛擬網路和本地網路的內部流量不會使用該公共IP。有關強制隧道的詳細資訊，請參閱 Azure 防火牆強制隧道。", + "guid": "7d9cd1f0-0f59-452e-be83-de6b49710ddc", + "service": "Azure Firewall", + "text": "在強制隧道模式下配置 Azure 防火牆時，將公共IP位址設置為“無”，以部署完全專用的數據平面（不適用於 Azure 虛擬 WAN）。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Azure 防火牆策略可以按層次結構進行排列，以覆蓋中央基本策略。允許使用精細的策略來滿足特定區域的要求。每個策略可以包含不同的 DNAT、網路和應用程式規則集，這些規則具有特定的優先順序、操作和處理順序。根據最低許可權訪問零信任原則創建規則。本文介紹了如何處理規則。", + "guid": "c7600ea8-eb60-4eb1-9aee-c874efef69b7", + "service": "Azure Firewall", + "text": "根據最低許可權訪問條件為防火牆策略創建規則。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "IDPS 是最強大的 Azure 防火牆 （高級） 安全功能之一，應啟用。根據安全性和應用程式要求，並考慮性能影響（請參閱下面的“成本”部分），可以選擇“警報”或“警報”和“拒絕”模式。", + "guid": "d8fc2b4d-a183-4949-82ff-c6130a9d87dc", + "service": "Azure Firewall", + "text": "在警報或警報和拒絕模式下啟用 IDPS。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "啟用此功能會將 VNet 中的用戶端作為 DNS 伺服器指向 Azure 防火牆。它將保護不會被直接訪問和暴露的內部DNS基礎設施。還必須將 Azure 防火牆配置為使用用於轉發 DNS 查詢的自定義 DNS。", + "guid": "9fa0a48c-c3cb-4fc2-a02b-1182a047e076", + "service": "Azure Firewall", + "text": "啟用 Azure 防火牆 （DNS） 代理配置。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "在傳統的 Hub & Spokes 體系結構中，配置 UDR 以強制流量通過 Azure 防火牆進行“SpoketoSpoke”、“SpoketoInternet”和“SpoketoHybrid”連接。在 Azure 虛擬 WAN 中，請配置路由意向和策略，以通過整合到中心的 Azure 防火牆實例重定向專用和/或 Internet 流量。", + "guid": "a3f23112-5986-4fd2-9d64-edfb0363c08c", + "service": "Azure Firewall", + "text": "配置使用者定義的路由 （UDR） 以強制流量通過 Azure 防火牆。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "在出站路徑上啟用顯式代理功能后，可以在發送 Web 應用程式（例如 Web 瀏覽器）上配置代理設置，並將 Azure 防火牆配置為代理。因此，Web 流量將到達防火牆的專用IP位址，因此直接從防火牆退出，而無需使用UDR。此功能還有助於在不修改現有網路路由的情況下使用多個防火牆。", + "guid": "f62b7e3d-b86d-4f84-888d-ec7f97b34e96", + "service": "Azure Firewall", + "text": "如果無法應用 UDR，並且只需要 Web 流量重定向，請考慮使用 Azure 防火牆作為顯式代理", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "您可以使用熟悉的同類最佳第三方 SECaaS 產品來保護使用者的互聯網訪問。此方案確實需要在中心中使用 S2S VPN 閘道的 Azure 虛擬 WAN，因為它使用 IPSec 隧道連接到供應商的基礎結構。SECaaS 供應商可能會收取額外的許可費用並限制IPSec連接的輸送量。存在 ZScaler Cloud Connector 等替代解決方案，可能更合適。", + "guid": "1f1a4239-f908-4fb5-aff5-7d716d9227a1", + "service": "Azure Firewall", + "text": "如果要使用受支援的第三方軟體即服務 （SaaS） 安全提供者來保護出站連接，請在 Firewall Manager 中配置這些解決方案。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "可以在 Azure 防火牆和防火牆策略中使用基於 DNS 解析的 FQDN。此功能允許您使用任何 TCP/UDP 協定（包括 NTP、SSH、RDP 等）篩選出站流量。必須啟用 Azure 防火牆 DNS 代理配置才能在網路規則中使用 FQDN。若要瞭解其工作原理，請參閱網路規則中的 Azure 防火牆 FQDN 篩選。", + "guid": "cac3a2cc-688b-42c3-bfb5-e2b55270b8a0", + "service": "Azure Firewall", + "text": "在網路規則中使用完全限定的功能變數名稱 （FQDN） 篩選。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "服務標記表示一組IP位址前綴，以説明最大程度地降低安全規則創建的複雜性。使用網路規則中的服務標記，可以在不打開大範圍 IP 位址的情況下啟用對 Azure、Dynamics 和 Office 365 中特定服務的出站訪問。Azure 將自動維護這些標記與每個服務使用的基礎 IP 位址之間的映射。此處列出了可用於 Azure 防火牆的服務標記清單：Az Firewall Service Tags。", + "guid": "8e718b0b-3ae5-4a85-9e5e-7f12ac48ace8", + "service": "Azure Firewall", + "text": "在網路規則中使用服務標記以啟用對特定 Microsoft 服務的選擇性訪問。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "FQDN 標記表示與已知 Microsoft 服務關聯的一組完全限定的功能變數名稱 （FQDN）。可以在應用程式規則中使用 FQDN 標記，以允許某些特定 Azure 服務、Office 365、Windows 365 和 Intune 所需的出站網路流量通過防火牆。", + "guid": "66db2147-74f7-4b4a-af65-a946369ae551", + "service": "Azure Firewall", + "text": "在應用程式規則中使用 FQDN 標記以啟用對特定 Microsoft 服務的選擇性訪問。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "DDoS 防護計劃提供增強的緩解功能，以保護您的防火牆免受 DDoS 攻擊。Azure 防火牆管理器是一個集成工具，用於創建防火牆基礎結構和 DDoS 保護計劃。有關詳細資訊，請參閱使用 Azure 防火牆管理器配置 Azure DDoS 防護計劃。", + "guid": "0c87e550-0780-401e-9208-5464b378a8e7", + "service": "Azure Firewall", + "text": "使用 Azure 防火牆管理器創建 DDoS 保護計劃並將其與中心虛擬網路關聯（不適用於 Azure 虛擬 WAN）。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "使用 Azure 防火牆高級版時，如果使用 TLS 檢查功能，建議將內部企業證書頒發機構 （CA） 用於生產環境。自簽名證書應僅用於測試/PoC 目的。", + "guid": "821132d4-1ba9-4709-9eb3-5906871b1721", + "service": "Azure Firewall", + "text": "使用企業 PKI 產生用於 TLS 檢查的證書。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "如果您的安全要求需要對 Web 應用程式（檢查和加密）實施零信任方法，建議遵循本指南。在本文檔中，將介紹如何在傳統的中心輻射型和虛擬 WAN 方案中將 Azure 防火牆和應用程式閘道集成在一起。", + "guid": "0ecf166e-e415-45bf-bece-87a32e76b096", + "service": "Azure Firewall", + "text": "查看 Azure 防火牆和應用程式閘道的零信任配置指南", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Azure 防火牆可以部署在三個不同的 SKU 中：基本、標準和高級。建議使用 Azure 防火牆高級版來保護高度敏感的應用程式（例如付款處理）。對於尋找第 3 層至第 7 層防火牆且需要自動縮放以處理高達 30 Gbps 的峰值流量期的客戶，建議使用 Azure 防火牆標準版。 對於輸送量需求為 250 Mbps 的 SMB 客戶，建議使用 Azure 防火牆基本版。如果需要，可以在標準版和高級版之間降級或升級，如此處所述。 有關詳細資訊，請參閱選擇正確的 Azure 防火牆 SKU 以滿足你的需求。", + "guid": "fbcc2c4d-8026-46a9-8fe7-bdb04dbd1f20", + "service": "Azure Firewall", + "text": "部署正確的 Azure 防火牆 SKU。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "您可能具有僅在工作時間使用的開發或測試環境。有關詳細資訊，請參閱取消分配和分配 Azure 防火牆。", + "guid": "4bf5b742-3a86-40a3-abce-a7991e9a0e78", + "service": "Azure Firewall", + "text": "停止不需要 24x7 全天候運行的 Azure 防火牆部署。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "可以在中心虛擬網路或虛擬 WAN 安全中心中使用 Azure 防火牆的中心實例，並在從同一區域連接到同一中心的許多分支虛擬網路中共用同一防火牆。確保中心輻射型拓撲中沒有意外的跨區域流量。", + "guid": "4468b60f-0f1d-4af5-98cd-b4f9fc3bd70f", + "service": "Azure Firewall", + "text": "在多個工作負載和 Azure 虛擬網路之間共用同一 Azure 防火牆實例。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "Top Flows 日誌（在業界稱為 Fat Flows）顯示通過防火牆實現最高輸送量的頂級連接。建議定期查看 Azure 防火牆處理的流量，並搜索可能的優化方法，以減少通過防火牆的流量。", + "guid": "3ec205f3-5201-4a2e-b82b-1c77c9ee139c", + "service": "Azure Firewall", + "text": "定期查看 Azure 防火牆處理的流量，並查找原始工作負載優化", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "若要識別未使用的 Azure 防火牆部署，請首先分析與指向防火牆專用 IP 的子網關聯的監視指標和 UDR。將該資訊與其他驗證相結合，例如，Azure 防火牆實例是否具有針對 NAT、網路和應用程式的任何規則 （經典） ，或者即使 DNS 代理設置配置為 已禁用，以及有關環境和部署的內部文檔。您可以檢測出在一段時間內具有成本效益的部署。 有關監視日誌和指標的詳細資訊，請參閱監視 Azure 防火牆日誌和指標和 SNAT 埠利用率。", + "guid": "514f4dbe-5294-44e1-95c5-923a199ff687", + "service": "Azure Firewall", + "text": "查看未充分利用的 Azure 防火牆實例。識別並刪除未使用的 Azure 防火牆部署。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "請仔細查看 Firewall Manager 策略、關聯和繼承。策略根據防火牆關聯進行計費。具有零個或一個防火牆關聯的策略是免費的。具有多個防火牆關聯的策略按固定費率計費。有關詳細資訊，請參閱定價 - Azure 防火牆管理器。", + "guid": "90f29560-d536-46bf-a719-f0f95f89105e", + "service": "Azure Firewall", + "text": "使用 Azure 防火牆管理器及其策略可降低運營成本、提高效率並減少管理開銷。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "驗證是否所有關聯的公共IP位址都在使用中。如果它們未在使用中，請取消關聯並刪除它們。在刪除任何IP位址之前評估SNAT埠利用率。您只需使用防火牆所需的公共IP數量。有關詳細資訊，請參閱監視 Azure 防火牆日誌和指標以及 SNAT 埠利用率。", + "guid": "e81c61b3-0085-4029-82e3-d55513288f87", + "service": "Azure Firewall", + "text": "刪除未使用的公共IP位址。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "Azure 防火牆能夠通過事件中心將它看到的所有流量的元數據全面記錄到 Log Analytics 工作區、存儲或第三方解決方案中。但是，所有日誌記錄解決方案都會產生數據處理和存儲成本。在非常大的數量下，這些成本可能很高，應考慮一種經濟高效的方法和日誌分析的替代方法，並估算成本。考慮是否需要記錄所有日誌記錄類別的流量元數據，並在需要時在診斷設置中進行修改。", + "guid": "a27d979a-c88c-4ce0-9310-9a69eba3460d", + "service": "Azure Firewall", + "text": "查看記錄要求。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "應使用 Azure 防火牆來控制跨 VNet、VNet 與本地網路之間的流量、到 Internet 的出站流量以及傳入的非 HTTP/s 流量。對於 VNet 內部流量控制，建議使用網路安全組。", + "guid": "bce7644e-fefe-4d43-94ea-37af4d8743f9", + "service": "Azure Firewall", + "text": "請勿使用 Azure 防火牆進行 VNet 內部流量控制。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "如果使用基礎結構即代碼 （IaC） 方法來維護 Azure 防火牆和所有依賴項，則 Azure 防火牆策略的備份和版本控制應已到位。如果沒有，可以部署基於外部邏輯應用的配套機制，以自動化並提供有效的解決方案。", + "guid": "8b0afffb-17aa-4839-b93f-c01d990ad7c6", + "service": "Azure Firewall", + "text": "維護 Azure Policy 專案的定期備份。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "診斷日誌是 Azure 防火牆的許多監視工具和策略的關鍵元件，應啟用它。可以使用防火牆日誌或工作簿監視 Azure 防火牆。還可以使用活動日誌來審核對 Azure 防火牆資源的操作。", + "guid": "6d52b11a-0034-4824-84c4-7383182dc4df", + "service": "Azure Firewall", + "text": "啟用 Azure 防火牆的診斷日誌。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "結構化防火牆日誌是一種以特定新格式組織的日誌數據類型。它們使用預定義的架構來構建日誌數據，使其易於搜索、篩選和分析。最新的監視工具基於這種類型的日誌，因此它通常是先決條件。僅當存在具有先決條件的現有工具時，才使用以前的診斷日誌格式。不要同時啟用這兩種日誌記錄格式。", + "guid": "99a0621d-2643-4e46-afb0-dd3e5111dedd", + "service": "Azure Firewall", + "text": "使用結構化防火牆日誌格式。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "Azure 防火牆門戶體驗現在在“監視”部分 UI 下包含一個新工作簿，不再需要單獨安裝。使用 Azure 防火牆工作簿，可以從 Azure 防火牆事件中提取有價值的見解，深入研究應用程式和網路規則，並檢查有關 URL、埠和地址之間的防火牆活動的統計資訊。", + "guid": "8c18d9ea-2440-4125-a0cb-c1cf35c0be70", + "service": "Azure Firewall", + "text": "使用內置的 Azure 防火牆監視工作簿。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "應創建警報，至少監視輸送量、防火牆運行狀況狀態、SNAT 埠利用率和 AZFW 延遲探測指標。有關監視日誌和指標的資訊，請參閱監視 Azure 防火牆日誌和指標。", + "guid": "05877204-1759-4b71-8938-4766b1b24fa7", + "service": "Azure Firewall", + "text": "監視關鍵指標，併為 Azure 防火牆容量利用率的指標創建警報。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "如果這些工具在環境中可用，建議利用與 Microsoft Defender for Cloud 和 Microsoft Sentinel 解決方案的集成。借助 Microsoft Defender for Cloud 集成，可以在一個位置可視化網路基礎結構和網路安全的全面狀態，包括分佈在 Azure 中不同區域的所有 VNet 和虛擬中心的 Azure 網路安全。與 Microsoft Sentinel 集成可提供威脅檢測和預防功能。", + "guid": "0dd715ab-c76e-49b9-9616-ccb36ddb293e", + "service": "Azure Firewall", + "text": "配置 Azure 防火牆與 Microsoft Defender for Cloud 和 Microsoft Sentinel 的集成。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "策略分析是一項新功能，可深入瞭解 Azure 防火牆策略的影響。它可以説明您識別策略中的潛在問題（達到策略限制、低利用率規則、冗餘規則、規則過於通用、IP 組使用建議），並提供建議以改善您的安全狀況和規則處理性能。", + "guid": "9e1b460f-0d41-40a1-9da7-89cda32f7190", + "service": "Azure Firewall", + "text": "定期查看策略分析儀錶板，以確定潛在問題。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "為 Azure 防火牆提供了示例查詢。這些將使您能夠快速識別防火牆內部發生的情況，並檢查觸發了哪個規則，或者哪個規則允許/阻止請求。", + "guid": "8f1b00a0-2ba3-4dff-b808-072bbd316a88", + "service": "Azure Firewall", + "text": "熟悉 KQL（Kusto 查詢語言）查詢，以便使用 Azure 防火牆日誌進行快速分析和故障排除。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "策略分析是一項新功能，可深入瞭解 Azure 防火牆策略的影響。它可以説明您識別策略中的潛在問題（達到策略限制、低利用率規則、冗餘規則、規則過於通用、IP 組使用建議），並提供建議以改善您的安全狀況和規則處理性能。", + "guid": "f3a64299-022d-492e-a095-72965cbb79b8", + "service": "Azure Firewall", + "text": "使用「策略分析」儀錶板確定防火牆策略的潛在優化。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "不要顯式構建和維護一長串公共 Internet 網站，而應考慮使用 Azure 防火牆 Web 類別。此功能將對 Web 內容進行動態分類，並允許創建緊湊的應用程式規則。", + "guid": "53e42e9b-6d25-4116-87ca-6c97252e1cd6", + "service": "Azure Firewall", + "text": "請考慮使用 Web 類別來批量允許或拒絕出站訪問。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "如果需要 Azure 防火牆在 IDPS 模式下運行警報和拒絕，請仔細考慮本頁中所述的性能影響。", + "guid": "4afedb20-a63a-4c17-907d-d8afc5cd1b43", + "service": "Azure Firewall", + "text": "評估IDPS在警報和拒絕模式下的性能影響。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "Azure 防火牆目前支援每個後端虛擬機規模集實例的每個公共IP位址 2496個埠。默認情況下，有兩個虛擬機規模集實例。因此，每個流目標 IP、目標埠和協定（TCP 或 UDP）有 4992 個埠。防火牆最多可擴展到20個實例。可以通過將 Azure 防火牆部署配置為至少 5 個公共 IP 位址，以便部署容易受到 SNAT 耗盡的影響，從而繞過這些限制。", + "guid": "cdb16c9c-fe4e-41d6-bc0c-8519a606d37b", + "service": "Azure Firewall", + "text": "評估潛在的 SNAT 埠耗盡問題。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "在測試前 20 分鐘創建不屬於負載測試的初始流量。使用診斷設置來捕獲縱向擴展和縱向縮減事件。可以使用 Azure 負載測試服務來生成初始流量。允許 Azure 防火牆實例將其實例縱向擴展到最大值。", + "guid": "1859fa28-775d-433f-b189-6b250e51b441", + "service": "Azure Firewall", + "text": "在進行任何性能測試之前，請正確預熱 Azure 防火牆。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "Azure 防火牆是虛擬網路中的專用部署。在虛擬網路中，Azure 防火牆實例需要專用子網。Azure 防火牆在縮放時預配更多容量。其子網的 /26 位址空間可確保防火牆有足夠的可用IP位址來適應縮放。Azure 防火牆不需要大於 /26 的子網。Azure 防火牆子網名稱必須是 AzureFirewallSubnet。", + "guid": "272b1122-494d-4baa-a328-928a89ebb0ad", + "service": "Azure Firewall", + "text": "配置具有 /26 位址空間的 Azure 防火牆子網 （AzureFirewallSubnet）。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "Azure 防火牆提供了一些高級日誌記錄功能，這些功能保持始終處於活動狀態的成本可能很高。相反，它們應僅用於故障排除目的，並且持續時間有限，然後在不再需要時禁用。例如，「排名靠前」流和「流跟蹤日誌」成本高昂可能會導致 Azure 防火牆基礎結構上的 CPU 和存儲使用率過高。", + "guid": "2b20c2ea-e6fd-4570-b86f-b20bfb695c6f", + "service": "Azure Firewall", + "text": "如果不需要，請不要啟用高級日誌記錄", + "type": "recommendation", + "waf": "性能" + } + ], + "metadata": { + "name": "Azure Firewall Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "此檢查尚未查看", + "name": "未驗證" + }, + { + "description": "有一個與此檢查關聯的操作項", + "name": "打開" + }, + { + "description": "此檢查已經過驗證，並且沒有與之關聯的其他操作項", + "name": "實現" + }, + { + "description": "不適用於當前設計", + "name": "N/A" + }, + { + "description": "不需要", + "name": "不需要" + } + ], + "waf": [ + { + "name": "安全" + }, + { + "name": "成本" + }, + { + "name": "成本" + }, + { + "name": "可靠性" + }, + { + "name": "可靠性" + }, + { + "name": "安全" + }, + { + "name": "性能" + }, + { + "name": "操作" + }, + { + "name": "操作" + }, + { + "name": "性能" + } + ], + "yesno": [ + { + "name": "是的" + }, + { + "name": "不" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurefrontdoor_sg_checklist.en.json b/checklists-ext/azurefrontdoor_sg_checklist.en.json index 4ed93ea88..f93eecc1f 100644 --- a/checklists-ext/azurefrontdoor_sg_checklist.en.json +++ b/checklists-ext/azurefrontdoor_sg_checklist.en.json @@ -245,6 +245,6 @@ "name": "Azure Front Door Service Guide", "waf": "all", "state": "preview", - "timestamp": "August 04, 2024" + "timestamp": "August 05, 2024" } } \ No newline at end of file diff --git a/checklists-ext/azurefrontdoor_sg_checklist.es.json b/checklists-ext/azurefrontdoor_sg_checklist.es.json new file mode 100644 index 000000000..a88c9f3cb --- /dev/null +++ b/checklists-ext/azurefrontdoor_sg_checklist.es.json @@ -0,0 +1,250 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "Puede seleccionar el mejor recurso de origen mediante una serie de pasos de decisión y su diseño. El origen seleccionado atiende el tráfico dentro del rango de latencia permitido en la proporción de pesos especificada.", + "guid": "00d75bec-38c3-456d-86e6-42031076f429", + "service": "Azure Front Door", + "text": "Elija un método de enrutamiento que admita su estrategia de implementación. El método ponderado, que distribuye el tráfico en función del coeficiente de ponderación configurado, admite modelos activo-activo. Un valor basado en prioridades que configura la región primaria para recibir todo el tráfico y enviar tráfico a la región secundaria como copia de seguridad admite modelos activo-pasivo. Combine los métodos anteriores con la latencia para que el origen con la latencia más baja reciba tráfico.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Varios orígenes admiten redundancia mediante la distribución del tráfico entre varias instancias de la aplicación. Si una instancia no está disponible, otros orígenes de back-end aún pueden recibir tráfico.", + "guid": "96530f4b-ba7a-4288-aaa0-9167975de796", + "service": "Azure Front Door", + "text": "Compatibilidad con la redundancia al tener varios orígenes en uno o varios grupos de back-end. Tenga siempre instancias redundantes de su aplicación y asegúrese de que cada instancia exponga un punto de conexión u origen. Puede colocar esos orígenes en uno o varios grupos de back-end.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Los sondeos de estado habilitados forman parte de la implementación del patrón de supervisión de estado. Los sondeos de estado se aseguran de que Azure Front Door solo enruta el tráfico a las instancias que están en buen estado para controlar las solicitudes. Para obtener más información, consulte Procedimientos recomendados para sondeos de estado.", + "guid": "f802e2c6-ea9b-4e0d-b3d1-b7c4d0b4aa26", + "service": "Azure Front Door", + "text": "Configure sondeos de estado en el origen. Configure Azure Front Door para realizar comprobaciones de estado y determinar si la instancia de back-end está disponible y lista para seguir recibiendo solicitudes.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Los tiempos de espera ayudan a evitar problemas de rendimiento y disponibilidad al finalizar las solicitudes que tardan más de lo esperado en completarse.", + "guid": "e1ec439d-2bc8-4e6e-b72f-1aafaa2aae58", + "service": "Azure Front Door", + "text": "Establezca un tiempo de espera para reenviar solicitudes al back-end. Ajuste la configuración de tiempo de espera según las necesidades de sus terminales. Si no lo hace, Azure Front Door podría cerrar la conexión antes de que el origen envíe la respuesta. También puede reducir el tiempo de espera predeterminado para Azure Front Door si todos los orígenes tienen un tiempo de espera más corto. Para obtener más información, consulte Solución de problemas de solicitudes que no responden.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Establezca el mismo nombre de host para evitar un mal funcionamiento con la afinidad de sesión, la autenticación y la autorización. Para obtener más información, consulte Conservar el nombre de host HTTP original entre un proxy inverso y su aplicación web back-end.", + "guid": "dd9e850c-0ce5-4ac2-8d8b-53cd21925a8d", + "service": "Azure Front Door", + "text": "Use el mismo nombre de host en Azure Front Door y en su origen. Azure Front Door puede reescribir el encabezado de host de las solicitudes entrantes, lo que resulta útil cuando hay varios nombres de dominio personalizados que se enrutan a un origen. Sin embargo, reescribir el encabezado del host puede causar problemas con las cookies de solicitud y el redireccionamiento de URL.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Con la afinidad de sesión, las conexiones de usuario permanecen en el mismo origen durante la sesión de usuario. Si ese origen deja de estar disponible, es posible que la experiencia del usuario se vea interrumpida.", + "guid": "66bc38be-1613-4bf5-b10b-f130eaff5140", + "service": "Azure Front Door", + "text": "Decida si la aplicación requiere afinidad de sesión. Si tiene requisitos de alta confiabilidad, le recomendamos que deshabilite la afinidad de sesión.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Limite las solicitudes para evitar que los clientes envíen demasiado tráfico a la aplicación. La limitación de velocidad puede ayudarte a evitar problemas como una tormenta de reintentos.", + "guid": "d9ea6be6-aed9-48ef-8774-7a10eb669286", + "service": "Azure Front Door", + "text": "Aproveche las reglas de limitación de velocidad que se incluyen con un firewall de aplicaciones web (WAF).", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Los conjuntos de reglas predeterminados se actualizan con frecuencia en función de los 10 tipos de ataque principales de OWASP y de la información de Microsoft Threat Intelligence. Los conjuntos de reglas especializadas detectan determinados casos de uso. Por ejemplo, las reglas de bots clasifican los bots como buenos, malos o desconocidos en función de las direcciones IP del cliente. También bloquean los bots maliciosos y las direcciones IP conocidas y restringen el tráfico en función de la ubicación geográfica de las personas que llaman. Mediante el uso de una combinación de conjuntos de reglas, puede detectar y bloquear ataques con varias intenciones.", + "guid": "56baca49-9e07-4ea8-983f-6a580cee1b4b", + "service": "Azure Front Door", + "text": "Habilite los conjuntos de reglas de WAF que detectan y bloquean el tráfico potencialmente malintencionado. Esta función está disponible en el nivel Premium. Recomendamos estos conjuntos de reglas: - Predeterminado- Protección contra bots- Restricción de IP- Filtrado geográfico- Limitación de velocidad", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Reduzca los falsos positivos y permita solicitudes legítimas para su aplicación.", + "guid": "214d73c2-77e5-4000-81fb-7463d9183beb", + "service": "Azure Front Door", + "text": "Cree exclusiones para conjuntos de reglas administrados. Pruebe una política de WAF en modo de detección durante unas semanas y ajuste los falsos positivos antes de implementarla.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "TLS garantiza que los intercambios de datos entre el explorador, Azure Front Door y los orígenes back-end estén cifrados para evitar la manipulación. Key Vault ofrece compatibilidad con certificados administrados y renovación y rotación sencillas de certificados.", + "guid": "a34600e2-cbae-4bf6-b272-377ec3232184", + "service": "Azure Front Door", + "text": "Habilite TLS de extremo a extremo, redireccionamiento de HTTP a HTTPS y certificados TLS administrados cuando corresponda. Revise los procedimientos recomendados de TLS para Azure Front Door. Utilice la versión 1.2 de TLS como la versión mínima permitida con cifrados que sean relevantes para su aplicación. Los certificados administrados de Azure Front Door deben ser la opción predeterminada para facilitar las operaciones. Sin embargo, si desea administrar el ciclo de vida de los certificados, use sus propios certificados en los puntos de conexión de dominio personalizado de Azure Front Door y almacénelos en Key Vault.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "El almacenamiento en caché optimiza los costos de transferencia de datos, ya que reduce el número de llamadas desde la instancia de Azure Front Door hasta el origen.", + "guid": "18343954-6c64-4254-a1f1-95992a15a798", + "service": "Azure Front Door", + "text": "Use el almacenamiento en caché para los puntos de conexión que lo admitan.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "La compresión reduce el consumo de ancho de banda y mejora el rendimiento.", + "guid": "e371af3c-0759-4e8d-ba6a-d25483643ec4", + "service": "Azure Front Door", + "text": "Considere la posibilidad de habilitar la compresión de archivos. Para esta configuración, la aplicación debe admitir la compresión y el almacenamiento en caché debe estar habilitado.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Puede ahorrar en costos de ancho de banda deshabilitando las solicitudes que no son necesarias para tomar decisiones de enrutamiento.", + "guid": "8d573a21-8a95-455f-9c6b-d3df3ef7b64f", + "service": "Azure Front Door", + "text": "Deshabilite las comprobaciones de estado en grupos de back-end únicos. Si solo tiene un origen configurado en el grupo de origen de Azure Front Door, estas llamadas son innecesarias.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Cuando se habilita el redireccionamiento, Azure Front Door redirige automáticamente a los clientes que usan el protocolo anterior para usar HTTPS para una experiencia segura.", + "guid": "254773ae-c7c4-4ed6-a700-e0002742f249", + "service": "Azure Front Door", + "text": "Utilice el redireccionamiento de HTTP a HTTPS para admitir la compatibilidad con versiones posteriores.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "La supervisión del flujo de entrada es una parte crucial de la supervisión de una aplicación. Desea realizar un seguimiento de las solicitudes y realizar mejoras de rendimiento y seguridad. Necesita datos para depurar la configuración de Azure Front Door. Con las alertas, puede recibir notificaciones instantáneas de cualquier problema operativo crítico.", + "guid": "380c2642-b634-476a-9bd4-9e3bb2f718e8", + "service": "Azure Front Door", + "text": "Captura de registros y métricas. Incluya registros de actividad de recursos, registros de acceso, registros de sondeo de estado y registros de WAF. Configura alertas.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Una vista holística del perfil de Azure Front Door ayuda a impulsar mejoras basadas en informes de tráfico y seguridad a través de métricas de WAF.", + "guid": "7cabd86b-d55e-4a51-9088-a9b66dd9a7bd", + "service": "Azure Front Door", + "text": "Revise los informes de análisis integrados.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Azure Front Door puede emitir y administrar certificados automáticamente. Esta función elimina la necesidad de renovar certificados y minimiza el riesgo de una interrupción debido a un certificado TLS no válido o caducado.", + "guid": "99d4c43f-e603-49ad-bf1e-47cec531a2f3", + "service": "Azure Front Door", + "text": "Utilice certificados TLS administrados cuando sea posible.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "No es necesario modificar la configuración para agregar o especificar cada subdominio por separado.", + "guid": "d979b485-b404-40dc-8d2a-280023a9216b", + "service": "Azure Front Door", + "text": "Utilice certificados TLS comodín.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Azure Front Door ofrece una solución de red de entrega de contenido sólida que almacena en caché el contenido en el perímetro de la red. El almacenamiento en caché reduce la carga en los servidores back-end y reduce el movimiento de datos a través de la red, lo que ayuda a descargar el uso del ancho de banda.", + "guid": "e8d431d1-8549-4d6d-a1da-ec67e7ef897e", + "service": "Azure Front Door", + "text": "Habilite el almacenamiento en caché. Puede optimizar las cadenas de consulta para el almacenamiento en caché. En el caso de contenido puramente estático, omita las cadenas de consulta para maximizar el uso de la memoria caché. Si la aplicación usa cadenas de consulta, considere la posibilidad de incluirlas en la clave de caché. La inclusión de las cadenas de consulta en la clave de caché permite a Azure Front Door servir respuestas almacenadas en caché u otras respuestas, en función de la configuración.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "La compresión en Azure Front Door ayuda a entregar contenido en el formato óptimo, tiene una carga más pequeña y entrega contenido a los usuarios más rápido.", + "guid": "55ac8a69-b68f-4d07-a94b-65a9eecb11d3", + "service": "Azure Front Door", + "text": "Usa la compresión de archivos cuando accedas a contenido descargable.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Las solicitudes 'HEAD' le permiten consultar un cambio de estado sin obtener todo su contenido.", + "guid": "05736c21-5250-46a7-8c7a-27bbbf8190db", + "service": "Azure Front Door", + "text": "Al configurar sondeos de estado en Azure Front Door, considere la posibilidad de usar solicitudes \"HEAD\" en lugar de solicitudes \"GET\". El sondeo de estado solo lee el código de estado, no el contenido.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Optimice el rendimiento y mantenga la continuidad de las sesiones de usuario, especialmente cuando las aplicaciones dependen del mantenimiento de la información de estado localmente.", + "guid": "7dd5da03-4e98-440f-9bfa-a60428db96a0", + "service": "Azure Front Door", + "text": "Evalúe si debe habilitar la afinidad de sesión cuando las solicitudes del mismo usuario deben dirigirse al mismo servidor back-end. Desde el punto de vista de la confiabilidad, no recomendamos este enfoque. Si usa esta opción, la aplicación debería recuperarse correctamente sin interrumpir las sesiones de usuario. También hay una compensación en el equilibrio de carga, ya que restringe la flexibilidad de distribuir el tráfico entre varios back-ends de manera uniforme.", + "type": "recommendation", + "waf": "Rendimiento" + } + ], + "metadata": { + "name": "Azure Front Door Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "Este control aún no se ha examinado", + "name": "No verificado" + }, + { + "description": "Hay un elemento de acción asociado a esta comprobación", + "name": "Abrir" + }, + { + "description": "Esta comprobación se ha verificado y no hay más elementos de acción asociados a ella", + "name": "Cumplido" + }, + { + "description": "No aplicable para el diseño actual", + "name": "N/A" + }, + { + "description": "No es necesario", + "name": "No es necesario" + } + ], + "waf": [ + { + "name": "seguridad" + }, + { + "name": "Costar" + }, + { + "name": "costar" + }, + { + "name": "Fiabilidad" + }, + { + "name": "fiabilidad" + }, + { + "name": "Seguridad" + }, + { + "name": "rendimiento" + }, + { + "name": "Operaciones" + }, + { + "name": "Operaciones" + }, + { + "name": "Rendimiento" + } + ], + "yesno": [ + { + "name": "Sí" + }, + { + "name": "No" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurefrontdoor_sg_checklist.ja.json b/checklists-ext/azurefrontdoor_sg_checklist.ja.json new file mode 100644 index 000000000..e6a98f601 --- /dev/null +++ b/checklists-ext/azurefrontdoor_sg_checklist.ja.json @@ -0,0 +1,250 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "最適なオリジンリソースを選択するには、一連の決定手順と設計を使用します。選択したオリジンは、指定されたウェイトの比率で許容レイテンシ範囲内のトラフィックを提供します。", + "guid": "00d75bec-38c3-456d-86e6-42031076f429", + "service": "Azure Front Door", + "text": "デプロイ戦略をサポートするルーティング方法を選択します。 設定された重み係数に基づいてトラフィックを分散する加重方式は、アクティブ/アクティブモデルをサポートします。 プライマリ リージョンがすべてのトラフィックを受信し、バックアップとしてセカンダリ リージョンにトラフィックを送信するように設定する優先度ベースの値は、アクティブ/パッシブ モデルをサポートします。 上記の方法とレイテンシを組み合わせて、レイテンシが最も低いオリジンがトラフィックを受信するようにします。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "複数のオリジンは、アプリケーションの複数のインスタンスにトラフィックを分散することで冗長性をサポートします。1 つのインスタンスが使用できない場合でも、他のバックエンド配信元は引き続きトラフィックを受信できます。", + "guid": "96530f4b-ba7a-4288-aaa0-9167975de796", + "service": "Azure Front Door", + "text": "1 つ以上のバックエンド プールに複数の配信元を持つことで冗長性をサポートします。アプリケーションの冗長インスタンスを常に用意し、各インスタンスがエンドポイントまたはオリジンを公開していることを確認します。これらの配信元は、1 つ以上のバックエンド プールに配置できます。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "有効な正常性プローブは、正常性監視パターンの実装の一部です。正常性プローブは、Azure Front Door が要求を処理するのに十分な正常なインスタンスにのみトラフィックをルーティングすることを確認します。 詳細については、「正常性プローブのベスト プラクティス」を参照してください。", + "guid": "f802e2c6-ea9b-4e0d-b3d1-b7c4d0b4aa26", + "service": "Azure Front Door", + "text": "配信元で正常性プローブを設定します。バックエンド インスタンスが使用可能で、引き続き要求を受信する準備ができているかどうかを判断するための正常性チェックを実行するように Azure Front Door を構成します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "タイムアウトは、完了までに予想以上に時間がかかる要求を終了することで、パフォーマンスの問題と可用性の問題を防ぐのに役立ちます。", + "guid": "e1ec439d-2bc8-4e6e-b72f-1aafaa2aae58", + "service": "Azure Front Door", + "text": "バックエンドへの要求の転送にタイムアウトを設定します。 エンドポイントのニーズに応じてタイムアウト設定を調整します。そうしないと、配信元が応答を送信する前に Azure Front Door が接続を閉じる可能性があります。 また、すべての配信元のタイムアウトが短い場合は、Azure Front Door の既定のタイムアウトを下げることもできます。 詳細については、「応答しない要求のトラブルシューティング」を参照してください。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "セッションのアフィニティ、認証、および承認の誤動作を防ぐために、同じホスト名を設定します。詳細については、「リバース プロキシとそのバックエンド Web アプリケーション間で元の HTTP ホスト名を保持する」を参照してください。", + "guid": "dd9e850c-0ce5-4ac2-8d8b-53cd21925a8d", + "service": "Azure Front Door", + "text": "Azure Front Door と配信元で同じホスト名を使用します。Azure Front Door では、受信要求のホスト ヘッダーを書き換えることができるため、1 つの配信元にルーティングする複数のカスタム ドメイン名がある場合に便利です。ただし、ホストヘッダーを書き換えると、リクエスト Cookie と URL リダイレクトで問題が発生する可能性があります。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "セッション アフィニティを使用すると、ユーザー接続はユーザー セッション中に同じオリジンに留まります。そのオリジンが使用できなくなった場合、ユーザーエクスペリエンスが中断される可能性があります。", + "guid": "66bc38be-1613-4bf5-b10b-f130eaff5140", + "service": "Azure Front Door", + "text": "アプリケーションにセッション アフィニティが必要かどうかを判断します。高い信頼性要件がある場合は、セッション アフィニティを無効にすることをお勧めします。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "要求を制限して、クライアントがアプリケーションに大量のトラフィックを送信しないようにします。レート制限は、再試行ストームのような問題を回避するのに役立ちます。", + "guid": "d9ea6be6-aed9-48ef-8774-7a10eb669286", + "service": "Azure Front Door", + "text": "Web アプリケーション ファイアウォール (WAF) に含まれるレート制限ルールを利用します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "既定のルール セットは、OWASP の上位 10 種類の攻撃の種類と Microsoft 脅威インテリジェンスからの情報に基づいて頻繁に更新されます。 特殊なルール・セットは、特定のユースケースを検出します。たとえば、ボット ルールは、クライアントの IP アドレスに基づいてボットを良好、不良、または不明に分類します。また、悪意のあるボットや既知のIPアドレスをブロックし、発信者の地理的な場所に基づいてトラフィックを制限します。 ルールセットを組み合わせて使用することで、さまざまなインテントによる攻撃を検知し、ブロックすることができます。", + "guid": "56baca49-9e07-4ea8-983f-6a580cee1b4b", + "service": "Azure Front Door", + "text": "悪意のある可能性のあるトラフィックを検出してブロックする WAF ルールセットを有効にします。この機能は、Premium レベルで使用できます。次のルールセットをお勧めします: - デフォルト - ボット保護 - IP制限 - ジオフィルタリング - レート制限", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "誤検知を減らし、アプリケーションに対する正当な要求を許可します。", + "guid": "214d73c2-77e5-4000-81fb-7463d9183beb", + "service": "Azure Front Door", + "text": "マネージド ルール セットの除外を作成します。 WAF ポリシーを検出モードで数週間テストし、誤検出がある場合は調整してからデプロイします。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "TLS により、ブラウザー、Azure Front Door、バックエンドの配信元間のデータ交換が暗号化され、改ざんが防止されます。 Key Vault は、マネージド証明書のサポートと、簡単な証明書の更新とローテーションを提供します。", + "guid": "a34600e2-cbae-4bf6-b272-377ec3232184", + "service": "Azure Front Door", + "text": "エンドツーエンド TLS、HTTP から HTTPS へのリダイレクト、およびマネージド TLS 証明書 (該当する場合) を有効にします。 Azure Front Door の TLS のベスト プラクティスを確認します。 TLS バージョン 1.2 を最小許容バージョンとして使用し、アプリケーションに関連する暗号を使用します。 Azure Front Door で管理される証明書は、操作を容易にするために既定の選択肢にする必要があります。ただし、証明書のライフサイクルを管理する場合は、Azure Front Door カスタム ドメイン エンドポイントで独自の証明書を使用し、Key Vault に格納します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "キャッシュを使用すると、Azure Front Door インスタンスから配信元への呼び出しの数が減るため、データ転送コストが最適化されます。", + "guid": "18343954-6c64-4254-a1f1-95992a15a798", + "service": "Azure Front Door", + "text": "キャッシュをサポートするエンドポイントにはキャッシュを使用します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "圧縮により、帯域幅の消費が削減され、パフォーマンスが向上します。", + "guid": "e371af3c-0759-4e8d-ba6a-d25483643ec4", + "service": "Azure Front Door", + "text": "ファイル圧縮を有効にすることを検討してください。この構成では、アプリケーションが圧縮をサポートし、キャッシュを有効にする必要があります。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "ルーティングの決定に必要のない要求を無効にすることで、帯域幅のコストを節約できます。", + "guid": "8d573a21-8a95-455f-9c6b-d3df3ef7b64f", + "service": "Azure Front Door", + "text": "単一のバックエンド・プールのヘルス・チェックを無効にします。Azure Front Door の配信元グループに配信元が 1 つしか構成されていない場合、これらの呼び出しは不要です。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "リダイレクトを有効にすると、Azure Front Door は、セキュリティで保護されたエクスペリエンスのために、古いプロトコルを使用しているクライアントを自動的にリダイレクトして HTTPS を使用します。", + "guid": "254773ae-c7c4-4ed6-a700-e0002742f249", + "service": "Azure Front Door", + "text": "HTTP から HTTPS へのリダイレクトを使用して、上位互換性をサポートします。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "イングレス フローの監視は、アプリケーションの監視の重要な部分です。要求を追跡し、パフォーマンスとセキュリティを改善したい。Azure Front Door の構成をデバッグするには、データが必要です。 アラートを設定すると、重大な運用上の問題について即座に通知を受け取ることができます。", + "guid": "380c2642-b634-476a-9bd4-9e3bb2f718e8", + "service": "Azure Front Door", + "text": "ログとメトリクスをキャプチャします。 リソース アクティビティ ログ、アクセス ログ、正常性プローブ ログ、WAF ログを含めます。アラートを設定します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "Azure Front Door プロファイルの全体像を把握すると、WAF メトリックを通じてトラフィックとセキュリティのレポートに基づいて改善を推進するのに役立ちます。", + "guid": "7cabd86b-d55e-4a51-9088-a9b66dd9a7bd", + "service": "Azure Front Door", + "text": "組み込みの分析レポートを確認します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "Azure Front Door では、証明書を発行して管理できます。この機能により、証明書の更新が不要になり、TLS証明書が無効または期限切れであることによる停止のリスクが最小限に抑えられます。", + "guid": "99d4c43f-e603-49ad-bf1e-47cec531a2f3", + "service": "Azure Front Door", + "text": "可能な場合は、マネージド TLS 証明書を使用します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "各サブドメインを個別に追加または指定するために、設定を変更する必要はありません。", + "guid": "d979b485-b404-40dc-8d2a-280023a9216b", + "service": "Azure Front Door", + "text": "ワイルドカード TLS 証明書を使用します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "Azure Front Door は、ネットワークのエッジでコンテンツをキャッシュする堅牢なコンテンツ配信ネットワーク ソリューションを提供します。キャッシングにより、バックエンド サーバーの負荷が軽減され、ネットワーク経由でのデータ移動が削減されるため、帯域幅の使用量を軽減できます。", + "guid": "e8d431d1-8549-4d6d-a1da-ec67e7ef897e", + "service": "Azure Front Door", + "text": "キャッシュを有効にします。 キャッシュ用にクエリ文字列を最適化できます。純粋に静的なコンテンツの場合は、クエリ文字列を無視して、キャッシュを最大限に活用します。 アプリケーションでクエリ文字列を使用する場合は、それらをキャッシュキーに含めることを検討してください。キャッシュ キーにクエリ文字列を含めると、Azure Front Door は、構成に基づいてキャッシュされた応答またはその他の応答を提供できます。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "Azure Front Door の圧縮は、最適な形式でコンテンツを配信し、ペイロードを小さくし、コンテンツをユーザーに迅速に配信するのに役立ちます。", + "guid": "55ac8a69-b68f-4d07-a94b-65a9eecb11d3", + "service": "Azure Front Door", + "text": "ダウンロード可能なコンテンツにアクセスするときは、ファイル圧縮を使用します。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "'HEAD' リクエストを使用すると、コンテンツ全体をフェッチせずに状態変更をクエリできます。", + "guid": "05736c21-5250-46a7-8c7a-27bbbf8190db", + "service": "Azure Front Door", + "text": "Azure Front Door で正常性プローブを構成する場合は、'GET' 要求ではなく 'HEAD' 要求を使用することを検討してください。 正常性プローブは、コンテンツではなく、状態コードのみを読み取ります。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "ユーザーセッションのパフォーマンスを最適化し、継続性を維持します。特に、アプリケーションが状態情報をローカルで保持することに依存している場合に顕著です。", + "guid": "7dd5da03-4e98-440f-9bfa-a60428db96a0", + "service": "Azure Front Door", + "text": "同じユーザーからの要求を同じバックエンド・サーバーに送信する必要がある場合に、セッション・アフィニティーを有効にする必要があるかどうかを評価します。 信頼性の観点から、このアプローチはお勧めしません。このオプションを使用すると、アプリケーションはユーザー・セッションを中断することなく正常にリカバリできます。 また、負荷分散にはトレードオフがあり、複数のバックエンドにトラフィックを均等に分散する柔軟性が制限されます。", + "type": "recommendation", + "waf": "パフォーマンス" + } + ], + "metadata": { + "name": "Azure Front Door Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "このチェックはまだ見ていません", + "name": "未確認" + }, + { + "description": "このチェックにはアクションアイテムが関連付けられています", + "name": "開ける" + }, + { + "description": "このチェックは検証済みであり、これ以上のアクション アイテムは関連付けられていません", + "name": "達成" + }, + { + "description": "現在のデザインには適用されません", + "name": "該当なし" + }, + { + "description": "必須ではありません", + "name": "必須ではありません" + } + ], + "waf": [ + { + "name": "安全" + }, + { + "name": "費用" + }, + { + "name": "費用" + }, + { + "name": "確実" + }, + { + "name": "確実" + }, + { + "name": "安全" + }, + { + "name": "パフォーマンス" + }, + { + "name": "オペレーションズ" + }, + { + "name": "オペレーションズ" + }, + { + "name": "パフォーマンス" + } + ], + "yesno": [ + { + "name": "はい" + }, + { + "name": "いいえ" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurefrontdoor_sg_checklist.ko.json b/checklists-ext/azurefrontdoor_sg_checklist.ko.json new file mode 100644 index 000000000..f30c3d9d1 --- /dev/null +++ b/checklists-ext/azurefrontdoor_sg_checklist.ko.json @@ -0,0 +1,250 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "일련의 의사 결정 단계와 설계를 사용하여 최상의 원본 리소스를 선택할 수 있습니다. 선택한 오리진은 지정된 가중치 비율로 허용 가능한 지연 시간 범위 내에서 트래픽을 처리합니다.", + "guid": "00d75bec-38c3-456d-86e6-42031076f429", + "service": "Azure Front Door", + "text": "배포 전략을 지원하는 라우팅 방법을 선택합니다. 구성된 가중치 계수에 따라 트래픽을 분산하는 가중치 적용 방법은 액티브-액티브 모델을 지원합니다. 모든 트래픽을 수신하고 백업으로 보조 지역으로 트래픽을 보내도록 주 지역을 구성하는 우선 순위 기반 값은 활성-수동 모델을 지원합니다. 앞의 방법을 지연 시간과 결합하여 지연 시간이 가장 낮은 오리진이 트래픽을 수신하도록 합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "다중 오리진은 애플리케이션의 여러 인스턴스에 트래픽을 분산하여 중복성을 지원합니다. 한 인스턴스를 사용할 수 없는 경우 다른 백 엔드 오리진은 여전히 트래픽을 수신할 수 있습니다.", + "guid": "96530f4b-ba7a-4288-aaa0-9167975de796", + "service": "Azure Front Door", + "text": "하나 이상의 백 엔드 풀에 여러 원본을 두어 중복성을 지원합니다. 항상 응용 프로그램의 중복 인스턴스를 사용하고 각 인스턴스가 끝점 또는 원본을 노출하는지 확인합니다. 이러한 원본을 하나 이상의 백 엔드 풀에 배치할 수 있습니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "사용하도록 설정된 상태 프로브는 상태 모니터링 패턴 구현의 일부입니다. 상태 프로브는 Azure Front Door가 요청을 처리할 수 있을 만큼 건강한 인스턴스로만 트래픽을 라우팅하도록 합니다. 자세한 내용은 상태 프로브에 대한 모범 사례를 참조하세요.", + "guid": "f802e2c6-ea9b-4e0d-b3d1-b7c4d0b4aa26", + "service": "Azure Front Door", + "text": "원본에서 상태 프로브를 설정합니다. 백 엔드 인스턴스를 사용할 수 있고 요청을 계속 받을 준비가 되었는지 확인하기 위해 상태 검사를 수행하도록 Azure Front Door를 구성합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "시간 제한은 완료하는 데 예상보다 오래 걸리는 요청을 종료하여 성능 문제 및 가용성 문제를 방지하는 데 도움이 됩니다.", + "guid": "e1ec439d-2bc8-4e6e-b72f-1aafaa2aae58", + "service": "Azure Front Door", + "text": "백 엔드에 대한 요청 전달에 대한 시간 제한을 설정합니다. 엔드포인트의 필요에 따라 시간 제한 설정을 조정합니다. 그렇지 않으면 원본이 응답을 보내기 전에 Azure Front Door가 연결을 닫을 수 있습니다. 모든 원본의 시간 제한이 더 짧은 경우 Azure Front Door의 기본 시간 제한을 낮출 수도 있습니다. 자세한 내용은 응답하지 않는 요청 문제 해결을 참조하세요.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "세션 어피니티(affinity), 인증(authentication), 권한 부여(authorization)로 인한 오작동을 방지하기 위해 동일한 호스트 이름을 설정합니다. 자세한 내용은 역방향 프록시와 해당 백 엔드 웹 응용 프로그램 간의 원래 HTTP 호스트 이름 유지를 참조하세요.", + "guid": "dd9e850c-0ce5-4ac2-8d8b-53cd21925a8d", + "service": "Azure Front Door", + "text": "Azure Front Door 및 원본에서 동일한 호스트 이름을 사용합니다. Azure Front Door는 들어오는 요청의 호스트 헤더를 다시 작성할 수 있으며, 이는 하나의 원본으로 라우팅되는 여러 사용자 지정 도메인 이름이 있는 경우에 유용합니다. 그러나 호스트 헤더를 다시 작성하면 요청 쿠키 및 URL 리디렉션에 문제가 발생할 수 있습니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "세션 선호도를 사용하면 사용자 세션 동안 사용자 연결이 동일한 원본에 유지됩니다. 해당 원본을 사용할 수 없게 되면 사용자 환경이 중단될 수 있습니다.", + "guid": "66bc38be-1613-4bf5-b10b-f130eaff5140", + "service": "Azure Front Door", + "text": "응용 프로그램에 세션 선호도가 필요한지 여부를 결정합니다. 높은 안정성 요구 사항이 있는 경우 세션 선호도를 사용하지 않도록 설정하는 것이 좋습니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "클라이언트가 애플리케이션에 너무 많은 트래픽을 보내는 것을 방지하기 위해 요청을 제한합니다. 속도 제한은 재시도 폭풍과 같은 문제를 방지하는 데 도움이 될 수 있습니다.", + "guid": "d9ea6be6-aed9-48ef-8774-7a10eb669286", + "service": "Azure Front Door", + "text": "WAF(웹 애플리케이션 방화벽)에 포함된 속도 제한 규칙을 활용합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "기본 규칙 집합은 OWASP 상위 10개 공격 유형 및 Microsoft 위협 인텔리전스의 정보에 따라 자주 업데이트됩니다. 특수 규칙 집합은 특정 사용 사례를 감지합니다. 예를 들어, 봇 규칙은 클라이언트 IP 주소를 기반으로 봇을 양호, 불량 또는 알 수 없음으로 분류합니다. 또한 악성 봇과 알려진 IP 주소를 차단하고 호출자의 지리적 위치에 따라 트래픽을 제한합니다. 규칙 집합을 조합하여 사용하면 다양한 의도를 가진 공격을 탐지하고 차단할 수 있습니다.", + "guid": "56baca49-9e07-4ea8-983f-6a580cee1b4b", + "service": "Azure Front Door", + "text": "잠재적으로 악의적인 트래픽을 탐지하고 차단하는 WAF 규칙 집합을 사용하도록 설정합니다. 이 기능은 프리미엄 계층에서 사용할 수 있습니다. 다음 규칙 집합을 사용하는 것이 좋습니다. - 기본- 봇 보호- IP 제한- 지역 필터링- 속도 제한", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "거짓 긍정을 줄이고 애플리케이션에 대한 합법적인 요청을 허용합니다.", + "guid": "214d73c2-77e5-4000-81fb-7463d9183beb", + "service": "Azure Front Door", + "text": "관리형 규칙 집합에 대한 제외를 만듭니다. 몇 주 동안 검색 모드에서 WAF 정책을 테스트하고 배포하기 전에 가양성을 조정합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "TLS는 브라우저, Azure Front Door 및 백 엔드 원본 간의 데이터 교환이 암호화되어 변조를 방지하도록 합니다. Key Vault는 관리형 인증서 지원과 간단한 인증서 갱신 및 회전을 제공합니다.", + "guid": "a34600e2-cbae-4bf6-b272-377ec3232184", + "service": "Azure Front Door", + "text": "엔드투엔드 TLS, HTTP에서 HTTPS로 리디렉션 및 관리형 TLS 인증서(해당하는 경우)를 사용하도록 설정합니다. Azure Front Door에 대한 TLS 모범 사례를 검토합니다. TLS 버전 1.2를 애플리케이션과 관련된 암호와 함께 허용되는 최소 버전으로 사용합니다. Azure Front Door 관리형 인증서는 작업을 쉽게 하기 위해 기본 선택이어야 합니다. 그러나 인증서의 수명 주기를 관리하려면 Azure Front Door 사용자 지정 도메인 엔드포인트에서 사용자 고유의 인증서를 사용하고 Key Vault에 저장합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "캐싱은 Azure Front Door 인스턴스에서 원본으로의 호출 수를 줄이기 때문에 데이터 전송 비용을 최적화합니다.", + "guid": "18343954-6c64-4254-a1f1-95992a15a798", + "service": "Azure Front Door", + "text": "캐싱을 지원하는 엔드포인트에 대해 캐싱을 사용합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "압축은 대역폭 소비를 줄이고 성능을 향상시킵니다.", + "guid": "e371af3c-0759-4e8d-ba6a-d25483643ec4", + "service": "Azure Front Door", + "text": "파일 압축을 활성화하는 것이 좋습니다. 이 구성의 경우 응용 프로그램이 압축을 지원해야 하며 캐싱을 사용하도록 설정해야 합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "라우팅 결정을 내리는 데 필요하지 않은 요청을 비활성화하여 대역폭 비용을 절약할 수 있습니다.", + "guid": "8d573a21-8a95-455f-9c6b-d3df3ef7b64f", + "service": "Azure Front Door", + "text": "단일 백 엔드 풀에서 상태 검사를 사용하지 않도록 설정합니다. Azure Front Door 원본 그룹에 원본이 하나만 구성된 경우 이러한 호출이 필요하지 않습니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "리디렉션을 사용하도록 설정하면 Azure Front Door는 보안 환경을 위해 HTTPS를 사용하도록 이전 프로토콜을 사용하는 클라이언트를 자동으로 리디렉션합니다.", + "guid": "254773ae-c7c4-4ed6-a700-e0002742f249", + "service": "Azure Front Door", + "text": "HTTP에서 HTTPS로의 리디렉션을 사용하여 이후 버전 호환성을 지원합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "수신 흐름 모니터링은 응용 프로그램 모니터링의 중요한 부분입니다. 요청을 추적하고 성능 및 보안을 개선하려고 합니다. Azure Front Door 구성을 디버그하려면 데이터가 필요합니다. 경보가 적용되면 중요한 운영 문제에 대한 즉각적인 알림을 받을 수 있습니다.", + "guid": "380c2642-b634-476a-9bd4-9e3bb2f718e8", + "service": "Azure Front Door", + "text": "로그 및 메트릭을 캡처합니다. 리소스 활동 로그, 액세스 로그, 상태 프로브 로그 및 WAF 로그를 포함합니다. 알림을 설정합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "Azure Front Door 프로필의 전체적인 보기는 WAF 메트릭을 통해 트래픽 및 보안 보고서를 기반으로 개선을 추진하는 데 도움이 됩니다.", + "guid": "7cabd86b-d55e-4a51-9088-a9b66dd9a7bd", + "service": "Azure Front Door", + "text": "기본 제공 분석 보고서를 검토합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "Azure Front Door는 인증서를 발급하고 관리할 수 있습니다. 이 기능을 사용하면 인증서를 갱신할 필요가 없으며 유효하지 않거나 만료된 TLS 인증서로 인한 중단 위험을 최소화할 수 있습니다.", + "guid": "99d4c43f-e603-49ad-bf1e-47cec531a2f3", + "service": "Azure Front Door", + "text": "가능한 경우 관리형 TLS 인증서를 사용합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "각 하위 도메인을 개별적으로 추가하거나 지정하기 위해 구성을 수정할 필요가 없습니다.", + "guid": "d979b485-b404-40dc-8d2a-280023a9216b", + "service": "Azure Front Door", + "text": "와일드카드 TLS 인증서를 사용합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "Azure Front Door는 네트워크 에지에서 콘텐츠를 캐시하는 강력한 콘텐츠 배달 네트워크 솔루션을 제공합니다. 캐싱은 백 엔드 서버의 부하를 줄이고 네트워크를 통한 데이터 이동을 줄여 대역폭 사용을 오프로드하는 데 도움이 됩니다.", + "guid": "e8d431d1-8549-4d6d-a1da-ec67e7ef897e", + "service": "Azure Front Door", + "text": "캐싱을 활성화합니다. 캐싱을 위해 쿼리 문자열을 최적화할 수 있습니다. 순전히 정적인 콘텐츠의 경우 쿼리 문자열을 무시하여 캐시 사용을 최대화합니다. 응용 프로그램에서 쿼리 문자열을 사용하는 경우 캐시 키에 포함하는 것이 좋습니다. 캐시 키에 쿼리 문자열을 포함하면 Azure Front Door가 구성에 따라 캐시된 응답 또는 기타 응답을 제공할 수 있습니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "Azure Front Door의 압축은 최적의 형식으로 콘텐츠를 제공하고, 페이로드가 더 작고, 사용자에게 콘텐츠를 더 빠르게 제공하는 데 도움이 됩니다.", + "guid": "55ac8a69-b68f-4d07-a94b-65a9eecb11d3", + "service": "Azure Front Door", + "text": "다운로드 가능한 콘텐츠에 액세스할 때 파일 압축을 사용합니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "'HEAD' 요청을 사용하면 전체 콘텐츠를 가져오지 않고도 상태 변경을 쿼리할 수 있습니다.", + "guid": "05736c21-5250-46a7-8c7a-27bbbf8190db", + "service": "Azure Front Door", + "text": "Azure Front Door에서 상태 프로브를 구성할 때 'GET' 요청 대신 'HEAD' 요청을 사용하는 것이 좋습니다. 상태 프로브는 콘텐츠가 아닌 상태 코드만 읽습니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "성능을 최적화하고 사용자 세션의 연속성을 유지하며, 특히 응용 프로그램이 로컬에서 상태 정보를 유지 관리해야 하는 경우 더욱 그렇습니다.", + "guid": "7dd5da03-4e98-440f-9bfa-a60428db96a0", + "service": "Azure Front Door", + "text": "동일한 사용자의 요청이 동일한 백엔드 서버로 전달되어야 하는 경우 세션 선호도를 활성화해야 하는지 여부를 평가합니다. 안정성 관점에서는 이 방법을 권장하지 않습니다. 이 옵션을 사용하면 응용 프로그램이 사용자 세션을 중단하지 않고 정상적으로 복구되어야 합니다. 또한 부하 분산에는 여러 백엔드에 트래픽을 균등하게 분산하는 유연성을 제한하기 때문에 절충안이 있습니다.", + "type": "recommendation", + "waf": "공연" + } + ], + "metadata": { + "name": "Azure Front Door Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "이 검사는 아직 검토되지 않았습니다", + "name": "확인되지 않음" + }, + { + "description": "이 검사와 연관된 작업 항목이 있습니다", + "name": "열다" + }, + { + "description": "이 검사는 확인되었으며 이와 관련된 추가 작업 항목이 없습니다", + "name": "성취" + }, + { + "description": "현재 설계에는 적용되지 않습니다.", + "name": "해당 없음" + }, + { + "description": "필요 없음", + "name": "필요 없음" + } + ], + "waf": [ + { + "name": "안전" + }, + { + "name": "비용" + }, + { + "name": "비용" + }, + { + "name": "신뢰도" + }, + { + "name": "신뢰도" + }, + { + "name": "안전" + }, + { + "name": "공연" + }, + { + "name": "작업" + }, + { + "name": "작업" + }, + { + "name": "공연" + } + ], + "yesno": [ + { + "name": "예" + }, + { + "name": "아니요" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurefrontdoor_sg_checklist.pt.json b/checklists-ext/azurefrontdoor_sg_checklist.pt.json new file mode 100644 index 000000000..446fea3fe --- /dev/null +++ b/checklists-ext/azurefrontdoor_sg_checklist.pt.json @@ -0,0 +1,250 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "Você pode selecionar o melhor recurso de origem usando uma série de etapas de decisão e seu design. A origem selecionada atende ao tráfego dentro do intervalo de latência permitido na proporção especificada de pesos.", + "guid": "00d75bec-38c3-456d-86e6-42031076f429", + "service": "Azure Front Door", + "text": "Escolha um método de roteamento que dê suporte à sua estratégia de implantação. O método ponderado, que distribui o tráfego com base no coeficiente de peso configurado, oferece suporte a modelos ativos-ativos. Um valor baseado em prioridade que configura a região primária para receber todo o tráfego e enviar tráfego para a região secundária como backup oferece suporte a modelos ativo-passivo. Combine os métodos anteriores com latência para que a origem com a menor latência receba tráfego.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Várias origens dão suporte à redundância distribuindo o tráfego em várias instâncias do aplicativo. Se uma instância não estiver disponível, outras origens de back-end ainda poderão receber tráfego.", + "guid": "96530f4b-ba7a-4288-aaa0-9167975de796", + "service": "Azure Front Door", + "text": "Dar suporte à redundância por ter várias origens em um ou mais pools de back-end. Sempre tenha instâncias redundantes do seu aplicativo e certifique-se de que cada instância exponha um ponto de extremidade ou origem. Você pode colocar essas origens em um ou mais pools de back-end.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "As investigações de integridade habilitadas fazem parte da implementação do padrão de monitoramento de integridade. As investigações de integridade garantem que o Azure Front Door roteie apenas o tráfego para instâncias íntegras o suficiente para lidar com solicitações. Para obter mais informações, consulte Práticas recomendadas em investigações de integridade.", + "guid": "f802e2c6-ea9b-4e0d-b3d1-b7c4d0b4aa26", + "service": "Azure Front Door", + "text": "Configure investigações de integridade na origem. Configure o Azure Front Door para realizar verificações de integridade para determinar se a instância de back-end está disponível e pronta para continuar recebendo solicitações.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Os tempos limite ajudam a evitar problemas de desempenho e disponibilidade, encerrando solicitações que demoram mais do que o esperado para serem concluídas.", + "guid": "e1ec439d-2bc8-4e6e-b72f-1aafaa2aae58", + "service": "Azure Front Door", + "text": "Defina um tempo limite para encaminhar solicitações para o back-end. Ajuste a configuração de tempo limite de acordo com as necessidades de seus endpoints. Caso contrário, o Azure Front Door poderá fechar a conexão antes que a origem envie a resposta. Você também pode reduzir o tempo limite padrão do Azure Front Door se todas as suas origens tiverem um tempo limite mais curto. Para obter mais informações, consulte Solução de problemas de solicitações que não respondem.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Defina o mesmo nome de host para evitar mau funcionamento com afinidade, autenticação e autorização de sessão. Para obter mais informações, consulte Preservar o nome do host HTTP original entre um proxy reverso e seu aplicativo Web de back-end.", + "guid": "dd9e850c-0ce5-4ac2-8d8b-53cd21925a8d", + "service": "Azure Front Door", + "text": "Use o mesmo nome de host no Azure Front Door e sua origem. O Azure Front Door pode reescrever o cabeçalho do host de solicitações de entrada, o que é útil quando você tem vários nomes de domínio personalizados que roteiam para uma origem. No entanto, reescrever o cabeçalho do host pode causar problemas com cookies de solicitação e redirecionamento de URL.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Com a afinidade de sessão, as conexões do usuário permanecem na mesma origem durante a sessão do usuário. Se essa origem ficar indisponível, a experiência do usuário poderá ser interrompida.", + "guid": "66bc38be-1613-4bf5-b10b-f130eaff5140", + "service": "Azure Front Door", + "text": "Decida se seu aplicativo requer afinidade de sessão. Se você tiver requisitos de alta confiabilidade, recomendamos que você desabilite a afinidade de sessão.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Limite as solicitações para impedir que os clientes enviem muito tráfego para seu aplicativo. A limitação de taxa pode ajudá-lo a evitar problemas como uma tempestade de repetição.", + "guid": "d9ea6be6-aed9-48ef-8774-7a10eb669286", + "service": "Azure Front Door", + "text": "Aproveite as regras de limitação de taxa incluídas em um WAF (firewall de aplicativo Web).", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Os conjuntos de regras padrão são atualizados com frequência com base nos 10 principais tipos de ataque do OWASP e nas informações do Microsoft Threat Intelligence. Os conjuntos de regras especializados detectam determinados casos de uso. Por exemplo, as regras de bot classificam os bots como bons, ruins ou desconhecidos com base nos endereços IP do cliente. Eles também bloqueiam bots ruins e endereços IP conhecidos e restringem o tráfego com base na localização geográfica dos chamadores. Usando uma combinação de conjuntos de regras, você pode detectar e bloquear ataques com várias intenções.", + "guid": "56baca49-9e07-4ea8-983f-6a580cee1b4b", + "service": "Azure Front Door", + "text": "Habilite conjuntos de regras do WAF que detectam e bloqueiam tráfego potencialmente mal-intencionado. Esse recurso está disponível na camada Premium. Recomendamos estes conjuntos de regras: - Padrão - Proteção contra bots - Restrição de IP - Filtragem geográfica - Limitação de taxa", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Reduza os falsos positivos e permita solicitações legítimas para seu aplicativo.", + "guid": "214d73c2-77e5-4000-81fb-7463d9183beb", + "service": "Azure Front Door", + "text": "Crie exclusões para conjuntos de regras gerenciadas. Teste uma política de WAF no modo de detecção por algumas semanas e ajuste os falsos positivos antes de implantá-la.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "O TLS garante que as trocas de dados entre o navegador, o Azure Front Door e as origens de back-end sejam criptografadas para evitar adulterações. O Key Vault oferece suporte a certificados gerenciados e renovação e rotação de certificados simples.", + "guid": "a34600e2-cbae-4bf6-b272-377ec3232184", + "service": "Azure Front Door", + "text": "Habilite TLS de ponta a ponta, redirecionamento de HTTP para HTTPS e certificados TLS gerenciados quando aplicável. Examine as práticas recomendadas de TLS para o Azure Front Door. Use o TLS versão 1.2 como a versão mínima permitida com cifras relevantes para seu aplicativo. Os certificados gerenciados do Azure Front Door devem ser sua opção padrão para facilitar as operações. No entanto, se você quiser gerenciar o ciclo de vida dos certificados, use seus próprios certificados nos pontos de extremidade de domínio personalizados do Azure Front Door e armazene-os no Key Vault.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "O cache otimiza os custos de transferência de dados porque reduz o número de chamadas da instância do Azure Front Door para a origem.", + "guid": "18343954-6c64-4254-a1f1-95992a15a798", + "service": "Azure Front Door", + "text": "Use o cache para pontos de extremidade que dão suporte a ele.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "A compactação reduz o consumo de largura de banda e melhora o desempenho.", + "guid": "e371af3c-0759-4e8d-ba6a-d25483643ec4", + "service": "Azure Front Door", + "text": "Considere habilitar a compactação de arquivos. Para essa configuração, o aplicativo deve dar suporte à compactação e o cache deve estar habilitado.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Você pode economizar nos custos de largura de banda desabilitando solicitações que não são necessárias para tomar decisões de roteamento.", + "guid": "8d573a21-8a95-455f-9c6b-d3df3ef7b64f", + "service": "Azure Front Door", + "text": "Desabilite as verificações de integridade em pools de back-end únicos. Se você tiver apenas uma origem configurada no grupo de origens do Azure Front Door, essas chamadas serão desnecessárias.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Quando o redirecionamento está habilitado, o Azure Front Door redireciona automaticamente os clientes que estão usando o protocolo mais antigo para usar HTTPS para uma experiência segura.", + "guid": "254773ae-c7c4-4ed6-a700-e0002742f249", + "service": "Azure Front Door", + "text": "Use o redirecionamento HTTP para HTTPS para dar suporte à compatibilidade com versões futuras.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "O monitoramento do fluxo de entrada é uma parte crucial do monitoramento de um aplicativo. Você deseja rastrear solicitações e fazer melhorias de desempenho e segurança. Você precisa de dados para depurar a configuração do Azure Front Door. Com alertas em vigor, você pode receber notificações instantâneas de quaisquer problemas operacionais críticos.", + "guid": "380c2642-b634-476a-9bd4-9e3bb2f718e8", + "service": "Azure Front Door", + "text": "Capture logs e métricas. Inclua logs de atividades de recursos, logs de acesso, logs de investigação de integridade e logs do WAF. Configure alertas.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Uma visão holística do seu perfil do Azure Front Door ajuda a impulsionar melhorias com base em relatórios de tráfego e segurança por meio de métricas do WAF.", + "guid": "7cabd86b-d55e-4a51-9088-a9b66dd9a7bd", + "service": "Azure Front Door", + "text": "Revise os relatórios de análise integrados.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "O Azure Front Door pode emitir e gerenciar certificados para você. Esse recurso elimina a necessidade de renovações de certificado e minimiza o risco de interrupção devido a um certificado TLS inválido ou expirado.", + "guid": "99d4c43f-e603-49ad-bf1e-47cec531a2f3", + "service": "Azure Front Door", + "text": "Use certificados TLS gerenciados quando possível.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Você não precisa modificar a configuração para adicionar ou especificar cada subdomínio separadamente.", + "guid": "d979b485-b404-40dc-8d2a-280023a9216b", + "service": "Azure Front Door", + "text": "Use certificados TLS curinga.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "O Azure Front Door oferece uma solução de rede de distribuição de conteúdo robusta que armazena em cache o conteúdo na borda da rede. O cache reduz a carga nos servidores de back-end e reduz a movimentação de dados pela rede, o que ajuda a descarregar o uso da largura de banda.", + "guid": "e8d431d1-8549-4d6d-a1da-ec67e7ef897e", + "service": "Azure Front Door", + "text": "Habilite o cache. Você pode otimizar cadeias de caracteres de consulta para armazenamento em cache. Para conteúdo puramente estático, ignore as cadeias de caracteres de consulta para maximizar o uso do cache. Se o aplicativo usar cadeias de caracteres de consulta, considere incluí-las na chave de cache. Incluir as cadeias de caracteres de consulta na chave de cache permite que o Azure Front Door forneça respostas armazenadas em cache ou outras respostas, com base em sua configuração.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "A compactação no Azure Front Door ajuda a fornecer conteúdo no formato ideal, tem uma carga menor e fornece conteúdo aos usuários mais rapidamente.", + "guid": "55ac8a69-b68f-4d07-a94b-65a9eecb11d3", + "service": "Azure Front Door", + "text": "Use a compactação de arquivos ao acessar conteúdo para download.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "As solicitações 'HEAD' permitem consultar uma alteração de estado sem buscar todo o seu conteúdo.", + "guid": "05736c21-5250-46a7-8c7a-27bbbf8190db", + "service": "Azure Front Door", + "text": "Ao configurar investigações de integridade no Azure Front Door, considere usar solicitações 'HEAD' em vez de solicitações 'GET'. A investigação de integridade lê apenas o código de status, não o conteúdo.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "Otimize o desempenho e mantenha a continuidade das sessões do usuário, especialmente quando os aplicativos dependem da manutenção de informações de estado localmente.", + "guid": "7dd5da03-4e98-440f-9bfa-a60428db96a0", + "service": "Azure Front Door", + "text": "Avalie se você deve habilitar a afinidade de sessão quando as solicitações do mesmo usuário devem ser direcionadas para o mesmo servidor back-end. Do ponto de vista da confiabilidade, não recomendamos essa abordagem. Se você usar essa opção, o aplicativo deverá se recuperar normalmente sem interromper as sessões do usuário. Há também uma compensação no balanceamento de carga porque restringe a flexibilidade de distribuir o tráfego em vários back-ends uniformemente.", + "type": "recommendation", + "waf": "Desempenho" + } + ], + "metadata": { + "name": "Azure Front Door Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "Esta verificação ainda não foi analisada", + "name": "Não verificado" + }, + { + "description": "Há um item de ação associado a essa verificação", + "name": "Abrir" + }, + { + "description": "Essa verificação foi verificada e não há mais itens de ação associados a ela", + "name": "Cumprido" + }, + { + "description": "Não aplicável para o projeto atual", + "name": "N/A" + }, + { + "description": "Não é necessário", + "name": "Não é necessário" + } + ], + "waf": [ + { + "name": "segurança" + }, + { + "name": "Custar" + }, + { + "name": "custar" + }, + { + "name": "Fiabilidade" + }, + { + "name": "fiabilidade" + }, + { + "name": "Segurança" + }, + { + "name": "desempenho" + }, + { + "name": "Operações" + }, + { + "name": "Operações" + }, + { + "name": "Desempenho" + } + ], + "yesno": [ + { + "name": "Sim" + }, + { + "name": "Não" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurefrontdoor_sg_checklist.zh-Hant.json b/checklists-ext/azurefrontdoor_sg_checklist.zh-Hant.json new file mode 100644 index 000000000..c765562b0 --- /dev/null +++ b/checklists-ext/azurefrontdoor_sg_checklist.zh-Hant.json @@ -0,0 +1,250 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "您可以通過使用一系列決策步驟和您的設計來選擇最佳的原始資源。選定的源在允許的延遲範圍內以指定的權重比率提供流量。", + "guid": "00d75bec-38c3-456d-86e6-42031076f429", + "service": "Azure Front Door", + "text": "選擇支援您的部署策略的路由方法。 加權方法根據配置的權重係數分配流量，支持主動-主動模型。 基於優先順序的值將主要區域配置為接收所有流量並將流量作為備份發送到次要區域，該值支持主動-被動模型。 將上述方法與延遲相結合，使延遲最低的源接收流量。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "多個源通過在應用程式的多個實例之間分配流量來支援冗餘。如果一個實例不可用，則其他後端源仍然可以接收流量。", + "guid": "96530f4b-ba7a-4288-aaa0-9167975de796", + "service": "Azure Front Door", + "text": "通過在一個或多個後端池中擁有多個源來支援冗餘。始終具有應用程式的冗餘實例，並確保每個實例都公開一個端點或源。您可以將這些源放置在一個或多個後端池中。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "啟用的運行狀況探測是運行狀況監視模式實現的一部分。運行狀況探測可確保 Azure Front Door 僅將流量路由到運行狀況良好且足以處理請求的實例。 有關詳細資訊，請參閱有關運行狀況探測的最佳做法。", + "guid": "f802e2c6-ea9b-4e0d-b3d1-b7c4d0b4aa26", + "service": "Azure Front Door", + "text": "在源上設置運行狀況探測。配置 Azure Front Door 以執行運行狀況檢查，以確定後端實例是否可用並準備好繼續接收請求。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "超時通過終止完成時間超過預期時間的請求來説明防止性能問題和可用性問題。", + "guid": "e1ec439d-2bc8-4e6e-b72f-1aafaa2aae58", + "service": "Azure Front Door", + "text": "設置將請求轉發到後端的超時。 根據端點的需求調整超時設置。否則，Azure Front Door 可能會在源發送回應之前關閉連接。 如果所有源的超時都較短，還可以降低 Azure Front Door 的預設超時。 有關更多資訊，請參閱對無回應請求進行故障排除。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "設置相同的主機名，以防止會話親和性、身份驗證和授權出現故障。有關詳細資訊，請參閱在反向代理與其後端 Web 應用程式之間保留原始 HTTP 主機名。", + "guid": "dd9e850c-0ce5-4ac2-8d8b-53cd21925a8d", + "service": "Azure Front Door", + "text": "在 Azure Front Door 和源上使用相同的主機名。Azure Front Door 可以重寫傳入請求的主機標頭，這在有多個路由到一個源的自定義功能變數名稱時非常有用。但是，重寫主機標頭可能會導致請求 Cookie 和 URL 重定向問題。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "通過會話相關性，使用者連接在用戶會話期間保持在同一源上。如果該源不可用，用戶體驗可能會中斷。", + "guid": "66bc38be-1613-4bf5-b10b-f130eaff5140", + "service": "Azure Front Door", + "text": "確定應用程式是否需要會話相關性。如果您有較高的可靠性要求，我們建議您關閉會話親和性。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "限制請求以防止用戶端向您的應用程式發送過多流量。速率限制可以説明您避免重試風暴等問題。", + "guid": "d9ea6be6-aed9-48ef-8774-7a10eb669286", + "service": "Azure Front Door", + "text": "利用 Web 應用程式防火牆 （WAF） 附帶的速率限制規則。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "默認規則集會根據 OWASP 前 10 種攻擊類型和來自 Microsoft 威脅情報的資訊頻繁更新。 專用規則集可檢測某些用例。例如，機器人規則根據用戶端IP位址將機器人分類為好、壞或未知。它們還可以阻止惡意機器人和已知IP位址，並根據呼叫者的地理位置限制流量。 通過使用規則集的組合，您可以檢測和阻止具有各種意圖的攻擊。", + "guid": "56baca49-9e07-4ea8-983f-6a580cee1b4b", + "service": "Azure Front Door", + "text": "啟用WAF規則集，以檢測和阻止潛在的惡意流量。此功能在高級層上可用。我們建議設置以下規則： - 預設 - 機器人保護 - IP 限制 - 地理過濾 - 速率限制", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "減少誤報，並允許對應用程式的合法請求。", + "guid": "214d73c2-77e5-4000-81fb-7463d9183beb", + "service": "Azure Front Door", + "text": "為託管規則集創建排除項。 在檢測模式下測試 WAF 策略幾周，並在部署之前調整任何誤報。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "TLS 可確保對瀏覽器、Azure Front Door 和後端源之間的數據交換進行加密，以防止篡改。 Key Vault 提供託管證書支援以及簡單的證書續訂和輪換。", + "guid": "a34600e2-cbae-4bf6-b272-377ec3232184", + "service": "Azure Front Door", + "text": "啟用端到端 TLS、HTTP 到 HTTPS 重定向和託管 TLS 證書（如果適用）。 查看 Azure Front Door 的 TLS 最佳做法。 使用 TLS 版本 1.2 作為允許的最低版本，並使用與您的應用程式相關的密碼。 為了便於操作，Azure Front Door 託管證書應是預設選項。但是，如果要管理證書的生命週期，請在 Azure Front Door 自定義域終結點中使用自己的證書，並將其存儲在 Key Vault 中。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "緩存可優化數據傳輸成本，因為它減少了從 Azure Front Door 實例到源的調用次數。", + "guid": "18343954-6c64-4254-a1f1-95992a15a798", + "service": "Azure Front Door", + "text": "對支援緩存的終結點使用緩存。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "壓縮可減少頻寬消耗並提高性能。", + "guid": "e371af3c-0759-4e8d-ba6a-d25483643ec4", + "service": "Azure Front Door", + "text": "請考慮啟用檔壓縮。對於此配置，應用程式必須支援壓縮，並且必須啟用緩存。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "您可以通過禁用不需要做出路由決策的請求來節省頻寬成本。", + "guid": "8d573a21-8a95-455f-9c6b-d3df3ef7b64f", + "service": "Azure Front Door", + "text": "在單個後端池中禁用運行狀況檢查。如果在 Azure Front Door 源組中只配置了一個源，則不需要這些調用。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "啟用重定向后，Azure Front Door 會自動重定向使用舊協定的用戶端，以使用 HTTPS 提供安全體驗。", + "guid": "254773ae-c7c4-4ed6-a700-e0002742f249", + "service": "Azure Front Door", + "text": "使用 HTTP 到 HTTPS 重定向來支援向前相容性。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "監視入口流是監視應用程式的關鍵部分。您希望跟蹤請求並進行性能和安全性改進。需要數據來調試 Azure Front Door 配置。 有了警報，您可以立即收到任何關鍵操作問題的通知。", + "guid": "380c2642-b634-476a-9bd4-9e3bb2f718e8", + "service": "Azure Front Door", + "text": "捕獲日誌和指標。 包括資源活動日誌、訪問日誌、運行狀況探測日誌和 WAF 日誌。設置警報。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "Azure Front Door 配置檔的整體視圖有助於通過WAF指標根據流量和安全報告推動改進。", + "guid": "7cabd86b-d55e-4a51-9088-a9b66dd9a7bd", + "service": "Azure Front Door", + "text": "查看內置分析報告。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "Azure Front Door 可以為你頒發和管理證書。此功能消除了證書續訂的需要，並最大限度地降低了由於 TLS 證書無效或過期而導致中斷的風險。", + "guid": "99d4c43f-e603-49ad-bf1e-47cec531a2f3", + "service": "Azure Front Door", + "text": "盡可能使用託管 TLS 證書。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "您無需修改設定即可單獨添加或指定每個子域。", + "guid": "d979b485-b404-40dc-8d2a-280023a9216b", + "service": "Azure Front Door", + "text": "使用通配符 TLS 證書。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "Azure Front Door 提供可靠的內容分發網路解決方案，可在網路邊緣緩存內容。緩存可減少後端伺服器的負載，並減少網路上的數據移動，這有助於減輕頻寬使用負擔。", + "guid": "e8d431d1-8549-4d6d-a1da-ec67e7ef897e", + "service": "Azure Front Door", + "text": "啟用快取。 您可以優化查詢字串以進行快取。對於純靜態內容，請忽略查詢字串以最大限度地利用緩存。 如果應用程式使用查詢字串，請考慮將它們包含在緩存鍵中。在緩存鍵中包含查詢字串后，Azure Front Door 可以根據你的配置提供緩存的回應或其他回應。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "Azure Front Door 中的壓縮有助於以最佳格式交付內容，具有較小的有效負載，並更快地將內容交付給使用者。", + "guid": "55ac8a69-b68f-4d07-a94b-65a9eecb11d3", + "service": "Azure Front Door", + "text": "在訪問可下載內容時使用檔壓縮。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "“HEAD”請求允許您查詢狀態更改，而無需獲取其全部內容。", + "guid": "05736c21-5250-46a7-8c7a-27bbbf8190db", + "service": "Azure Front Door", + "text": "在 Azure Front Door 中配置運行狀況探測時，請考慮使用“HEAD”請求，而不是“GET”請求。 運行狀況探測僅讀取狀態代碼，而不讀取內容。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "優化性能並保持使用者會話的連續性，尤其是當應用程式依賴於在本地維護狀態資訊時。", + "guid": "7dd5da03-4e98-440f-9bfa-a60428db96a0", + "service": "Azure Front Door", + "text": "評估當來自同一使用者的請求應定向到同一後端伺服器時，是否應啟用會話相關性。 從可靠性角度來看，我們不建議使用此方法。如果使用此選項，應用程式應正常恢復，而不會中斷用戶會話。 在負載均衡方面也存在權衡，因為它限制了在多個後端之間均勻分配流量的靈活性。", + "type": "recommendation", + "waf": "性能" + } + ], + "metadata": { + "name": "Azure Front Door Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "此檢查尚未查看", + "name": "未驗證" + }, + { + "description": "有一個與此檢查關聯的操作項", + "name": "打開" + }, + { + "description": "此檢查已經過驗證，並且沒有與之關聯的其他操作項", + "name": "實現" + }, + { + "description": "不適用於當前設計", + "name": "N/A" + }, + { + "description": "不需要", + "name": "不需要" + } + ], + "waf": [ + { + "name": "安全" + }, + { + "name": "成本" + }, + { + "name": "成本" + }, + { + "name": "可靠性" + }, + { + "name": "可靠性" + }, + { + "name": "安全" + }, + { + "name": "性能" + }, + { + "name": "操作" + }, + { + "name": "操作" + }, + { + "name": "性能" + } + ], + "yesno": [ + { + "name": "是的" + }, + { + "name": "不" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurekubernetesservice_sg_checklist.en.json b/checklists-ext/azurekubernetesservice_sg_checklist.en.json index 8f84a5034..cd127675e 100644 --- a/checklists-ext/azurekubernetesservice_sg_checklist.en.json +++ b/checklists-ext/azurekubernetesservice_sg_checklist.en.json @@ -477,6 +477,6 @@ "name": "Azure Kubernetes Service Service Guide", "waf": "all", "state": "preview", - "timestamp": "August 04, 2024" + "timestamp": "August 05, 2024" } } \ No newline at end of file diff --git a/checklists-ext/azurekubernetesservice_sg_checklist.es.json b/checklists-ext/azurekubernetesservice_sg_checklist.es.json new file mode 100644 index 000000000..5f6e12eeb --- /dev/null +++ b/checklists-ext/azurekubernetesservice_sg_checklist.es.json @@ -0,0 +1,482 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "Permite que el programador de Kubernetes aísle lógicamente las cargas de trabajo por hardware en el nodo. A diferencia de las tolerancias, los pods sin un selector de nodos coincidentes se pueden programar en nodos etiquetados, lo que permite que se consuman los recursos no utilizados en los nodos, pero da prioridad a los pods que definen el selector de nodos coincidentes. Utilice la afinidad de nodo para obtener más flexibilidad, lo que le permite definir qué sucede si el pod no se puede hacer coincidir con un nodo.", + "guid": "79d7a487-b319-40ef-b55f-94c265986865", + "service": "Azure Kubernetes Service", + "text": "Arquitecturas de clústeres y cargas de trabajo: controle la programación de pods mediante selectores de nodos y afinidad.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Azure CNI es necesario para escenarios específicos, por ejemplo, grupos de nodos basados en Windows, requisitos de red específicos y directivas de red de Kubernetes. Consulte Kubenet frente a Azure CNI para obtener más información.", + "guid": "d152a74d-cb2f-4c9c-978e-0e3a07b174a5", + "service": "Azure Kubernetes Service", + "text": "Arquitectura del clúster: garantice la selección adecuada del complemento de red en función de los requisitos de la red y el tamaño del clúster.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "El Acuerdo de Nivel de Servicio de Tiempo de Actividad de AKS garantiza: - Disponibilidad del 99,95 % del punto de conexión del servidor de la API de Kubernetes para los clústeres de AKS que usan Zonas de disponibilidad de Azure, o - Disponibilidad del 99,9 % para los clústeres de AKS que no usan Zonas de disponibilidad de Azure.", + "guid": "99cc0fc7-138a-452f-a4dd-fd79daa5049e", + "service": "Azure Kubernetes Service", + "text": "Arquitecturas de clústeres y cargas de trabajo: use el Acuerdo de Nivel de Servicio de tiempo de actividad de AKS para clústeres de nivel de producción.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Container Insights ayuda a supervisar el estado y el rendimiento de los controladores, nodos y contenedores que están disponibles en Kubernetes a través de la API de métricas. La integración con Prometheus permite la recopilación de métricas de aplicaciones y cargas de trabajo.", + "guid": "76d86a61-446d-4597-a547-9ba4d9c25377", + "service": "Azure Kubernetes Service", + "text": "Arquitecturas de clústeres y cargas de trabajo: configure la supervisión del clúster con Container Insights.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Al distribuir los grupos de nodos en varias zonas, los nodos de un grupo de nodos seguirán ejecutándose incluso si otra zona ha dejado de funcionar. Si existen requisitos de colocalidad, se puede usar una implementación de AKS normal basada en VMSS en una sola zona o grupos de selección de ubicación por proximidad para minimizar la latencia de los entrenudos.", + "guid": "29400c1f-e4ff-4ab5-89ff-be93d51d5fa8", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: use zonas de disponibilidad para maximizar la resistencia dentro de una región de Azure mediante la distribución de nodos de agente de AKS en centros de datos físicamente independientes.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Las cargas de trabajo orientadas a Internet deben aprovechar Azure Front Door o Azure Traffic Manager para enrutar el tráfico globalmente a través de clústeres de AKS.", + "guid": "72c0719b-444b-49fa-b3fb-598de4c4a99d", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clústeres: adopte una estrategia multirregional mediante la implementación de clústeres de AKS implementados en diferentes regiones de Azure para maximizar la disponibilidad y proporcionar continuidad empresarial.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Los límites de recursos de memoria y CPU del contenedor son necesarios para evitar el agotamiento de recursos en el clúster de Kubernetes.", + "guid": "f230e754-6818-4428-b2ad-7ad543723f80", + "service": "Azure Kubernetes Service", + "text": "Arquitecturas de clústeres y cargas de trabajo: defina las solicitudes y los límites de recursos de pod en los manifiestos de implementación de aplicaciones y aplíquelos con Azure Policy.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Los grupos de nodos del sistema requieren una SKU de máquina virtual de al menos 2 vCPU y 4 GB de memoria, pero se recomiendan 4 vCPU o más. Sistema de referencia y grupos de nodos de usuario para requisitos detallados.", + "guid": "f51b6cdd-3914-4e11-a8e8-f2cf61788e84", + "service": "Azure Kubernetes Service", + "text": "Arquitecturas de clústeres y cargas de trabajo: mantenga el grupo de nodos del sistema aislado de las cargas de trabajo de las aplicaciones.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Las aplicaciones pueden compartir la misma configuración y necesitar máquinas virtuales habilitadas para GPU, máquinas virtuales optimizadas para CPU o memoria, o la capacidad de escalar a cero. Evite un gran número de grupos de nodos para reducir la sobrecarga de administración adicional.", + "guid": "e303e4a0-0b81-47bd-bd44-bede44825fa2", + "service": "Azure Kubernetes Service", + "text": "Arquitecturas de clústeres y cargas de trabajo: separe las aplicaciones en grupos de nodos dedicados en función de requisitos específicos.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Para evitar problemas de confiabilidad con las limitaciones de Azure Load Balancer con un alto tráfico de salida simultáneo, utilice una puerta de enlace NAT en su lugar para admitir el tráfico de salida confiable a escala.", + "guid": "ff84fa04-ee66-4605-85f3-803dd2cab3c4", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: utilice una puerta de enlace NAT para clústeres que ejecutan cargas de trabajo que realizan muchas conexiones salientes simultáneas.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "El uso de Microsoft Entra ID centraliza el componente de administración de identidades. Cualquier cambio en el estado de la cuenta de usuario o del grupo se actualiza automáticamente en el acceso al clúster de AKS. Los desarrolladores y propietarios de aplicaciones de su clúster de Kubernetes necesitan acceso a diferentes recursos.", + "guid": "03a24546-1e4a-46d6-ad0c-63e80d157b51", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: use la integración de Microsoft Entra.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "AKS y Microsoft Entra ID habilitan la autenticación con Azure Container Registry sin el uso de secretos 'imagePullSecrets'. Para obtener más información, consulte Autenticación con Azure Container Registry desde Azure Kubernetes Service.", + "guid": "dc50fb2f-f5e9-4ea2-a1b8-36fbf1e1bec4", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: autentique con el identificador de Microsoft Entra en Azure Container Registry.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "De forma predeterminada, el tráfico de red entre los grupos de nodos y el servidor de API viaja por la red troncal de Microsoft; mediante el uso de un clúster privado, puede asegurarse de que el tráfico de red al servidor de API permanezca solo en la red privada.", + "guid": "3d11d647-363f-469c-bea9-9ef27a9bee70", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: proteja el tráfico de red al servidor de API con un clúster de AKS privado.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Al utilizar clústeres públicos, aún puede limitar el tráfico que puede llegar al servidor de API de clústeres mediante la característica de rango de IP autorizado. Incluya orígenes como las direcciones IP públicas de los agentes de compilación de implementación, la administración de operaciones y el punto de salida de los grupos de nodos (como Azure Firewall).", + "guid": "0418c965-c483-41bc-933c-9289108b8ad0", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: en el caso de los clústeres de AKS no privados, use intervalos IP autorizados por el servidor de API.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Proteger el acceso al servidor de API de Kubernetes es una de las cosas más importantes que puede hacer para proteger su clúster. Integre el control de acceso basado en roles (RBAC) de Kubernetes con el ID de Microsoft Entra para controlar el acceso al servidor de API. Deshabilite las cuentas locales para aplicar todo el acceso al clúster mediante identidades basadas en el identificador de Microsoft Entra.", + "guid": "951727b0-fd7b-4d09-8ae6-384f8441c234", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: proteja el servidor de API con Microsoft Entra RBAC.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Proteja y controle el tráfico de red entre los pods de un clúster.", + "guid": "68a66542-3c31-43c4-8a16-a05ab2a4df5f", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: use directivas de red de Azure o Calico.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Azure Policy puede ayudar a aplicar la aplicación y las protecciones a gran escala en los clústeres de forma centralizada y coherente. También puede controlar qué funciones se otorgan a los pods y si algo se está ejecutando en contra de la política de la empresa.", + "guid": "c99d155b-6a13-4f61-8672-356b1ed3a922", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clústeres: proteja clústeres y pods con Azure Policy.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Limite el acceso a las acciones que pueden realizar los contenedores. Proporcione el menor número de permisos y evite el uso de la raíz o la escalada con privilegios.", + "guid": "43384eb1-7b95-44aa-9c60-e09652b18521", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: acceso seguro de los contenedores a los recursos.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Para examinar el tráfico entrante en busca de posibles ataques, use un firewall de aplicaciones web como Azure Web Application Firewall (WAF) en Azure Application Gateway o Azure Front Door.", + "guid": "ae6a3199-847d-4901-bad1-63be20d584b8", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de carga de trabajo: utilice un firewall de aplicaciones web para proteger el tráfico HTTP(S).", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Asegúrese de que el tráfico de salida del clúster pasa a través de un punto de seguridad de red, como Azure Firewall o un proxy HTTP.", + "guid": "d67db716-6569-4a40-b18f-01052c02399f", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: controle el tráfico de salida del clúster.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Proteja y rote secretos, certificados y cadenas de conexión en Azure Key Vault con cifrado seguro. Proporciona un registro de auditoría de acceso y mantiene los secretos principales fuera de la canalización de implementación.", + "guid": "bc5240f0-9c6d-469e-bf71-9f8d4bf18c29", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: use el identificador de carga de trabajo de Microsoft Entra de código abierto y el controlador CSI del almacén de secretos con Azure Key Vault.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Supervise y mantenga la seguridad de sus clústeres, contenedores y sus aplicaciones.", + "guid": "2ac2d30a-a96a-4d14-b63d-7e2e3147ea9e", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: use Microsoft Defender para contenedores.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Hacer coincidir su selección con las demandas de su carga de trabajo garantiza que no pague por recursos innecesarios.", + "guid": "93a3ae7a-6f04-471b-bb3f-5eb4e6664c5b", + "service": "Azure Kubernetes Service", + "text": "Arquitecturas de clústeres y cargas de trabajo: alinee la selección de SKU y el tamaño del disco administrado con los requisitos de la carga de trabajo.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "La selección del tipo de instancia de máquina virtual correcto es fundamental, ya que afecta directamente al costo de ejecutar aplicaciones en AKS. La elección de una instancia de alto rendimiento sin una utilización adecuada puede generar un gasto innecesario, mientras que la elección de una instancia potente puede provocar problemas de rendimiento y un mayor tiempo de inactividad. Para determinar el tipo de instancia de máquina virtual adecuado, tenga en cuenta las características de la carga de trabajo, los requisitos de recursos y las necesidades de disponibilidad.", + "guid": "f16a2684-c225-4fd5-8202-8ea1db7f18e7", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: seleccione el tipo de instancia de máquina virtual adecuado.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "AKS admite la creación de nodos de agente ARM64 de Ubuntu, así como una combinación de nodos de arquitectura Intel y ARM dentro de un clúster que puede ofrecer un mejor rendimiento a un costo menor.", + "guid": "f0572fdc-24e3-4e6c-8c90-0ba85cc6f52a", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: seleccione máquinas virtuales en función de la arquitectura de Arm.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Las máquinas virtuales de acceso puntual le permiten aprovechar la capacidad de Azure no utilizada con importantes descuentos (hasta un 90 % en comparación con los precios de pago por uso). Si Azure necesita recuperar capacidad, la infraestructura de Azure expulsa los nodos de acceso puntual.", + "guid": "15372689-94ad-4247-a157-fde418217ce4", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: seleccione Azure Spot Virtual Machines.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Debido a muchos factores, el costo de los recursos varía según la región de Azure. Evalúe el costo, la latencia y los requisitos de cumplimiento para asegurarse de que está ejecutando su carga de trabajo de manera rentable y que no afecta a sus usuarios finales ni genera cargos de red adicionales.", + "guid": "41a6e1ef-d63a-4e26-842f-1a0cde3abaa6", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: seleccione la región adecuada.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "La optimización de las imágenes ayuda a reducir los costos, ya que los nuevos nodos necesitan descargar estas imágenes. Cree imágenes de una manera que permita que el contenedor se inicie lo antes posible para ayudar a evitar errores de solicitud de usuario o tiempos de espera mientras se inicia la aplicación, lo que podría provocar un sobreaprovisionamiento.", + "guid": "e689c267-1eaa-444d-806e-c5a0735658de", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de carga de trabajo: Mantenga imágenes pequeñas y optimizadas.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Reducir verticalmente automáticamente el número de nodos del clúster de AKS permite ejecutar un clúster eficaz cuando la demanda es baja y escalar verticalmente cuando la demanda vuelve.", + "guid": "e770ea75-690d-4dc0-a0e4-43c17b6bb56f", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: habilite el escalador automático de clústeres para reducir automáticamente el número de nodos de agente en respuesta al exceso de capacidad de recursos.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "El aprovisionamiento automático de nodos simplifica el proceso de selección de SKU y decide, en función de los requisitos de recursos de pod pendientes, la configuración óptima de la máquina virtual para ejecutar cargas de trabajo de la manera más eficiente y rentable.", + "guid": "9994ccff-d3d4-46e3-92cb-d04231859e20", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: habilite el aprovisionamiento automático de nodos para automatizar la selección de SKU de máquina virtual.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Ajuste el número de pods de una implementación en función de la utilización de la CPU u otras métricas seleccionadas, que admitan operaciones de reducción horizontal de clústeres.", + "guid": "1321c176-e53a-4451-91cf-e4e50c637d07", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de carga de trabajo: usa el escalador automático de pods horizontal.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Ajusta el tamaño de tus pods y establece dinámicamente solicitudes y límites en función del uso histórico.", + "guid": "554e18fe-b835-4e78-8d27-6f49999855ad", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de carga de trabajo: use el escalador automático de pods vertical (versión preliminar).", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Escala en función del número de eventos que se están procesando. Elija entre un amplio catálogo de 50+ escaladores KEDA.", + "guid": "fe15f362-a48d-4a25-aa3e-7938b3d1f5e2", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de carga de trabajo: use el escalado automático basado en eventos (KEDA) de Kubernetes.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "La base para permitir la optimización de costos es la difusión de un clúster de ahorro de costos. Un enfoque de operaciones financieras (FinOps) se utiliza a menudo para ayudar a las organizaciones a reducir los costos de la nube. Se trata de una práctica que implica la colaboración entre los equipos de finanzas, operaciones e ingeniería para impulsar la alineación de los objetivos de ahorro de costes y aportar transparencia a los costes de la nube.", + "guid": "d0ed8b85-2072-4952-a00c-697135e435a2", + "service": "Azure Kubernetes Service", + "text": "Arquitecturas de clústeres y cargas de trabajo: adopte una disciplina financiera y una práctica cultural en la nube para impulsar la propiedad del uso de la nube.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Si planeó correctamente la capacidad, la carga de trabajo es predecible y existe durante un período de tiempo prolongado, regístrese para obtener una reserva de Azure o un plan de ahorro para reducir aún más los costos de recursos.", + "guid": "9d4b8d27-c793-4862-94c8-c2505205f07f", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: regístrese en Azure Reservations o Azure Savings Plan.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "La ayuda de Container Insights proporciona información procesable sobre los recursos inactivos y no asignados de los clústeres. Container Insights también admite la recopilación de métricas de Prometheus y se integra con Azure Managed Grafana para obtener una vista holística de la aplicación y la infraestructura.", + "guid": "f4113186-82e7-495e-90e8-0da553de3039", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: configure la supervisión del clúster con Container Insights.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "La extensión de clúster de análisis de costos le permite obtener información detallada sobre los costos asociados con varios recursos de Kubernetes en sus clústeres o espacios de nombres.", + "guid": "43cae555-15bd-4cd7-90b9-905d40528506", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: configure el complemento Análisis de costos de AKS.", + "type": "recommendation", + "waf": "Costar" + }, + { + "description": "Para compilar y ejecutar aplicaciones correctamente en AKS, hay que comprender e implementar consideraciones clave. Estas áreas incluyen funciones de multitenencia y programador, seguridad de clústeres y pods, o continuidad del negocio y recuperación ante desastres.", + "guid": "4ea51e35-26bb-4a2b-a7ca-435eb6d857b9", + "service": "Azure Kubernetes Service", + "text": "Arquitecturas de clústeres y cargas de trabajo: revise la documentación de procedimientos recomendados de AKS.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Azure Chaos Studio puede ayudar a simular errores y desencadenar situaciones de recuperación ante desastres.", + "guid": "d38b720a-0b27-409f-9dfa-28f698067a19", + "service": "Azure Kubernetes Service", + "text": "Arquitecturas de clústeres y cargas de trabajo: revise Azure Chaos Studio.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Container Insights ayuda a supervisar el rendimiento de los contenedores mediante la recopilación de métricas de memoria y procesador de controladores, nodos y contenedores que están disponibles en Kubernetes a través de la API de métricas y los registros de contenedores.", + "guid": "76d86a61-446d-4597-a547-9ba4d9c25377", + "service": "Azure Kubernetes Service", + "text": "Arquitecturas de clústeres y cargas de trabajo: configure la supervisión del clúster con Container Insights.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Configure Application Insights para la supervisión basada en código de las aplicaciones que se ejecutan en un clúster de AKS.", + "guid": "b7c8f991-0c99-4f2e-8ed9-1b0bcffc2b42", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de cargas de trabajo: supervise el rendimiento de las aplicaciones con Azure Monitor.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Container Insights, que forman parte de Azure Monitor, proporciona una experiencia de incorporación fluida para recopilar métricas de Prometheus. Consulte Configurar el raspado de métricas de Prometheus para obtener más información.", + "guid": "959a2059-d560-4f51-8f9a-c68b0a595beb", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de carga de trabajo: configure el raspado de métricas de Prometheus con Container Insights.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Las cargas de trabajo orientadas a Internet deben aprovechar Azure Front Door o Azure Traffic Manager para enrutar el tráfico globalmente a través de clústeres de AKS.", + "guid": "72c0719b-444b-49fa-b3fb-598de4c4a99d", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clústeres: adopte una estrategia multirregional mediante la implementación de clústeres de AKS implementados en diferentes regiones de Azure para maximizar la disponibilidad y proporcionar continuidad empresarial.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Azure Policy puede ayudar a aplicar la aplicación y las protecciones a gran escala en los clústeres de forma centralizada y coherente. También puede controlar qué funciones se otorgan a los pods y si algo se está ejecutando en contra de la política de la empresa.", + "guid": "4fa55d17-b08b-4885-8d5b-d8cfbe3eda59", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clústeres: ponga en funcionamiento los estándares de configuración de clústeres y pods con Azure Policy.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Kubernetes y los controladores de entrada admiten muchos patrones de implementación avanzados para su inclusión en el proceso de ingeniería de versiones. Tenga en cuenta patrones como las implementaciones azul-verde o las versiones canary.", + "guid": "40bf5a02-ca6a-410d-9b6a-87fe75ff0873", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de carga de trabajo: utilice las capacidades de la plataforma en su proceso de ingeniería de versiones.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Automatice sus áreas de diseño de misión crítica, incluidas la implementación y las pruebas.", + "guid": "dec76a46-6005-4c3e-ac2c-70b7214a28ba", + "service": "Azure Kubernetes Service", + "text": "Arquitecturas de clústeres y cargas de trabajo: para cargas de trabajo críticas, utilice implementaciones azul/verde a nivel de sello.", + "type": "recommendation", + "waf": "Operaciones" + }, + { + "description": "Después de formalizar el plan de capacidad, debe actualizarse con frecuencia mediante la observación continua de la utilización de recursos del clúster.", + "guid": "9f2cef22-f674-4702-a57a-5dcf90bf9143", + "service": "Azure Kubernetes Service", + "text": "Arquitecturas de clústeres y cargas de trabajo: desarrolle un plan de capacidad detallado y revíselo y reviselo continuamente.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "La capacidad de escalar o reducir verticalmente automáticamente el número de nodos del clúster de AKS permite ejecutar un clúster eficaz y rentable.", + "guid": "d50d653b-0d8d-44ca-8ba6-9963321d1f24", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de clúster: habilite el escalador automático de clústeres para ajustar automáticamente el número de nodos de agente en respuesta a las restricciones de recursos.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "A diferencia de los grupos de nodos del sistema que siempre requieren nodos en ejecución, los grupos de nodos de usuario permiten escalar o reducir verticalmente.", + "guid": "cd14e737-9478-4fb4-9556-586b03d5e248", + "service": "Azure Kubernetes Service", + "text": "Arquitecturas de clústeres y cargas de trabajo: separe las cargas de trabajo en diferentes grupos de nodos y considere la posibilidad de escalar los grupos de nodos de usuario.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "Ayuda a controlar el equilibrio de los recursos para las cargas de trabajo que los requieren.", + "guid": "e452f566-2a10-4119-a802-aeab44201971", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de carga de trabajo: use las características del programador avanzado de AKS.", + "type": "recommendation", + "waf": "Rendimiento" + }, + { + "description": "No todas las decisiones de escala se pueden derivar de las métricas de CPU o memoria. A menudo, las consideraciones de escala provendrán de puntos de datos más complejos o incluso externos. Utilice KEDA para crear un conjunto de reglas de escalado automático significativo basado en señales específicas de su carga de trabajo.", + "guid": "43df6223-dfca-447d-9b00-f4742ef18be1", + "service": "Azure Kubernetes Service", + "text": "Arquitectura de carga de trabajo: utilice métricas significativas de escalado de carga de trabajo.", + "type": "recommendation", + "waf": "Rendimiento" + } + ], + "metadata": { + "name": "Azure Kubernetes Service Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "Este control aún no se ha examinado", + "name": "No verificado" + }, + { + "description": "Hay un elemento de acción asociado a esta comprobación", + "name": "Abrir" + }, + { + "description": "Esta comprobación se ha verificado y no hay más elementos de acción asociados a ella", + "name": "Cumplido" + }, + { + "description": "No aplicable para el diseño actual", + "name": "N/A" + }, + { + "description": "No es necesario", + "name": "No es necesario" + } + ], + "waf": [ + { + "name": "seguridad" + }, + { + "name": "Costar" + }, + { + "name": "costar" + }, + { + "name": "Fiabilidad" + }, + { + "name": "fiabilidad" + }, + { + "name": "Seguridad" + }, + { + "name": "rendimiento" + }, + { + "name": "Operaciones" + }, + { + "name": "Operaciones" + }, + { + "name": "Rendimiento" + } + ], + "yesno": [ + { + "name": "Sí" + }, + { + "name": "No" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurekubernetesservice_sg_checklist.ja.json b/checklists-ext/azurekubernetesservice_sg_checklist.ja.json new file mode 100644 index 000000000..c29f007a8 --- /dev/null +++ b/checklists-ext/azurekubernetesservice_sg_checklist.ja.json @@ -0,0 +1,482 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "Kubernetes スケジューラがノード内のハードウェアによってワークロードを論理的に分離できるようにします。容認とは異なり、一致するノードセレクターのないPodは、ラベル付きノードでスケジュールできるため、ノード上の未使用のリソースを消費できますが、一致するノードセレクターを定義するPodが優先されます。ノード アフィニティを使用すると、柔軟性が向上し、ポッドがノードと一致しない場合に何が起こるかを定義できます。", + "guid": "79d7a487-b319-40ef-b55f-94c265986865", + "service": "Azure Kubernetes Service", + "text": "クラスターとワークロードのアーキテクチャ: ノードセレクターとアフィニティーを使用してポッドのスケジューリングを制御します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "Azure CNI は、Windows ベースのノード プール、特定のネットワーク要件、Kubernetes ネットワーク ポリシーなど、特定のシナリオに必要です。詳細については、「Kubenet と Azure CNI」を参照してください。", + "guid": "d152a74d-cb2f-4c9c-978e-0e3a07b174a5", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: ネットワーク要件とクラスターのサイズに基づいて、ネットワークプラグインを適切に選択していることを確認します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "AKS アップタイム SLA では、Azure Availability Zones を使用する AKS クラスターの Kubernetes API サーバー エンドポイントの \"99.95%\" の可用性、または Azure Availability Zones を使用しない AKS クラスターの \"99.9%\" の可用性が保証されます。", + "guid": "99cc0fc7-138a-452f-a4dd-fd79daa5049e", + "service": "Azure Kubernetes Service", + "text": "クラスターとワークロードのアーキテクチャ: 運用グレードのクラスターには、AKS アップタイム SLA を使用します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "コンテナの分析情報は、Metrics API を介して Kubernetes で使用できるコントローラー、ノード、およびコンテナの正常性とパフォーマンスを監視するのに役立ちます。Prometheus との統合により、アプリケーションとワークロードのメトリクスを収集できます。", + "guid": "76d86a61-446d-4597-a547-9ba4d9c25377", + "service": "Azure Kubernetes Service", + "text": "クラスターとワークロードのアーキテクチャ: Container insights を使用してクラスターの監視を構成します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "ノードプールを複数のゾーンに分散させることで、1つのノードプール内のノードは、別のゾーンがダウンしても実行を続けます。コローカリティ要件が存在する場合は、1 つのゾーンへの通常の VMSS ベースの AKS デプロイまたは近接配置グループを使用して、ノード間の待機時間を最小限に抑えることができます。", + "guid": "29400c1f-e4ff-4ab5-89ff-be93d51d5fa8", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: 可用性ゾーンを使用して、AKS エージェント ノードを物理的に分離されたデータ センターに分散することで、Azure リージョン内の回復性を最大化します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "インターネットに接続するワークロードでは、Azure Front Door または Azure Traffic Manager を利用して、AKS クラスター間でトラフィックをグローバルにルーティングする必要があります。", + "guid": "72c0719b-444b-49fa-b3fb-598de4c4a99d", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: 異なる Azure リージョンにデプロイされた AKS クラスターをデプロイすることで、マルチリージョン戦略を採用して、可用性を最大化し、ビジネス継続性を提供します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "コンテナの CPU とメモリのリソース制限は、Kubernetes クラスタのリソース枯渇を防ぐために必要です。", + "guid": "f230e754-6818-4428-b2ad-7ad543723f80", + "service": "Azure Kubernetes Service", + "text": "クラスターとワークロードのアーキテクチャ: ポッド リソースの要求と制限をアプリケーションのデプロイ マニフェストで定義し、Azure Policy を使用して適用します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "システム ノード プールには、少なくとも 2 つの vCPU と 4 GB のメモリの VM SKU が必要ですが、4 つ以上の vCPU をお勧めします。詳細な要件については、システムおよびユーザーノードプールを参照してください。", + "guid": "f51b6cdd-3914-4e11-a8e8-f2cf61788e84", + "service": "Azure Kubernetes Service", + "text": "クラスターとワークロードのアーキテクチャ: システム ノード プールをアプリケーション ワークロードから分離します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "アプリケーションは同じ構成を共有し、GPU 対応 VM、CPU またはメモリ最適化 VM、またはゼロへのスケーリング機能が必要な場合があります。ノードプールの数が多くならないようにして、余分な管理オーバーヘッドを削減します。", + "guid": "e303e4a0-0b81-47bd-bd44-bede44825fa2", + "service": "Azure Kubernetes Service", + "text": "クラスターとワークロードのアーキテクチャ: 特定の要件に基づいて、アプリケーションを専用のノード プールに分離します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "Azure Load Balancer の制限による信頼性の問題を回避するために、同時送信トラフィックが多い場合は、代わりに NAT ゲートウェイを使用して、信頼性の高いエグレス トラフィックを大規模にサポートします。", + "guid": "ff84fa04-ee66-4605-85f3-803dd2cab3c4", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: NAT ゲートウェイは、多数の同時送信接続を行うワークロードを実行するクラスターに使用します。", + "type": "recommendation", + "waf": "確実" + }, + { + "description": "Microsoft Entra ID を使用すると、ID 管理コンポーネントが一元化されます。ユーザー アカウントまたはグループの状態を変更すると、AKS クラスターへのアクセスで自動的に更新されます。Kubernetes クラスターの開発者とアプリケーション所有者は、さまざまなリソースにアクセスする必要があります。", + "guid": "03a24546-1e4a-46d6-ad0c-63e80d157b51", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: Microsoft Entra 統合を使用します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "AKS と Microsoft Entra ID を使用すると、'imagePullSecrets' シークレットを使用せずに Azure Container Registry による認証が可能になります。詳細については、「Azure Kubernetes Service から Azure Container Registry を使用した認証」を参照してください。", + "guid": "dc50fb2f-f5e9-4ea2-a1b8-36fbf1e1bec4", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: Microsoft Entra ID を使用して Azure Container Registry に認証します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "デフォルトでは、ノード プールと API サーバー間のネットワーク トラフィックは、Microsoft のバックボーン ネットワークを移動します。プライベートクラスターを使用すると、API サーバーへのネットワークトラフィックがプライベートネットワーク上にのみ留まるようにすることができます。", + "guid": "3d11d647-363f-469c-bea9-9ef27a9bee70", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: プライベート AKS クラスターを使用して、API サーバーへのネットワーク トラフィックをセキュリティで保護します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "公開クラスターを使用する場合でも、許可された IP 範囲機能を使用して、クラスター API サーバーに到達できるトラフィックを制限できます。デプロイ ビルド エージェントのパブリック IP、運用管理、ノード プールのエグレス ポイント (Azure Firewall など) などのソースを含めます。", + "guid": "0418c965-c483-41bc-933c-9289108b8ad0", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: プライベートでない AKS クラスターの場合は、API サーバーによって承認された IP 範囲を使用します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Kubernetes APIサーバーへのアクセスを保護することは、クラスターを保護するために実行できる最も重要なことの1つです。Kubernetes のロールベースのアクセス制御 (RBAC) を Microsoft Entra ID と統合して、API サーバーへのアクセスを制御します。ローカル アカウントを無効にして、Microsoft Entra ID ベースの ID を使用してすべてのクラスター アクセスを強制します。", + "guid": "951727b0-fd7b-4d09-8ae6-384f8441c234", + "service": "Azure Kubernetes Service", + "text": "クラスター アーキテクチャ: Microsoft Entra RBAC を使用して API サーバーを保護します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "クラスター内のポッド間のネットワーク トラフィックを保護および制御します。", + "guid": "68a66542-3c31-43c4-8a16-a05ab2a4df5f", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: Azure ネットワーク ポリシーまたは Calico を使用します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Azure Policy は、一元化された一貫した方法で、クラスターに大規模な適用と保護を適用するのに役立ちます。また、ポッドに付与される機能や、会社のポリシーに対して実行されているものがあるかどうかも制御できます。", + "guid": "c99d155b-6a13-4f61-8672-356b1ed3a922", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: Azure Policy を使用してクラスターとポッドをセキュリティで保護します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "コンテナが実行できるアクションへのアクセスを制限します。最小限の権限を付与し、ルートまたは特権エスカレーションの使用を避けます。", + "guid": "43384eb1-7b95-44aa-9c60-e09652b18521", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: リソースへのコンテナー アクセスをセキュリティで保護します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "受信トラフィックをスキャンして潜在的な攻撃を検出するには、Azure Application Gateway または Azure Front Door 上の Azure Web Application Firewall (WAF) などの Web アプリケーション ファイアウォールを使用します。", + "guid": "ae6a3199-847d-4901-bad1-63be20d584b8", + "service": "Azure Kubernetes Service", + "text": "ワークロードのアーキテクチャ: Web Application Firewall を使用して HTTP(S) トラフィックをセキュリティで保護します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "クラスターの送信トラフィックが、Azure Firewall や HTTP プロキシなどのネットワーク セキュリティ ポイントを通過していることを確認します。", + "guid": "d67db716-6569-4a40-b18f-01052c02399f", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: クラスターのエグレス トラフィックを制御します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Azure Key Vault のシークレット、証明書、接続文字列を強力な暗号化で保護し、ローテーションします。アクセス監査ログを提供し、コアシークレットをデプロイメントパイプラインから保持します。", + "guid": "bc5240f0-9c6d-469e-bf71-9f8d4bf18c29", + "service": "Azure Kubernetes Service", + "text": "クラスター アーキテクチャ: オープンソースの Microsoft Entra ワークロード ID とシークレット ストア CSI ドライバーを Azure Key Vault と共に使用します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "クラスター、コンテナ、およびそれらのアプリケーションのセキュリティを監視および維持します。", + "guid": "2ac2d30a-a96a-4d14-b63d-7e2e3147ea9e", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: Microsoft Defender for Containers を使用します。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "ワークロードの要求に合わせて選択することで、不要なリソースにお金を払う必要がなくなります。", + "guid": "93a3ae7a-6f04-471b-bb3f-5eb4e6664c5b", + "service": "Azure Kubernetes Service", + "text": "クラスターとワークロードのアーキテクチャ: SKU の選択とマネージド ディスクのサイズをワークロードの要件に合わせて調整します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "適切な仮想マシン インスタンスの種類を選択することは、AKS でアプリケーションを実行するコストに直接影響するため、非常に重要です。適切な使用率を欠いて高パフォーマンスのインスタンスを選択すると、無駄な支出につながる可能性があり、強力なインスタンスを選択すると、パフォーマンスの問題やダウンタイムの増加につながる可能性があります。適切な仮想マシンインスタンスタイプを決定するには、ワークロードの特性、リソース要件、および可用性のニーズを考慮します。", + "guid": "f16a2684-c225-4fd5-8202-8ea1db7f18e7", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: 適切な仮想マシン インスタンスの種類を選択します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "AKS では、ARM64 Ubuntu エージェント ノードの作成と、クラスター内の Intel アーキテクチャと ARM アーキテクチャ ノードの組み合わせの作成がサポートされており、低コストでパフォーマンスを向上させることができます。", + "guid": "f0572fdc-24e3-4e6c-8c90-0ba85cc6f52a", + "service": "Azure Kubernetes Service", + "text": "クラスター アーキテクチャ: Arm アーキテクチャに基づいて仮想マシンを選択します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "スポット VM を使用すると、未使用の Azure 容量を大幅な割引 (従量課金制と比較して最大 90%) で利用できます。Azure で容量を戻す必要がある場合、Azure インフラストラクチャはスポット ノードを削除します。", + "guid": "15372689-94ad-4247-a157-fde418217ce4", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: [Azure Spot Virtual Machines] を選択します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "多くの要因により、リソースのコストは Azure のリージョンごとに異なります。コスト、レイテンシ、コンプライアンスの要件を評価して、ワークロードをコスト効率よく実行し、エンドユーザーに影響を与えたり、追加のネットワーク料金が発生したりしないようにします。", + "guid": "41a6e1ef-d63a-4e26-842f-1a0cde3abaa6", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: 適切なリージョンを選択します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "イメージを合理化すると、新しいノードがこれらのイメージをダウンロードする必要があるため、コストを削減できます。コンテナをできるだけ早く起動できるようにイメージをビルドすると、アプリケーションの起動中にユーザーリクエストの失敗やタイムアウトが発生し、オーバープロビジョニングにつながる可能性を回避できます。", + "guid": "e689c267-1eaa-444d-806e-c5a0735658de", + "service": "Azure Kubernetes Service", + "text": "ワークロードのアーキテクチャ: 小さく最適化されたイメージを維持します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "AKS クラスター内のノード数を自動的にスケールダウンすると、需要が少ないときに効率的なクラスターを実行し、需要が戻ったときにスケールアップできます。", + "guid": "e770ea75-690d-4dc0-a0e4-43c17b6bb56f", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: Cluster Autoscaler を有効にして、過剰なリソース容量に対応してエージェント ノードの数を自動的に減らします。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "ノード自動プロビジョニングは、SKU の選択プロセスを簡素化し、保留中のポッド リソース要件に基づいて、最も効率的でコスト効率の高い方法でワークロードを実行するための最適な VM 構成を決定します。", + "guid": "9994ccff-d3d4-46e3-92cb-d04231859e20", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: ノードの自動プロビジョニングを有効にして、VM SKU の選択を自動化します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "デプロイ内のポッドの数は、CPU 使用率やその他の選択メトリクス (クラスターのスケールイン操作をサポートする) に応じて調整します。", + "guid": "1321c176-e53a-4451-91cf-e4e50c637d07", + "service": "Azure Kubernetes Service", + "text": "ワークロードのアーキテクチャ: Horizontal Pod Autoscaler を使用します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "ポッドのサイズを適正化し、過去の使用状況に基づいてリクエストと制限を動的に設定します。", + "guid": "554e18fe-b835-4e78-8d27-6f49999855ad", + "service": "Azure Kubernetes Service", + "text": "ワークロードのアーキテクチャ: Vertical Pod Autoscaler (プレビュー) を使用します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "処理中のイベントの数に基づいてスケーリングします。50+ KEDAスケーラーの豊富なカタログからお選びください。", + "guid": "fe15f362-a48d-4a25-aa3e-7938b3d1f5e2", + "service": "Azure Kubernetes Service", + "text": "ワークロードのアーキテクチャ: Kubernetes イベント駆動型自動スケーリング (KEDA) を使用します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "コスト最適化を可能にするための基盤は、コスト削減クラスターの普及です。財務運用アプローチ(FinOps)は、組織がクラウドのコストを削減するためによく使用されます。これは、財務、運用、エンジニアリングの各チームが協力して、コスト削減目標の調整を推進し、クラウドコストに透明性をもたらすための手法です。", + "guid": "d0ed8b85-2072-4952-a00c-697135e435a2", + "service": "Azure Kubernetes Service", + "text": "クラスターとワークロードのアーキテクチャ: クラウドの財務規律と文化的な実践を採用して、クラウドの使用の所有権を促進します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "容量を適切に計画し、ワークロードが予測可能で、長期間存在する場合は、Azure 予約または節約プランにサインアップして、リソース コストをさらに削減します。", + "guid": "9d4b8d27-c793-4862-94c8-c2505205f07f", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: Azure Reservations または Azure Savings Plan にサインアップします。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "Container insights は、クラスターのアイドル状態と未割り当てのリソースに関する実用的な分析情報を提供します。Container insights は、Prometheus メトリックの収集もサポートし、Azure Managed Grafana と統合して、アプリケーションとインフラストラクチャの全体像を把握します。", + "guid": "f4113186-82e7-495e-90e8-0da553de3039", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: Container insights を使用してクラスターの監視を構成します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "コスト分析クラスター拡張機能を使用すると、クラスターまたは名前空間内のさまざまな Kubernetes リソースに関連するコストに関する詳細な分析情報を取得できます。", + "guid": "43cae555-15bd-4cd7-90b9-905d40528506", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: AKS Cost Analysis アドオンを構成します。", + "type": "recommendation", + "waf": "費用" + }, + { + "description": "AKS でアプリケーションを正常にビルドして実行するには、理解して実装する必要がある重要な考慮事項があります。これらの領域には、マルチテナンシーとスケジューラ機能、クラスタとポッドのセキュリティ、またはビジネス継続性とディザスタリカバリが含まれます。", + "guid": "4ea51e35-26bb-4a2b-a7ca-435eb6d857b9", + "service": "Azure Kubernetes Service", + "text": "クラスターとワークロードのアーキテクチャ: AKS のベスト プラクティスに関するドキュメントを確認します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "Azure Chaos Studio は、障害をシミュレートし、ディザスター リカバリー状況をトリガーするのに役立ちます。", + "guid": "d38b720a-0b27-409f-9dfa-28f698067a19", + "service": "Azure Kubernetes Service", + "text": "クラスターとワークロードのアーキテクチャ: Azure Chaos Studio を確認します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "Container insights は、Metrics API とコンテナ ログを通じて Kubernetes で使用可能なコントローラー、ノード、およびコンテナからメモリとプロセッサのメトリクスを収集することで、コンテナのパフォーマンスを監視するのに役立ちます。", + "guid": "76d86a61-446d-4597-a547-9ba4d9c25377", + "service": "Azure Kubernetes Service", + "text": "クラスターとワークロードのアーキテクチャ: Container insights を使用してクラスターの監視を構成します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "AKS クラスターで実行されているアプリケーションのコードベースの監視のために Application Insights を構成します。", + "guid": "b7c8f991-0c99-4f2e-8ed9-1b0bcffc2b42", + "service": "Azure Kubernetes Service", + "text": "ワークロードのアーキテクチャ: Azure Monitor を使用してアプリケーションのパフォーマンスを監視します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "Azure Monitor の一部であるコンテナー分析情報は、Prometheus メトリックを収集するためのシームレスなオンボード エクスペリエンスを提供します。詳細については、「Prometheus メトリックのスクレイピングの設定」を参照してください。", + "guid": "959a2059-d560-4f51-8f9a-c68b0a595beb", + "service": "Azure Kubernetes Service", + "text": "ワークロードのアーキテクチャ: Container insights を使用して Prometheus メトリックのスクレイピングを構成します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "インターネットに接続するワークロードでは、Azure Front Door または Azure Traffic Manager を利用して、AKS クラスター間でトラフィックをグローバルにルーティングする必要があります。", + "guid": "72c0719b-444b-49fa-b3fb-598de4c4a99d", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: 異なる Azure リージョンにデプロイされた AKS クラスターをデプロイすることで、マルチリージョン戦略を採用して、可用性を最大化し、ビジネス継続性を提供します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "Azure Policy は、一元化された一貫した方法で、クラスターに大規模な適用と保護を適用するのに役立ちます。また、ポッドに付与される機能や、会社のポリシーに対して実行されているものがあるかどうかも制御できます。", + "guid": "4fa55d17-b08b-4885-8d5b-d8cfbe3eda59", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: Azure Policy を使用して、クラスターとポッドの構成標準を運用可能にします。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "KubernetesとIngressコントローラーは、リリースエンジニアリングプロセスに含めるための多くの高度なデプロイパターンをサポートしています。ブルーグリーンデプロイやカナリアリリースなどのパターンを考えてみましょう。", + "guid": "40bf5a02-ca6a-410d-9b6a-87fe75ff0873", + "service": "Azure Kubernetes Service", + "text": "ワークロードのアーキテクチャ: リリースエンジニアリングプロセスでプラットフォーム機能を使用します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "デプロイメントやテストなど、ミッションクリティカルな設計領域を自動化します。", + "guid": "dec76a46-6005-4c3e-ac2c-70b7214a28ba", + "service": "Azure Kubernetes Service", + "text": "クラスターとワークロードのアーキテクチャ: ミッションクリティカルなワークロードの場合は、スタンプレベルのブルー/グリーンデプロイを使用します。", + "type": "recommendation", + "waf": "オペレーションズ" + }, + { + "description": "容量計画を形式化した後は、クラスターのリソース使用率を継続的に観察して、容量計画を頻繁に更新する必要があります。", + "guid": "9f2cef22-f674-4702-a57a-5dcf90bf9143", + "service": "Azure Kubernetes Service", + "text": "クラスターとワークロードのアーキテクチャ: 詳細な容量計画を作成し、継続的に見直して改訂します。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "AKS クラスター内のノード数を自動的にスケールアップまたはスケールダウンする機能により、効率的でコスト効率の高いクラスターを実行できます。", + "guid": "d50d653b-0d8d-44ca-8ba6-9963321d1f24", + "service": "Azure Kubernetes Service", + "text": "クラスターのアーキテクチャ: クラスター オートスケーラーを有効にして、リソースの制約に応じてエージェント ノードの数を自動的に調整します。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "常に実行中のノードを必要とするシステムノードプールとは異なり、ユーザーノードプールではスケールアップまたはスケールダウンできます。", + "guid": "cd14e737-9478-4fb4-9556-586b03d5e248", + "service": "Azure Kubernetes Service", + "text": "クラスターとワークロードのアーキテクチャ: ワークロードを異なるノードプールに分割し、ユーザーノードプールのスケーリングを検討します。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "リソースを必要とするワークロードのリソースのバランスを制御するのに役立ちます。", + "guid": "e452f566-2a10-4119-a802-aeab44201971", + "service": "Azure Kubernetes Service", + "text": "ワークロード アーキテクチャ: AKS の高度なスケジューラ機能を使用します。", + "type": "recommendation", + "waf": "パフォーマンス" + }, + { + "description": "すべてのスケール決定が CPU またはメモリのメトリクスから導き出されるわけではありません。多くの場合、スケールに関する考慮事項は、より複雑なデータ ポイントや外部のデータ ポイントから得られます。KEDA を使用して、ワークロードに固有のシグナルに基づいて意味のある自動スケール ルールセットを構築します。", + "guid": "43df6223-dfca-447d-9b00-f4742ef18be1", + "service": "Azure Kubernetes Service", + "text": "ワークロードのアーキテクチャ: 意味のあるワークロードスケーリングメトリクスを使用します。", + "type": "recommendation", + "waf": "パフォーマンス" + } + ], + "metadata": { + "name": "Azure Kubernetes Service Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "このチェックはまだ見ていません", + "name": "未確認" + }, + { + "description": "このチェックにはアクションアイテムが関連付けられています", + "name": "開ける" + }, + { + "description": "このチェックは検証済みであり、これ以上のアクション アイテムは関連付けられていません", + "name": "達成" + }, + { + "description": "現在のデザインには適用されません", + "name": "該当なし" + }, + { + "description": "必須ではありません", + "name": "必須ではありません" + } + ], + "waf": [ + { + "name": "安全" + }, + { + "name": "費用" + }, + { + "name": "費用" + }, + { + "name": "確実" + }, + { + "name": "確実" + }, + { + "name": "安全" + }, + { + "name": "パフォーマンス" + }, + { + "name": "オペレーションズ" + }, + { + "name": "オペレーションズ" + }, + { + "name": "パフォーマンス" + } + ], + "yesno": [ + { + "name": "はい" + }, + { + "name": "いいえ" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurekubernetesservice_sg_checklist.ko.json b/checklists-ext/azurekubernetesservice_sg_checklist.ko.json new file mode 100644 index 000000000..60229e303 --- /dev/null +++ b/checklists-ext/azurekubernetesservice_sg_checklist.ko.json @@ -0,0 +1,482 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "Kubernetes 스케줄러가 노드의 하드웨어별로 워크로드를 논리적으로 격리할 수 있습니다. 허용 오차와 달리, 일치하는 노드 선택기가 없는 Pod는 레이블이 지정된 노드에서 예약할 수 있으며, 이는 노드에서 사용되지 않는 리소스를 사용할 수 있도록 허용하지만 일치하는 노드 선택기를 정의하는 Pod에 우선 순위를 부여합니다. 유연성을 높이기 위해 노드 어피니티를 사용하면 Pod를 노드와 일치시킬 수 없는 경우 발생하는 작업을 정의할 수 있습니다.", + "guid": "79d7a487-b319-40ef-b55f-94c265986865", + "service": "Azure Kubernetes Service", + "text": "클러스터 및 워크로드 아키텍처: 노드 선택기 및 선호도를 사용하여 Pod 스케줄링을 제어합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "Azure CNI는 Windows 기반 노드 풀, 특정 네트워킹 요구 사항 및 Kubernetes 네트워크 정책과 같은 특정 시나리오에 필요합니다. 자세한 내용은 Kubenet 및 Azure CNI를 참조하세요.", + "guid": "d152a74d-cb2f-4c9c-978e-0e3a07b174a5", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: 네트워크 요구 사항 및 클러스터 크기 조정에 따라 네트워크 플러그인을 적절하게 선택해야 합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "AKS 작동 시간 SLA는 - Azure 가용성 영역을 사용하는 AKS 클러스터에 대한 Kubernetes API 서버 엔드포인트의 '99.95%' 가용성 또는 - Azure 가용성 영역을 사용하지 않는 AKS 클러스터에 대한 '99.9%' 가용성을 보장합니다.", + "guid": "99cc0fc7-138a-452f-a4dd-fd79daa5049e", + "service": "Azure Kubernetes Service", + "text": "클러스터 및 워크로드 아키텍처: 프로덕션 등급 클러스터에 AKS 작동 시간 SLA를 사용합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "컨테이너 인사이트는 메트릭 API를 통해 Kubernetes에서 사용할 수 있는 컨트롤러, 노드 및 컨테이너의 상태와 성능을 모니터링하는 데 도움이 됩니다. Prometheus와 통합하면 애플리케이션 및 워크로드 메트릭을 수집할 수 있습니다.", + "guid": "76d86a61-446d-4597-a547-9ba4d9c25377", + "service": "Azure Kubernetes Service", + "text": "클러스터 및 워크로드 아키텍처: 컨테이너 인사이트를 사용하여 클러스터 모니터링을 구성합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "노드 풀을 여러 영역에 분산하면 다른 영역이 다운되더라도 한 노드 풀의 노드가 계속 실행됩니다. 공동 지역성 요구 사항이 있는 경우 단일 영역에 일반 VMSS 기반 AKS 배포 또는 근접 배치 그룹을 사용하여 노드 간 대기 시간을 최소화할 수 있습니다.", + "guid": "29400c1f-e4ff-4ab5-89ff-be93d51d5fa8", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: 가용성 영역을 사용하여 AKS 에이전트 노드를 물리적으로 분리된 데이터 센터에 분산하여 Azure 지역 내에서 복원력을 최대화합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "인터넷 연결 워크로드는 Azure Front Door 또는 Azure Traffic Manager를 활용하여 AKS 클러스터 간에 트래픽을 전역적으로 라우팅해야 합니다.", + "guid": "72c0719b-444b-49fa-b3fb-598de4c4a99d", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: 여러 Azure 지역에 배포된 AKS 클러스터를 배포하여 다중 지역 전략을 채택하여 가용성을 최대화하고 비즈니스 연속성을 제공합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "컨테이너 CPU 및 메모리 리소스 제한은 Kubernetes 클러스터에서 리소스 고갈을 방지하는 데 필요합니다.", + "guid": "f230e754-6818-4428-b2ad-7ad543723f80", + "service": "Azure Kubernetes Service", + "text": "클러스터 및 워크로드 아키텍처: 애플리케이션 배포 매니페스트에서 Pod 리소스 요청 및 제한을 정의하고 Azure Policy를 사용하여 적용합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "시스템 노드 풀에는 최소 2개의 vCPU와 4GB 메모리의 VM SKU가 필요하지만 4개 이상의 vCPU를 사용하는 것이 좋습니다. 자세한 요구 사항은 시스템 및 사용자 노드 풀을 참조하십시오.", + "guid": "f51b6cdd-3914-4e11-a8e8-f2cf61788e84", + "service": "Azure Kubernetes Service", + "text": "클러스터 및 워크로드 아키텍처: 시스템 노드 풀을 애플리케이션 워크로드로부터 격리된 상태로 유지합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "애플리케이션은 동일한 구성을 공유할 수 있으며 GPU 지원 VM, CPU 또는 메모리 최적화 VM 또는 0으로 확장 기능이 필요할 수 있습니다. 추가 관리 오버헤드를 줄이기 위해 많은 수의 노드 풀을 피합니다.", + "guid": "e303e4a0-0b81-47bd-bd44-bede44825fa2", + "service": "Azure Kubernetes Service", + "text": "클러스터 및 워크로드 아키텍처: 특정 요구 사항에 따라 애플리케이션을 전용 노드 풀로 분리합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "동시 아웃바운드 트래픽이 많은 Azure Load Balancer 제한과 관련된 안정성 문제를 방지하려면 대신 NAT Gateway를 사용하여 대규모로 신뢰할 수 있는 송신 트래픽을 지원합니다.", + "guid": "ff84fa04-ee66-4605-85f3-803dd2cab3c4", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: 동시 아웃바운드 연결이 많은 워크로드를 실행하는 클러스터에 NAT 게이트웨이를 사용합니다.", + "type": "recommendation", + "waf": "신뢰도" + }, + { + "description": "Microsoft Entra ID를 사용하면 ID 관리 구성 요소가 중앙 집중화됩니다. 사용자 계정 또는 그룹 상태의 모든 변경 내용은 AKS 클러스터에 대한 액세스에서 자동으로 업데이트됩니다. Kubernetes 클러스터의 개발자와 애플리케이션 소유자는 서로 다른 리소스에 액세스해야 합니다.", + "guid": "03a24546-1e4a-46d6-ad0c-63e80d157b51", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: Microsoft Entra 통합을 사용합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "AKS 및 Microsoft Entra ID를 사용하면 'imagePullSecrets' 비밀을 사용하지 않고 Azure Container Registry로 인증할 수 있습니다. 자세한 내용은 Azure Kubernetes Service에서 Azure Container Registry를 사용하여 인증을 검토하세요.", + "guid": "dc50fb2f-f5e9-4ea2-a1b8-36fbf1e1bec4", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: Microsoft Entra ID를 사용하여 Azure Container Registry에 인증합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "기본적으로 노드 풀과 API 서버 간의 네트워크 트래픽은 Microsoft 백본 네트워크를 이동합니다. 개인 클러스터를 사용하면 API 서버에 대한 네트워크 트래픽이 개인 네트워크에서만 유지되도록 할 수 있습니다.", + "guid": "3d11d647-363f-469c-bea9-9ef27a9bee70", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: 프라이빗 AKS 클러스터를 사용하여 API 서버에 대한 네트워크 트래픽을 보호합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "공용 클러스터를 사용하는 경우에도 권한 있는 IP 범위 기능을 사용하여 클러스터 API 서버에 도달할 수 있는 트래픽을 제한할 수 있습니다. 배포 빌드 에이전트의 공용 IP, 작업 관리 및 노드 풀의 송신 지점(예: Azure Firewall)과 같은 원본을 포함합니다.", + "guid": "0418c965-c483-41bc-933c-9289108b8ad0", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: 프라이빗이 아닌 AKS 클러스터의 경우 API 서버 권한이 부여된 IP 범위를 사용합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "쿠버네티스 API 서버에 대한 액세스를 보호하는 것은 클러스터를 보호하기 위해 할 수 있는 가장 중요한 일 중 하나이다. Kubernetes RBAC(역할 기반 액세스 제어)를 Microsoft Entra ID와 통합하여 API 서버에 대한 액세스를 제어합니다. 로컬 계정을 사용하지 않도록 설정하여 Microsoft Entra ID 기반 ID를 사용하여 모든 클러스터 액세스를 적용합니다.", + "guid": "951727b0-fd7b-4d09-8ae6-384f8441c234", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: Microsoft Entra RBAC를 사용하여 API 서버를 보호합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "클러스터의 Pod 간 네트워크 트래픽을 보호하고 제어합니다.", + "guid": "68a66542-3c31-43c4-8a16-a05ab2a4df5f", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: Azure 네트워크 정책 또는 Calico를 사용합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "Azure Policy는 중앙 집중화되고 일관된 방식으로 클러스터에 대규모 적용 및 보호 기능을 적용하는 데 도움이 될 수 있습니다. 또한 Pod에 부여되는 기능과 회사 정책에 반하는 항목이 있는지 여부를 제어할 수 있습니다.", + "guid": "c99d155b-6a13-4f61-8672-356b1ed3a922", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: Azure Policy를 사용하여 클러스터 및 Pod를 보호합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "컨테이너가 수행할 수 있는 작업에 대한 액세스를 제한합니다. 최소한의 권한을 제공하고 루트 또는 권한 있는 에스컬레이션을 사용하지 않도록 합니다.", + "guid": "43384eb1-7b95-44aa-9c60-e09652b18521", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: 리소스에 대한 컨테이너 액세스를 보호합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "들어오는 트래픽에서 잠재적인 공격을 검색하려면 Azure Application Gateway 또는 Azure Front Door에서 Azure WAF(Web Application Firewall)와 같은 웹 애플리케이션 방화벽을 사용합니다.", + "guid": "ae6a3199-847d-4901-bad1-63be20d584b8", + "service": "Azure Kubernetes Service", + "text": "워크로드 아키텍처: Web Application Firewall을 사용하여 HTTP(S) 트래픽을 보호합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "클러스터의 아웃바운드 트래픽이 Azure Firewall 또는 HTTP 프록시와 같은 네트워크 보안 지점을 통과하고 있는지 확인합니다.", + "guid": "d67db716-6569-4a40-b18f-01052c02399f", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: 클러스터 송신 트래픽을 제어합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "강력한 암호화를 사용하여 Azure Key Vault에서 비밀, 인증서 및 연결 문자열을 보호하고 회전합니다. 액세스 감사 로그를 제공하고 핵심 비밀을 배포 파이프라인에서 제외합니다.", + "guid": "bc5240f0-9c6d-469e-bf71-9f8d4bf18c29", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: Azure Key Vault와 함께 오픈 소스 Microsoft Entra 워크로드 ID 및 비밀 저장소 CSI 드라이버를 사용합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "클러스터, 컨테이너 및 해당 애플리케이션의 보안을 모니터링하고 유지 관리합니다.", + "guid": "2ac2d30a-a96a-4d14-b63d-7e2e3147ea9e", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: 컨테이너용 Microsoft Defender를 사용합니다.", + "type": "recommendation", + "waf": "안전" + }, + { + "description": "워크로드 요구 사항에 맞게 선택 항목을 일치시키면 불필요한 리소스에 대한 비용을 지불하지 않아도 됩니다.", + "guid": "93a3ae7a-6f04-471b-bb3f-5eb4e6664c5b", + "service": "Azure Kubernetes Service", + "text": "클러스터 및 워크로드 아키텍처: SKU 선택 및 관리 디스크 크기를 워크로드 요구 사항에 맞게 조정합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "올바른 가상 머신 인스턴스 유형을 선택하는 것은 AKS에서 애플리케이션을 실행하는 비용에 직접적인 영향을 미치므로 중요합니다. 적절한 사용률 없이 고성능 인스턴스를 선택하면 낭비적인 지출이 발생할 수 있으며, 강력한 인스턴스를 선택하면 성능 문제와 가동 중지 시간이 증가할 수 있습니다. 올바른 가상 머신 인스턴스 유형을 결정하려면 워크로드 특성, 리소스 요구 사항 및 가용성 요구 사항을 고려합니다.", + "guid": "f16a2684-c225-4fd5-8202-8ea1db7f18e7", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: 올바른 가상 머신 인스턴스 유형을 선택합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "AKS는 ARM64 Ubuntu 에이전트 노드뿐만 아니라 더 낮은 비용으로 더 나은 성능을 제공할 수 있는 클러스터 내에서 Intel 및 ARM 아키텍처 노드를 혼합하여 만들 수 있도록 지원합니다.", + "guid": "f0572fdc-24e3-4e6c-8c90-0ba85cc6f52a", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: Arm 아키텍처를 기반으로 가상 머신을 선택합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "스폿 VM을 사용하면 사용하지 않는 Azure 용량을 대폭 할인된 가격(종량제 가격과 비교하여 최대 90%)으로 활용할 수 있습니다. Azure에 용량이 다시 필요한 경우 Azure 인프라는 스폿 노드를 제거합니다.", + "guid": "15372689-94ad-4247-a157-fde418217ce4", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: Azure Spot Virtual Machines를 선택합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "여러 요인으로 인해 리소스 비용은 Azure의 지역마다 다릅니다. 비용, 대기 시간 및 규정 준수 요구 사항을 평가하여 워크로드를 비용 효율적으로 실행하고 있는지, 최종 사용자에게 영향을 미치거나 추가 네트워킹 요금이 발생하지 않는지 확인합니다.", + "guid": "41a6e1ef-d63a-4e26-842f-1a0cde3abaa6", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: 적절한 지역을 선택합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "이미지를 간소화하면 새 노드가 이러한 이미지를 다운로드해야 하므로 비용을 줄이는 데 도움이 됩니다. 애플리케이션이 시작되는 동안 사용자 요청 실패 또는 시간 초과를 방지하여 잠재적으로 오버프로비저닝으로 이어질 수 있도록 컨테이너가 가능한 한 빨리 시작될 수 있는 방식으로 이미지를 빌드합니다.", + "guid": "e689c267-1eaa-444d-806e-c5a0735658de", + "service": "Azure Kubernetes Service", + "text": "워크로드 아키텍처: 작고 최적화된 이미지를 유지 관리합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "AKS 클러스터의 노드 수를 자동으로 축소하면 수요가 낮을 때 효율적인 클러스터를 실행하고 수요가 돌아올 때 확장할 수 있습니다.", + "guid": "e770ea75-690d-4dc0-a0e4-43c17b6bb56f", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: Cluster Autoscaler를 활성화하여 과도한 리소스 용량에 대한 응답으로 에이전트 노드 수를 자동으로 줄입니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "노드 자동 프로비저닝은 SKU 선택 프로세스를 간소화하고 보류 중인 Pod 리소스 요구 사항에 따라 가장 효율적이고 비용 효율적인 방식으로 워크로드를 실행하기 위한 최적의 VM 구성을 결정합니다.", + "guid": "9994ccff-d3d4-46e3-92cb-d04231859e20", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: 노드 자동 프로비전을 사용하도록 설정하여 VM SKU 선택을 자동화합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "CPU 사용률 또는 클러스터 스케일 인 작업을 지원하는 기타 선택 메트릭에 따라 배포의 Pod 수를 조정합니다.", + "guid": "1321c176-e53a-4451-91cf-e4e50c637d07", + "service": "Azure Kubernetes Service", + "text": "워크로드 아키텍처: Horizontal Pod Autoscaler를 사용합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "Pod의 크기를 적절하게 조정하고 과거 사용량에 따라 요청 및 제한을 동적으로 설정합니다.", + "guid": "554e18fe-b835-4e78-8d27-6f49999855ad", + "service": "Azure Kubernetes Service", + "text": "워크로드 아키텍처: Vertical Pod Autoscaler(미리 보기)를 사용합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "처리되는 이벤트 수에 따라 크기를 조정합니다. 50+ KEDA 스케일러의 풍부한 카탈로그에서 선택하십시오.", + "guid": "fe15f362-a48d-4a25-aa3e-7938b3d1f5e2", + "service": "Azure Kubernetes Service", + "text": "워크로드 아키텍처: KEDA(Kubernetes Event Driven Autoscaling)를 사용합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "비용 최적화를 가능하게 하는 기반은 비용 절감 클러스터의 확산입니다. 재무 운영 접근 방식(FinOps)은 조직이 클라우드 비용을 절감하는 데 도움이 되는 데 자주 사용됩니다. 이는 재무, 운영 및 엔지니어링 팀 간의 협업을 통해 비용 절감 목표를 조정하고 클라우드 비용에 대한 투명성을 확보하는 관행입니다.", + "guid": "d0ed8b85-2072-4952-a00c-697135e435a2", + "service": "Azure Kubernetes Service", + "text": "클러스터 및 워크로드 아키텍처: 클라우드 재무 규율과 문화적 관행을 채택하여 클라우드 사용에 대한 소유권을 촉진합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "용량을 적절하게 계획한 경우 워크로드를 예측 가능하고 장기간 동안 존재하므로 Azure 예약 또는 절약 플랜에 등록하여 리소스 비용을 더욱 줄입니다.", + "guid": "9d4b8d27-c793-4862-94c8-c2505205f07f", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: Azure Reservations 또는 Azure Savings Plan에 등록합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "컨테이너 인사이트는 클러스터, 유휴 및 할당되지 않은 리소스에 대한 실행 가능한 인사이트를 제공하는 데 도움이 됩니다. 또한 컨테이너 인사이트는 Prometheus 메트릭 수집을 지원하고 Azure Managed Grafana와 통합되어 애플리케이션 및 인프라에 대한 전체적인 보기를 얻을 수 있습니다.", + "guid": "f4113186-82e7-495e-90e8-0da553de3039", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: 컨테이너 인사이트를 사용하여 클러스터 모니터링을 구성합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "비용 분석 클러스터 확장을 사용하면 클러스터 또는 네임스페이스의 다양한 Kubernetes 리소스와 관련된 비용에 대한 세분화된 인사이트를 얻을 수 있습니다.", + "guid": "43cae555-15bd-4cd7-90b9-905d40528506", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: AKS 비용 분석 추가 기능을 구성합니다.", + "type": "recommendation", + "waf": "비용" + }, + { + "description": "AKS에서 애플리케이션을 성공적으로 빌드하고 실행하려면 이해하고 구현해야 할 주요 고려 사항이 있습니다. 이러한 영역에는 멀티 테넌시 및 스케줄러 기능, 클러스터 및 Pod 보안 또는 비즈니스 연속성 및 재해 복구가 포함됩니다.", + "guid": "4ea51e35-26bb-4a2b-a7ca-435eb6d857b9", + "service": "Azure Kubernetes Service", + "text": "클러스터 및 워크로드 아키텍처: AKS 모범 사례 설명서를 검토합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "Azure Chaos Studio는 오류를 시뮬레이션하고 재해 복구 상황을 트리거하는 데 도움이 될 수 있습니다.", + "guid": "d38b720a-0b27-409f-9dfa-28f698067a19", + "service": "Azure Kubernetes Service", + "text": "클러스터 및 워크로드 아키텍처: Azure Chaos Studio를 검토합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "컨테이너 인사이트는 메트릭 API 및 컨테이너 로그를 통해 Kubernetes에서 사용할 수 있는 컨트롤러, 노드 및 컨테이너에서 메모리 및 프로세서 메트릭을 수집하여 컨테이너의 성능을 모니터링하는 데 도움이 됩니다.", + "guid": "76d86a61-446d-4597-a547-9ba4d9c25377", + "service": "Azure Kubernetes Service", + "text": "클러스터 및 워크로드 아키텍처: 컨테이너 인사이트를 사용하여 클러스터 모니터링을 구성합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "AKS 클러스터에서 실행되는 애플리케이션의 코드 기반 모니터링을 위해 Application Insights를 구성합니다.", + "guid": "b7c8f991-0c99-4f2e-8ed9-1b0bcffc2b42", + "service": "Azure Kubernetes Service", + "text": "워크로드 아키텍처: Azure Monitor를 사용하여 애플리케이션 성능을 모니터링합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "Azure Monitor의 일부인 컨테이너 인사이트는 Prometheus 메트릭을 수집하기 위한 원활한 온보딩 환경을 제공합니다. 자세한 내용은 Configure scraping of Prometheus metrics를 참조하십시오.", + "guid": "959a2059-d560-4f51-8f9a-c68b0a595beb", + "service": "Azure Kubernetes Service", + "text": "워크로드 아키텍처: 컨테이너 인사이트를 사용하여 Prometheus 메트릭 스크래핑을 구성합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "인터넷 연결 워크로드는 Azure Front Door 또는 Azure Traffic Manager를 활용하여 AKS 클러스터 간에 트래픽을 전역적으로 라우팅해야 합니다.", + "guid": "72c0719b-444b-49fa-b3fb-598de4c4a99d", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: 여러 Azure 지역에 배포된 AKS 클러스터를 배포하여 다중 지역 전략을 채택하여 가용성을 최대화하고 비즈니스 연속성을 제공합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "Azure Policy는 중앙 집중화되고 일관된 방식으로 클러스터에 대규모 적용 및 보호 기능을 적용하는 데 도움이 될 수 있습니다. 또한 Pod에 부여되는 기능과 회사 정책에 반하는 항목이 있는지 여부를 제어할 수 있습니다.", + "guid": "4fa55d17-b08b-4885-8d5b-d8cfbe3eda59", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: Azure Policy를 사용하여 클러스터 및 Pod 구성 표준을 운영합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "Kubernetes 및 수신 컨트롤러는 릴리스 엔지니어링 프로세스에 포함할 수 있는 많은 고급 배포 패턴을 지원합니다. 블루-그린 배포 또는 카나리아 릴리스와 같은 패턴을 고려합니다.", + "guid": "40bf5a02-ca6a-410d-9b6a-87fe75ff0873", + "service": "Azure Kubernetes Service", + "text": "워크로드 아키텍처: 릴리스 엔지니어링 프로세스에서 플랫폼 기능을 사용합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "배포 및 테스트를 포함한 미션 크리티컬 설계 영역을 자동화합니다.", + "guid": "dec76a46-6005-4c3e-ac2c-70b7214a28ba", + "service": "Azure Kubernetes Service", + "text": "클러스터 및 워크로드 아키텍처: 미션 크리티컬 워크로드의 경우 스탬프 수준 블루/그린 배포를 사용합니다.", + "type": "recommendation", + "waf": "작업" + }, + { + "description": "용량 계획을 공식화한 후에는 클러스터의 리소스 사용률을 지속적으로 관찰하여 자주 업데이트해야 합니다.", + "guid": "9f2cef22-f674-4702-a57a-5dcf90bf9143", + "service": "Azure Kubernetes Service", + "text": "클러스터 및 워크로드 아키텍처: 상세한 용량 계획을 개발하고 지속적으로 검토 및 수정합니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "AKS 클러스터의 노드 수를 자동으로 확장하거나 축소하는 기능을 사용하면 효율적이고 비용 효율적인 클러스터를 실행할 수 있습니다.", + "guid": "d50d653b-0d8d-44ca-8ba6-9963321d1f24", + "service": "Azure Kubernetes Service", + "text": "클러스터 아키텍처: 클러스터 자동 크기 조정기를 사용하여 리소스 제약 조건에 대한 응답으로 에이전트 노드 수를 자동으로 조정할 수 있습니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "항상 실행 중인 노드가 필요한 시스템 노드 풀과 달리 사용자 노드 풀을 사용하면 확장 또는 축소할 수 있습니다.", + "guid": "cd14e737-9478-4fb4-9556-586b03d5e248", + "service": "Azure Kubernetes Service", + "text": "클러스터 및 워크로드 아키텍처: 워크로드를 서로 다른 노드 풀로 분리하고 사용자 노드 풀의 크기를 조정하는 것이 좋습니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "필요한 작업에 대한 리소스 분산을 제어하는 데 도움이 됩니다.", + "guid": "e452f566-2a10-4119-a802-aeab44201971", + "service": "Azure Kubernetes Service", + "text": "워크로드 아키텍처: AKS 고급 스케줄러 기능을 사용합니다.", + "type": "recommendation", + "waf": "공연" + }, + { + "description": "모든 크기 조정 결정을 CPU 또는 메모리 메트릭에서 파생할 수 있는 것은 아닙니다. 규모 조정 고려 사항은 더 복잡하거나 외부 데이터 요소에서 오는 경우가 많습니다. KEDA를 사용하여 워크로드와 관련된 신호를 기반으로 의미 있는 자동 크기 조정 규칙 집합을 빌드합니다.", + "guid": "43df6223-dfca-447d-9b00-f4742ef18be1", + "service": "Azure Kubernetes Service", + "text": "워크로드 아키텍처: 의미 있는 워크로드 확장 메트릭을 사용합니다.", + "type": "recommendation", + "waf": "공연" + } + ], + "metadata": { + "name": "Azure Kubernetes Service Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "이 검사는 아직 검토되지 않았습니다", + "name": "확인되지 않음" + }, + { + "description": "이 검사와 연관된 작업 항목이 있습니다", + "name": "열다" + }, + { + "description": "이 검사는 확인되었으며 이와 관련된 추가 작업 항목이 없습니다", + "name": "성취" + }, + { + "description": "현재 설계에는 적용되지 않습니다.", + "name": "해당 없음" + }, + { + "description": "필요 없음", + "name": "필요 없음" + } + ], + "waf": [ + { + "name": "안전" + }, + { + "name": "비용" + }, + { + "name": "비용" + }, + { + "name": "신뢰도" + }, + { + "name": "신뢰도" + }, + { + "name": "안전" + }, + { + "name": "공연" + }, + { + "name": "작업" + }, + { + "name": "작업" + }, + { + "name": "공연" + } + ], + "yesno": [ + { + "name": "예" + }, + { + "name": "아니요" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurekubernetesservice_sg_checklist.pt.json b/checklists-ext/azurekubernetesservice_sg_checklist.pt.json new file mode 100644 index 000000000..f7f4e82d8 --- /dev/null +++ b/checklists-ext/azurekubernetesservice_sg_checklist.pt.json @@ -0,0 +1,482 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "Permite que o agendador do Kubernetes isole logicamente as cargas de trabalho por hardware no nó. Ao contrário das tolerâncias, os pods sem um seletor de nó correspondente podem ser agendados em nós rotulados, o que permite que recursos não utilizados nos nós sejam consumidos, mas dá prioridade aos pods que definem o seletor de nó correspondente. Use a afinidade de nó para obter mais flexibilidade, o que permite definir o que acontece se o pod não puder ser correspondido a um nó.", + "guid": "79d7a487-b319-40ef-b55f-94c265986865", + "service": "Azure Kubernetes Service", + "text": "Arquiteturas de cluster e carga de trabalho: controle o agendamento de pod usando seletores de nó e afinidade.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "A CNI do Azure é necessária para cenários específicos, por exemplo, pools de nós baseados no Windows, requisitos de rede específicos e Políticas de Rede do Kubernetes. Consulte Kubenet versus CNI do Azure para obter mais informações.", + "guid": "d152a74d-cb2f-4c9c-978e-0e3a07b174a5", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: Garanta a seleção adequada do plug-in de rede com base nos requisitos de rede e no dimensionamento do cluster.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "O SLA de Tempo de Atividade do AKS garante: - disponibilidade de '99,95%' do ponto de extremidade do servidor de API do Kubernetes para Clusters do AKS que usam Zonas de Disponibilidade do Azure ou - disponibilidade de '99,9%' para Clusters do AKS que não usam Zonas de Disponibilidade do Azure.", + "guid": "99cc0fc7-138a-452f-a4dd-fd79daa5049e", + "service": "Azure Kubernetes Service", + "text": "Arquiteturas de cluster e carga de trabalho: use o SLA de Tempo de Atividade do AKS para clusters de nível de produção.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Os insights de contêiner ajudam a monitorar a integridade e o desempenho de controladores, nós e contêineres disponíveis no Kubernetes por meio da API de Métricas. A integração com o Prometheus permite a coleta de métricas de aplicativos e cargas de trabalho.", + "guid": "76d86a61-446d-4597-a547-9ba4d9c25377", + "service": "Azure Kubernetes Service", + "text": "Arquiteturas de cluster e carga de trabalho: configure o monitoramento do cluster com insights de contêiner.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Ao distribuir pools de nós em várias zonas, os nós em um pool de nós continuarão em execução mesmo que outra zona tenha ficado inativa. Se houver requisitos de colocalidade, uma implantação regular do AKS baseada em VMSS em uma única zona ou grupos de posicionamento por proximidade poderão ser usados para minimizar a latência entre nós.", + "guid": "29400c1f-e4ff-4ab5-89ff-be93d51d5fa8", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: use zonas de disponibilidade para maximizar a resiliência em uma região do Azure distribuindo nós de agente do AKS em data centers fisicamente separados.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "As cargas de trabalho voltadas para a Internet devem aproveitar o Azure Front Door ou o Gerenciador de Tráfego do Azure para rotear o tráfego globalmente entre clusters do AKS.", + "guid": "72c0719b-444b-49fa-b3fb-598de4c4a99d", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: adote uma estratégia de várias regiões implantando clusters do AKS implantados em diferentes regiões do Azure para maximizar a disponibilidade e fornecer continuidade dos negócios.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Os limites de recursos de CPU e memória do contêiner são necessários para evitar o esgotamento de recursos no cluster do Kubernetes.", + "guid": "f230e754-6818-4428-b2ad-7ad543723f80", + "service": "Azure Kubernetes Service", + "text": "Arquiteturas de cluster e carga de trabalho: defina solicitações e limites de recursos de pod em manifestos de implantação de aplicativo e imponha com Azure Policy.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Os pools de nós do sistema exigem um SKU de VM de pelo menos 2 vCPUs e 4 GB de memória, mas 4 vCPUs ou mais são recomendados. Sistema de referência e pools de nós do usuário para requisitos detalhados.", + "guid": "f51b6cdd-3914-4e11-a8e8-f2cf61788e84", + "service": "Azure Kubernetes Service", + "text": "Arquiteturas de cluster e carga de trabalho: mantenha o pool de nós do sistema isolado das cargas de trabalho do aplicativo.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Os aplicativos podem compartilhar a mesma configuração e precisar de VMs habilitadas para GPU, VMs otimizadas para CPU ou memória ou a capacidade de escalar para zero. Evite um grande número de pools de nós para reduzir a sobrecarga de gerenciamento extra.", + "guid": "e303e4a0-0b81-47bd-bd44-bede44825fa2", + "service": "Azure Kubernetes Service", + "text": "Arquiteturas de cluster e carga de trabalho: Separe aplicativos para pools de nós dedicados com base em requisitos específicos.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "Para evitar problemas de confiabilidade com as limitações do Azure Load Balancer com alto tráfego de saída simultâneo, use um Gateway NAT para dar suporte ao tráfego de saída confiável em escala.", + "guid": "ff84fa04-ee66-4605-85f3-803dd2cab3c4", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: use um gateway NAT para clusters que executam cargas de trabalho que fazem muitas conexões de saída simultâneas.", + "type": "recommendation", + "waf": "Fiabilidade" + }, + { + "description": "O uso do Microsoft Entra ID centraliza o componente de gerenciamento de identidade. Qualquer alteração no status da conta de usuário ou do grupo é atualizada automaticamente no acesso ao cluster do AKS. Os desenvolvedores e proprietários de aplicativos do cluster do Kubernetes precisam de acesso a recursos diferentes.", + "guid": "03a24546-1e4a-46d6-ad0c-63e80d157b51", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: use a integração do Microsoft Entra.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "O AKS e a ID do Microsoft Entra habilitam a autenticação com o Registro de Contêiner do Azure sem o uso de segredos 'imagePullSecrets'. Examine Autenticar com o Registro de Contêiner do Azure do Serviço de Kubernetes do Azure para obter mais informações.", + "guid": "dc50fb2f-f5e9-4ea2-a1b8-36fbf1e1bec4", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: autentique com a ID do Microsoft Entra no Registro de Contêiner do Azure.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Por padrão, o tráfego de rede entre os pools de nós e o servidor de API viaja pela rede de backbone da Microsoft; usando um cluster privado, você pode garantir que o tráfego de rede para o servidor de API permaneça somente na rede privada.", + "guid": "3d11d647-363f-469c-bea9-9ef27a9bee70", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: proteja o tráfego de rede para o servidor de API com o cluster AKS privado.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Ao usar clusters públicos, você ainda pode limitar o tráfego que pode chegar ao servidor de API de clusters usando o recurso de intervalo de IP autorizado. Inclua fontes como os IPs públicos de seus agentes de build de implantação, gerenciamento de operações e ponto de saída de pools de nós (como Firewall do Azure).", + "guid": "0418c965-c483-41bc-933c-9289108b8ad0", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: para clusters do AKS não privados, use intervalos de IP autorizados pelo servidor de API.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Proteger o acesso ao Kubernetes API Server é uma das coisas mais importantes que você pode fazer para proteger seu cluster. Integre o RBAC (controle de acesso baseado em função) do Kubernetes com a ID do Microsoft Entra para controlar o acesso ao servidor de API. Desabilite contas locais para impor todo o acesso ao cluster usando identidades baseadas em ID do Microsoft Entra.", + "guid": "951727b0-fd7b-4d09-8ae6-384f8441c234", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: proteja o servidor de API com o RBAC do Microsoft Entra.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Proteja e controle o tráfego de rede entre pods em um cluster.", + "guid": "68a66542-3c31-43c4-8a16-a05ab2a4df5f", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: use políticas de rede do Azure ou Calico.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "O Azure Policy pode ajudar a aplicar imposições e proteções em escala em seus clusters de maneira centralizada e consistente. Ele também pode controlar quais funções os pods são concedidos e se algo está sendo executado contra a política da empresa.", + "guid": "c99d155b-6a13-4f61-8672-356b1ed3a922", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: proteja clusters e pods com o Azure Policy.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Limite o acesso às ações que os contêineres podem executar. Forneça o menor número de permissões e evite o uso de escalonamento raiz ou privilegiado.", + "guid": "43384eb1-7b95-44aa-9c60-e09652b18521", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: acesso seguro de contêiner aos recursos.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Para verificar o tráfego de entrada em busca de possíveis ataques, use um firewall de aplicativo Web, como o WAF (Firewall de Aplicativo Web) do Azure no Gateway de Aplicativo do Azure ou no Azure Front Door.", + "guid": "ae6a3199-847d-4901-bad1-63be20d584b8", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de carga de trabalho: use um firewall de aplicativo Web para proteger o tráfego HTTP(S).", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Verifique se o tráfego de saída do cluster está passando por um ponto de segurança de rede, como o Firewall do Azure ou um proxy HTTP.", + "guid": "d67db716-6569-4a40-b18f-01052c02399f", + "service": "Azure Kubernetes Service", + "text": "Arquitetura do cluster: controle o tráfego de saída do cluster.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Proteja e gire segredos, certificados e cadeias de conexão no Azure Key Vault com criptografia forte. Fornece um log de auditoria de acesso e mantém os segredos principais fora do pipeline de implantação.", + "guid": "bc5240f0-9c6d-469e-bf71-9f8d4bf18c29", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: use a ID de carga de trabalho do Microsoft Entra de software livre e o driver CSI do repositório de segredos com o Azure Key Vault.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Monitore e mantenha a segurança de seus clusters, contêineres e seus aplicativos.", + "guid": "2ac2d30a-a96a-4d14-b63d-7e2e3147ea9e", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: use Microsoft Defender para Contêineres.", + "type": "recommendation", + "waf": "Segurança" + }, + { + "description": "Combinar sua seleção com suas demandas de carga de trabalho garante que você não pague por recursos desnecessários.", + "guid": "93a3ae7a-6f04-471b-bb3f-5eb4e6664c5b", + "service": "Azure Kubernetes Service", + "text": "Arquiteturas de cluster e carga de trabalho: alinhe a seleção de SKU e o tamanho do disco gerenciado com os requisitos de carga de trabalho.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Selecionar o tipo de instância de máquina virtual correto é fundamental, pois afeta diretamente o custo de execução de aplicativos no AKS. A escolha de uma instância de alta performance sem a utilização adequada pode levar a gastos desnecessários, enquanto a escolha de uma instância poderosa pode levar a problemas de performance e aumento do tempo de inatividade. Para determinar o tipo de instância de máquina virtual correto, considere as características da carga de trabalho, os requisitos de recursos e as necessidades de disponibilidade.", + "guid": "f16a2684-c225-4fd5-8202-8ea1db7f18e7", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: selecione o tipo de instância de máquina virtual correto.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "O AKS dá suporte à criação de nós de agente do Ubuntu ARM64, bem como uma combinação de nós de arquitetura Intel e ARM em um cluster que pode trazer melhor desempenho a um custo menor.", + "guid": "f0572fdc-24e3-4e6c-8c90-0ba85cc6f52a", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: selecione máquinas virtuais com base na arquitetura Arm.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "As VMs spot permitem que você aproveite a capacidade não utilizada do Azure com descontos significativos (até 90% em comparação com os preços pagos conforme o uso). Se o Azure precisar de capacidade de volta, a infraestrutura do Azure removerá os nós spot.", + "guid": "15372689-94ad-4247-a157-fde418217ce4", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: selecione Máquinas Virtuais Spot do Azure.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Devido a muitos fatores, o custo dos recursos varia de acordo com a região no Azure. Avalie os requisitos de custo, latência e conformidade para garantir que você esteja executando sua carga de trabalho de maneira econômica e que ela não afete seus usuários finais nem crie cobranças extras de rede.", + "guid": "41a6e1ef-d63a-4e26-842f-1a0cde3abaa6", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: selecione a região apropriada.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Simplificar suas imagens ajuda a reduzir custos, pois novos nós precisam baixar essas imagens. Crie imagens de uma forma que permita que o contêiner seja iniciado o mais rápido possível para ajudar a evitar falhas de solicitação do usuário ou tempos limite enquanto o aplicativo está sendo inicializado, potencialmente levando ao superprovisionamento.", + "guid": "e689c267-1eaa-444d-806e-c5a0735658de", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de carga de trabalho: mantenha imagens pequenas e otimizadas.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Reduzir verticalmente automaticamente o número de nós no cluster do AKS permite que você execute um cluster eficiente quando a demanda é baixa e escale verticalmente quando a demanda retornar.", + "guid": "e770ea75-690d-4dc0-a0e4-43c17b6bb56f", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: habilite o Dimensionador Automático de Cluster para reduzir automaticamente o número de nós do agente em resposta ao excesso de capacidade de recursos.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "O Node Autoprovision simplifica o processo de seleção de SKU e decide, com base nos requisitos de recursos de pod pendentes, a configuração ideal da VM para executar cargas de trabalho da maneira mais eficiente e econômica.", + "guid": "9994ccff-d3d4-46e3-92cb-d04231859e20", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: habilite o provisionamento automático de nó para automatizar a seleção de SKU de VM.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Ajuste o número de pods em uma implantação dependendo da utilização da CPU ou de outras métricas selecionadas, que dão suporte a operações de redução horizontal do cluster.", + "guid": "1321c176-e53a-4451-91cf-e4e50c637d07", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de carga de trabalho: use o Horizontal Pod Autoscaler.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Dimensione corretamente seus pods e defina dinamicamente solicitações e limites com base no uso histórico.", + "guid": "554e18fe-b835-4e78-8d27-6f49999855ad", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de carga de trabalho: use o Vertical Pod Autoscaler (versão prévia).", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Dimensione com base no número de eventos que estão sendo processados. Escolha entre um rico catálogo de 50+ scalers KEDA.", + "guid": "fe15f362-a48d-4a25-aa3e-7938b3d1f5e2", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de carga de trabalho: use o Kubernetes Event Driven Autoscaling (KEDA).", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "A base para habilitar a otimização de custos é a disseminação de um cluster de economia de custos. Uma abordagem de operações financeiras (FinOps) é frequentemente usada para ajudar as organizações a reduzir os custos da nuvem. É uma prática que envolve a colaboração entre as equipes de finanças, operações e engenharia para impulsionar o alinhamento das metas de economia de custos e trazer transparência aos custos da nuvem.", + "guid": "d0ed8b85-2072-4952-a00c-697135e435a2", + "service": "Azure Kubernetes Service", + "text": "Arquiteturas de cluster e carga de trabalho: adote uma disciplina financeira de nuvem e uma prática cultural para impulsionar a propriedade do uso da nuvem.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Se você planejou corretamente a capacidade, sua carga de trabalho é previsível e existe por um longo período de tempo, inscreva-se em uma Reserva do Azure ou em um plano de economia para reduzir ainda mais seus custos de recursos.", + "guid": "9d4b8d27-c793-4862-94c8-c2505205f07f", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: inscreva-se nas Reservas do Azure ou no Plano de Economia do Azure.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Os insights de contêiner ajudam a fornecer insights acionáveis sobre os recursos ociosos e não alocados dos clusters. Os insights de contêiner também dão suporte à coleta de métricas do Prometheus e se integram ao Azure Managed Grafana para obter uma visão holística do aplicativo e da infraestrutura.", + "guid": "f4113186-82e7-495e-90e8-0da553de3039", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: configure o monitoramento do cluster com insights de contêiner.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "A extensão de cluster de análise de custos permite que você obtenha insights granulares sobre os custos associados a vários recursos do Kubernetes em seus clusters ou namespaces.", + "guid": "43cae555-15bd-4cd7-90b9-905d40528506", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: configure o complemento Análise de Custos do AKS.", + "type": "recommendation", + "waf": "Custar" + }, + { + "description": "Para criar e executar aplicativos com êxito no AKS, há considerações importantes a serem entendidas e implementadas. Essas áreas incluem recursos de agendamento e multilocação, segurança de cluster e pod ou continuidade dos negócios e recuperação de desastres.", + "guid": "4ea51e35-26bb-4a2b-a7ca-435eb6d857b9", + "service": "Azure Kubernetes Service", + "text": "Arquiteturas de cluster e carga de trabalho: examine a documentação de práticas recomendadas do AKS.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "O Azure Chaos Studio pode ajudar a simular falhas e disparar situações de recuperação de desastre.", + "guid": "d38b720a-0b27-409f-9dfa-28f698067a19", + "service": "Azure Kubernetes Service", + "text": "Arquiteturas de cluster e carga de trabalho: examine o Azure Chaos Studio.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Os insights de contêiner ajudam a monitorar o desempenho de contêineres coletando métricas de memória e processador de controladores, nós e contêineres disponíveis no Kubernetes por meio da API de Métricas e dos logs de contêiner.", + "guid": "76d86a61-446d-4597-a547-9ba4d9c25377", + "service": "Azure Kubernetes Service", + "text": "Arquiteturas de cluster e carga de trabalho: configure o monitoramento do cluster com insights de contêiner.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Configure o Application Insights para monitoramento baseado em código de aplicativos em execução em um cluster do AKS.", + "guid": "b7c8f991-0c99-4f2e-8ed9-1b0bcffc2b42", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de carga de trabalho: monitore o desempenho do aplicativo com o Azure Monitor.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Os insights de contêiner, que fazem parte do Azure Monitor, fornecem uma experiência de integração perfeita para coletar métricas do Prometheus. Consulte Configurar a extração de métricas do Prometheus para obter mais informações.", + "guid": "959a2059-d560-4f51-8f9a-c68b0a595beb", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de carga de trabalho: configure a extração de métricas do Prometheus com insights de contêiner.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "As cargas de trabalho voltadas para a Internet devem aproveitar o Azure Front Door ou o Gerenciador de Tráfego do Azure para rotear o tráfego globalmente entre clusters do AKS.", + "guid": "72c0719b-444b-49fa-b3fb-598de4c4a99d", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: adote uma estratégia de várias regiões implantando clusters do AKS implantados em diferentes regiões do Azure para maximizar a disponibilidade e fornecer continuidade dos negócios.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "O Azure Policy pode ajudar a aplicar imposições e proteções em escala em seus clusters de maneira centralizada e consistente. Ele também pode controlar quais funções os pods são concedidos e se algo está sendo executado contra a política da empresa.", + "guid": "4fa55d17-b08b-4885-8d5b-d8cfbe3eda59", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: operacionalize os padrões de configuração de clusters e pods com o Azure Policy.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "O Kubernetes e os controladores de entrada oferecem suporte a muitos padrões avançados de implantação para inclusão em seu processo de engenharia de lançamento. Considere padrões como implantações azul-verde ou versões canário.", + "guid": "40bf5a02-ca6a-410d-9b6a-87fe75ff0873", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de carga de trabalho: use os recursos da plataforma em seu processo de engenharia de lançamento.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Automatize suas áreas de projeto de missão crítica, incluindo implantação e teste.", + "guid": "dec76a46-6005-4c3e-ac2c-70b7214a28ba", + "service": "Azure Kubernetes Service", + "text": "Arquiteturas de cluster e carga de trabalho: para cargas de trabalho críticas, use implantações azul/verde no nível do selo.", + "type": "recommendation", + "waf": "Operações" + }, + { + "description": "Depois de formalizar seu plano de capacidade, ele deve ser atualizado com frequência, observando continuamente a utilização de recursos do cluster.", + "guid": "9f2cef22-f674-4702-a57a-5dcf90bf9143", + "service": "Azure Kubernetes Service", + "text": "Arquiteturas de cluster e carga de trabalho: desenvolva um plano de capacidade detalhado e revise e revise continuamente.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "A capacidade de escalar ou reduzir verticalmente automaticamente o número de nós no cluster do AKS permite que você execute um cluster eficiente e econômico.", + "guid": "d50d653b-0d8d-44ca-8ba6-9963321d1f24", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de cluster: habilite o dimensionador automático de cluster para ajustar automaticamente o número de nós do agente em resposta a restrições de recursos.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "Ao contrário dos pools de nós do sistema que sempre exigem nós em execução, os pools de nós do usuário permitem que você aumente ou diminua verticalmente.", + "guid": "cd14e737-9478-4fb4-9556-586b03d5e248", + "service": "Azure Kubernetes Service", + "text": "Arquiteturas de cluster e carga de trabalho: separe as cargas de trabalho em pools de nós diferentes e considere dimensionar pools de nós do usuário.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "Ajuda a controlar o balanceamento de recursos para cargas de trabalho que os exigem.", + "guid": "e452f566-2a10-4119-a802-aeab44201971", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de carga de trabalho: use os recursos avançados do agendador do AKS.", + "type": "recommendation", + "waf": "Desempenho" + }, + { + "description": "Nem todas as decisões de escala podem ser derivadas de métricas de CPU ou memória. Muitas vezes, as considerações de escala virão de pontos de dados mais complexos ou mesmo externos. Use o KEDA para criar um conjunto de regras de dimensionamento automático significativo com base em sinais específicos para sua carga de trabalho.", + "guid": "43df6223-dfca-447d-9b00-f4742ef18be1", + "service": "Azure Kubernetes Service", + "text": "Arquitetura de carga de trabalho: use métricas significativas de dimensionamento de carga de trabalho.", + "type": "recommendation", + "waf": "Desempenho" + } + ], + "metadata": { + "name": "Azure Kubernetes Service Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "Esta verificação ainda não foi analisada", + "name": "Não verificado" + }, + { + "description": "Há um item de ação associado a essa verificação", + "name": "Abrir" + }, + { + "description": "Essa verificação foi verificada e não há mais itens de ação associados a ela", + "name": "Cumprido" + }, + { + "description": "Não aplicável para o projeto atual", + "name": "N/A" + }, + { + "description": "Não é necessário", + "name": "Não é necessário" + } + ], + "waf": [ + { + "name": "segurança" + }, + { + "name": "Custar" + }, + { + "name": "custar" + }, + { + "name": "Fiabilidade" + }, + { + "name": "fiabilidade" + }, + { + "name": "Segurança" + }, + { + "name": "desempenho" + }, + { + "name": "Operações" + }, + { + "name": "Operações" + }, + { + "name": "Desempenho" + } + ], + "yesno": [ + { + "name": "Sim" + }, + { + "name": "Não" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azurekubernetesservice_sg_checklist.zh-Hant.json b/checklists-ext/azurekubernetesservice_sg_checklist.zh-Hant.json new file mode 100644 index 000000000..4f57fc6d6 --- /dev/null +++ b/checklists-ext/azurekubernetesservice_sg_checklist.zh-Hant.json @@ -0,0 +1,482 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "允許 Kubernetes 調度器按節點中的硬體邏輯隔離工作負載。與容忍度不同，沒有匹配節點選擇器的 Pod 可以調度在標記的節點上，這允許節點上未使用的資源使用，但優先考慮定義匹配節點選擇器的 Pod。使用節點親和性可提高靈活性，這使您可以定義如果 Pod 無法與節點匹配時會發生什麼情況。", + "guid": "79d7a487-b319-40ef-b55f-94c265986865", + "service": "Azure Kubernetes Service", + "text": "集群和工作負載架構：使用節點選擇器和親和性控制Pod調度。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "特定方案（例如，基於 Windows 的節點池、特定網路要求和 Kubernetes 網路策略）需要 Azure CNI。有關詳細資訊，請參閱 Kubenet 與 Azure CNI。", + "guid": "d152a74d-cb2f-4c9c-978e-0e3a07b174a5", + "service": "Azure Kubernetes Service", + "text": "集群架構：確保根據網路需求和集群大小正確選擇網路外掛程式。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "AKS 運行時間 SLA 保證： - 對於使用 Azure 可用性區域的 AKS 群集，Kubernetes API 伺服器終結點的可用性為“99.95%”，或者 - 對於不使用 Azure 可用性區域的 AKS 群集，可用性為“99.9%”。", + "guid": "99cc0fc7-138a-452f-a4dd-fd79daa5049e", + "service": "Azure Kubernetes Service", + "text": "群集和工作負載體系結構：將 AKS 運行時間 SLA 用於生產級群集。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "容器見解有助於通過指標 API 監控 Kubernetes 中可用的控制器、節點和容器的運行狀況和性能。與 Prometheus 集成後，可以收集應用程式和工作負載指標。", + "guid": "76d86a61-446d-4597-a547-9ba4d9c25377", + "service": "Azure Kubernetes Service", + "text": "集群和工作負載架構：使用容器見解配置集群監控。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "通過將節點池分佈在多個區域中，即使另一個區域已關閉，一個節點池中的節點也將繼續運行。如果存在同域性要求，則可以使用基於 VMSS 的常規 AKS 部署到單個區域或鄰近放置組來最大程度地減少節點間延遲。", + "guid": "29400c1f-e4ff-4ab5-89ff-be93d51d5fa8", + "service": "Azure Kubernetes Service", + "text": "群集體系結構：使用可用性區域將 AKS 代理節點分佈在物理上獨立的數據中心，從而最大限度地提高 Azure 區域內的復原能力。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "面向 Internet 的工作負載應利用 Azure Front Door 或 Azure 流量管理員在 AKS 群集之間全域路由流量。", + "guid": "72c0719b-444b-49fa-b3fb-598de4c4a99d", + "service": "Azure Kubernetes Service", + "text": "群集體系結構：通過部署跨不同 Azure 區域部署的 AKS 群集來採用多區域策略，以最大限度地提高可用性並提供業務連續性。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "容器 CPU 和記憶體資源限制對於防止 Kubernetes 集群中的資源耗盡是必要的。", + "guid": "f230e754-6818-4428-b2ad-7ad543723f80", + "service": "Azure Kubernetes Service", + "text": "群集和工作負載體系結構：在應用程式部署清單中定義Pod資源請求和限制，並使用 Azure Policy 強制實施。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "系統節點池需要至少 2 個 vCPU 和 4 GB 記憶體的 VM SKU，但建議使用 4 個或更多的 vCPU。參考系統和用戶節點池，瞭解詳細要求。", + "guid": "f51b6cdd-3914-4e11-a8e8-f2cf61788e84", + "service": "Azure Kubernetes Service", + "text": "集群和工作負載架構：將系統節點池與應用程式工作負載隔離。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "應用程式可能共用相同的配置，並且需要啟用了 GPU 的 VM、CPU 或記憶體優化的 VM，或者能夠擴展到零。避免使用大量節點池，以減少額外的管理開銷。", + "guid": "e303e4a0-0b81-47bd-bd44-bede44825fa2", + "service": "Azure Kubernetes Service", + "text": "集群和工作負載架構：根據特定要求將應用程式分離到專用節點池中。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "為了避免 Azure 負載均衡器限制在高併發出站流量下的可靠性問題，我們改用 NAT 閘道來支持大規模的可靠出口流量。", + "guid": "ff84fa04-ee66-4605-85f3-803dd2cab3c4", + "service": "Azure Kubernetes Service", + "text": "集群架構：將 NAT 閘道用於運行產生許多併發出站連接的工作負載的集群。", + "type": "recommendation", + "waf": "可靠性" + }, + { + "description": "使用 Microsoft Entra ID 可以集中標識管理元件。用戶帳戶或組狀態的任何更改都會在訪問 AKS 群集時自動更新。Kubernetes 集群的開發人員和應用程式擁有者需要訪問不同的資源。", + "guid": "03a24546-1e4a-46d6-ad0c-63e80d157b51", + "service": "Azure Kubernetes Service", + "text": "群集體系結構：使用 Microsoft Entra 集成。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "AKS 和 Microsoft Entra ID 支援使用 Azure 容器註冊表進行身份驗證，而無需使用“imagePullSecrets”機密。有關詳細資訊，請查看從 Azure Kubernetes 服務使用 Azure 容器註冊表進行身份驗證。", + "guid": "dc50fb2f-f5e9-4ea2-a1b8-36fbf1e1bec4", + "service": "Azure Kubernetes Service", + "text": "群集體系結構：使用 Microsoft Entra ID 對 Azure 容器註冊表進行身份驗證。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "默認情況下，節點池和 API 伺服器之間的網路流量通過 Microsoft 主幹網路傳輸;通過使用私有集群，您可以確保流向 API 伺服器的網路流量僅保持在私有網路上。", + "guid": "3d11d647-363f-469c-bea9-9ef27a9bee70", + "service": "Azure Kubernetes Service", + "text": "群集體系結構：使用專用 AKS 群集保護到 API 伺服器的網路流量。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "使用公共集群時，您仍然可以使用授權IP範圍功能來限制可以到達集群 API 伺服器的流量。包括部署生成代理的公共IP、操作管理和節點池的出口點（例如 Azure 防火牆）等源。", + "guid": "0418c965-c483-41bc-933c-9289108b8ad0", + "service": "Azure Kubernetes Service", + "text": "群集體系結構：對於非專用 AKS 群集，請使用 API 伺服器授權的 IP 範圍。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "保護對 Kubernetes API 伺服器的訪問是您可以做的最重要的事情之一，以保護您的集群。將 Kubernetes 基於角色的訪問控制 （RBAC） 與 Microsoft Entra ID 整合，以控制對 API 伺服器的訪問。禁用本地帳戶以使用基於 Microsoft Entra ID 的標識強制執行所有群集訪問。", + "guid": "951727b0-fd7b-4d09-8ae6-384f8441c234", + "service": "Azure Kubernetes Service", + "text": "群集體系結構：使用 Microsoft Entra RBAC 保護 API 伺服器。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "保護和控制集群中 Pod 之間的網路流量。", + "guid": "68a66542-3c31-43c4-8a16-a05ab2a4df5f", + "service": "Azure Kubernetes Service", + "text": "群集體系結構：使用 Azure 網路策略或 Calico。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "Azure Policy 可以説明以集中、一致的方式在群集上應用大規模強制實施和保護措施。它還可以控制授予 pod 哪些功能，以及是否有任何內容違反公司策略。", + "guid": "c99d155b-6a13-4f61-8672-356b1ed3a922", + "service": "Azure Kubernetes Service", + "text": "群集體系結構：使用 Azure Policy 保護群集和 Pod。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "限制對容器可以執行的操作的訪問。提供最少數量的許可權，並避免使用 root 或特權升級。", + "guid": "43384eb1-7b95-44aa-9c60-e09652b18521", + "service": "Azure Kubernetes Service", + "text": "集群架構：保護容器對資源的訪問。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "若要掃描傳入流量以查找潛在攻擊，請使用 Web 應用程式防火牆，例如 Azure 應用程式閘道或 Azure Front Door 上的 Azure Web 應用程式防火牆 （WAF）。", + "guid": "ae6a3199-847d-4901-bad1-63be20d584b8", + "service": "Azure Kubernetes Service", + "text": "工作負載體系結構：使用 Web 應用程式防火牆來保護 HTTP（S） 流量。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "確保群集的出站流量通過網路安全點，例如 Azure 防火牆或 HTTP 代理。", + "guid": "d67db716-6569-4a40-b18f-01052c02399f", + "service": "Azure Kubernetes Service", + "text": "集群架構：控制集群出口流量。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "使用強加密保護和輪換 Azure Key Vault 中的機密、證書和連接字串。提供訪問審核日誌，並將核心機密排除在部署管道之外。", + "guid": "bc5240f0-9c6d-469e-bf71-9f8d4bf18c29", + "service": "Azure Kubernetes Service", + "text": "群集體系結構：將開源 Microsoft Entra 工作負載 ID 和機密存儲 CSI 驅動程式與 Azure Key Vault 配合使用。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "監控和維護集群、容器及其應用程式的安全性。", + "guid": "2ac2d30a-a96a-4d14-b63d-7e2e3147ea9e", + "service": "Azure Kubernetes Service", + "text": "群集體系結構：使用 Microsoft Defender for Containers。", + "type": "recommendation", + "waf": "安全" + }, + { + "description": "將您的選擇與工作負載需求相匹配，可確保您不會為不需要的資源付費。", + "guid": "93a3ae7a-6f04-471b-bb3f-5eb4e6664c5b", + "service": "Azure Kubernetes Service", + "text": "群集和工作負載體系結構：使 SKU 選擇和託管磁碟大小與工作負載要求保持一致。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "選擇正確的虛擬機實例類型至關重要，因為它直接影響在AKS上運行應用程式的成本。選擇高性能實例而沒有適當的利用率可能會導致浪費支出，而選擇功能強大的實例可能會導致性能問題和停機時間增加。要確定正確的虛擬機實例類型，請考慮工作負載特徵、資源要求和可用性需求。", + "guid": "f16a2684-c225-4fd5-8202-8ea1db7f18e7", + "service": "Azure Kubernetes Service", + "text": "集群架構：選擇正確的虛擬機實例類型。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "AKS 支援在群集中創建ARM64 Ubuntu代理節點，以及混合使用Intel和ARM體系結構的節點，這些節點可以以更低的成本帶來更好的性能。", + "guid": "f0572fdc-24e3-4e6c-8c90-0ba85cc6f52a", + "service": "Azure Kubernetes Service", + "text": "集群架構：選擇基於Arm架構的虛擬機。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "現成 VM 允許你以大幅折扣利用未使用的 Azure 容量（與即用即付價格相比，最高可享受 90%）。如果 Azure 需要恢復容量，Azure 基礎結構將逐出 Spot 節點。", + "guid": "15372689-94ad-4247-a157-fde418217ce4", + "service": "Azure Kubernetes Service", + "text": "群集體系結構：選擇「Azure 現成虛擬機」。。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "由於許多因素，Azure 中每個區域的資源成本會有所不同。評估成本、延遲和合規性要求，以確保您以經濟高效的方式運行工作負載，並且不會影響您的最終使用者或產生額外的網路費用。", + "guid": "41a6e1ef-d63a-4e26-842f-1a0cde3abaa6", + "service": "Azure Kubernetes Service", + "text": "集群架構：選擇合適的地域。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "簡化圖像有助於降低成本，因為新節點需要下載這些圖像。以允許容器儘快啟動的方式生成映像，以説明避免在應用程式啟動時使用者請求失敗或超時，這可能導致過度預配。", + "guid": "e689c267-1eaa-444d-806e-c5a0735658de", + "service": "Azure Kubernetes Service", + "text": "工作負載體系結構：維護小型和優化的映像。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "通過自動縮減 AKS 群集中的節點數，可以在需求較低時運行高效的群集，並在需求返回時縱向擴展。", + "guid": "e770ea75-690d-4dc0-a0e4-43c17b6bb56f", + "service": "Azure Kubernetes Service", + "text": "集群架構：啟用 Cluster Autoscaler 以自動減少代理節點的數量，以響應資源容量過剩。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "節點自動配置簡化了 SKU 選擇過程，並根據待處理的 Pod 資源要求決定最佳 VM 配置，以最高效且經濟高效的方式運行工作負載。", + "guid": "9994ccff-d3d4-46e3-92cb-d04231859e20", + "service": "Azure Kubernetes Service", + "text": "群集體系結構：啟用節點自動預配以自動選擇 VM SKU。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "根據 CPU 利用率或其他支援集群縮減操作的選擇指標調整部署中的 Pod 數量。", + "guid": "1321c176-e53a-4451-91cf-e4e50c637d07", + "service": "Azure Kubernetes Service", + "text": "工作負載架構：使用水準Pod自動縮放器。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "調整 Pod 的大小，並根據歷史使用方式動態設置請求和限制。", + "guid": "554e18fe-b835-4e78-8d27-6f49999855ad", + "service": "Azure Kubernetes Service", + "text": "工作負載體系結構：使用垂直 Pod 自動縮放程式（預覽版）。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "根據正在處理的事件數進行縮放。從 50+ KEDA 潔牙器的豐富目錄中選擇。", + "guid": "fe15f362-a48d-4a25-aa3e-7938b3d1f5e2", + "service": "Azure Kubernetes Service", + "text": "工作負載體系結構：使用 Kubernetes 事件驅動的自動縮放 （KEDA）。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "實現成本優化的基礎是成本節約集群的分佈。財務運營方法 （FinOps） 通常用於幫助組織降低雲成本。它是一種涉及財務、運營和工程團隊之間協作的做法，旨在推動成本節約目標的一致性，並使雲成本透明化。", + "guid": "d0ed8b85-2072-4952-a00c-697135e435a2", + "service": "Azure Kubernetes Service", + "text": "群集和工作負載體系結構：採用雲財務規則和文化實踐來推動對雲使用的擁有權。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "如果正確規劃了容量，則工作負載是可預測的，並且會存在較長的時間段，請註冊 Azure 預留或節省計劃以進一步降低資源成本。", + "guid": "9d4b8d27-c793-4862-94c8-c2505205f07f", + "service": "Azure Kubernetes Service", + "text": "群集體系結構：註冊 Azure 預留或 Azure 節省計劃。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "容器見解有助於提供有關集群、空閒和未分配資源的可操作見解。容器見解還支援收集 Prometheus 指標，並與 Azure 託管 Grafana 集成，以全面瞭解應用程式和基礎結構。", + "guid": "f4113186-82e7-495e-90e8-0da553de3039", + "service": "Azure Kubernetes Service", + "text": "集群架構：使用容器見解配置集群監控。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "通過成本分析集群擴展，您可以深入瞭解與集群或命名空間中的各種 Kubernetes 資源關聯的成本。", + "guid": "43cae555-15bd-4cd7-90b9-905d40528506", + "service": "Azure Kubernetes Service", + "text": "群集體系結構：配置 AKS 成本分析載入項。", + "type": "recommendation", + "waf": "成本" + }, + { + "description": "若要在 AKS 中成功生成和運行應用程式，需要瞭解和實施一些關鍵注意事項。這些領域包括多租戶和調度器功能、集群和 Pod 安全性，或業務連續性和災難恢復。", + "guid": "4ea51e35-26bb-4a2b-a7ca-435eb6d857b9", + "service": "Azure Kubernetes Service", + "text": "群集和工作負載體系結構：查看 AKS 最佳做法文檔。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "Azure Chaos Studio 可以幫助類比故障並觸發災難恢復情況。", + "guid": "d38b720a-0b27-409f-9dfa-28f698067a19", + "service": "Azure Kubernetes Service", + "text": "群集和工作負載體系結構：查看 Azure Chaos Studio。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "容器見解通過指標 API 和容器日誌從 Kubernetes 中可用的控制器、節點和容器收集記憶體和處理器指標，從而幫助監控容器的性能。", + "guid": "76d86a61-446d-4597-a547-9ba4d9c25377", + "service": "Azure Kubernetes Service", + "text": "集群和工作負載架構：使用容器見解配置集群監控。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "配置 Application Insights，以便對 AKS 群集中運行的應用程式進行基於代碼的監視。", + "guid": "b7c8f991-0c99-4f2e-8ed9-1b0bcffc2b42", + "service": "Azure Kubernetes Service", + "text": "工作負載體系結構：使用 Azure Monitor 監視應用程式性能。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "容器見解是 Azure Monitor 的一部分，可提供無縫的載入體驗來收集 Prometheus 指標。有關更多資訊，請參閱配置 Prometheus 指標的抓取。", + "guid": "959a2059-d560-4f51-8f9a-c68b0a595beb", + "service": "Azure Kubernetes Service", + "text": "工作負載架構：使用容器洞察配置 Prometheus 指標抓取。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "面向 Internet 的工作負載應利用 Azure Front Door 或 Azure 流量管理員在 AKS 群集之間全域路由流量。", + "guid": "72c0719b-444b-49fa-b3fb-598de4c4a99d", + "service": "Azure Kubernetes Service", + "text": "群集體系結構：通過部署跨不同 Azure 區域部署的 AKS 群集來採用多區域策略，以最大限度地提高可用性並提供業務連續性。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "Azure Policy 可以説明以集中、一致的方式在群集上應用大規模強制實施和保護措施。它還可以控制授予 pod 哪些功能，以及是否有任何內容違反公司策略。", + "guid": "4fa55d17-b08b-4885-8d5b-d8cfbe3eda59", + "service": "Azure Kubernetes Service", + "text": "群集體系結構：使用 Azure Policy 操作群集和 Pod 配置標準。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "Kubernetes 和入口控制器支援許多高級部署模式，可包含在您的發佈工程流程中。考慮藍綠部署或金絲雀發佈等模式。", + "guid": "40bf5a02-ca6a-410d-9b6a-87fe75ff0873", + "service": "Azure Kubernetes Service", + "text": "工作負載體系結構：在發佈工程過程中使用平臺功能。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "自動執行任務關鍵型設計領域，包括部署和測試。", + "guid": "dec76a46-6005-4c3e-ac2c-70b7214a28ba", + "service": "Azure Kubernetes Service", + "text": "集群和工作負載架構：對於任務關鍵型工作負載，請使用標記級別的藍/綠部署。", + "type": "recommendation", + "waf": "操作" + }, + { + "description": "在正式確定容量計劃后，應通過持續觀察集群的資源利用率來頻繁更新容量計劃。", + "guid": "9f2cef22-f674-4702-a57a-5dcf90bf9143", + "service": "Azure Kubernetes Service", + "text": "集群和工作負載架構：制定詳細的容量計劃，並不斷審查和修訂。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "通過自動增加或減少 AKS 群集中的節點數，可以運行高效且經濟高效的群集。", + "guid": "d50d653b-0d8d-44ca-8ba6-9963321d1f24", + "service": "Azure Kubernetes Service", + "text": "集群架構：啟用集群自動縮放程式，以根據資源限制自動調整代理節點數。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "與始終需要運行節點的系統節點池不同，用戶節點池允許您縱向擴展或縮減。", + "guid": "cd14e737-9478-4fb4-9556-586b03d5e248", + "service": "Azure Kubernetes Service", + "text": "集群和工作負載架構：將工作負載分離到不同的節點池中，並考慮縮放用戶節點池。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "説明控制需要資源的工作負載的資源平衡。", + "guid": "e452f566-2a10-4119-a802-aeab44201971", + "service": "Azure Kubernetes Service", + "text": "工作負載體系結構：使用 AKS 高級計劃程式功能。", + "type": "recommendation", + "waf": "性能" + }, + { + "description": "並非所有規模決策都可以從 CPU 或記憶體指標中得出。通常，規模考慮因素將來自更複雜甚至外部的數據點。使用 KEDA 根據特定於工作負載的信號生成有意義的自動縮放規則集。", + "guid": "43df6223-dfca-447d-9b00-f4742ef18be1", + "service": "Azure Kubernetes Service", + "text": "工作負載架構：使用有意義的工作負載擴展指標。", + "type": "recommendation", + "waf": "性能" + } + ], + "metadata": { + "name": "Azure Kubernetes Service Service Guide", + "state": "preview", + "timestamp": "August 05, 2024", + "waf": "all" + }, + "status": [ + { + "description": "此檢查尚未查看", + "name": "未驗證" + }, + { + "description": "有一個與此檢查關聯的操作項", + "name": "打開" + }, + { + "description": "此檢查已經過驗證，並且沒有與之關聯的其他操作項", + "name": "實現" + }, + { + "description": "不適用於當前設計", + "name": "N/A" + }, + { + "description": "不需要", + "name": "不需要" + } + ], + "waf": [ + { + "name": "安全" + }, + { + "name": "成本" + }, + { + "name": "成本" + }, + { + "name": "可靠性" + }, + { + "name": "可靠性" + }, + { + "name": "安全" + }, + { + "name": "性能" + }, + { + "name": "操作" + }, + { + "name": "操作" + }, + { + "name": "性能" + } + ], + "yesno": [ + { + "name": "是的" + }, + { + "name": "不" + } + ] +} \ No newline at end of file diff --git a/checklists-ext/azuremachinelearning_sg_checklist.en.json b/checklists-ext/azuremachinelearning_sg_checklist.en.json index c2f424b7b..9d605668b 100644 --- a/checklists-ext/azuremachinelearning_sg_checklist.en.json +++ b/checklists-ext/azuremachinelearning_sg_checklist.en.json @@ -333,6 +333,6 @@ "name": "Azure Machine Learning Service Guide", "waf": "all", "state": "preview", - "timestamp": "August 04, 2024" + "timestamp": "August 05, 2024" } } \ No newline at end of file diff --git a/checklists-ext/azuremachinelearning_sg_checklist.es.json b/checklists-ext/azuremachinelearning_sg_checklist.es.json new file mode 100644 index 000000000..c97a24b41 --- /dev/null +++ b/checklists-ext/azuremachinelearning_sg_checklist.es.json @@ -0,0 +1,338 @@ +{ + "$schema": "https://raw.githubusercontent.com/Azure/review-checklists/main/checklists/checklist.schema.json", + "categories": [], + "items": [ + { + "description": "Una implementación en varias regiones garantiza que las cargas de trabajo de Machine Learning continúen ejecutándose incluso si una región experimenta una interrupción. La implementación en varias regiones mejora la distribución de la carga entre regiones, lo que podría mejorar el rendimiento para los usuarios ubicados en diferentes áreas geográficas. Para obtener más información, consulte Conmutación por error para la continuidad empresarial y la recuperación ante desastres.", + "guid": "f0411b34-73cc-4026-a3e0-495204a7f02b", + "service": "Azure Machine Learning", + "text": "Implementación de modelos de varias regiones: para mejorar la confiabilidad y la disponibilidad, considere la posibilidad de utilizar un entorno de implementación de varias regiones cuando sea posible.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Los puntos de control del modelo guardan periódicamente el estado del modelo de aprendizaje automático durante el entrenamiento, de modo que se pueda restaurar en caso de interrupción, error o finalización. Para obtener más información, consulte Aumentar la velocidad de los puntos de control y reducir el costo con Nebula.", + "guid": "2d3126b3-dae2-4938-b558-9fbb05ec6342", + "service": "Azure Machine Learning", + "text": "Resistencia de entrenamiento de modelos: use las características de puntos de control compatibles con Machine Learning, como Azure Container for PyTorch, la clase TensorFlow Estimator o el objeto Run y la clase FileDataset que admiten puntos de control de modelos.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "Las máquinas virtuales de prioridad baja tienen un precio reducido, pero se pueden interrumpir. Los clústeres que usan el nivel de máquina virtual dedicada no se adelantan.", + "guid": "d9a0f9e6-a89c-4516-83ec-6f22ae29aaaf", + "service": "Azure Machine Learning", + "text": "Use el nivel de máquina virtual dedicada para clústeres de proceso: use el nivel de máquina virtual dedicada para clústeres de proceso para la inferencia por lotes para asegurarse de que el trabajo por lotes no se adelante.", + "type": "recommendation", + "waf": "Fiabilidad" + }, + { + "description": "La línea de base de seguridad proporciona orientación personalizada sobre aspectos de seguridad cruciales, como la seguridad de la red, la gestión de identidades, la protección de datos y el acceso con privilegios. Para una seguridad óptima, use Microsoft Defender for Cloud para supervisar estos aspectos.", + "guid": "9195a712-feaf-4aa9-ac8e-6cfe01423d34", + "service": "Azure Machine Learning", + "text": "Línea base de seguridad: para mejorar la seguridad y el cumplimiento de su servicio de Machine Learning, aplique la línea base de seguridad de Azure para Machine Learning.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "El aislamiento de red virtual administrado mejora la seguridad al aislar el área de trabajo de otras redes, lo que reduce el riesgo de acceso no autorizado. En un escenario en el que se produce una infracción en otra red de la organización, la red aislada del área de trabajo de Machine Learning no se ve afectada, lo que protege las cargas de trabajo de machine learning.", + "guid": "01b471f4-3d3d-498c-86b2-9b1b0ef458e3", + "service": "Azure Machine Learning", + "text": "Aislamiento de red virtual administrada: configure el aislamiento de red virtual administrada para Machine Learning. Al habilitar el aislamiento de red virtual administrada, se crea una red virtual administrada para el área de trabajo. Los recursos de proceso administrados que cree para el área de trabajo usan automáticamente esta red virtual administrada. Si no puede implementar el aislamiento de red virtual administrado, debe seguir las recomendaciones de topología de red para separar el proceso en una subred dedicada lejos del resto de los recursos de la solución, incluidos los puntos de conexión privados para los recursos del área de trabajo.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "El aislamiento de red de Machine Learning mejora la seguridad al garantizar que el acceso a su espacio de trabajo sea seguro y controlado. Con un punto de conexión privado configurado para el área de trabajo, puede limitar el acceso al área de trabajo para que solo se produzca a través de las direcciones IP privadas.", + "guid": "001f1a80-6e4e-432d-a762-34ff31ae0a5b", + "service": "Azure Machine Learning", + "text": "Aislamiento de red de Machine Learning: configure un punto de conexión privado para el área de trabajo de Machine Learning y conéctese al área de trabajo a través de ese punto de conexión privado.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Esta configuración minimiza el riesgo de exfiltración de datos, mejorando la seguridad de los datos. Con esta configuración habilitada, un actor malintencionado que obtenga acceso a su sistema no puede enviar sus datos a un destino externo no aprobado.", + "guid": "fb08378f-3b8a-4991-bb1f-f7c3a026fecf", + "service": "Azure Machine Learning", + "text": "Permitir solo el acceso de salida aprobado: configure el modo de salida en el acceso de salida administrado del área de trabajo de Machine Learning a \"Permitir solo el acceso de salida aprobado\" para minimizar el riesgo de exfiltración de datos. Configure puntos de conexión privados, etiquetas de servicio o nombres de dominio completos (FQDN) para los recursos a los que necesita acceder.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "El aislamiento de red refuerza la seguridad al restringir el acceso a las soluciones de plataforma como servicio (PaaS) de Azure solo a direcciones IP privadas.", + "guid": "a426e1df-08ed-43b8-ae7b-35d4833bc516", + "service": "Azure Machine Learning", + "text": "Aislamiento de red virtual para servicios dependientes: configure servicios dependientes, como Storage, Key Vault y Container Registry con puntos de conexión privados y deshabilite el acceso público.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Las identidades administradas mejoran la seguridad al eliminar la necesidad de almacenar credenciales y administrar y rotar manualmente las entidades de servicio.", + "guid": "70a7a786-d676-42a3-8513-5ce0c9ceeb50", + "service": "Azure Machine Learning", + "text": "Identidad administrada: use identidades administradas para la autenticación entre Machine Learning y otros servicios.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "La deshabilitación de la autenticación local aumenta la seguridad del proceso de Machine Learning y proporciona un control y una administración centralizados de las identidades y las credenciales de los recursos.", + "guid": "50500732-feb1-42a7-a5ce-271443cd7eeb", + "service": "Azure Machine Learning", + "text": "Deshabilitar la autenticación local: deshabilite la autenticación local para clústeres e instancias de proceso de Machine Learning.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Deshabilitar el acceso SSH ayuda a evitar que personas no autorizadas obtengan acceso y puedan causar daños a su sistema, y lo protege contra ataques de fuerza bruta.", + "guid": "3e537535-ca7e-4669-a580-92819410e4d4", + "service": "Azure Machine Learning", + "text": "Deshabilite el puerto SSH público: asegúrese de que el puerto público de Secure Shell (SSH) esté cerrado en el clúster de proceso de Machine Learning estableciendo \"remoteLoginPortPublicAccess\" en \"Disabled\". Aplique una configuración similar si utiliza un proceso diferente.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Absténgase de aprovisionar direcciones IP públicas para mejorar la seguridad limitando la posibilidad de acceso no autorizado a la instancia informática o a los clústeres.", + "guid": "4ed5455d-c887-4075-9f11-16408abdffd9", + "service": "Azure Machine Learning", + "text": "No aprovisione direcciones IP públicas para el proceso de Machine Learning: establezca enableNodePublicIp en \"false\" al aprovisionar clústeres de proceso o instancias de proceso de Machine Learning. Aplique una configuración similar si utiliza un proceso diferente.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "El uso de las imágenes más recientes garantiza que mantenga un entorno coherente, estable y seguro, lo que incluye asegurarse de tener los parches de seguridad más recientes.", + "guid": "9772d2de-8ffe-4918-88d3-4385c6f3b852", + "service": "Azure Machine Learning", + "text": "Obtener la imagen más reciente del sistema operativo: vuelva a crear instancias informáticas para obtener la imagen más reciente del sistema operativo.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Los estrictos controles de acceso al espacio de trabajo mejoran la seguridad al garantizar que las personas solo tengan los permisos necesarios para su función. Un científico de datos, por ejemplo, puede tener acceso para ejecutar experimentos, pero no para modificar la configuración de seguridad, lo que minimiza los posibles riesgos de seguridad.", + "guid": "6d277dc0-7569-4ef5-b7b5-3958e102ef3b", + "service": "Azure Machine Learning", + "text": "Controles estrictos de acceso al área de trabajo de Machine Learning: use grupos de identificadores de Microsoft Entra para administrar el acceso al área de trabajo y cumplir con el principio de privilegios mínimos para RBAC.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Al restringir las implementaciones del catálogo de modelos a registros específicos, se garantiza que solo se implementen modelos en registros aprobados. Este enfoque ayuda a regular el acceso a los modelos fundacionales de código abierto.", + "guid": "1245aca7-0f54-4c03-8a85-f7da745385e6", + "service": "Azure Machine Learning", + "text": "Restringir implementaciones de catálogos de modelos: restrinja las implementaciones de modelos a registros específicos.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "El cifrado de datos en reposo mejora la seguridad de los datos al garantizar que los datos confidenciales se cifren mediante el uso de claves administradas directamente por usted. Si tiene un requisito normativo para administrar sus propias claves de cifrado, utilice esta función para cumplir con ese requisito.", + "guid": "44edeb32-99a9-4c6b-a941-2c4bf8e815ac", + "service": "Azure Machine Learning", + "text": "Cifrar datos en reposo: considere la posibilidad de usar claves administradas por el cliente con Machine Learning.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "Minimice el riesgo de exfiltración de datos limitando los requisitos de entrada y salida.", + "guid": "0dd2a6df-26e0-4999-92d3-414bd5b29901", + "service": "Azure Machine Learning", + "text": "Minimice el riesgo de exfiltración de datos: implemente la prevención de exfiltración de datos. Por ejemplo, cree una directiva de punto de conexión de servicio para filtrar el tráfico de red virtual de salida y permitir la filtración de datos solo a cuentas específicas de Azure Storage.", + "type": "recommendation", + "waf": "Seguridad" + }, + { + "description": "La selección del proceso adecuado es fundamental, ya que afecta directamente al costo de ejecución de la carga de trabajo. Elegir una GPU o una SKU de alto rendimiento sin un uso adecuado puede generar gastos innecesarios, mientras que elegir un proceso de tamaño insuficiente puede provocar tiempos de entrenamiento prohibitivos y problemas de rendimiento.", + "guid": "04967265-74a1-4b44-a559-a2b64ab9b67b", + "service": "Azure Machine Learning", + "text": "Optimice los recursos informáticos: optimice los recursos informáticos en función de los requisitos de la carga de trabajo. Elija la SKU que mejor se adapte a su carga de trabajo: