Azure PowerShell を使用して Microsoft Defender for Storage を有効にして構成する

Set-AzSecurityPricing コマンドレットを使用して、トランザクションごとの価格でサブスクリプション レベルで Defender for Storage を有効にします。

Set-AzSecurityPricing -Name "StorageAccounts" -PricingTier "Standard" -SubPlan "DefenderForStorageV2" -Extension '[
    {
        "name": "OnUploadMalwareScanning",
            "isEnabled": "True",
        "additionalExtensionProperties": {
            "CapGBPerMonthPerStorageAccount": "10000"
        }
    },
    {
        "name": "SensitiveDataDiscovery",
        "isEnabled": "True"
    }]'

コマンドレットの拡張機能プロパティを指定しない場合、マルウェア スキャンと機密データ検出の両方が既定で有効になります。

このコードをカスタマイズすると、次のことができます。

• アップロード時マルウェア スキャンの月単位のしきい値を変更する: CapGBPerMonthPerStorageAccount プロパティを希望の値に調整します。 このパラメーターでは、ストレージ アカウントごとに毎月マルウェアをスキャンできる最大データの上限を設定します。 無制限のスキャンを許可する場合は、値を -1割り当てます。 既定の制限は 10,000 GB です。
• アップロード時のマルウェア スキャンまたは機密データの脅威検出機能を無効にする: isEnabledの値を、FalseとOnUploadMalwareScanning拡張機能のプロパティにSensitiveDataDiscoveryするように変更します。
• Defender for Storage プラン全体を無効にする: -PricingTier プロパティの値を Freeに設定し、 -SubPlan プロパティと -Extension プロパティを削除します。

Set-AzSecurityPricing コマンドレットの詳細については、Azure PowerShell リファレンスを参照してください。

Update-AzSecurityDefenderForStorage コマンドレットを使用して、ストレージ アカウント レベルで Defender for Storage を有効にして構成します。 次の例では、 <SubscriptionId>、 <ResourceGroupName>、および <StorageAccountName> の値を、独自の Azure サブスクリプション ID、リソース グループ、ストレージ アカウント名に置き換えます。

Update-AzSecurityDefenderForStorage -ResourceId "/subscriptions/<SubscriptionId>/resourcegroups/<ResourceGroupName>/providers/Microsoft.Storage/storageAccounts/<StorageAccountName>" -IsEnabled -OverrideSubscriptionLevelSetting -OnUploadIsEnabled -OnUploadCapGbPerMonth 7000 -SensitiveDataDiscoveryIsEnabled

Defender for Storage がサブスクリプション レベルで有効になっている場合、サブスクリプション レベルで設定をオーバーライドするには -OverrideSubscriptionLevelSetting パラメーターが必要です。 オーバーライド パラメーターを使用しない場合、拡張機能は、コマンドレットで指定したパラメーター値に関係なく、サブスクリプション レベルの設定に従って設定されます。

このコードをカスタマイズすると、次のことができます。

• マルウェア スキャンの月単位のしきい値を変更する: -OnUploadCapGBPerMonth パラメーターを希望の値に調整します。 このパラメーターは、ストレージ アカウントごとに、毎月のマルウェア スキャンを行う最大データの上限を設定します。 無制限のスキャンを許可する場合は、値を -1割り当てます。 既定の制限は 10,000 GB です。
• Azure Event Grid にマルウェア スキャン結果を送信する: パラメーター -MalwareScanningScanResultsEventGridTopicResourceId "<resourceId>"に Event Grid トピックのリソース ID を指定します。
• アップロード時のマルウェア スキャンまたは機密データの脅威検出機能をオフにする: -OnUploadIsEnabled:$false または -SensitiveDataDiscoveryIsEnabled:$falseをそれぞれ設定します。
• Defender for Storage プラン全体を無効にする: IsEnabled:$false、 -OnUploadIsEnabled:$false、 -SensitiveDataDiscoveryIsEnabled:$falseを設定します。

Update-AzSecurityDefenderForStorageRefer コマンドレットの詳細については、Azure PowerShell リファレンスを参照してください。