通过

你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

使用 IaC 模板启用和配置 Defender for Storage

建议在订阅级别启用 Microsoft Defender for Storage。 这样做有助于确保订阅中当前的所有存储帐户都受到保护。 在您已在订阅级别启用 Defender for Storage 后创建的新存储帐户，其保护将在创建后最多 24 小时内开始。

提示

始终可以使用与订阅级别配置的设置不同的自定义设置 来配置特定的存储帐户 。 也就是说，可以替代订阅级设置。

Terraform 模板

若要使用 Terraform 在订阅级别启用和配置 Defender for Storage，可以使用以下代码片段：

resource "azurerm_security_center_subscription_pricing" "DefenderForStorage" {
  tier          = "Standard"
  resource_type = "StorageAccounts"
  subplan       = "DefenderForStorageV2"
 
  extension {
    name = "OnUploadMalwareScanning"
    additional_extension_properties = {
      CapGBPerMonthPerStorageAccount = "10000"
      BlobScanResultsOptions = "BlobIndexTags"
    }
  }
 
  extension {
    name = "SensitiveDataDiscovery"
  }
}

通过自定义此代码，可以：

  • 修改恶意软件扫描的每月上限：将 CapGBPerMonthPerStorageAccount 参数调整为首选值。 此参数设置每个存储帐户每月可扫描恶意软件的最大数据上限。 如果要允许无限制的扫描，请分配该值 -1。 默认限制为 10,000 GB。
  • 关闭上传的恶意软件扫描或敏感数据威胁检测功能：从 Terraform 代码中删除相应的扩展块。
  • 禁用整个 Defender for Storage 计划：将 tier 属性值 "Free"设置为，然后删除 subPlan 和 extension 属性。

若要了解有关资源的详细信息 azurerm_security_center_subscription_pricing ，请参阅 其 Terraform 文档。 还可以在 Terraform AzureRM 文档中查找有关适用于 Azure 的 Terraform 提供程序的综合详细信息。

Bicep 模板

若要使用 Bicep 在订阅级别启用和配置 Defender for Storage，请确保 目标范围设置为 subscription。 将以下代码添加到 Bicep 模板：

targetScope = 'subscription'

resource StorageAccounts 'Microsoft.Security/pricings@2023-01-01' = {
  name: 'StorageAccounts'
  properties: {
    pricingTier: 'Standard'
    subPlan: 'DefenderForStorageV2'
    extensions: [
      {
        name: 'OnUploadMalwareScanning'
        isEnabled: 'True'
        additionalExtensionProperties: {
          CapGBPerMonthPerStorageAccount: '10000'
          BlobScanResultsOptions: 'BlobIndexTags'
        }
      }
      {
        name: 'SensitiveDataDiscovery'
        isEnabled: 'True'
      }
    ]
  }
}

通过自定义此代码，可以：

  • 修改恶意软件扫描的每月上限：将 CapGBPerMonthPerStorageAccount 参数调整为首选值。 此参数设置每个存储帐户每月可扫描恶意软件的最大数据上限。 如果要允许无限制的扫描，请分配该值 -1。 默认限制为 10,000 GB。
  • 关闭上传时的恶意软件扫描或敏感数据威胁检测功能：将 isEnabled 的值更改为 False 在 SensitiveDataDiscovery 下。
  • 禁用整个 Defender for Storage 计划：将 pricingTier 属性值 Free设置为，然后删除 subPlan 和 extensions 属性。

在 Microsoft.Security 定价说明文档中了解更多关于 Bicep 模板的信息。

Azure 资源管理器模板

若要使用 Azure 资源管理器模板（ARM 模板）在订阅级别启用和配置 Defender for Storage，请将此 JSON 代码片段添加到 resources ARM 模板的部分：

{
    "type": "Microsoft.Security/pricings",
    "apiVersion": "2023-01-01",
    "name": "StorageAccounts",
    "properties": {
        "pricingTier": "Standard",
        "subPlan": "DefenderForStorageV2",
        "extensions": [
            {
                "name": "OnUploadMalwareScanning",
                "isEnabled": "True",
                "additionalExtensionProperties": {
                    "CapGBPerMonthPerStorageAccount": "10000",
                    "BlobScanResultsOptions": "BlobIndexTags"
                }
            },
            {
                "name": "SensitiveDataDiscovery",
                "isEnabled": "True"
            }
        ]
    }
}

通过自定义此代码，可以：

  • 修改恶意软件扫描的每月上限：将 CapGBPerMonthPerStorageAccount 参数调整为首选值。 此参数设置每个存储帐户每月可扫描恶意软件的最大数据上限。 如果要允许无限制的扫描，请分配该值 -1。 默认限制为 10,000 GB。
  • 关闭上传时的恶意软件扫描或敏感数据威胁检测功能：将 isEnabled 的值更改为 False 在 SensitiveDataDiscovery 下。
  • 禁用整个 Defender for Storage 计划：将 pricingTier 属性值 Free设置为，然后删除 subPlan 和 extension 属性。

在 Microsoft.Security 定价文档中详细了解 ARM 模板。

提示

可以将恶意软件扫描配置为将扫描结果发送到：

详细了解如何为恶意软件扫描结果设置响应。

相关内容

  • Last updated on