你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
本文列出了 启用 Microsoft Defender for Storage 及其功能所需的先决条件和权限。
先决条件
需要 Microsoft Azure 订阅。 如果你没有 Azure 订阅，可以注册免费订阅。
必须在 Azure 订阅上启用 Microsoft Defender for Cloud。
支持以下存储类型：
功能 Azure Blob 标准版 Azure Blob Premium v2 Azure 页 Blob Azure Data Lake Storage Gen 2 Azure Blob （标准 + 高级） + NFS 3.0 Azure 文件标准版 （SMB） Azure 文件高级预配 v1/v2 （SMB） 活动监视 已支持 已支持 已支持 已支持 不支持 已支持 已支持 敏感数据发现 已支持 已支持 已支持 已支持 不支持 已支持 不支持 上传恶意软件扫描 仅 Blob 支持 仅 Blob 支持 不支持 仅 Blob 支持 仅 Blob 支持 不支持 不支持 按需恶意软件扫描 已支持 已支持 不支持 已支持 已支持 已支持 不支持 不支持属于具有以下任一名称的资源组的存储帐户：
App_Browsers、、App_Code、App_Data、App_GlobalResources、App_LocalResources、App_Themes、。App_WebReferencesBin
Permissions
根据方案，你需要不同级别的权限来启用 Defender for Storage 及其功能。 可以在订阅级别或存储帐户级别启用和配置 Defender for Storage。 还可以使用内置的 Azure 策略来启用 Defender for Storage，并在所需的范围内强制启用它。
下表汇总了每个方案所需的权限。 这些权限是内置的 Azure 角色，或可分配给自定义角色的操作集。
| 功能 | 订阅级别 | 存储帐户级别 |
|---|---|---|
| 活动监视 | 安全管理员或定价/读取、定价/写入 | 安全管理员或 Microsoft.Security/defenderforstoragesettings/read，Microsoft.Security/defenderforstoragesettings/write |
| 恶意软件扫描 | 订阅所有者或操作集 1 | 作集 2 |
| 敏感数据威胁检测 | 订阅所有者或操作集 1 | 作集 2 |
注意
启用 Defender for Storage 后，将始终启用活动监视。
操作集是可用于创建自定义角色的 Azure 资源提供程序操作的集合。 用于启用 Defender for Storage 及其功能的作集如下所示。
作集 1：订阅级别的启用和配置
- Microsoft.Security/pricings/write
- Microsoft.Security/pricings/read
- Microsoft.Security/pricings/SecurityOperators/read
- Microsoft.Security/pricings/SecurityOperators/write
- Microsoft.Authorization/roleAssignments/read
- Microsoft.Authorization/roleAssignments/write
- Microsoft.Authorization/roleAssignments/delete
作集 2：在存储帐户级别启用和配置
- Microsoft.Storage/storageAccounts/write
- Microsoft.Storage/storageAccounts/read（读取存储账户）
- Microsoft.Security/datascanners/read（必须在订阅级别授予）
- Microsoft.Security/datascanners/write（必须在订阅级别授予）
- Microsoft.Security/defenderforstoragesettings/read
- Microsoft.Security/defenderforstoragesettings/write
- Microsoft.EventGrid/eventSubscriptions/读取
- Microsoft.EventGrid/eventSubscriptions/write
- Microsoft.EventGrid/eventSubscriptions/删除
- Microsoft.Authorization/roleAssignments/read
- Microsoft.Authorization/roleAssignments/write
- Microsoft.Authorization/roleAssignments/delete