azure-security

Azure 安全技能

此技能提供 Azure 安全方面的专家指导，涵盖最佳实践、决策、安全、配置、集成与编码模式，以及部署。它结合了本地快速参考内容与远程文档获取功能。

如何使用此技能

IMPORTANT for Agent：使用下方的类别索引查找相关章节。对于带有行号范围的类别（例如，L35-L120），请使用 read_file 读取指定行。对于带有文件链接的类别（例如，[security.md](security.md)），请使用 read_file 读取链接指向的参考文件。

IMPORTANT for Agent：如果 metadata.generated_at 距今超过 3 个月，请建议用户从存储库拉取最新版本。如果无法使用 mcp_microsoftdocs 工具，请建议用户安装该工具：安装指南

此技能需要网络访问权限以获取文档内容：

• 首选：使用 mcp_microsoftdocs:microsoft_docs_fetch，并附带查询字符串 from=learn-agent-skill。返回 Markdown。
• 备用：使用 fetch_webpage，并附带查询字符串 from=learn-agent-skill&accept=text/markdown。返回 Markdown。

类别索引

类别	行号	描述
最佳实践	L34-L58	Azure 安全端到端指导：强化 IaaS/PaaS、身份与访问、网络与运营安全、备份与勒索软件韧性、机密管理，以及特定服务的检查清单。
决策	L59-L64	选择 Azure 安全选项的指导：比较美国政府云中的功能可用性，并选择适当的密钥管理服务（例如，Key Vault、托管密钥）。
安全	L65-L97	Azure 安全最佳实践：威胁建模缓解措施、平台与网络强化、访问控制、加密/密钥、基础设施完整性，以及 AKS/VM/SQL 安全运营。
配置	L98-L108	配置 Azure 安全功能：反恶意软件、容器扫描（Dependabot/Copacetic）、防火墙规则、CMK 加密、日志记录/审核、TLS 更改、勒索软件防护，以及 Customer Lockbox 警报。
集成与编码模式	L109-L114	有关为容器映像生成已签名 SBOM，以及使用 PowerShell 在 Azure 中编写 Microsoft Antimalware 配置脚本的指南。
部署	L115-L120	有关在 Azure Pipelines/GitHub Actions 中使用 Notation 签名和验证容器映像的指南，以及比较 Azure 与 Azure Government 中安全功能可用性的指南。

最佳实践

主题	URL
发布前强化 Azure Marketplace 映像	https://learn.microsoft.com/en-us/azure/security/fundamentals/azure-marketplace-images
设计能够抵御勒索软件的 Azure 备份和还原计划	https://learn.microsoft.com/en-us/azure/security/fundamentals/backup-plan-to-protect-against-ransomware
实施 Azure 安全最佳实践和模式	https://learn.microsoft.com/en-us/azure/security/fundamentals/best-practices-and-patterns
应用 Azure 数据安全和加密最佳实践	https://learn.microsoft.com/en-us/azure/security/fundamentals/data-encryption-best-practices
使用 Azure SQL 数据库安全检查清单	https://learn.microsoft.com/en-us/azure/security/fundamentals/database-security-checklist
保护 Azure IaaS 工作负载和虚拟机	https://learn.microsoft.com/en-us/azure/security/fundamentals/iaas
应用 Azure 身份和访问控制最佳实践	https://learn.microsoft.com/en-us/azure/security/fundamentals/identity-management-best-practices
在 Azure 中实施事件响应流程	https://learn.microsoft.com/en-us/azure/security/fundamentals/incident-response-overview
应用 Azure 网络安全最佳实践	https://learn.microsoft.com/en-us/azure/security/fundamentals/network-best-practices
应用 Azure 运营安全最佳实践	https://learn.microsoft.com/en-us/azure/security/fundamentals/operational-best-practices
保护 Azure App Service PaaS 应用程序	https://learn.microsoft.com/en-us/azure/security/fundamentals/paas-applications-using-app-services
使用 Azure SQL 和 Synapse 保护 PaaS 数据库	https://learn.microsoft.com/en-us/azure/security/fundamentals/paas-applications-using-sql
使用 Azure Storage 保护 PaaS 应用程序	https://learn.microsoft.com/en-us/azure/security/fundamentals/paas-applications-using-storage
设计并运行安全的 Azure PaaS 部署	https://learn.microsoft.com/en-us/azure/security/fundamentals/paas-deployments
在 Azure 中检测并响应勒索软件	https://learn.microsoft.com/en-us/azure/security/fundamentals/ransomware-detect-respond
准备 Azure 环境以增强抵御勒索软件的能力	https://learn.microsoft.com/en-us/azure/security/fundamentals/ransomware-prepare
强化 Azure Firewall Premium，以防御勒索软件	https://learn.microsoft.com/en-us/azure/security/fundamentals/ransomware-protection-with-azure-firewall
保护并管理 Azure 工作负载中的机密	https://learn.microsoft.com/en-us/azure/security/fundamentals/secrets-best-practices
强化 Azure Service Fabric 群集并确保其安全	https://learn.microsoft.com/en-us/azure/security/fundamentals/service-fabric-best-practices
实施 Microsoft Entra 身份安全检查清单	https://learn.microsoft.com/en-us/azure/security/fundamentals/steps-secure-identity
通过 DNS 卫生措施防止 Azure 子域名被接管	https://learn.microsoft.com/en-us/azure/security/fundamentals/subdomain-takeover

决策

主题	URL
比较美国政府云中的安全功能可用性	https://learn.microsoft.com/en-us/azure/security/fundamentals/feature-availability
选择合适的 Azure 密钥管理服务	https://learn.microsoft.com/en-us/azure/security/fundamentals/key-management-choose

安全

主题	URL
使用 Ratify 和 Azure Policy 强制执行 AKS 映像签名验证	https://learn.microsoft.com/en-us/azure/security/container-secure-supply-chain/articles/validating-image-signatures-using-ratify-aks
使用 Threat Modeling Tool 实施审计和日志记录缓解措施	https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool-auditing-and-logging
使用 Threat Modeling Tool 实施身份验证缓解措施	https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool-authentication
在 Threat Modeling Tool 中缓解授权威胁	https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool-authorization
根据 Threat Modeling Tool 的发现保护通信安全	https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool-communication-security
使用 Threat Modeling Tool 缓解措施强化配置管理	https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool-configuration-management
实施 Threat Modeling Tool 中的加密缓解措施	https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool-cryptography
根据 Threat Modeling Tool 指南保护异常管理	https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool-exception-management
应用 Threat Modeling Tool 中的安全输入验证缓解措施	https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool-input-validation
使用 Threat Modeling Tool 缓解措施保护敏感数据	https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool-sensitive-data
根据 Threat Modeling Tool 实施安全会话管理	https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool-session-management
对 AI 工作负载应用 Azure 专属安全控制	https://learn.microsoft.com/en-us/azure/security/fundamentals/ai-security-best-practices
查看 Azure 服务证书颁发机构和要求	https://learn.microsoft.com/en-us/azure/security/fundamentals/azure-certificate-authority-details
在 Azure 生产环境中强制执行平台代码完整性	https://learn.microsoft.com/en-us/azure/security/fundamentals/code-integrity
了解并配置 Azure Customer Lockbox 访问权限	https://learn.microsoft.com/en-us/azure/security/fundamentals/customer-lockbox-faq
使用 Customer Lockbox 控制 Microsoft 工程师对数据的访问	https://learn.microsoft.com/en-us/azure/security/fundamentals/customer-lockbox-overview
确定支持客户管理密钥的 Azure 服务	https://learn.microsoft.com/en-us/azure/security/fundamentals/encryption-customer-managed-keys-support
保护 Azure 硬件、固件和供应链	https://learn.microsoft.com/en-us/azure/security/fundamentals/firmware
维护 Azure 基础设施完整性和安全控制	https://learn.microsoft.com/en-us/azure/security/fundamentals/infrastructure-integrity
监控 Azure 基础设施的安全状况和漏洞	https://learn.microsoft.com/en-us/azure/security/fundamentals/infrastructure-monitoring
安全地管理和运维 Azure 生产网络	https://learn.microsoft.com/en-us/azure/security/fundamentals/infrastructure-operations
了解 Azure SQL Database 安全功能	https://learn.microsoft.com/en-us/azure/security/fundamentals/infrastructure-sql
在 Azure 中应用固件度量启动和主机证明	https://learn.microsoft.com/en-us/azure/security/fundamentals/measured-boot-host-attestation
应用 Azure 运营安全检查清单中的控制措施	https://learn.microsoft.com/en-us/azure/security/fundamentals/operational-checklist
遵循 Azure 渗透测试规则和范围	https://learn.microsoft.com/en-us/azure/security/fundamentals/pen-testing
验证 Azure 平台完整性并保护主机生命周期	https://learn.microsoft.com/en-us/azure/security/fundamentals/platform
保护对 Azure 生产网络的访问	https://learn.microsoft.com/en-us/azure/security/fundamentals/production-network
控制和审计对 Azure 客户数据的访问	https://learn.microsoft.com/en-us/azure/security/fundamentals/protection-customer-data
使用 Secure Boot 保护 Azure 虚拟机	https://learn.microsoft.com/en-us/azure/security/fundamentals/secure-boot

配置

主题	URL
为容器安全配置 Dependabot 和 Copacetic	https://learn.microsoft.com/en-us/azure/security/container-secure-supply-chain/articles/container-secure-supply-chain-implementation/cssc-depenadabot-quickstart
为 Azure 工作负载配置 Microsoft Antimalware	https://learn.microsoft.com/en-us/azure/security/fundamentals/antimalware
使用 Azure 域名模式规划防火墙规则	https://learn.microsoft.com/en-us/azure/security/fundamentals/azure-domains
为 Customer Lockbox 配置备用电子邮件通知	https://learn.microsoft.com/en-us/azure/security/fundamentals/customer-lockbox-alternative-email
配置 Azure 安全日志记录和审核	https://learn.microsoft.com/en-us/azure/security/fundamentals/log-audit
适应 Azure 托管 TLS 功能变更	https://learn.microsoft.com/en-us/azure/security/fundamentals/managed-tls-changes
配置 Azure 原生功能以防范勒索软件	https://learn.microsoft.com/en-us/azure/security/fundamentals/ransomware-features-resources

集成与编码模式

主题	URL
创建签名的 SBOM 并将其附加到容器映像	https://learn.microsoft.com/en-us/azure/security/container-secure-supply-chain/articles/attach-sbom
使用 PowerShell 在 Azure 中配置 Microsoft Antimalware	https://learn.microsoft.com/en-us/azure/security/fundamentals/antimalware-code-samples

部署

主题	URL
使用 Notation 在 Azure Pipelines 中签名和验证容器映像	https://learn.microsoft.com/en-us/azure/security/container-secure-supply-chain/articles/notation-ado-task-sign
在 GitHub Actions 中使用 Notation 签名容器映像	https://learn.microsoft.com/en-us/azure/security/container-secure-supply-chain/articles/notation-sign-gha
在 GitHub Actions 中使用 Notation 验证容器映像签名	https://learn.microsoft.com/en-us/azure/security/container-secure-supply-chain/articles/verify-gha