Azure 容器注册表的 Azure Policy 内置定义
此页是 Azure 容器注册表的 Azure Policy 内置策略定义的索引。 有关其他服务的其他 Azure Policy 内置定义，请参阅 Azure Policy 内置定义。
每个内置策略定义链接（指向 Azure 门户中的策略定义）的名称。 使用“版本”列中的链接查看 Azure Policy GitHub 存储库上的源。
Azure 容器注册表
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [预览]：容器注册表应为区域冗余 | 容器注册表可以配置为区域冗余或非区域冗余。 如果容器注册表的 zoneRedundancy 属性设置为“Disabled”，则表示注册表不是区域冗余的。 强制实施此策略有助于确保适当配置容器注册表来实现区域复原，从而降低在区域中断期间发生停机的风险。 | Audit、Deny、Disabled | 1.0.0-preview |
| [预览版]：容器注册表应使用虚拟网络服务终结点 | 此策略审核任何未配置为使用虚拟网络服务终结点的容器注册表。 | Audit、Disabled | 1.0.0-preview |
| Azure 注册表容器映像应已解决漏洞（由 Microsoft Defender 漏洞管理提供支持） | 容器映像漏洞评估会扫描注册表中的常见漏洞 (CVE)，并为每个映像提供详细的漏洞报告。 解决漏洞可以极大地改善安全状况，确保在部署之前可以安全地使用映像。 | AuditIfNotExists、Disabled | 1.0.1 |
| Azure 注册表容器映像应该已解决漏洞（由 Qualys 提供支持） | 容器映像漏洞评估功能会扫描注册表中的安全漏洞，并公开每个映像的详细发现结果。 修复这些漏洞可以极大改善容器的安全状况，并保护其不受攻击影响。 | AuditIfNotExists、Disabled | 2.0.2 |
| 配置容器注册表以禁用匿名身份验证。 | 禁用注册表的匿名拉取，使未经身份验证的用户无法访问数据。 禁用本地身份验证方法（如管理员用户、存储库范围的访问令牌和匿名拉取）可确保容器注册表仅将 Azure Active Directory 标识作为身份验证方法，从而提高安全性。 有关详细信息，请访问：https://docs.azure.cn/container-registry/container-registry-authentication。 | 修改，已禁用 | 1.0.0 |
| 配置容器注册表以禁用 ARM 受众令牌身份验证。 | 禁用 Azure Active Directory ARM 受众令牌以向注册表进行身份验证。 将仅使用 Azure 容器注册表 (ACR) 受众令牌进行身份验证。 这可确保只有用于注册表的令牌才可用于身份验证。 禁用 ARM 受众令牌不会影响管理员用户身份验证，也不影响设有范围的访问令牌的身份验证。 有关详细信息，请访问：https://docs.azure.cn/container-registry/container-registry-authentication。 | 修改，已禁用 | 1.0.0 |
| 配置容器注册表以禁用本地管理员帐户。 | 禁用注册表的管理员帐户，以便本地管理员无法访问。禁用本地身份验证方法（例如管理员用户、存储库范围内的访问令牌和匿名拉取）可确保容器注册表仅将 Azure Active Directory 标识作为身份验证方法，从而提高安全性。 有关详细信息，请访问：https://docs.azure.cn/container-registry/container-registry-authentication。 | 修改，已禁用 | 1.0.1 |
| 将容器注册表配置为禁用公用网络访问 | 禁用对容器注册表的公用网络访问，确保不可通过公共 Internet 对其进行访问。 这样可以减少数据泄露风险。 请访问 https://docs.azure.cn/container-registry/container-registry-access-selected-networks 和 https://docs.azure.cn/container-registry/container-registry-private-link 了解详细信息。 | 修改，已禁用 | 1.0.0 |
| 配置容器注册表以禁用存储库范围的访问令牌。 | 禁用注册表的存储库范围的访问令牌，以便无法通过令牌访问存储库。 禁用本地身份验证方法（如管理员用户、存储库范围的访问令牌和匿名拉取）可确保容器注册表仅将 Azure Active Directory 标识作为身份验证方法，从而提高安全性。 有关详细信息，请访问：https://docs.azure.cn/container-registry/container-registry-authentication。 | 修改，已禁用 | 1.0.0 |
| 为容器注册表配置专用终结点 | 专用终结点可在源或目标位置没有公共 IP 地址的情况下将虚拟网络连接到 Azure 服务。 将专用终结点映射到高级容器注册表资源可以降低数据泄露的风险。 请访问 https://docs.azure.cn/event-grid/configure-private-endpoints 和 https://docs.azure.cn/container-registry/container-registry-private-link 了解详细信息。 | DeployIfNotExists、Disabled | 1.0.0 |
| 应使用客户管理的密钥对容器注册表进行加密 | 使用客户管理的密钥来管理注册表内容的静态加密。 默认情况下，使用服务管理的密钥对数据进行静态加密，但为了满足法规符合性标准，通常需要使用客户管理的密钥。 客户管理的密钥允许使用由你创建并拥有的 Azure Key Vault 密钥对数据进行加密。 你可以完全控制并负责关键生命周期，包括轮换和管理。 更多信息请访问 https://docs.azure.cn/container-registry/tutorial-customer-managed-keys。 | Audit、Deny、Disabled | 1.1.2 |
| 容器注册表应禁用匿名身份验证。 | 禁用注册表的匿名拉取，使未经身份验证的用户无法访问数据。 禁用本地身份验证方法（如管理员用户、存储库范围的访问令牌和匿名拉取）可确保容器注册表仅将 Azure Active Directory 标识作为身份验证方法，从而提高安全性。 有关详细信息，请访问：https://docs.azure.cn/container-registry/container-registry-authentication。 | Audit、Deny、Disabled | 1.0.0 |
| 容器注册表应禁用 ARM 受众令牌身份验证。 | 禁用 Azure Active Directory ARM 受众令牌以向注册表进行身份验证。 将仅使用 Azure 容器注册表 (ACR) 受众令牌进行身份验证。 这可确保只有用于注册表的令牌才可用于身份验证。 禁用 ARM 受众令牌不会影响管理员用户身份验证，也不影响设有范围的访问令牌的身份验证。 有关详细信息，请访问：https://docs.azure.cn/container-registry/container-registry-authentication。 | Audit、Deny、Disabled | 1.0.0 |
| 容器注册表应禁用导出功能 | 禁用导出功能可确保注册表中的数据仅通过数据平面 (docker pull) 访问，从而提高安全性。 无法通过“acr import”或“acr transfer”将数据移出注册表。 若要禁用导出功能，必须禁用公用网络访问。 有关详细信息，请访问：https://docs.azure.cn/container-registry/data-loss-prevention。 | Audit、Deny、Disabled | 1.0.0 |
| 容器注册表应禁用本地管理员帐户。 | 禁用注册表的管理员帐户，以便本地管理员无法访问。禁用本地身份验证方法（例如管理员用户、存储库范围内的访问令牌和匿名拉取）可确保容器注册表仅将 Azure Active Directory 标识作为身份验证方法，从而提高安全性。 有关详细信息，请访问：https://docs.azure.cn/container-registry/container-registry-authentication。 | Audit、Deny、Disabled | 1.0.1 |
| 容器注册表应禁用存储库范围的访问令牌。 | 禁用注册表的存储库范围的访问令牌，以便无法通过令牌访问存储库。 禁用本地身份验证方法（如管理员用户、存储库范围的访问令牌和匿名拉取）可确保容器注册表仅将 Azure Active Directory 标识作为身份验证方法，从而提高安全性。 有关详细信息，请访问：https://docs.azure.cn/container-registry/container-registry-authentication。 | Audit、Deny、Disabled | 1.0.0 |
| 容器注册表应包含支持专用链接的 SKU | 通过 Azure 专用链接，在没有源位置或目标位置的公共 IP 地址的情况下，也可以将虚拟网络连接到 Azure 服务。 专用链接平台处理使用者与服务之间通过 Microsoft Azure 主干网络进行的连接。 将专用终结点映射到容器注册表（而不是整个服务）可以降低数据泄露的风险。 有关详细信息，请访问：https://docs.azure.cn/container-registry/container-registry-private-link。 | Audit、Deny、Disabled | 1.0.0 |
| 容器注册表不得允许无限制的网络访问 | 默认情况下，Azure 容器注册表接受来自任何网络上的主机的 Internet 连接。 为了防止注册表受到潜在的威胁，只允许来自特定的专用终结点、公共 IP 地址或地址范围的访问。 如果注册表没有配置网络规则，它将出现在不正常资源中。 有关容器注册表网络规则的详细信息，请访问：https://aka.ms/acr/privatelink、 https://docs.azure.cn/container-registry/container-registry-access-selected-networks。 | Audit、Deny、Disabled | 2.0.0 |
| 容器注册表应阻止创建缓存规则 | 禁止对 Azure 容器注册表创建缓存规则，以防止通过缓存拉取来进行拉取。 有关详细信息，请访问：https://aka.ms/acr/cache。 | Audit、Deny、Disabled | 1.0.0 |
| 容器注册表应使用专用链接 | 通过 Azure 专用链接，在没有源位置或目标位置的公共 IP 地址的情况下，也可以将虚拟网络连接到 Azure 服务。 专用链接平台处理使用者与服务之间通过 Microsoft Azure 主干网络进行的连接。通过将专用终结点映射到容器注册表，而不是整个服务，还可以防范数据泄露风险。 有关详细信息，请访问：https://docs.azure.cn/container-registry/container-registry-private-link。 | Audit、Disabled | 1.0.1 |
| 应禁用通过公用网络访问容器注册表 | 禁用公用网络访问可确保容器注册表不会在公共 Internet 上公开，从而提高安全性。 创建专用终结点可以避免容器注册表资源暴露。 请访问 https://docs.azure.cn/container-registry/container-registry-access-selected-networks 和 https://docs.azure.cn/container-registry/container-registry-private-link 了解详细信息。 | Audit、Deny、Disabled | 1.0.0 |
后续步骤
- 请参阅有关分配政策并查看合规性的指南。
- 在 Azure Policy GitHub 存储库中查看这些内置项。
- 查看 Azure Policy 定义结构。
- 查看了解策略效果。