Ensure the storage account containing the container with activity logs is encrypted with Customer Managed Key (CMK)

Importance de cette vérification

Le chiffrement des journaux d'activité avec des clés gérées par le client (Customer Managed Keys - CMK) vous offre un contrôle direct sur les clés de chiffrement pour la conformité et la sécurité. Sans CMK, Microsoft gère les clés par défaut, ce qui limite votre capacité à appliquer des politiques de protection des données personnalisées ou à révoquer l'accès en cas d'incident. Cette vérification garantit que vous détenez l'autorité exclusive sur le chiffrement de votre journal d'audit, réduisant ainsi les risques liés à l'exposition des clés par des tiers.

Ce que vérifie Aether365

Aether365 vérifie que le compte de stockage utilisé pour l'exportation des journaux d'activité est chiffré avec une clé gérée par le client (Customer Managed Key) plutôt qu'avec la clé gérée par Microsoft par défaut. Cette vérification apparaît dans votre tableau de bord sous les contrôles azure-diagnostic-settings, identifiant les configurations incorrectes qui laissent les données critiques des journaux moins protégées.

Comment corriger

1. Ouvrez le Azure Portal et accédez à Monitor.
2. Sélectionnez Activity log, puis choisissez Export Activity Logs.
3. Sélectionnez l'abonnement à configurer et notez le nom du compte de stockage utilisé pour son paramètre de diagnostic.
4. Accédez à Storage accounts, puis cliquez sur le compte de stockage noté.
5. Sous Security + networking, sélectionnez Encryption.
6. Pour Encryption type, choisissez Customer-managed keys.
7. Suivez les instructions à l'écran pour configurer la clé à partir de votre Key Vault, y compris la sélection de la clé et la définition de ses autorisations.

Conformité

• CIS Microsoft Azure Foundations 3.0.0 : Section 6.1.3 (Niveau 2)
• EIDSCA : Protection des données Azure Storage

Ressources associées

• Microsoft Learn : Utiliser l'option de clé gérée par le client dans le chiffrement des données au repos
• Microsoft Learn : Exportation des journaux d'activité et profils de journal hérités

Microsoft references

• Mcsb data protection
• Activity log