機能
台帳が記録する内容。
Guardrail Ledger は、Azure のガードレールドリフト（ポリシー割り当て、例外、RBAC、タグ）を保存されたベースラインと照合して追跡します。各逸脱は、所有者、承認者、有効期限とともに記録されるため、監査人には何が変わったかだけでなく、誰が承認したかが見えます。
-
Azure Policy のドリフト
ポリシー割り当てと例外の最終ベースラインに対する日次差分（サブスクリプションおよびスコープごと）。
-
RBAC のドリフト
ロール割り当ての変更は日次で比較されるため、アクセスドリフトが発生したスコープとともに把握できます。
-
タグのドリフト
リソースタグの変更はベースラインと照合して追跡されるため、タグのドリフトはポリシーや RBAC と並んで可視化されます。
-
Defender for Cloud のマッピング
推奨事項は、生の推奨 ID ではなく、影響を受けるコントロール名とともに届き、ランディングゾーンの逸脱フラグも付加されます。
-
露出パターンの検出
パブリック IP、インターネットに公開されたストレージアカウント、Key Vault アクセスの拡大が ISO 27001:2022 A.8.20 に照らしてフラグ付けされます。
-
例外台帳
承認されたすべての逸脱には、所有者、承認者、有効期限、記録上の理由が割り当てられ、CIS Azure Foundations および ISO 27001:2022 A.8.9 にマッピングされます。
-
ITSM ドリフトダイジェスト
日次スキャンからの新しい逸脱が ITSM でチケットを開くため、ルーティングと所有権は検出時から開始されます。
-
月次監査パック
署名されたエクスポートは、期間限定のダウンロード URL とともに Cloudflare R2 に書き込まれ、ドリフト履歴と承認記録が 1 つのファイルにまとめられます。
-
読み取り専用コレクター
支援付きコレクターは、Azure Policy、例外、RBAC、タグを読み取ります。Azure 環境への書き込みは一切行われません。
仕組み。
-
サブスクリプションを接続
支援付きコレクターセットアップにより、Azure Policy、免除、RBAC、タグへの読み取りアクセスが付与されます。環境への書き込みは一切行われません。
-
ドリフトが検出されルーティングされる
各スキャンで現在の状態と前回のベースラインが比較されます。新しい逸脱とDefenderの検出結果がコントロールにマッピングされ、ドリフトダイジェストがITSMチケットを開きます。
-
例外と監査記録が記録される
承認された逸脱は、所有者、承認者、有効期限とともに例外台帳に記録されます。月末には、署名済みの監査パックが監査人向けに用意されます。