Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
In diesem Artikel werden die Richtlinienschutzschienen beschrieben, um sicherzustellen, dass Azure Kubernetes Service sicher bereitgestellt wird.
Details zur Initiative
Azure Enclave weist die AKS-Guardrails-Initiative (Policy Set Definition IDd300338e-65d1-4be3-b18e-fb4ce5715a8f) den Workload-Ressourcengruppen zu.
Die Effect Werte in den Tabellen zeigen die von den Richtliniendefinitionen unterstützten Effekte. Das effektive Verhalten einer Richtlinienzuweisung kann je nach Azure Enclave-Richtlinienkonfiguration und Richtlinienparametern variieren.
Die Initiative bezieht sich zweimal auf die KMS-Richtlinie mit unterschiedlichen Referenz-IDs. Diese Tabelle listet jede eindeutige Policendefinition einmal auf.
AKS GitHub-Repository
AKS-Richtlinien integriert
| Namen | Description | Version | Typ | Unterstützer Definitionseffekt | Richtliniendefinition |
|---|---|---|---|---|---|
| Autorisierte IP-Bereiche sollten für Kubernetes-Dienste definiert werden | Hiermit schränken Sie den Zugriff auf die Kubernetes Service-Verwaltungs-API ein, indem Sie den API-Zugriff nur auf IP-Adressen in bestimmten Bereichen gewähren. Beschränken Sie den Zugriff auf autorisierte IP-Bereiche, um sicherzustellen, dass nur Anwendungen aus erlaubten Netzwerken auf den Cluster zugreifen können. | 2.0.1 | BuiltIn | Audit, deaktiviert | Link |
| Azure Kubernetes-Cluster sollten den Schlüsselverwaltungsdienst (Key Management Service, KMS) aktivieren. | Verwenden Sie den Schlüsselverwaltungsdienst (Key Management Service, KMS), um ruhende Geheimnisdaten in etcd für die Kubernetes-Clustersicherheit zu verschlüsseln. Weitere Informationen finden Sie unter: https://aka.ms/aks/kmsetcdencryption. | 1.1.0 | BuiltIn | Audit, deaktiviert | Link |
| Azure Kubernetes Service Cluster sollten befehlsaufrufen deaktivieren | Das Deaktivieren von Befehlsaufrufen kann die Sicherheit erhöhen, da die Umgehung des eingeschränkten Netzwerkzugriffs oder der rollenbasierten Zugriffssteuerung von Kubernetes vermieden wird. | 1.0.1 | BuiltIn | Audit, deaktiviert | Link |
| Azure Kubernetes Service private Cluster sollten aktiviert sein | Aktivieren Sie das Private Cluster-Feature für Ihren Azure Kubernetes Service Cluster, um sicherzustellen, dass der Netzwerkverkehr zwischen Ihrem API-Server und Ihren Knotenpools nur im privaten Netzwerk verbleibt. Diese Anforderung ist in vielen regulatorischen und branchenspezifischen Compliance-Standards üblich. | 2.0.0 | BuiltIn | Audit, deaktiviert | Link |
| Sowohl Betriebssysteme als auch Datenträger in Azure Kubernetes Service Clustern sollten durch vom Kunden verwaltete Schlüssel verschlüsselt werden | Die Verschlüsselung von Betriebssystemen und Datenfestplatten mittels kundenverwalteter Schlüssel bietet mehr Kontrolle und größere Flexibilität bei der Schlüsselverwaltung. Diese Anforderung ist in vielen regulatorischen und branchenspezifischen Compliance-Standards üblich. | 2.0.0 | BuiltIn | Audit, deaktiviert | Link |
| Role-Based Access Control (RBAC) sollte auf Kubernetes-Diensten verwendet werden | Verwenden Sie Role-Based Access Control (RBAC) zum Verwalten von Berechtigungen in Kubernetes-Dienstclustern und zum Konfigurieren relevanter Autorisierungsrichtlinien, um eine präzise Filterung der Aktionen bereitzustellen, die Benutzer ausführen können. | 1.1.0 | BuiltIn | Audit, deaktiviert | Link |
| Azure Kubernetes Service Cluster sollten verwaltete Identitäten verwenden | Verwenden Sie verwaltete Identitäten, um Dienstprinzipale zu umschließen, die Clusterverwaltung zu vereinfachen und die Komplexität zu vermeiden, die für verwaltete Dienstprinzipale erforderlich ist. Weitere Informationen finden Sie unter: https://aka.ms/aks-update-managed-identities | 1.0.1 | BuiltIn | Audit, deaktiviert | Link |
| Azure Kubernetes Service Cluster sollten Defender-Profil aktiviert haben | Microsoft Defender für Container bietet cloudnative Kubernetes-Sicherheitsfunktionen wie Umgebungshärtung, Workloadschutz und Laufzeitschutz. Wenn Sie SecurityProfile.AzureDefender in Ihrem Azure Kubernetes Service-Cluster aktivieren, wird ein Agent in Ihrem Cluster bereitgestellt, um Sicherheitsereignisdaten zu sammeln. Erfahren Sie mehr über Microsoft Defender for Containers in Defender for Containers. | 2.0.1 | BuiltIn | Audit, deaktiviert | Link |