Was ist Azure Linux mit OS Guard für Azure Kubernetes Service (AKS) (Vorschau)?

Note

Azure Container Linux (ACL) ist der Ersatz für Azure Linux mit OS Guard (Vorschau) als langfristige, unveränderliche, containeroptimiertes Linux-Betriebssystem (OS) für Azure Kubernetes Service (AKS). Sie bietet ein sicheres, minimales und betriebskonsensiertes Hostbetriebssystem, das für die Ausführung von containerisierten Workloads im großen Maßstab konzipiert ist. Weitere Informationen finden Sie in der Übersicht über Azure Container Linux (ACL).

In diesem Artikel bieten wir eine Übersicht über Azure Linux mit OS Guard, einer gehärteten, unveränderlichen Variante von Azure Linux. Es bietet starke Laufzeitintegrität, Manipulationsresistenz und Sicherheit auf Unternehmensniveau für Containerhosts auf AKS. Os Guard basiert auf Azure Linux und fügt Kernel- und Laufzeitfeatures hinzu, die codeintegrität erzwingen, das Stammdateisystem vor nicht autorisierten Änderungen schützen und obligatorische Zugriffssteuerungen anwenden. Verwenden Sie OS Guard, wenn Sie erhöhte Sicherheiten für Ihren Containerhost und die Workloadlaufzeit benötigen.

Wichtigste Funktionen

In der folgenden Tabelle werden die wichtigsten Features von Azure Linux mit OS Guard beschrieben:

Funktion Description Hinweise
Unbeweglichkeit Das Verzeichnis "/usr" wird als schreibgeschütztes Volume bereitgestellt, das durch dm-verity geschützt ist. Zur Laufzeit überprüft der Kernel einen signierten Stammhash, um Manipulationen zu erkennen und zu blockieren. N/A
Codeintegrität OS Guard integriert das Linux-Sicherheitsmodul für die Integritätsrichtlinienerzwingung (Integrity Policy Enforcement, IPE), um sicherzustellen, dass nur Binärdateien von vertrauenswürdigen signierten Volumes ausgeführt werden dürfen. Dadurch wird verhindert, dass manipulierter oder nicht vertrauenswürdiger Code ausgeführt wird, einschließlich Container-Images. IPE wird während der Vorschauversion im Überwachungsmodus ausgeführt.
Obligatorische Zugriffssteuerung OS Guard integriert SELinux, um einzuschränken, welche Prozesse auf vertrauliche Ressourcen im System zugreifen können. SELinux wird während der Vorschau im permissiven Modus ausgeführt.
Kontrollierter Start und vertrauenswürdiger Start OS Guard unterstützt den kontrollierten Start und integriert den vertrauenswürdigen Start , um kryptografische Messungen von Startkomponenten bereitzustellen, die in einem virtuellen TPM (vTPM) gespeichert sind. Dies wird mithilfe eines Unified Kernel Image (UKI) erreicht, das den Kernel, initramfs und die Kernel-Befehlszeile in ein einzelnes signiertes Artefakt bündeln. Während des Startvorgangs wird der UKI gemessen und im vTPM aufgezeichnet, wodurch die Integrität bereits in der frühesten Phase gewährleistet wird. N/A
Überprüfte Containerebenen Container-Images und -Schichten werden mittels signierter dm-verity-Hashes überprüft. Dadurch wird sichergestellt, dass zur Laufzeit nur überprüfte Ebenen verwendet werden, wodurch das Risiko eines Container-Escape oder einer Manipulation verringert wird. IPE erweitert sich auch innerhalb von Containerimages, um sicherzustellen, dass nur Binärdateien, die einer vertrauenswürdigen Signatur entsprechen, ausgeführt werden können, auch wenn sie in einer überprüften Ebene vorhanden sind. IPE wird während der Vorschau im Prüfmodus ausgeführt.
Souveräne Lieferkettensicherheit OS Guard erbt die sicheren Buildpipelines von Azure Linux, signierte Unified Kernel Images (UKIs) und Stücklisten für Software (SBOMs). N/A

Hauptvorteile

In der folgenden Tabelle werden die wichtigsten Vorteile der Verwendung von Azure Linux mit OS Guard beschrieben:

Benefit Description
Starke Laufzeitintegritätsgarantie Kernelbasierte Unveränderlichkeit und IPE verhindern die Ausführung von manipulierten oder nicht vertrauenswürdigen Code.
Reduzierte Angriffsfläche Ein schreibgeschütztes /usr-Verzeichnis, eine reduzierte Paketanzahl und SELinux-Richtlinien beschränken die Möglichkeiten eines Angreifers, dauerhafte Hintertüren zu installieren oder Systembinärdateien zu ändern.
Lieferkettenvertrauen Baut auf den signierten Images und Lieferkettenprozessen von Azure Linux auf und liefert klare Provenienz für Systemkomponenten.
Integration in Azure-Sicherheitsfeatures Systemeigene Unterstützung für Trusted Launch und Secure Boot bietet gemessenen Startschutz und Nachweis.
Open-Source-Transparenz Viele der zugrunde liegenden Technologien (dm-verity, SELinux, IPE) sind upstream oder open Source, und Microsoft verfügt über Tools und Beiträge zur Unterstützung dieser Features.
Compliancevererbung OS Guard erbt Complianceeigenschaften von Azure Linux (z. B. kryptografische Module und Zertifizierungen für Azure Linux), wodurch die Einführung in regulierten Umgebungen erleichtert wird.

Überlegungen und Einschränkungen

Beachten Sie bei der Verwendung von Azure Linux mit OS Guard für AKS die folgenden Überlegungen und Einschränkungen:

Auswählen einer Azure Linux-Containerhostoption

Azure Linux mit OS Guard basiert auf Azure Linux und profitiert von denselben Lieferkettenschutz und signierten Images. Beide Betriebssystemvarianten können je nach Sicherheit, Compliance und betrieblichen Anforderungen angemessen sein:

Containerhostoption Azure Linux-Containerhost Azure Linux mit OS Guard
Sicherheitsvorteile Azure Linux bietet die Sicherheitsvorteile, die Microsoft als entscheidend für AKS-Workloads ansieht. Alle Vorteile von Azure Linux sowie die oben genannten zusätzlichen Sicherheitsvorteile.
Vertrautheit der Benutzer Abläufe und Werkzeuge sind Kunden vertraut, die andere Linux-Distributionen wie Ubuntu gewohnt sind. Bekannt für Kunden aus anderen containeroptimierten Distributionen.
Zielgruppe Geeignet für Kunden, die Lift-and-Shift-Projekte durchführen, Migrationen vornehmen oder von anderen Linux-Distributionen wechseln. Richtet sich an Cloud-native Kunden, die in der Cloud geboren sind oder die modernisieren möchten.
Sicherheitskontrollen Option zum Aktivieren von AppArmor bei Bedarf für sicherheitsorientierte Kunden. Sicherheitseinstellungen wie SELinux und IPE sind standardmäßig zulässig.

Verwandte Inhalte

Weitere Informationen zu Azure Linux OS Guard für AKS finden Sie in den folgenden Ressourcen:

  • Last updated on