Für Cluster, die nicht im Azure Kubernetes Service (AKS) laufen, verwendet Defender for Cloud Azure Arc-fähiges Kubernetes, um die erforderlichen Erweiterungen bereitzustellen.
Voraussetzungen
Netzwerkanforderungen
Der Defender-Sensor muss eine Verbindung mit Microsoft Defender für Cloud herstellen, um Sicherheitsdaten und Ereignisse zu senden. Stellen Sie sicher, dass die erforderlichen Endpunkte für ausgehenden Zugriff konfiguriert sind.
Verbindungsanforderungen
Der Defender-Sensor benötigt Konnektivität zu:
- Microsoft Defender für Cloud (zum Senden von Sicherheitsdaten und Ereignissen)
Standardmäßig haben AKS-Cluster uneingeschränkten ausgehenden Internetzugriff.
Für Cluster mit eingeschränktem Ausgang müssen Sie zulassen, dass bestimmte FQDNs für Microsoft Defender für Container ordnungsgemäß funktionieren. Informationen zu den erforderlichen Endpunkten finden Sie unter Microsoft Defender für Container – Erforderliche FQDN/Anwendungsregeln in der AKS-Dokumentation für ausgehende Netzwerke.
Konfiguration privater Verbindungen
Anweisungen finden Sie unter Microsoft Security Private Link für Microsoft Defender for Cloud.
Bereitstellen des Defender-Sensors
Wenn du die automatische Bereitstellung aktiviert hast, als du den Defender for Container-Plan aktiviert hast, könnte der Defender-Sensor bereits installiert sein. Bevor Sie den folgenden Befehl ausführen, überprüfen Sie, ob die Bereitstellung bereits abgeschlossen ist.
Setzen Sie den Defender-Sensor auf einen bestimmten AKS-Cluster ein:
az aks update \
--resource-group <resource-group> \
--name <aks-cluster-name> \
--enable-defender
Aktivieren Sie Azure Policy für Kubernetes, um bewährte Methoden für die Konfiguration zu bewerten und zu erzwingen:
az aks enable-addons \
--addons azure-policy \
--name <aks-cluster-name> \
--resource-group <resource-group>
Voraussetzungen
Netzwerkanforderungen
Überprüfen Sie, ob die folgenden Endpunkte für öffentliche Cloudbereitstellungen für ausgehenden Zugriff konfiguriert sind. Wenn Sie diese konfigurieren, können Sie sicherstellen, dass der Defender-Sensor eine Verbindung mit Microsoft Defender for Cloud herstellen kann, um Sicherheitsdaten und -ereignisse zu senden.
Note
Die Azure Domänen *.ods.opinsights.azure.com und *.oms.opinsights.azure.com sind für ausgehenden Zugriff nicht mehr erforderlich. Weitere Informationen finden Sie in der Ankündigung zur Einstellung.
| Azure Domain |
Azure Government Domain |
Domain für das von 21Vianet betriebene Azure |
Hafen |
| *.cloud.defender.microsoft.com |
N/A |
N/A |
443 |
Sie müssen auch die Netzwerkanforderungen für Kubernetes mit Azure Arc-Unterstützung validieren.
Bereitstellen des Defender-Sensors
Bei EKS-Clustern bereitet man Defender-Komponenten als Azure Arc Kubernetes-Erweiterungen bereit, wenn man sie manuell über die Azure CLI bereitstellt.
Wenn du die automatische Bereitstellung aktiviert hast, als du den Defender for Container-Plan aktiviert hast, könnte der Defender-Sensor bereits installiert sein. Bevor Sie den folgenden Befehl ausführen, überprüfen Sie, ob die Bereitstellung bereits abgeschlossen ist.
Führen Sie folgenden Befehl aus, um die Defender-Sensorerweiterung auf Ihren Arc-verbundenen EKS-Cluster zu installieren:
az k8s-extension create \
--name microsoft.azuredefender.kubernetes \
--extension-type microsoft.azuredefender.kubernetes \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group> \
Bereitstellen der Azure-Richtlinienerweiterung
Installieren Sie die Azure Policy-Erweiterung, um richtlinienbasierte Sicherheitsempfehlungen und Compliance-Bewertungen für Ihren EKS-Cluster zu ermöglichen:
az k8s-extension create \
--name azurepolicy \
--extension-type Microsoft.PolicyInsights \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group>
Voraussetzungen
Netzwerkanforderungen
Überprüfen Sie, ob die folgenden Endpunkte für öffentliche Cloudbereitstellungen für ausgehenden Zugriff konfiguriert sind. Wenn Sie diese konfigurieren, können Sie sicherstellen, dass der Defender-Sensor eine Verbindung mit Microsoft Defender for Cloud herstellen kann, um Sicherheitsdaten und -ereignisse zu senden.
Note
Die Azure Domänen *.ods.opinsights.azure.com und *.oms.opinsights.azure.com sind für ausgehenden Zugriff nicht mehr erforderlich. Weitere Informationen finden Sie in der Ankündigung zur Einstellung.
| Azure Domain |
Azure Government Domain |
Domain für das von 21Vianet betriebene Azure |
Hafen |
| *.cloud.defender.microsoft.com |
N/A |
N/A |
443 |
Sie müssen auch die Netzwerkanforderungen für Kubernetes mit Azure Arc-Unterstützung validieren.
Private GKE-Cluster
Private GKE-Cluster müssen ausgehenden HTTPS-Zugriff (TCP 443) auf Microsoft Defender for Cloud Endpunkte zulassen.
Wenn dein privater Cluster ausgehenden Datenverkehr blockiert, erstelle eine Firewall-Regel, die es Cluster-Knoten ermöglicht, Microsoft Defender for Cloud-Endpunkte über TCP 443 zu erreichen:
gcloud compute firewall-rules create allow-azure-defender \
--allow tcp:443 \
--source-ranges <cluster-cidr> \
--target-tags <node-tags>
Clusterspezifische Überlegungen
Überprüfen Sie die folgenden Überlegungen basierend auf Ihrem GKE-Clustertyp, bevor Sie den Defender-Sensor einsetzen.
GKE-Standardcluster
Es ist keine spezielle Konfiguration erforderlich. Befolgen Sie die Bereitstellungsschritte in den Bereichen Deploy the Defender Sensor und Deploy the Azure Policy Extensions.
GKE Autopilot-Cluster
Für Autopilot-Cluster:
- Der Defender-Sensor passt Ressourcenanforderungen automatisch an.
- Du musst keine Ressourcenbegrenzungen konfigurieren.
Von Bedeutung
In GKE Autopilot-Clustern kann man Ressourcenanfragen und -limits für den Defender-Sensor nicht manuell konfigurieren. GKE Autopilot steuert das Ressourcenmanagement und man kann es nicht übersteuern.
Bereitstellen des Defender-Sensors
Bei GKE-Clustern setzt man Defender-Komponenten als Azure Arc Kubernetes-Erweiterungen bereit, wenn man sie manuell mit Azure CLI bereitstellt.
Wenn du die automatische Bereitstellung aktiviert hast, als du den Defender for Container-Plan aktiviert hast, könnte der Defender-Sensor bereits installiert sein. Bevor Sie den folgenden Befehl ausführen, überprüfen Sie, ob die Bereitstellung bereits abgeschlossen ist.
Führen Sie folgenden Befehl aus, um die Defender-Sensorerweiterung auf Ihrem Arc-verbundenen GKE-Cluster zu installieren:
az k8s-extension create \
--name microsoft.azuredefender.kubernetes \
--extension-type microsoft.azuredefender.kubernetes \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group> \
Bereitstellen der Azure-Richtlinienerweiterung
Installieren Sie die Azure Policy-Erweiterung auf Ihrem Arc-verbundenen GKE-Cluster, um richtlinienbasierte Sicherheitsempfehlungen und Compliance-Bewertungen zu ermöglichen:
az k8s-extension create \
--name azurepolicy \
--extension-type Microsoft.PolicyInsights \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group>
Voraussetzungen
Netzwerkanforderungen
Überprüfen Sie, ob die folgenden Endpunkte für öffentliche Cloudbereitstellungen für ausgehenden Zugriff konfiguriert sind. Wenn Sie diese konfigurieren, können Sie sicherstellen, dass der Defender-Sensor eine Verbindung mit Microsoft Defender for Cloud herstellen kann, um Sicherheitsdaten und -ereignisse zu senden.
Note
Die Azure Domänen *.ods.opinsights.azure.com und *.oms.opinsights.azure.com sind für ausgehenden Zugriff nicht mehr erforderlich. Weitere Informationen finden Sie in der Ankündigung zur Einstellung.
| Azure Domain |
Azure Government Domain |
Domain für das von 21Vianet betriebene Azure |
Hafen |
| *.cloud.defender.microsoft.com |
N/A |
N/A |
443 |
Sie müssen auch die Netzwerkanforderungen für Kubernetes mit Azure Arc-Unterstützung validieren.
Bereitstellen des Defender-Sensors
Für Arc-fähige Kubernetes-Cluster werden Defender Komponenten als Azure Arc Kubernetes-Erweiterungen bereitgestellt.
Wenn du die automatische Bereitstellung aktiviert hast, als du den Defender for Container-Plan aktiviert hast, könnte der Defender-Sensor bereits installiert sein. Bevor Sie den folgenden Befehl ausführen, überprüfen Sie, ob die Bereitstellung bereits abgeschlossen ist.
Führen Sie folgenden Befehl aus, um die Defender-Sensorerweiterung auf Ihrem Arc-fähigen Kubernetes-Cluster zu installieren:
az k8s-extension create \
--name microsoft.azuredefender.kubernetes \
--extension-type microsoft.azuredefender.kubernetes \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group> \
Bereitstellen der Azure-Richtlinienerweiterung
Installieren Sie die Azure Policy-Erweiterung auf Ihrem Arc-fähigen Kubernetes-Cluster, um richtlinienbasierte Sicherheitsempfehlungen und Compliance-Bewertungen zu ermöglichen:
az k8s-extension create \
--name azurepolicy \
--extension-type Microsoft.PolicyInsights \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group>