Para clústeres que no se ejecutan en Azure Kubernetes Service (AKS), Defender for Cloud utiliza Kubernetes habilitado con Azure Arc para desplegar las extensiones necesarias.
Prerequisites
Requisitos de red
El sensor de Defender debe conectarse a Microsoft Defender para la nube para enviar eventos y datos de seguridad. Asegúrese de que los puntos de conexión necesarios están configurados para el acceso saliente.
Requisitos de conexión
El sensor de Defender necesita conectividad para:
- Microsoft Defender para la nube (para enviar eventos y datos de seguridad)
De forma predeterminada, los clústeres de AKS tienen acceso de salida a Internet ilimitado.
En el caso de los clústeres con salida restringida, debe permitir que los FQDN específicos de Microsoft Defender para contenedores funcionen correctamente. Consulte Microsoft Defender para contenedores: reglas de aplicación o FQDN necesarias en la documentación de red de salida de AKS para los puntos de conexión necesarios.
Configuración de vínculo privado
Para obtener instrucciones, consulte Vínculo privado de seguridad de Microsoft para Microsoft Defender para la nube.
Implementa el sensor de Defender
Si activaste el aprovisionamiento automático al activar el plan Defender para contenedores, el sensor Defender podría estar ya instalado. Antes de ejecutar el siguiente comando, verifica si el despliegue ya está completo.
Despliega el sensor Defender en un clúster AKS específico:
az aks update \
--resource-group <resource-group> \
--name <aks-cluster-name> \
--enable-defender
Habilite Azure Policy para Que Kubernetes evalúe y aplique los procedimientos recomendados de configuración:
az aks enable-addons \
--addons azure-policy \
--name <aks-cluster-name> \
--resource-group <resource-group>
Prerequisites
Requisitos de red
Compruebe que los siguientes puntos de conexión para las implementaciones en la nube pública estén configurados para el acceso de salida. Configurarlos para el acceso de salida ayuda a garantizar que el sensor de Defender pueda conectarse a Microsoft Defender for Cloud para enviar eventos y datos de seguridad.
Note
Los dominios de Azure *.ods.opinsights.azure.com y *.oms.opinsights.azure.com ya no son necesarios para el acceso saliente. Para más información, vea el anuncio de desuso.
| Dominio de Azure |
Dominio de Azure Government |
Azure operado por el dominio 21Vianet |
Puerto |
| *.cloud.defender.microsoft.com |
N/A |
N/A |
443 |
También deberá validar los requisitos de red de Kubernetes habilitados para Azure Arc.
Implementa el sensor de Defender
Para clústeres EKS, despliegas componentes de Defender como extensiones de Azure Arc Kubernetes cuando los despliegas manualmente usando CLI de Azure.
Si activaste el aprovisionamiento automático al activar el plan Defender para contenedores, el sensor Defender podría estar ya instalado. Antes de ejecutar el siguiente comando, verifica si el despliegue ya está completo.
Ejecuta el siguiente comando para desplegar la extensión del sensor Defender en tu clúster EKS conectado a Arc:
az k8s-extension create \
--name microsoft.azuredefender.kubernetes \
--extension-type microsoft.azuredefender.kubernetes \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group> \
Implementación de la extensión de Azure Policy
Instala la extensión Azure Policy para habilitar recomendaciones de seguridad basadas en políticas y evaluaciones de cumplimiento para tu clúster EKS:
az k8s-extension create \
--name azurepolicy \
--extension-type Microsoft.PolicyInsights \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group>
Prerequisites
Requisitos de red
Compruebe que los siguientes puntos de conexión para las implementaciones en la nube pública estén configurados para el acceso de salida. Configurarlos para el acceso de salida ayuda a garantizar que el sensor de Defender pueda conectarse a Microsoft Defender for Cloud para enviar eventos y datos de seguridad.
Note
Los dominios de Azure *.ods.opinsights.azure.com y *.oms.opinsights.azure.com ya no son necesarios para el acceso saliente. Para más información, vea el anuncio de desuso.
| Dominio de Azure |
Dominio de Azure Government |
Azure operado por el dominio 21Vianet |
Puerto |
| *.cloud.defender.microsoft.com |
N/A |
N/A |
443 |
También deberá validar los requisitos de red de Kubernetes habilitados para Azure Arc.
Clústeres de GKE privados
Los clústeres de GKE privados deben permitir el acceso HTTPS saliente (TCP 443) a los endpoints de Microsoft Defender para la nube.
Si tu clúster privado bloquea el tráfico saliente, crea una regla de cortafuegos para permitir que los nodos del clúster lleguen a los endpoints de Microsoft Defender para la nube a través de TCP 443:
gcloud compute firewall-rules create allow-azure-defender \
--allow tcp:443 \
--source-ranges <cluster-cidr> \
--target-tags <node-tags>
Consideraciones específicas del clúster
Revisa las siguientes consideraciones según el tipo de clúster GKE antes de desplegar el sensor Defender.
Clústeres de GKE estándar
No se requiere ninguna configuración especial. Sigue los pasos de implementación de las secciones Implementar el sensor de Defender y Implementar la extensión de Azure Policy.
Clústeres de GKE Autopilot
No compatible
Importante
Los clústeres de piloto automático de GKE no son compatibles con el sensor de Defender for Containers.
Implementa el sensor de Defender
Para clústeres GKE, despliegas componentes de Defender como extensiones de Azure Arc Kubernetes cuando los despliegas manualmente usando CLI de Azure.
Si activaste el aprovisionamiento automático al activar el plan Defender para contenedores, el sensor Defender podría estar ya instalado. Antes de ejecutar el siguiente comando, verifica si el despliegue ya está completo.
Ejecuta el siguiente comando para instalar la extensión del sensor Defender en tu clúster GKE conectado a Arc:
az k8s-extension create \
--name microsoft.azuredefender.kubernetes \
--extension-type microsoft.azuredefender.kubernetes \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group> \
Implementación de la extensión de Azure Policy
Instala la extensión Azure Policy en tu clúster GKE conectado a Arc para habilitar recomendaciones de seguridad basadas en políticas y evaluaciones de cumplimiento:
az k8s-extension create \
--name azurepolicy \
--extension-type Microsoft.PolicyInsights \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group>
Prerequisites
Requisitos de red
Compruebe que los siguientes puntos de conexión para las implementaciones en la nube pública estén configurados para el acceso de salida. Configurarlos para el acceso de salida ayuda a garantizar que el sensor de Defender pueda conectarse a Microsoft Defender for Cloud para enviar eventos y datos de seguridad.
Note
Los dominios de Azure *.ods.opinsights.azure.com y *.oms.opinsights.azure.com ya no son necesarios para el acceso saliente. Para más información, vea el anuncio de desuso.
| Dominio de Azure |
Dominio de Azure Government |
Azure operado por el dominio 21Vianet |
Puerto |
| *.cloud.defender.microsoft.com |
N/A |
N/A |
443 |
También deberá validar los requisitos de red de Kubernetes habilitados para Azure Arc.
Implementa el sensor de Defender
En el caso de los clústeres de Kubernetes habilitados para Arc, los componentes de Defender se implementan como extensiones de Kubernetes Azure Arc.
Si activaste el aprovisionamiento automático al activar el plan Defender para contenedores, el sensor Defender podría estar ya instalado. Antes de ejecutar el siguiente comando, verifica si el despliegue ya está completo.
Ejecuta el siguiente comando para instalar la extensión del sensor Defender en tu clúster Kubernetes habilitado para Arc:
az k8s-extension create \
--name microsoft.azuredefender.kubernetes \
--extension-type microsoft.azuredefender.kubernetes \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group> \
Implementación de la extensión de Azure Policy
Instala la extensión Azure Policy en tu clúster Kubernetes habilitado para Arc para habilitar recomendaciones de seguridad basadas en políticas y evaluaciones de cumplimiento:
az k8s-extension create \
--name azurepolicy \
--extension-type Microsoft.PolicyInsights \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group>