Implementación de Defender para contenedores en clústeres privados

Este artículo explica cómo desplegar Microsoft Defender para contenedores en clústeres privados de Kubernetes utilizando gráficos de Helm o una extensión de Kubernetes habilitada para Azure Arc. Los clústeres privados aíslan los entornos Kubernetes de internet, lo que significa que no hay acceso directo al servidor API de Kubernetes. Defender para contenedores amplía la detección de amenazas y la visibilidad de seguridad a estos entornos, por lo que puede mantener la cobertura de protección al tiempo que conserva los límites de red del clúster privado. Antes de empezar, revise los requisitos previos.

Prerrequisitos

Antes de comenzar, asegúrese de que se cumplen los siguientes requisitos previos:

  • Defender para contenedores está habilitado para el entorno de destino.

  • Si va a desplegar con Helm, asegúrese de que helm, curl y jq estén instalados y disponibles en su entorno de línea de comandos.

    Para comprobar si las herramientas están disponibles, ejecute:

    helm version
curl --version
jq --version

  • Si va a implementar mediante una extensión de Kubernetes habilitada para Azure Arc, asegúrese de que:

    • El clúster está conectado a Azure Arc.
    • La interfaz de la línea de comandos (CLI de Azure) de Azure está instalada y ha iniciado sesión.

Instalación de componentes para clústeres privados

Los gráficos de Helm para Defender para contenedores se publican en mcr.microsoft.com/azuredefender/microsoft-defender-for-containers. Los clústeres privados se admiten en las versiones del gráfico 0.11.X. Usa el Helm en Amazon EKS, el Helm en el motor Kubernetes de Google o la pestaña Kubernetes habilitada para Azure Arc para instalar los componentes en tu entorno.

Puede enumerar las versiones publicadas ejecutando el siguiente comando:

curl https://mcr.microsoft.com/v2/azuredefender/microsoft-defender-for-containers/tags/list

Para instalar el gráfico más reciente 0.11.X y habilitar componentes de clúster privado:

helm install defender-k8s oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers \
  --create-namespace \
  --namespace mdc \
  --set global.cloudIdentifiers.AWS.accountId="<aws-account-id>" \
  --set global.cloudIdentifiers.AWS.region="<cluster-location>" \
  --set global.cloudIdentifiers.AWS.clusterName="<cluster-name>" \
  --set microsoft-defender-for-containers-sensor.inventoryCollector.enabled=true \
  --set microsoft-defender-for-containers-sensor.configController.enabled=true

Comprobación de la implementación

Para comprobar el estado del despliegue basado en Helm:

helm list --namespace mdc

Para comprobar la implementación de la extensión Azure Arc:

az k8s-extension show \
  --name microsoft.azuredefender.kubernetes \
  --cluster-type connectedClusters \
  --cluster-name $ARC_CLUSTER_NAME \
  --resource-group $ARC_RESOURCE_GROUP

Contenido relacionado

  • Se actualizó por última vez el