Pour les clusters qui ne fonctionnent pas dans Azure Kubernetes Service (AKS), Defender for Cloud utilise Kubernetes compatible Azure Arc pour déployer les extensions requises.
Prerequisites
Configuration réseau requise
Le capteur Defender doit se connecter à Microsoft Defender pour cloud pour envoyer des données et des événements de sécurité. Vérifiez que les points de terminaison requis sont configurés pour l’accès sortant.
Exigences relatives aux connexions
Le capteur Defender a besoin d’une connectivité à :
- Microsoft Defender pour Cloud (pour l’envoi de données et d’événements de sécurité)
Par défaut, les clusters AKS ont un accès illimité sortant à Internet.
Pour les clusters avec accès sortant restreint, vous devez autoriser les noms de domaine complets (FQDN) spécifiques pour "Microsoft Defender for Containers" afin d'assurer son bon fonctionnement. Consultez la section Microsoft Defender pour les conteneurs – Règles FQDN/application requises dans la documentation sur le réseau sortant AKS pour connaître les points de terminaison requis.
Configuration d’une liaison privée
Pour obtenir des instructions, consultez Sécurité Microsoft Private Link pour Microsoft Defender pour le Cloud.
Déployer le capteur Defender
Si vous avez activé le provisionnement automatique lorsque vous avez activé le plan Defender pour les conteneurs, le capteur Defender pourrait déjà être installé. Avant d’exécuter la commande suivante, vérifiez si le déploiement est déjà terminé.
Déploie le capteur Defender sur un cluster AKS spécifique :
az aks update \
--resource-group <resource-group> \
--name <aks-cluster-name> \
--enable-defender
Activez Azure Policy pour Kubernetes afin d’évaluer et d’appliquer les meilleures pratiques de configuration :
az aks enable-addons \
--addons azure-policy \
--name <aks-cluster-name> \
--resource-group <resource-group>
Prerequisites
Configuration réseau requise
Vérifiez que les points de terminaison suivants pour les déploiements de cloud public sont configurés pour l’accès sortant. La configuration de ces derniers pour l’accès sortant permet de s’assurer que le capteur Defender peut se connecter à Microsoft Defender pour le cloud afin d’envoyer des données et des événements de sécurité.
Note
Les domaines Azure *.ods.opinsights.azure.com et *.oms.opinsights.azure.com ne sont plus nécessaires pour l’accès sortant. Pour plus d’informations, consultez Annonce de dépréciation.
| Domaine Azure |
Domaine Azure Government |
Domaine Azure exploité par 21Vianet |
Port |
| *.cloud.defender.microsoft.com |
N/A |
N/A |
443 |
Vous devez également valider la configuration réseau nécessaire pour le réseau Kubernetes avec Azure Arc.
Déployer le capteur Defender
Pour les clusters EKS, vous déployez les composants Defender comme extensions Azure Arc Kubernetes lorsque vous les déployez manuellement en utilisant Azure CLI.
Si vous avez activé le provisionnement automatique lorsque vous avez activé le plan Defender pour les conteneurs, le capteur Defender pourrait déjà être installé. Avant d’exécuter la commande suivante, vérifiez si le déploiement est déjà terminé.
Exécutez la commande suivante pour déployer l’extension du capteur Defender sur votre cluster EKS connecté à Arc :
az k8s-extension create \
--name microsoft.azuredefender.kubernetes \
--extension-type microsoft.azuredefender.kubernetes \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group> \
Déployer l’extension Azure Policy
Installez l’extension Azure Policy pour permettre des recommandations de sécurité basées sur des politiques et des évaluations de conformité pour votre cluster EKS :
az k8s-extension create \
--name azurepolicy \
--extension-type Microsoft.PolicyInsights \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group>
Prerequisites
Configuration réseau requise
Vérifiez que les points de terminaison suivants pour les déploiements de cloud public sont configurés pour l’accès sortant. La configuration de ces derniers pour l’accès sortant permet de s’assurer que le capteur Defender peut se connecter à Microsoft Defender pour le cloud afin d’envoyer des données et des événements de sécurité.
Note
Les domaines Azure *.ods.opinsights.azure.com et *.oms.opinsights.azure.com ne sont plus nécessaires pour l’accès sortant. Pour plus d’informations, consultez Annonce de dépréciation.
| Domaine Azure |
Domaine Azure Government |
Domaine Azure exploité par 21Vianet |
Port |
| *.cloud.defender.microsoft.com |
N/A |
N/A |
443 |
Vous devez également valider la configuration réseau nécessaire pour le réseau Kubernetes avec Azure Arc.
Clusters GKE privés
Les clusters GKE privés doivent autoriser l’accès HTTPS sortant (TCP 443) aux points de terminaison de Microsoft Defender for Cloud.
Si votre cluster privé bloque le trafic sortant, créez une règle de pare-feu permettant aux nœuds du cluster d’atteindre les points de terminaison de Microsoft Defender for Cloud via TCP 443 :
gcloud compute firewall-rules create allow-azure-defender \
--allow tcp:443 \
--source-ranges <cluster-cidr> \
--target-tags <node-tags>
Considérations spécifiques au cluster
Examinez les considérations suivantes en fonction du type de cluster GKE avant de déployer le capteur Defender.
Clusters GKE standard
Aucune configuration spéciale n’est requise. Suivez les étapes de déploiement dans les sections Déployer le capteur Defender et Déploier les extensions Azure Policy.
Clusters GKE Autopilot
Non pris en charge
Important
Les clusters Autopilot GKE ne sont pas pris en charge par le capteur Defender for Containers.
Déployer le capteur Defender
Pour les clusters GKE, vous déployez des composants Defender comme extensions Azure Arc Kubernetes lorsque vous les déployez manuellement en utilisant Azure CLI.
Si vous avez activé le provisionnement automatique lorsque vous avez activé le plan Defender pour les conteneurs, le capteur Defender pourrait déjà être installé. Avant d’exécuter la commande suivante, vérifiez si le déploiement est déjà terminé.
Exécutez la commande suivante pour installer l’extension du capteur Defender sur votre cluster GKE connecté à Arc :
az k8s-extension create \
--name microsoft.azuredefender.kubernetes \
--extension-type microsoft.azuredefender.kubernetes \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group> \
Déployer l’extension Azure Policy
Installez l’extension Azure Policy sur votre cluster GKE connecté à Arc pour permettre des recommandations de sécurité basées sur des politiques et des évaluations de conformité :
az k8s-extension create \
--name azurepolicy \
--extension-type Microsoft.PolicyInsights \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group>
Prerequisites
Configuration réseau requise
Vérifiez que les points de terminaison suivants pour les déploiements de cloud public sont configurés pour l’accès sortant. La configuration de ces derniers pour l’accès sortant permet de s’assurer que le capteur Defender peut se connecter à Microsoft Defender pour le cloud afin d’envoyer des données et des événements de sécurité.
Note
Les domaines Azure *.ods.opinsights.azure.com et *.oms.opinsights.azure.com ne sont plus nécessaires pour l’accès sortant. Pour plus d’informations, consultez Annonce de dépréciation.
| Domaine Azure |
Domaine Azure Government |
Domaine Azure exploité par 21Vianet |
Port |
| *.cloud.defender.microsoft.com |
N/A |
N/A |
443 |
Vous devez également valider la configuration réseau nécessaire pour le réseau Kubernetes avec Azure Arc.
Déployer le capteur Defender
Pour les clusters Kubernetes activés par Arc, les composants de Defender sont déployés en tant que les extensions Kubernetes Azure Arc.
Si vous avez activé le provisionnement automatique lorsque vous avez activé le plan Defender pour les conteneurs, le capteur Defender pourrait déjà être installé. Avant d’exécuter la commande suivante, vérifiez si le déploiement est déjà terminé.
Exécutez la commande suivante pour installer l’extension du capteur Defender sur votre cluster Kubernetes compatible Arc :
az k8s-extension create \
--name microsoft.azuredefender.kubernetes \
--extension-type microsoft.azuredefender.kubernetes \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group> \
Déployer l’extension Azure Policy
Installez l’extension Azure Policy sur votre cluster Kubernetes compatible Arc pour permettre des recommandations de sécurité basées sur des politiques et des évaluations de conformité :
az k8s-extension create \
--name azurepolicy \
--extension-type Microsoft.PolicyInsights \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group>