Installer le capteur Defender pour les conteneurs à l’aide de Helm

Pour contrôler le déploiement et la mise à jour sur vos clusters Azure Kubernetes Service (AKS), Amazon Elastic Kubernetes Service (EKS) et Google Kubernetes Engine (GKE), installez et configurez le capteur Defender for Containers en utilisant Helm. Avant de commencer, assurez-vous de remplir les prérequis.

Defender for Containers prend en charge plusieurs modèles de déploiement de capteurs, notamment le provisionnement automatique et l’installation basée sur Helm. Le déploiement basé sur Helm vous donne plus de contrôle sur le contrôle de version et le minutage de la mise à niveau, mais vous gérez certaines tâches opérationnelles. Lorsque vous utilisez un déploiement avec Helm, considérez les points suivants :

  • Mises à niveau des capteurs : En utilisant un déploiement basé sur Helm, vous gérez les mises à niveau des capteurs ainsi que leur planification. L’approvisionnement automatique suit les planifications de déploiement gérées par Microsoft.

  • Flux d’installationautomatique : lorsque vous déployez le capteur à l’aide de Helm, ignorez les invites automatiques et les recommandations dans le portail Azure pour éviter les conflits avec le déploiement existant.

Prerequisites

Avant d’installer le capteur à l’aide de Helm, remplissez les conditions préalables suivantes :

Installer le graphique Helm

Les graphiques de casque Defender for Containers sont publiés à mcr.microsoft.com/azuredefender/microsoft-defender-for-containers.

Le graphique nécessite des valeurs d’identificateur de cluster sous global.cloudIdentifiers. Vous pouvez fournir ces valeurs inline avec --set, comme indiqué dans les exemples suivants, ou à l’aide d’un fichier de valeurs.

Pour installer la dernière version du graphique, utilisez la commande d’installation Helm de base. Fournissez les valeurs requises global.cloudIdentifiers à l’aide d’un fichier de valeurs ou inline avec --set, comme indiqué dans les exemples spécifiques à l’environnement :

helm install defender-k8s oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers

Vous pouvez répertorier les versions publiées en exécutant la commande suivante :

curl https://mcr.microsoft.com/v2/azuredefender/microsoft-defender-for-containers/tags/list

Pour installer une version spécifique, incluez la balise de version :

helm install defender-k8s oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers:<tag>

Pour inspecter les valeurs de graphique configurables, telles que les indicateurs de fonctionnalité ou les limites de ressources de pod, extrayez le graphique et examinez le values.yaml fichier :

helm pull oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers

Pour installer le capteur pour votre environnement :

Pour les clusters AKS standard, utilisez l’espace de noms mdc.

Pour les clusters automatiques AKS, utilisez le namespace kube-system.

Si votre cluster AKS dispose déjà d’un Defender existant pour le déploiement de conteneurs, désactivez le déploiement existant, comme décrit dans Configure Defender pour conteneurs pour Azure et supprimez les ressources restantes en exécutant les commandes suivantes :

kubectl delete crd/policies.defender.microsoft.com || true
kubectl delete crd/policytemplates.defender.microsoft.com || true
kubectl delete crd/runtimepolicies.defender.microsoft.com || true
kubectl delete crd/securityartifactpolicies.defender.microsoft.com || true
kubectl delete ClusterRole defender-admission-controller-cluster-role || true
kubectl delete ClusterRole defender-admission-controller-resource-cluster-role || true
kubectl delete ClusterRoleBinding defender-admission-controller-cluster-role-binding || true
kubectl delete ClusterRoleBinding defender-admission-controller-cluster-resource-role-binding || true

Installez le capteur :

helm install defender-k8s oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers \
    --create-namespace --namespace <namespace> \
    --set global.cloudIdentifiers.Azure.subscriptionId="<cluster-subscription-id>" \
    --set global.cloudIdentifiers.Azure.resourceGroupName="<cluster-resource-group>" \
    --set global.cloudIdentifiers.Azure.clusterName="<cluster-name>" \
    --set global.cloudIdentifiers.Azure.region="<cluster-region>"

Remplacez par <namespace> :

  • mdc pour les clusters AKS standard.
  • kube-system pour les clusters automatiques AKS.

Vérifier l’installation

Vérifiez l’installation à l’aide du même espace de noms que celui que vous avez utilisé pour installer le graphique.

helm list --namespace mdc

Si le STATUS champ montre deployed, l’installation a réussi.

Configurer des règles de sécurité pour le déploiement contrôlé

Note

Le déploiement contrôlé par Kubernetes est pris en charge sur les clusters AKS Automatique uniquement lorsque le capteur est installé en utilisant Helm dans l’espace de noms kube-system. Le déploiement des modules complémentaires n’est pas pris en charge pour ce scénario.

Important

Lorsque vous créez des règles, l’abonnement sélectionné peut s’afficher sous la forme not supported for Gated deployment. Cet état se produit parce que vous avez installé les composants Defender pour conteneurs à l’aide de Helm plutôt que par le biais de l’installation automatique du tableau de bord.

Définissez des règles de sécurité pour contrôler ce que vous pouvez déployer dans vos clusters Kubernetes. Ces règles peuvent bloquer ou auditer des images conteneur qui ne répondent pas à vos critères de sécurité.

  1. Connectez-vous au portail Azure.

  2. Accédez à Defender pour le cloud>Paramètres d’environnement.

  3. Sélectionnez Règles de sécurité.

  4. Sélectionnez Déploiement contrôlé>Évaluation des vulnérabilités.

  5. Sélectionnez une règle pour la modifier, ou sélectionnez + Ajouter une règle pour en créer une nouvelle.

Gérer les recommandations existantes

Important

Si vous installez le capteur à l'aide de Helm, n'utilisez pas de recommandations Defender for Cloud existantes pour installer le profil Defender ou l'extension Arc pour le même cluster. La correction de ces recommandations peut créer un déploiement en conflit.

Selon votre type de déploiement, les recommandations suivantes peuvent toujours apparaître dans Defender for Cloud. Examinez-les pour vérifier qu’elles font référence aux flux de déploiement automatique, puis ignorez-les pour les clusters où vous avez déployé avec Helm.

Mettre à niveau un déploiement Helm existant

Avec un déploiement basé sur Helm, vous gérez les mises à niveau des capteurs. Defender pour Cloud ne les applique pas automatiquement.

Exécutez la commande suivante pour mettre à jour un déploiement Helm existant. Utilisez l’espace de noms que vous avez utilisé pendant l’installation.

helm upgrade defender-k8s \
    oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers \
    --namespace <namespace> \
    --reuse-values

Remplacez <namespace> par l’espace de noms que vous avez utilisé lors de l’installation.

Le --reuse-values paramètre conserve vos valeurs personnalisées existantes pendant la mise à niveau.

Pour <namespace>, utilisez :

  • mdc pour les clusters AKS, EKS et GKE standard.
  • kube-system pour les clusters automatiques AKS.

Si la mise à niveau échoue en raison de conflits de ressources, ajoutez les options suivantes à la commande de mise à niveau :

--server-side=true --resolve-conflicts

Étape suivante

Questions courantes sur la protection des conteneurs

  • Dernière mise à jour :