Applicazione di una configurazione errata di Kubernetes

L'applicazione dei criteri di configurazione di Kubernetes è una funzionalità di Microsoft Defender per contenitori che valuta le risorse Kubernetes prima che vengano ammesse in un cluster. È possibile usarlo per controllare o bloccare le distribuzioni che non soddisfano Microsoft regole di procedure consigliate per la sicurezza.

Dopo aver abilitato la funzionalità, Defender per contenitori crea una regola di sicurezza predefinita denominata Regola di configurazione errata K8s predefinita. La regola predefinita viene creata in modalità di controllo e si applica a tutti i cluster Kubernetes nell'ambito. È possibile modificare l'azione della regola in Blocca, configurare singole regole e parametri o creare criteri personalizzati per ambiti specifici.

Usare l'applicazione dei criteri relativi alle configurazioni errate di Kubernetes come aiuto:

Controllare o bloccare i carichi di lavoro Kubernetes con configurazioni di sicurezza non sicure.
Imporre l'esecuzione come utente non root e gli ID utente o di gruppo approvati.
Impedire il montaggio automatico delle credenziali dell'API Kubernetes.
Bloccare l'esecuzione dei carichi di lavoro nello spazio dei nomi Kubernetes predefinito.
Impedire ai contenitori di condividere spazi dei nomi host sensibili, ad esempio PID, IPC o rete.
Limitare le immagini del contenitore a registri attendibili o modelli approvati.
Applicare limiti di CPU e memoria.
Richiedere HTTPS per le risorse di ingresso di Kubernetes.
Bloccare l'escalation dei privilegi e i contenitori con privilegi completi.
Richiedere ai contenitori di usare un file system radice di sola lettura.

Prerequisiti

Prima di iniziare, verificare che:

Defender per contenitori è abilitato per la sottoscrizione o l'account cloud in cui è in esecuzione il cluster Kubernetes.
Il cluster Kubernetes è supportato.
Il cluster usa AKS, Kubernetes abilitato per Azure Arc, EKS o GKE.
Se si usa il provisioning automatico: i componenti di Defender per contenitori necessari sono abilitati per l'ambiente in uso:
- AKS e Kubernetes abilitato per Azure Arc: l'accesso all'API Kubernetes è abilitato.
- AWS e GCP: la protezione dalle minacce senza agente è abilitata per raccogliere i log di controllo.
Note

La protezione dalle minacce senza agente è abilitata per impostazione predefinita quando si abilita Defender per contenitori per AWS o GCP. Se è stato disabilitato, attivarlo prima di configurare l'applicazione dei criteri per le configurazioni errate di Kubernetes.
Se usi Helm per il dispiegamento manuale: Assicurati che Helm sia installato (istruzioni di installazione Helm) e disponibile nell'ambiente della riga di comando. Quindi, abilita manualmente l'applicazione delle configurazioni errate con Helm.
Kubernetes ValidatingAdmissionPolicy è abilitato nel cluster. Kubernetes 1.30 e versioni successive abilitano questa funzionalità per impostazione predefinita.
Sono disponibili le autorizzazioni necessarie:
- Per abilitare e gestire i criteri di applicazione al momento della distribuzione, sono necessarie le autorizzazioni Proprietario della sottoscrizione o Amministratore della sicurezza.
- Per visualizzare i criteri e le informazioni di monitoraggio, sono necessarie autorizzazioni di lettura per la sicurezza o equivalenti.

Abilita manualmente l'applicazione dei controlli sulle configurazioni errate con Helm

Prima di iniziare, assicurati di aver completato i prerequisiti, incluso abilitare Defender per i Container e verificare i permessi.

Per abilitare manualmente l'applicazione del controllo delle configurazioni errate con Helm:

Seguire la guida all'installazione di Helm per il sensore Defender per contenitori per il proprio ambiente.
Durante l'installazione della carta di Helm, usa l'ultimo tag della carta supportato. Usa il seguente riferimento agli artefatti OCI per selezionare il policy bundle di Microsoft Defender for Containers durante la configurazione di distribuzione gateata:
```
oci://mcr.microsoft.com/azuredefender-preview/microsoft-defender-for-containers
```
Imposta il seguente valore Helm per abilitare le policy di configurazione errata nel controller di ammissione Defender in modo che l'applicazione delle policy venga applicata al tuo cluster:
```
defender-admission-controller.enableMisconfigurationPolicies=true
```

Dopo l'abilitazione dell'applicazione della configurazione errata, la regola di controllo predefinita viene creata automaticamente nel portale.

Creare un criterio di applicazione della configurazione non corretta

Per impostazione predefinita, Defender per i contenitori crea la regola predefinita per le configurazioni errate di K8s in modalità Audit, applicata a tutte le risorse. Durante la modalità Audit , il controller di ammissione (il componente Kubernetes che valuta le risorse rispetto alle tue politiche prima che vengano ammesse nel cluster) registra le violazioni ma permette di continuare le implementazioni. È possibile creare criteri personalizzati limitati a specifiche sottoscrizioni, cluster o namespace.

Accedi al portale di Azure.
Passare a Microsoft Defender per il cloud>Impostazioni dell'ambiente.
Selezionare Regole di sicurezza.
Seleziona Distribuzione controllata>Configurazioni errate per visualizzare i criteri disponibili.
Selezionare Crea nuovo criterio.
Immettere un nome di criterio.
Selezionare un'azione:
- Controllo: registra le violazioni senza bloccare le distribuzioni.
- Blocca: nega le distribuzioni non conformi.
Note

La selezione della modalità Blocca può introdurre un breve ritardo durante le distribuzioni a causa dell'applicazione dei criteri in tempo reale.
Se necessario, immettere una descrizione della regola.
Immettere il nome dell'ambito.
Selezionare l'ambito Cloud.
In Ambito risorsa mantenere l'ambito predefinito o selezionare Aggiungi condizione per restringere l'ambito della regola.
Seleziona Avanti.
Selezionare la casella di controllo accanto a ogni regola che si vuole abilitare.
Per configurare i parametri per una regola, selezionare il nome della regola.

Alcune regole includono parametri configurabili. Se i parametri sono disponibili, aggiornarli in base alle esigenze e quindi selezionare Salva.
Seleziona Avanti.
Esaminare la configurazione dei criteri.
Selezionare Aggiungi criterio.

Modificare un criterio di imposizione della configurazione errata

È possibile modificare un criterio di imposizione della configurazione errata esistente per aggiornarne l'azione, le regole abilitate e i parametri delle regole configurabili.

Accedi al portale di Azure.
Passare a Microsoft Defender per il cloud>Impostazioni dell'ambiente.
Selezionare Regole di sicurezza.
Selezionare Distribuzione controllata>Configurazioni errate.
Selezionare la casella di controllo accanto al criterio da modificare.
Seleziona Modifica.
Aggiornare le impostazioni dei criteri in base alle esigenze.
Selezionare Salva criterio.

Limitazioni del criterio predefinito

La regola predefinita K8s per la configurazione errata presenta le seguenti limitazioni:

È possibile modificare l'azione tra Audit e Block.
È possibile abilitare o disabilitare singole regole.
È possibile configurare i parametri per le regole che supportano la personalizzazione.
Non è possibile modificare il nome, la descrizione o l'ambito del criterio.

I criteri personalizzati creati non hanno queste restrizioni.

Regole di configurazione non corretta predefinite

L'applicazione della configurazione errata di Kubernetes include regole predefinite basate sulle procedure consigliate per la sicurezza Microsoft.

Le regole predefinite consentono di applicare i controlli per:

Limiti delle risorse del contenitore (CPU e memoria): garantisce che i contenitori non superino i limiti specificati per evitare l'esaurimento delle risorse.
Gestione dei privilegi e delle funzionalità: impedisce l'esecuzione dei contenitori con privilegi elevati, funzionalità Linux non necessarie o percorsi di escalation dei privilegi.
Esecuzione come utente non root: impone ID utente e di gruppo non root affinché i container non possano essere eseguiti con privilegi eccessivi a livello di sistema operativo.
Montaggio delle credenziali API: impedisce ai contenitori di montare automaticamente le credenziali dell'API Kubernetes.
Spazio dei nomi predefinito: blocca l'esecuzione dei carichi di lavoro nello spazio dei nomi Kubernetes predefinito.
Isolamento dello spazio dei nomi host: impedisce ai contenitori di condividere lo spazio dei nomi di rete, IPC o PID host.
Origini di immagini attendibili: limita le immagini del contenitore a registri attendibili o modelli approvati.
Sicurezza di rete: applica HTTPS per le risorse di ingresso kubernetes.
Sicurezza del runtime: richiede ai contenitori di usare un file system radice di sola lettura e blocca i contenitori con privilegi completi.

È possibile abilitare o disabilitare singole regole all'interno di un criterio e configurare i parametri per le regole che supportano la personalizzazione.

Last updated on 2026-08-14