Distribuire il sensore Defender e i criteri Azure ai cluster tramite interfaccia della riga di comando di Azure

Puoi distribuire il sensor Microsoft Defender for Containers e Criteri di Azure for Kubernetes nei cluster usando interfaccia della riga di comando di Azure. Per prima cosa, abilita il piano Defender for Containers in Microsoft Defender per il cloud.

Per cluster che non sono in esecuzione in Servizio Azure Kubernetes (AKS), Defender per il cloud utilizza Kubernetes abilitato per Azure Arc per distribuire le estensioni richieste.

Prerequisiti

Defender for Containers abilitato sulla tua sottoscrizione di Azure.
interfaccia della riga di comando di Azure versione 2.40.0 o successiva.
Permessi RBAC appropriati: Contributore o Amministratore della Sicurezza.
Cluster AKS supportato da Defender per Container. Vedere la matrice di supporto.
Un'autorità di certificazione OIDC (OpenId Connect) abilitata nel cluster.

Requisiti di rete

Il sensore defender deve connettersi a Microsoft Defender per il cloud per inviare dati ed eventi di sicurezza. Assicurarsi che gli endpoint necessari siano configurati per l'accesso in uscita.

Requisiti di connessione

Il sensore defender deve connettersi a:

Microsoft Defender per il cloud (per l'invio di dati ed eventi di sicurezza)

Per impostazione predefinita, i cluster del servizio Azure Kubernetes hanno accesso a Internet in uscita senza restrizioni.

Per i cluster con uscita limitata, è necessario consentire il corretto funzionamento di FQDN specifici per Microsoft Defender per contenitori. Vedere Microsoft Defender per contenitori - Regole dell'applicazione/FQDN necessarie nella documentazione sulla rete in uscita di AKS per gli endpoint richiesti.

Configurazione del collegamento privato

Per le istruzioni, consultare collegamento privato di Microsoft Security per Microsoft Defender per il cloud.

Distribuire il sensore Defender

Se hai attivato il provisioning automatico quando hai attivato il piano Defender for Containers, il sensore Defender potrebbe essere già installato. Prima di eseguire il comando successivo, verifica se il deployment è già completato.

Schiera il sensore Defender su un cluster AKS specifico:

az aks update \
  --resource-group <resource-group> \
  --name <aks-cluster-name> \
  --enable-defender

Abilitare Criteri di Azure per Kubernetes per valutare e applicare le procedure consigliate per la configurazione:

az aks enable-addons \
  --addons azure-policy \
  --name <aks-cluster-name> \
  --resource-group <resource-group>

Prerequisiti

Defender per contenitori abilitati nel connettore AWS.
interfaccia della riga di comando di Azure versione 2.40.0 o successiva.
kubectl configurato per accedere al cluster EKS.
Il cluster EKS è connesso a Azure Arc.

Requisiti di rete

Verificare che gli endpoint seguenti per le distribuzioni di cloud pubblico siano configurati per l'accesso in uscita. La configurazione per l'accesso in uscita garantisce che il sensore Defender possa connettersi a Microsoft Defender per il cloud per inviare dati ed eventi di sicurezza.

Note

I domini Azure *.ods.opinsights.azure.com e *.oms.opinsights.azure.com non sono più necessari per l'accesso in uscita. Per altre informazioni, vedere l'annuncio di deprecazione.

Dominio di Azure	Dominio di Azure per enti pubblici	Azure gestito da 21Vianet domain	Porto
*.cloud.defender.microsoft.com	N/A	N/A	443

È anche necessario convalidare i requisiti di rete Kubernetes abilitati per Azure Arc.

Distribuire il sensore Defender

Per i cluster EKS, si distribuisce i componenti Defender come estensioni Azure Arc Kubernetes quando li distribuisci manualmente usando interfaccia della riga di comando di Azure.

Esegui il seguente comando per distribuire l'estensione del sensore Defender nel tuo cluster EKS connesso ad Arc:

az k8s-extension create \
  --name microsoft.azuredefender.kubernetes \
  --extension-type microsoft.azuredefender.kubernetes \
  --cluster-type connectedClusters \
  --cluster-name <cluster-name> \
  --resource-group <resource-group> \

Distribuire l'estensione dei Criteri di Azure

Installa l'estensione Criteri di Azure per abilitare raccomandazioni di sicurezza basate su policy e valutazioni di conformità per il tuo cluster EKS:

az k8s-extension create \
  --name azurepolicy \
  --extension-type Microsoft.PolicyInsights \
  --cluster-type connectedClusters \
  --cluster-name <cluster-name> \
  --resource-group <resource-group>

Prerequisiti

Defender per contenitori abilitati nel connettore GCP.
interfaccia della riga di comando di Azure versione 2.40.0 o successiva.
kubectl configurato per accedere al cluster GKE.
Il cluster GKE è connesso a Azure Arc.

Requisiti di rete

Note

I domini Azure *.ods.opinsights.azure.com e *.oms.opinsights.azure.com non sono più necessari per l'accesso in uscita. Per altre informazioni, vedere l'annuncio di deprecazione.

Dominio di Azure	Dominio di Azure per enti pubblici	Azure gestito da 21Vianet domain	Porto
*.cloud.defender.microsoft.com	N/A	N/A	443

È anche necessario convalidare i requisiti di rete Kubernetes abilitati per Azure Arc.

Cluster GKE privati

I cluster GKE privati devono consentire l'accesso HTTPS in uscita (TCP 443) agli endpoint Microsoft Defender per il cloud.

Se il tuo cluster privato blocca il traffico in uscita, crea una regola firewall che permetta ai nodi del cluster di raggiungere gli endpoint di Microsoft Defender per il cloud tramite TCP 443:

gcloud compute firewall-rules create allow-azure-defender \
    --allow tcp:443 \
    --source-ranges <cluster-cidr> \
    --target-tags <node-tags>

Considerazioni specifiche del cluster

Rivedi le seguenti considerazioni basate sul tipo di cluster GKE prima di installare il sensore Defender.

Cluster GKE standard

Non è necessaria alcuna configurazione speciale. Segui i passaggi di distribuzione nelle sezioni Deploy the Defender sensor e Deploy the Criteri di Azure extension.

Cluster GKE Autopilot

Per i cluster Autopilot:

Il sensore Defender regola automaticamente le richieste di risorse.
Non è necessario configurare i limiti delle risorse.

Importante

Nei cluster Autopilot di GKE, non puoi configurare manualmente le richieste di risorse e i limiti per il sensore Defender. GKE Autopilot gestisce le risorse e non puoi ignorarne le impostazioni.

Distribuire il sensore Defender

Per i cluster GKE, distribuisci i componenti di Defender come estensioni Azure Arc Kubernetes quando li distribuisci manualmente usando interfaccia della riga di comando di Azure.

Esegui il seguente comando per installare l'estensione del sensore Defender sul tuo cluster GKE connesso ad Arc:

az k8s-extension create \
  --name microsoft.azuredefender.kubernetes \
  --extension-type microsoft.azuredefender.kubernetes \
  --cluster-type connectedClusters \
  --cluster-name <cluster-name> \
  --resource-group <resource-group> \

Distribuire l'estensione dei Criteri di Azure

Installa l'estensione Criteri di Azure sul tuo cluster GKE connesso ad Arc per abilitare raccomandazioni di sicurezza basate su policy e valutazioni di conformità:

az k8s-extension create \
  --name azurepolicy \
  --extension-type Microsoft.PolicyInsights \
  --cluster-type connectedClusters \
  --cluster-name <cluster-name> \
  --resource-group <resource-group>

Prerequisiti

Defender for Containers abilitato sulla tua sottoscrizione di Azure.
interfaccia della riga di comando di Azure versione 2.40.0 o successiva.
kubectl configurato per accedere al cluster Kubernetes abilitato per Arc.
Il cluster è connesso a Azure Arc.

Requisiti di rete

Note

I domini Azure *.ods.opinsights.azure.com e *.oms.opinsights.azure.com non sono più necessari per l'accesso in uscita. Per altre informazioni, vedere l'annuncio di deprecazione.

Dominio di Azure	Dominio di Azure per enti pubblici	Azure gestito da 21Vianet domain	Porto
*.cloud.defender.microsoft.com	N/A	N/A	443

È anche necessario convalidare i requisiti di rete Kubernetes abilitati per Azure Arc.

Distribuire il sensore Defender

Per i cluster Kubernetes abilitati ad Arc, i componenti di Defender vengono distribuiti come estensioni di Kubernetes Azure Arc.

Esegui il seguente comando per installare l'estensione del sensore Defender sul tuo cluster Kubernetes abilitato ad Arc:

az k8s-extension create \
  --name microsoft.azuredefender.kubernetes \
  --extension-type microsoft.azuredefender.kubernetes \
  --cluster-type connectedClusters \
  --cluster-name <cluster-name> \
  --resource-group <resource-group> \

Distribuire l'estensione dei Criteri di Azure

Installa l'estensione Criteri di Azure sul tuo cluster Kubernetes abilitato ad Arc per abilitare raccomandazioni di sicurezza basate su policy e valutazioni di conformità:

az k8s-extension create \
  --name azurepolicy \
  --extension-type Microsoft.PolicyInsights \
  --cluster-type connectedClusters \
  --cluster-name <cluster-name> \
  --resource-group <resource-group>

Ultimo aggiornamento: 2026-09-30

Distribuire il sensore Defender e i criteri Azure ai cluster tramite interfaccia della riga di comando di Azure

Prerequisiti

Requisiti di rete

Requisiti di connessione

Configurazione del collegamento privato

Distribuire il sensore Defender

Contenuti correlati

Risorse aggiuntive