コンテナー ソフトウェアサプライ チェーンのセキュリティは、脆弱または信頼されていないコンテナー イメージを運用環境にデプロイするリスクを軽減するのに役立ちます。
Microsoft Defender for Containers では、コンテナー イメージの評価、脆弱性の結果とイメージの関連付け、Kubernetes ワークロードのデプロイ制御の適用に役立つ機能を備えた Microsoft Containers Secure Supply Chain (CSSC) フレームワークがサポートされています。
Defender for Containers は次のことに役立ちます:
- サポートされているコンテナー イメージをスキャンして脆弱性を検出します。
- イメージがレジストリにプッシュされる前に、CI/CD パイプラインまたはローカル開発環境でコンテナー イメージをスキャンします。
- 脆弱性の結果成果物にMicrosoft証明書を署名して、脆弱性の結果をコンテナー イメージに関連付けます。
- コンテナー イメージを Kubernetes クラスターに許可する前に評価するゲート デプロイ セキュリティ規則を作成します。
- コンテナー イメージがセキュリティ規則で定義されている脆弱性条件を満たしていない場合は、デプロイを監査またはブロックします。
- Defender for Cloudでコンテナーの脆弱性の調査結果とセキュリティ体制に関する推奨事項を確認します。
開発ライフサイクルの早い段階でイメージをスキャンする
Microsoft Defender for Cloud CLI を使用して、CI/CD パイプラインまたはローカル開発環境での脆弱性や構成の誤りについてコンテナー イメージをスキャンできます。
レジストリにプッシュされる前にイメージをスキャンすると、開発者は開発ライフサイクルの早い段階で問題を特定して修復できます。
脆弱性の結果を検証する
Defender for Containers は、整合性と信頼性を確保するために、Microsoft証明書を使用して脆弱性の検出アーティファクトに署名します。 署名された成果物は、検証のためにレジストリ内のコンテナー イメージに関連付けられます。
署名された成果物は、コンテナー イメージ自体に署名しません。 イメージに関連付けられた脆弱性の検出結果に署名することで、それらの結果を検証し、Defender for Containers の他の機能で使用できるようになります。
展開コントロールを適用する
ゲートデプロイでは、Kubernetes クラスターに許可される前に、脆弱性スキャンの結果を使用してコンテナー イメージを評価します。
イメージが組織の脆弱性ポリシーを満たしていない場合にデプロイを監査または拒否するセキュリティ規則を作成できます。 監査モードを使用して、適用前にルールの効果を監視します。 構成された規則に違反するデプロイをブロックする準備ができたら、拒否モードを使用します。
Kubernetes コンテナー イメージのゲートデプロイの詳細について説明します。