この記事では、Microsoft Defender for Cloudでコンテナー用Defenderプランを有効にした後、Azure CLIを使用して、Kubernetes用のMicrosoft DefenderセンサーとKubernetes向けAzureポリシーをクラスターにデプロイする方法について説明します。
Azure Kubernetes Service (AKS)で実行されていないクラスターの場合、Defender for CloudはAzure Arc有効な Kubernetes を使用して必要な拡張機能をデプロイします。
始める前に、Defender for Containersプランの有効化、Azure CLI 2.40.0以降のインストール、Azure Arcの接続要件の満たしなど、クラスタタイプの前提条件を確認してください。
前提条件
ネットワークの要件
Defender センサーは、セキュリティ データとイベントを送信するために Microsoft Defender for Cloud に接続する必要があります。 必要なエンドポイントが送信アクセス用に構成されていることを確認します。
接続の要件
Defender センサーには、次の接続が必要です。
- Microsoft Defender for Cloud (セキュリティ データとイベントの送信用)
既定で、AKS クラスターは、送信 (エグレス) インターネット アクセスが無制限です。
エグレスが制限されたクラスターでは、Microsoft Defender for Containers の特定の FQDN が正常に機能することを許可する必要があります。 必要なエンドポイントについては、AKS 送信ネットワークドキュメントの 「Microsoft Defender for Containers - Required FQDN/application rules 」を参照してください。
プライベート リンクの構成
手順については、 Microsoft Defender for Cloud の Microsoft Security Private Link を参照してください。
Defender センサーをデプロイする
Defender for Containers プランを有効にしたときに自動プロビジョニングが有効になっている場合は、Defender センサーが既にインストールされている可能性があります。 このコマンドを実行する前に、デプロイを確認します。
Defenderセンサーを特定のAKSクラスターに展開します:
az aks update \
--resource-group <resource-group> \
--name <aks-cluster-name> \
--enable-defender
Kubernetes のAzure Policyを有効にして、構成のベスト プラクティスを評価して適用します。
az aks enable-addons \
--addons azure-policy \
--name <aks-cluster-name> \
--resource-group <resource-group>
前提条件
AWS コネクタでDefender for Containersが有効になっています。
Azure CLI バージョン 2.40.0 以降。
kubectl EKS クラスターにアクセスするように構成されています。
EKS クラスターは Azure Arc。
ネットワークの要件
パブリック クラウド デプロイ向けの次のエンドポイントが送信アクセス用に構成されていることを確認します。 それらを送信アクセス用に構成することで、Defender センサーが Microsoft Defender for Cloud に接続してセキュリティ データやセキュリティ イベントを送信できるようになります。
注
Azure ドメイン *.ods.opinsights.azure.com と *.oms.opinsights.azure.com は、送信アクセスに必要なくなりました。 詳しくは、非推奨のお知らせに関する記事をご覧ください。
| Azure ドメイン |
Azure Government ドメイン |
21Vianet ドメインが運営する Azure |
Port |
| *.cloud.defender.microsoft.com |
N/A |
N/A |
443 |
また、Azure Arc 対応 Kubernetes ネットワークの要件も検証する必要があります。
Defender センサーをデプロイする
EKS クラスターの場合、Defender コンポーネントは、Azure CLIを使用して手動でデプロイするときに、kubernetes 拡張機能Azure Arcとしてデプロイされます。
Defender for Containers プランを有効にしたときに自動プロビジョニングが有効になっている場合は、Defender センサーが既にインストールされている可能性があります。 これらのコマンドを実行する前に、デプロイを確認してください。
以下のコマンドを実行して、Arcに接続されたEKSクラスターにDefenderセンサー拡張を展開してください:
az k8s-extension create \
--name microsoft.azuredefender.kubernetes \
--extension-type microsoft.azuredefender.kubernetes \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group> \
Azure Policy 拡張機能をデプロイする
Azure Policy拡張機能をインストールして、EKSクラスターのポリシーベースのセキュリティ推奨事項とコンプライアンス評価を有効にしてください:
az k8s-extension create \
--name azurepolicy \
--extension-type Microsoft.PolicyInsights \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group>
前提条件
Defender for Containers が GCP コネクタで有効になっています。
Azure CLI バージョン 2.40.0 以降。
kubectl GKE クラスターにアクセスするように構成されています。
GKE クラスターは Azure Arc。
ネットワークの要件
パブリック クラウド デプロイ向けの次のエンドポイントが送信アクセス用に構成されていることを確認します。 それらを送信アクセス用に構成することで、Defender センサーが Microsoft Defender for Cloud に接続してセキュリティ データやセキュリティ イベントを送信できるようになります。
注
Azure ドメイン *.ods.opinsights.azure.com と *.oms.opinsights.azure.com は、送信アクセスに必要なくなりました。 詳しくは、非推奨のお知らせに関する記事をご覧ください。
| Azure ドメイン |
Azure Government ドメイン |
21Vianet ドメインが運営する Azure |
Port |
| *.cloud.defender.microsoft.com |
N/A |
N/A |
443 |
また、Azure Arc 対応 Kubernetes ネットワークの要件も検証する必要があります。
プライベート GKE クラスター
プライベート GKE クラスターでは、Microsoft Defender for Cloud エンドポイントへの送信 HTTPS (TCP 443) アクセスを許可する必要があります。
プライベートクラスターがアウトバウンドトラフィックをブロックしている場合は、クラスターノードがTCP 443経由でMicrosoft Defender for Cloudエンドポイントにアクセスできるようにファイアウォールルールを作成しましょう。
gcloud compute firewall-rules create allow-azure-defender \
--allow tcp:443 \
--source-ranges <cluster-cidr> \
--target-tags <node-tags>
クラスター固有の考慮事項
Defenderセンサーを導入する前に、GKEクラスターの種類に基づいた以下の考慮事項を確認してください。
Standard GKE クラスター
特別な構成は必要ありません。 「Defenderセンサーをデプロイする」と「Azure Policy拡張をデプロイする」セクションの展開手順に従ってください。
GKE Autopilot クラスター
Autopilot クラスターの場合:
- Defender センサーは、リソース要求を自動的に調整します。
- リソースの制限に手動で構成する必要はありません。
Important
GKE Autopilot クラスターでは、Defender センサーのリソース要求と制限を手動で構成することはできません。 リソース管理は GKE Autopilot によって制御され、オーバーライドすることはできません。
Defender センサーをデプロイする
GKE クラスターの場合、Defenderコンポーネントは、Azure CLIを使用して手動でデプロイするときに、Azure Arc Kubernetes 拡張機能としてデプロイされます。
Defender for Containers プランを有効にしたときに自動プロビジョニングが有効になっている場合は、Defender センサーが既にインストールされている可能性があります。 このコマンドを実行する前に、デプロイを確認します。
以下のコマンドを実行して、Arcに接続されたGKEクラスターにDefenderセンサー拡張機能をインストールしてください:
az k8s-extension create \
--name microsoft.azuredefender.kubernetes \
--extension-type microsoft.azuredefender.kubernetes \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group> \
Azure Policy 拡張機能をデプロイする
Arcに接続されたGKEクラスターにAzure Policy拡張機能をインストールし、ポリシーベースのセキュリティ推奨やコンプライアンス評価を有効にしてください:
az k8s-extension create \
--name azurepolicy \
--extension-type Microsoft.PolicyInsights \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group>
前提条件
Defender for Containers が Azure サブスクリプションで有効になっています。
Azure CLI バージョン 2.40.0 以降。
kubectl Arc 対応 Kubernetes クラスターにアクセスするように構成されています。
クラスターは Azure Arc。
ネットワークの要件
パブリック クラウド デプロイ向けの次のエンドポイントが送信アクセス用に構成されていることを確認します。 それらを送信アクセス用に構成することで、Defender センサーが Microsoft Defender for Cloud に接続してセキュリティ データやセキュリティ イベントを送信できるようになります。
注
Azure ドメイン *.ods.opinsights.azure.com と *.oms.opinsights.azure.com は、送信アクセスに必要なくなりました。 詳しくは、非推奨のお知らせに関する記事をご覧ください。
| Azure ドメイン |
Azure Government ドメイン |
21Vianet ドメインが運営する Azure |
Port |
| *.cloud.defender.microsoft.com |
N/A |
N/A |
443 |
また、Azure Arc 対応 Kubernetes ネットワークの要件も検証する必要があります。
Defender センサーをデプロイする
Arc 対応 Kubernetes クラスターの場合、Defenderコンポーネントは Azure Arc Kubernetes 拡張機能として展開されます。
Defender for Containers プランを有効にしたときに自動プロビジョニングが有効になっている場合は、Defender センサーが既にインストールされている可能性があります。 このコマンドを実行する前に、デプロイを確認します。
以下のコマンドを実行して、Arc対応のKubernetesクラスターにDefenderセンサー拡張機能をインストールしてください:
az k8s-extension create \
--name microsoft.azuredefender.kubernetes \
--extension-type microsoft.azuredefender.kubernetes \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group> \
Azure Policy 拡張機能をデプロイする
Arc対応のKubernetesクラスターにAzure Policy拡張機能をインストールし、ポリシーベースのセキュリティ推奨やコンプライアンス評価を有効にしてください:
az k8s-extension create \
--name azurepolicy \
--extension-type Microsoft.PolicyInsights \
--cluster-type connectedClusters \
--cluster-name <cluster-name> \
--resource-group <resource-group>