Gated deployment inschakelen voor AKS met behulp van de beheerde cluster-API

In dit artikel wordt beschreven hoe u gated deployment configureert voor Azure Kubernetes Service (AKS) met behulp van de beheerde cluster-API. U kunt de sensor Defender voor containers ook installeren met behulp van Helm.

Gated deployment gebruikt een toelaatcontroller om containerimages te evalueren voordat deze worden toegelaten in een Kubernetes-cluster. Voor AKS heeft de gated deployment agent leestoegang nodig tot de Azure Container Registry (ACR's) die het cluster gebruikt, zodat hij toegang heeft tot kwetsbaarheidsontdekkingsartefacten die Microsoft Defender for Containers genereert.

Voordat u afgeschermde implementatie configureert met behulp van de API voor beheerde clusters, schakelt u de vereiste Defender for Containers-onderdelen in voor het AKS-cluster en de ACR's.

Als u de vereiste ACR-toegang wilt bieden, maakt u een door de gebruiker toegewezen beheerde identiteit, wijst u deze leesmachtigingen toe aan de relevante ACR's, configureert u federatieve identiteitsreferenties en verwijst u naar de beheerde identiteit in de beheerde cluster-API.

Prerequisites

Voordat u begint, moet u ervoor zorgen dat:

• U hebt een Microsoft Azure-abonnement. Als u geen Azure-abonnement hebt, kunt u zich registreren voor een gratis abonnement.

• Defender voor Cloud is ingeschakeld voor uw Azure-abonnement.

• Defender voor containers is ingeschakeld voor het Azure-abonnement of abonnementen die uw AKS-cluster en Azure Containerregisters (ACL's) bevatten, waarbij de volgende onderdelen zijn ingeschakeld:

  • Defender sensor met beveiligingscontrole
  • Registertoegang met beveiligingsresultaten

  Note

  Je hoeft beveiligingsgating maar één keer te installeren. De eerste keer dat u de beveiligingsvergrendelingsschakelaar inschakelt, wordt beveiligingsvergrendeling geïnstalleerd. Daarna is het security gatingsysteem reeds geïnstalleerd.

  Wanneer de installatie opnieuw wordt uitgevoerd, detecteert het systeem dit en doet het niets. Als u deze opnieuw probeert te installeren via de API, mislukt dit omdat er al beveiligingsproblemen bestaan.

  

• Uw AKS-cluster heeft:

  • Een OIDC-verlener (OpenID Connect) ingeschakeld.
  • Azure Workload Identity ingeschakeld.

• Toestemming om een door de gebruiker toegewezen beheerde identiteit aan te maken en toe te wijzen.

• Toestemming om de AcrPull-rol , of een gelijkwaardige leesrol, toe te wijzen aan alle ACR's die door de cluster worden gebruikt.

De beheerde identiteit configureren

Voer de volgende stappen uit om de beheerde identiteit voor gated deployment te configureren:

1. Maak een Managed Service Identity (MSI) die door de gated deployment-agent wordt gebruikt.

2. Wijs de AcrPull-rol of een gelijkwaardige leesrol toe aan de MSI op alle ACR's die de cluster gebruikt.

3. Voeg een FIC (Federated Identity Credential) toe aan de MSI waarmee de gated deployment-agent kan worden geverifieerd met behulp van AKS Workload Identity, met de volgende FIC-parameters:

   • Verlener: de URL van de AKS OIDC-verlener
   • Onderwerp: Het serviceaccount dat wordt gebruikt door de gated deployment-agent system:serviceaccount:kube-system:defender-admission-controller-serviceaccount.
   • Doelgroep: api://AzureADTokenExchange

4. Stel in de sectie securityGating van de API-configuratie voor het beheerde cluster de objectId van de MSI in de parameter identities in.

   

   Door de MSI objectId in te stellen in de parameter identities, kan de gated deploymentagent de MSI tijdens runtime gebruiken.

Volgende stap