Gated deployment inschakelen voor AKS met behulp van de beheerde cluster-API

In dit artikel wordt beschreven hoe u gated deployment configureert voor Azure Kubernetes Service (AKS) met behulp van de beheerde cluster-API. U kunt de sensor Defender voor containers ook installeren met behulp van Helm.

Afgeschermde implementatie maakt gebruik van een admissioncontroller om containerimages te evalueren voordat deze worden toegelaten tot een Kubernetes-cluster. Voor AKS heeft de agent voor gated deployment leestoegang nodig tot de Azure Container Registries (ACR's) die door het cluster worden gebruikt, zodat deze toegang heeft tot de artefacten met bevindingen van beveiligingsproblemen die zijn gegenereerd door Defender for Containers.

Voordat u afgeschermde implementatie configureert met behulp van de API voor beheerde clusters, schakelt u de vereiste Defender for Containers-onderdelen in voor het AKS-cluster en de ACR's.

Als u de vereiste ACR-toegang wilt bieden, maakt u een door de gebruiker toegewezen beheerde identiteit, wijst u deze leesmachtigingen toe aan de relevante ACR's, configureert u federatieve identiteitsreferenties en verwijst u naar de beheerde identiteit in de beheerde cluster-API.

Prerequisites

Voordat u begint, moet u ervoor zorgen dat:

• U hebt een Microsoft Azure-abonnement. Als u geen Azure-abonnement hebt, kunt u zich registreren voor een gratis abonnement.

• Defender voor Cloud is ingeschakeld voor uw Azure-abonnement.

• Defender voor containers is ingeschakeld voor het Azure-abonnement of abonnementen die uw AKS-cluster en Azure Containerregisters (ACL's) bevatten, waarbij de volgende onderdelen zijn ingeschakeld:

  • Defender sensor met beveiligingscontrole
  • Registertoegang met beveiligingsresultaten

  Note

  Beveiligingspoort hoeft slechts eenmaal te worden geïnstalleerd. De eerste keer dat u de beveiligingsvergrendelingsschakelaar inschakelt, wordt beveiligingsvergrendeling geïnstalleerd. Daarna is het security gatingsysteem reeds geïnstalleerd. Wanneer de installatie opnieuw wordt uitgevoerd, detecteert het systeem dit en doet het niets. Als u deze opnieuw probeert te installeren via de API, mislukt dit omdat er al beveiligingsproblemen bestaan.

  

• Uw AKS-cluster heeft:

  • Een OIDC-verlener (OpenID Connect) ingeschakeld.
  • Azure Workload Identity ingeschakeld.

• U bent gemachtigd om een door de gebruiker toegewezen beheerde identiteit te maken en toe te wijzen.

• U hebt toestemming om de rol AcrPull, of een equivalente leesrol, toe te wijzen op alle ACR's die door het cluster worden gebruikt.

De beheerde identiteit configureren

Voer de volgende stappen uit om de beheerde identiteit voor gated deployment te configureren:

1. Maak een Managed Service Identity (MSI) die door de gated deployment-agent wordt gebruikt.

2. Wijs de rol AcrPull (of een gelijkwaardige leesrol) toe aan de MSI op alle ACR’s die door het cluster worden gebruikt.

3. Voeg een FIC (Federated Identity Credential) toe aan de MSI waarmee de gated deployment-agent kan worden geverifieerd met behulp van AKS Workload Identity, met de volgende FIC-parameters:

   • Verlener: de URL van de AKS OIDC-verlener
   • Onderwerp: Het serviceaccount dat wordt gebruikt door de gated deployment-agent system:serviceaccount:kube-system:defender-admission-controller-serviceaccount.
   • Doelgroep: api://AzureADTokenExchange

4. Stel in de sectie securityGating van de API-configuratie voor het beheerde cluster de objectId van de MSI in de parameter identities in.

   

   Door het objectId van de MSI in de identities parameter in te stellen, wordt ervoor gezorgd dat de gegated deployment agent de MSI tijdens runtime kan gebruiken.

Volgende stap