Het oplossen van problemen met gated deployment in Kubernetes

Dit artikel helpt u bij het oplossen van veelvoorkomende problemen bij het instellen of gebruiken van gated deployment in Kubernetes met Microsoft Defender for Containers.

Gated deployment dwingt beveiligingsbeleid voor containerafbeeldingen af tijdens het implementeren, op basis van resultaten van kwetsbaarheidsscans uit ondersteunde containerregisters. Het integreert met de Kubernetes admission controller om images te controleren voordat ze het cluster binnenkomen.

Problemen met het inwerkproces en de configuratie

Probleem: Gated deployment is niet actief na het inschakelen van Defender for Containers

Mogelijke oorzaken:

• Vereiste abonnementsextensies zijn uitgeschakeld
• Defender Sensor is uitgeschakeld of niet ingericht voor het cluster
• Kubernetes-clusterversie is ouder dan 1.31
• Defender for Containers-abonnement of relevante extensies (extensies voor registertoegang of beveiligingsresultaten) zijn uitgeschakeld in het bereik van het containerregister

Resolutie:

• Controleer of de volgende wisselknoppen zijn ingeschakeld in het Defender for Containers-abonnement:

  • Defender sensor
  • Beveiligingstoegangscontrole
  • Registertoegang
  • Beveiligingsresultaten

• Zorg ervoor dat uw Kubernetes-cluster versie 1.31 of hoger uitvoert.

• Voor Azure: controleer of het cluster toegang heeft tot het containerregister (ACR) en of Microsoft Entra ID-verificatie is geconfigureerd. Voor AKS-clusters moet u ervoor zorgen dat het cluster een kubelet-identiteit heeft en dat het serviceaccount van de toegangscontrollerpod is opgenomen in de federatieve referenties van de kubelet-identiteit .

Probleem: beveiligingsregel wordt niet geactiveerd

Mogelijke oorzaken:

• Regelbereik komt niet overeen met de geïmplementeerde resource.
• Er wordt niet voldaan aan DE CVE-voorwaarden.
• De image wordt uitgerold voordat de scanresultaten beschikbaar zijn.
• Het artefact met bevindingen van kwetsbaarheden is niet beschikbaar voor de containerinstallatiekopie in het containerregister.

Resolutie:

• Controleer het regelbereik en de overeenkomende criteria.

• Controleer of de image kwetsbaarheden heeft die aan de regelvoorwaarden voldoen.

• Zorg ervoor dat de image zich in een ondersteund containerregister bevindt. Het register moet deel uitmaken van een abonnement, account of project waarvoor Registertoegang en Beveiligingsbevindingen zijn ingeschakeld.

• Zorg ervoor dat Defender voor Cloud de images scant vóór de implementatie. Als dat niet het geval is, is gating niet van toepassing.

  Note

  Defender for Containers scant een afbeelding in een ondersteund containerregister binnen enkele uren na de eerste pushgebeurtenis. Voor meer informatie over scantriggers, zie Beveiligingsevaluaties voor ondersteunde omgevingen van Defender voor Containers.

• Controleer voor ACR-images of het artefact met kwetsbaarheidsbevindingen beschikbaar en ondertekend is:

  1. Meld u aan bij het Azure-portaal.

  2. Ga naar containerregisters.

  3. Selecteer het relevante register.

  4. Selecteer Opslagplaatsen.

  5. Selecteer de opslagplaats en afbeeldingstag of samenvatting.

  6. Selecteer het tabblad Referrers .

  7. Controleer of de image een artefact met bevindingen van kwetsbaarheden en een handtekening bevat.

  

Als het artefact of de handtekening ontbreekt, kan de gecontroleerde implementatie de image niet valideren. Controleer of de image is gescand en of Security findings is ingeschakeld voor het registerbereik.

Probleem: Uitsluiting niet toegepast

Mogelijke oorzaken:

• Het uitsluitingsbereik komt niet overeen met de resource.
• De uitsluiting is verlopen.
• De overeenkomende criteria zijn onjuist geconfigureerd.

Resolutie:

• Controleer de uitsluitingsconfiguratie wanneer u de regel maakt.
• Controleer of de uitsluiting nog actief is.
• Controleer of de resource (zoals afbeelding, pod of naamruimte) overeenkomt met de uitsluitingscriteria.

Ontwikkelaarservaring en CI/CD-integratie

Bij het implementeren van gated worden beleidsregels afgedwongen wanneer u implementeert. Mogelijk ziet u specifieke berichten of gedragingen wanneer u containerinstallatiekopieën implementeert.

Algemene berichten voor ontwikkelaars

Verwante onderwerpen

• Gecontroleerde implementatie voor Kubernetes-containerimages
• Regels voor gated deployment configureren voor Kubernetes-containerinstallatiekopieën