O que é Azure Linux com o OS Guard para AKS (Serviço de Kubernetes do Azure) (versão prévia)?

Note

Azure Container Linux (ACL) é o substituto do Azure Linux com o OS Guard (versão prévia) como o sistema operacional Linux imutável, otimizado para contêineres e de longo prazo para o AKS (Serviço de Kubernetes do Azure). Ele fornece um sistema operacional de host seguro, mínimo e operacionalmente consistente projetado para executar cargas de trabalho em contêineres em escala. Para obter mais informações, consulte a visão geral Azure ACL (Container Linux).

Neste artigo, fornecemos uma visão geral do Azure Linux com o OS Guard, que é uma variante protegida e imutável do Azure Linux. Ele fornece integridade durante a execução, resistência contra adulterações e segurança de nível empresarial para hosts de contêiner no AKS. Criado no Linux do Azure, o OS Guard adiciona recursos de kernel e runtime que impõem a integridade do código, protegem o sistema de arquivos raiz contra alterações não autorizadas e aplicam controles de acesso obrigatórios. Use a proteção de SO quando for necessário garantias elevadas sobre o host de contêiner e o runtime da carga de trabalho.

Características principais

A tabela a seguir descreve os principais recursos do Azure Linux com o OS Guard:

Característica Description Observações
Imutabilidade O diretório /usr é montado como um volume somente leitura protegido por dm-verity. Em runtime, o kernel valida um hash raiz assinado para detectar e bloquear a adulteração. N/D
Integridade do código O OS Guard integra o Módulo de Segurança do Linux de Aplicação de Políticas de Integridade (IPE) para garantir que somente binários de volumes assinados e confiáveis possam ser executados. Isso ajuda a impedir a execução de código adulterado ou não confiável, inclusive em imagens de contêiner. O IPE está em execução no modo de de auditoria durante a versão preliminar.
Controle de acesso obrigatório O OS Guard integra o SELinux para limitar quais processos podem acessar recursos confidenciais no sistema. O SELinux está operando no modo permissivo durante a visualização.
Inicialização medida e Início Confiável OS Guard dá suporte à inicialização medida e integra-se ao Trusted Launch para fornecer medições criptográficas dos componentes de inicialização armazenados em um TPM virtual (vTPM). Isso é feito usando uma UKI (Unified Kernel Image), que agrupa o kernel, initramfs e linha de comando kernel em um único artefato assinado. Durante a inicialização, o UKI é medido e registrado no vTPM, garantindo a integridade desde o estágio inicial. N/D
Camadas de contêiner verificadas As imagens e as camadas de contêiner são validadas usando hashes de dm-verity assinados. Isso garante que apenas as camadas verificadas sejam usadas em runtime, reduzindo o risco de escape de contêiner ou adulteração. O IPE também se estende dentro de imagens de contêiner, garantindo que somente binários correspondentes a uma assinatura confiável possam ser executados, mesmo que existam em uma camada verificada. O IPE está em execução no modo de de auditoria durante a versão preliminar.
Segurança da cadeia de suprimentos soberana A proteção de SO herda os pipelines de build seguros do Azure Linux, as UKIs (imagens de kernel unificadas) assinadas e a SBOMs (Lista de Materiais de Software). N/D

Principais benefícios

A tabela a seguir descreve os principais benefícios do uso Azure Linux com o SISTEMA Operacional Guard:

Benefit Description
Garantia de integridade de runtime forte A imutabilidade imposta pelo kernel e o IPE impedem a execução de código adulterado ou não confiável.
Superfície de ataque reduzida Um diretório /usr em modo somente leitura, uma contagem reduzida de pacotes e políticas SELinux limitam as oportunidades para um atacante instalar backdoors persistentes ou alterar binários do sistema.
Confiança na cadeia de suprimentos Baseia-se nas imagens assinadas do Azure Linux e nos processos da cadeia de suprimentos, fornecendo uma origem clara para componentes do sistema.
Integração com recursos de segurança do Azure O suporte nativo para Início Confiável e Inicialização Segura fornece proteções de inicialização medidas e atestação.
Transparência de software livre Muitas das tecnologias subjacentes (dm-verity, SELinux, IPE) são upstream ou software livre, e a Microsoft tem ferramentas e contribuições para dar suporte a esses recursos.
Herança de conformidade O SO Guard herda as propriedades de conformidade do Azure Linux (por exemplo, módulos criptográficos e certificações disponíveis para o Azure Linux), facilitando a adoção em ambientes regulamentados.

Considerações e limitações

Tenha em mente as seguintes considerações e limitações ao usar Azure Linux com o OS Guard para AKS:

Como escolher uma opção de host de contêiner do Linux do Azure

O Azure Linux com o OS Guard é criado no Linux do Azure e se beneficia das mesmas proteções da cadeia de suprimentos e imagens assinadas. Ambas as variantes do sistema operacional podem ser apropriadas dependendo de seus requisitos operacionais, de segurança e de conformidade:

Opção de host de contêiner Host de Contêiner do Linux do Azure Azure Linux com o SO Guard
Benefícios de segurança O Azure Linux fornece os benefícios de segurança que a Microsoft exibe como críticos para cargas de trabalho do AKS. Todos os benefícios do Azure Linux mais os benefícios adicionais de segurança mencionados acima.
Familiaridade do usuário Operações e ferramentas são familiares para clientes provenientes de outras distribuições do Linux, como o Ubuntu. Familiar para clientes provenientes de outras distribuições otimizadas para contêiner.
Público-alvo Direcionado para clientes que fazem lift-and-shift, migrações e são oriundos de outras distribuições do Linux. Direcionado para clientes nativos de nuvem que nascem na nuvem ou que estão procurando modernizar.
Controles de segurança Opção para habilitar o AppArmor, se necessário, para clientes focados em segurança. Alternadores de segurança como SELinux e IPE são permissivos como padrão.

Conteúdo relacionado

Para obter mais informações sobre o Azure Linux OS Guard para AKS, consulte os seguintes recursos:

  • Last updated on