Habilitar a implantação fechada para o AKS usando a API de cluster gerenciado

Este artigo mostra como configurar a implantação fechada para AKS (Serviço de Kubernetes do Azure) usando a API de cluster gerenciado. Você também pode instalar o sensor Defender para Contêineres usando o Helm.

A implantação controlada usa um controlador de admissão para avaliar imagens de contêineres antes de admiti-las em um cluster do Kubernetes. Para o AKS, o agente de implantação controlada precisa de acesso de leitura aos registros do Registro de Contêiner do Azure (ACRs) usados pelo cluster para acessar os artefatos com os resultados da verificação de vulnerabilidades gerados pelo Microsoft Defender for Containers.

Antes de configurar a implantação controlada usando a API de cluster gerenciado, habilite os componentes necessários do Defender para contêineres para o cluster AKS e os ACRs.

Para fornecer o acesso necessário ao ACR, crie uma identidade gerenciada atribuída pelo usuário, atribua permissões de leitura nas ACRs relevantes, configure credenciais de identidade federadas e referencie a identidade gerenciada na API do cluster gerenciado.

Pré-requisitos

Antes de começar, verifique se:

• Você tem uma assinatura Microsoft Azure. Se você não tiver uma assinatura do Azure, você pode se inscrever para uma assinatura gratuita.

• Defender para Nuvem está habilitado em sua assinatura de Azure.

• O Defender para Contêineres está habilitado para a assinatura ou assinaturas do Azure que contêm seu cluster do AKS e os ACRs (Registros de Contêiner do Azure), com os seguintes componentes habilitados:

  • sensor do Defender com controle de segurança
  • Acesso ao Registro com descobertas de segurança

  Note

  Você só precisa instalar o bloqueio de segurança uma vez. Ao habilitar a opção de controle de segurança pela primeira vez, o próprio controle de segurança será instalado. Depois disso, o bloqueio de segurança já está instalado.

  Quando a instalação é executada novamente, o sistema detecta isso e não faz nada. Se você tentar instalá-la novamente por meio da API, ela falhará porque a configuração de segurança já existe.

  

• O cluster do AKS tem:

  • Um emissor do OpenID Connect (OIDC) foi habilitado.
  • Azure Workload Identity habilitada.

• Permissão para criar e atribuir uma identidade gerenciada atribuída pelo usuário.

• Permissão para atribuir a função AcrPull, ou uma função equivalente com permissões de leitura, em todos os ACRs usados pelo cluster.

Configurar a identidade gerenciada

Siga as etapas a seguir para configurar a identidade gerenciada para a implantação controlada:

1. Crie uma Identidade de Serviço Gerenciada (MSI) que o agente de implantação controlado utiliza.

2. Atribua a função AcrPull ou uma função de leitura equivalente ao MSI em todos os ACRs que o cluster usa.

3. Adicione uma Credencial de Identidade Federada (FIC) ao MSI que permita que o agente de implantação controlada se autentique usando a Identidade de Carga de Trabalho do AKS, com os seguintes parâmetros FIC:

   • Emissor: A URL do emissor OIDC do AKS
   • Assunto: a conta de serviço utilizada pelo agente de implantação controlada system:serviceaccount:kube-system:defender-admission-controller-serviceaccount.
   • Audiência: api://AzureADTokenExchange

4. Na seção securityGating da configuração da API do cluster gerenciado, defina a objectId do MSI no parâmetro de identidades na seção de controle de segurança da configuração da API do cluster gerenciado.

   

   Definir o objectId do MSI no parâmetro identities garante que o agente de implantação controlada possa usar o MSI em tempo de execução.

Próxima etapa