Implementar o Defender Sensor e o Azure Policy em clusters usando CLI do Azure

Pode implementar o sensor Microsoft Defender for Containers e o Azure Policy for Kubernetes em clusters usando o CLI do Azure. Primeiro, ative o plano Defender for Containers no Microsoft Defender para a Cloud.

Para clusters que não estão a correr no Azure Kubernetes Service (AKS), o Defender para a Cloud utiliza Kubernetes com Azure Arc para implementar as extensões necessárias.

Pré-requisitos

Defender para Contêineres ativado na sua subscrição do Azure.
CLI do Azure versão 2.40.0 ou posterior.
Permissões RBAC apropriadas: Colaborador ou Administrador de Segurança.
Cluster AKS suportado pelo Defender for Containers. Veja a matriz de suporte.
Um emissor OpenId Connect (OIDC) ativado no seu cluster.

Requisitos de rede

O sensor Defender deve ligar-se ao Microsoft Defender para a Cloud para enviar dados e eventos de segurança. Certifique-se de que os endpoints necessários estão configurados para acesso de saída.

Requisitos de conexão

O sensor Defender precisa de conectividade para:

Microsoft Defender para a Cloud (para enviar dados e eventos de segurança)

Por predefinição, os clusters do AKS têm acesso à Internet de saída sem restrições.

Para clusters com saída restrita, deve permitir que FQDNs específicos para o Microsoft Defender for Containers funcionem corretamente. Consulte Microsoft Defender for Containers - Regras FQDN/aplicações obrigatórias na documentação de rede de saída do AKS para os endpoints necessários.

Configuração de link privado

Para instruções, consulte o Microsoft Security Private Link for Microsoft Defender para a Cloud.

Implantar o sensor Defender

Se ativaste o provisionamento automático quando ativaste o plano Defender para Containers, o sensor Defender pode já estar instalado. Antes de executar o comando seguinte, verifique se a implementação já está concluída.

Implante o sensor Defender num cluster AKS específico:

az aks update \
  --resource-group <resource-group> \
  --name <aks-cluster-name> \
  --enable-defender

Ative o Azure Policy for Kubernetes para avaliar e aplicar as melhores práticas de configuração:

az aks enable-addons \
  --addons azure-policy \
  --name <aks-cluster-name> \
  --resource-group <resource-group>

Pré-requisitos

Defender para Contêineres ativado no seu conector AWS.
CLI do Azure versão 2.40.0 ou posterior.
kubectl configurado para aceder ao seu cluster EKS.
O cluster EKS está ligado a Azure Arc.

Requisitos de rede

Valide se os seguintes pontos de extremidade para implantações de nuvem pública estão configurados para acesso de saída. Configurá-los para acesso de saída ajuda a garantir que o sensor do Defender possa se conectar ao Microsoft Defender para a Cloud para enviar dados e eventos de segurança.

Note

Os domínios Azure *.ods.opinsights.azure.com e *.oms.opinsights.azure.com já não são necessários para o acesso de saída. Para obter mais informações, consulte o anúncio de descontinuação.

Domínio do Azure	Domínio do Azure Government	Azure operado pela 21Vianet Domain	Porto
*.cloud.defender.microsoft.com	N/A	N/A	443

Você também precisa validar os requisitos de rede do Kubernetes habilitado para Azure Arc.

Implantar o sensor Defender

Para clusters EKS, implementas componentes do Defender como extensões Azure Arc Kubernetes quando os implementas manualmente usando CLI do Azure.

Execute o seguinte comando para implantar a extensão do sensor Defender no seu cluster EKS ligado à Arc:

az k8s-extension create \
  --name microsoft.azuredefender.kubernetes \
  --extension-type microsoft.azuredefender.kubernetes \
  --cluster-type connectedClusters \
  --cluster-name <cluster-name> \
  --resource-group <resource-group> \

Implementar a extensão Azure Policy

Instale a extensão Azure Policy para permitir recomendações de segurança baseadas em políticas e avaliações de conformidade para o seu cluster EKS:

az k8s-extension create \
  --name azurepolicy \
  --extension-type Microsoft.PolicyInsights \
  --cluster-type connectedClusters \
  --cluster-name <cluster-name> \
  --resource-group <resource-group>

Pré-requisitos

Defender para Contêineres ativado no seu conector GCP.
CLI do Azure versão 2.40.0 ou posterior.
kubectl configurado para aceder ao seu cluster GKE.
O cluster GKE está ligado a Azure Arc.

Requisitos de rede

Note

Domínio do Azure	Domínio do Azure Government	Azure operado pela 21Vianet Domain	Porto
*.cloud.defender.microsoft.com	N/A	N/A	443

Você também precisa validar os requisitos de rede do Kubernetes habilitado para Azure Arc.

Clusters GKE privados

Os clusters privados GKE devem permitir o acesso HTTPS de saída (TCP 443) aos endpoints do Microsoft Defender para a Cloud.

Se o seu cluster privado bloquear o tráfego de saída, crie uma regra de firewall para permitir que os nós do cluster acedam aos endpoints do Microsoft Defender para a Cloud através do TCP 443:

gcloud compute firewall-rules create allow-azure-defender \
    --allow tcp:443 \
    --source-ranges <cluster-cidr> \
    --target-tags <node-tags>

Considerações específicas do cluster

Reveja as seguintes considerações com base no tipo de cluster GKE antes de implantar o sensor Defender.

Clusters padrão do GKE

Não é necessária nenhuma configuração especial. Siga os passos de implementação nas secções Implementar o sensor do Defender e Implementar a extensão do Azure Policy.

Clusters de piloto automático GKE

Não suportado

Importante

Os clusters do GKE Autopilot não são suportados pelo sensor do Defender para containers.

Implantar o sensor Defender

Para clusters GKE, implementas componentes do Defender como extensões do Azure Arc Kubernetes quando os implementas manualmente usando o CLI do Azure.

Execute o seguinte comando para instalar a extensão do sensor Defender no seu cluster GKE ligado ao Arc:

az k8s-extension create \
  --name microsoft.azuredefender.kubernetes \
  --extension-type microsoft.azuredefender.kubernetes \
  --cluster-type connectedClusters \
  --cluster-name <cluster-name> \
  --resource-group <resource-group> \

Implementar a extensão Azure Policy

Instale a extensão Azure Policy no seu cluster GKE ligado ao Arc para permitir recomendações de segurança baseadas em políticas e avaliações de conformidade:

az k8s-extension create \
  --name azurepolicy \
  --extension-type Microsoft.PolicyInsights \
  --cluster-type connectedClusters \
  --cluster-name <cluster-name> \
  --resource-group <resource-group>

Pré-requisitos

Defender para Contêineres ativado na sua subscrição do Azure.
CLI do Azure versão 2.40.0 ou posterior.
kubectl configurado para aceder ao seu cluster Kubernetes compatível com Arc.
O cluster está ligado a Azure Arc.

Requisitos de rede

Note

Domínio do Azure	Domínio do Azure Government	Azure operado pela 21Vianet Domain	Porto
*.cloud.defender.microsoft.com	N/A	N/A	443

Você também precisa validar os requisitos de rede do Kubernetes habilitado para Azure Arc.

Implantar o sensor Defender

Para clusters Kubernetes com funcionalidades do Arc, os componentes do Defender são implementados como extensões do Azure Arc Kubernetes.

Execute o seguinte comando para instalar a extensão do sensor Defender no seu cluster Kubernetes compatível com Arc:

az k8s-extension create \
  --name microsoft.azuredefender.kubernetes \
  --extension-type microsoft.azuredefender.kubernetes \
  --cluster-type connectedClusters \
  --cluster-name <cluster-name> \
  --resource-group <resource-group> \

Implementar a extensão Azure Policy

Instale a extensão Azure Policy no seu cluster Kubernetes com Arc para permitir recomendações de segurança baseadas em políticas e avaliações de conformidade:

az k8s-extension create \
  --name azurepolicy \
  --extension-type Microsoft.PolicyInsights \
  --cluster-type connectedClusters \
  --cluster-name <cluster-name> \
  --resource-group <resource-group>

Última atualização a 2026-09-30

Implementar o Defender Sensor e o Azure Policy em clusters usando CLI do Azure

Pré-requisitos

Requisitos de rede

Requisitos de conexão

Configuração de link privado

Implantar o sensor Defender

Conteúdo relacionado

Recursos adicionais