Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
Este artigo descreve as proteções de políticas implementadas para garantir que o Azure Kubernetes Service é implementado de forma segura.
Detalhes da iniciativa
O Azure Enclave atribui a iniciativa AKS guardrails (ID d300338e-65d1-4be3-b18e-fb4ce5715a8fde definição do conjunto de políticas) a grupos de recursos de carga de trabalho.
Os Effect valores nas tabelas mostram os efeitos suportados pelas definições de políticas. O comportamento efetivo de uma atribuição de política pode variar consoante a configuração e os parâmetros da política do Azure Enclave.
A iniciativa faz referência à política KMS duas vezes com IDs de referência diferentes. Esta tabela lista cada definição única de política uma vez.
Repositório AKS GitHub
Políticas AKS incorporadas
| Nome | Description | Versão | Tipo | Efeito de definição suportada | Definição de política |
|---|---|---|---|---|---|
| Os intervalos de IP autorizados devem ser definidos nos Serviços Kubernetes | Restrinja o acesso à API de Gerenciamento de Serviços do Kubernetes concedendo acesso à API apenas a endereços IP em intervalos específicos. Limitar o acesso a intervalos de IP autorizados para garantir que apenas aplicações de redes permitidas possam aceder ao cluster. | 2.0.1 | BuiltIn | Modo de Auditoria, Desativado | Link |
| Os clusters Azure Kubernetes devem ativar o Key Management Service (KMS) | Use o Serviço de Gerenciamento de Chaves (KMS) para criptografar dados secretos em repouso no etcd para segurança de cluster do Kubernetes. Saiba mais em: https://aka.ms/aks/kmsetcdencryption. | 1.1.0 | BuiltIn | Modo de Auditoria, Desativado | Link |
| Os clusters do Azure Kubernetes Service devem desativar a invocação de comandos | Desabilitar a invocação de comando pode melhorar a segurança, evitando ignorar o acesso restrito à rede ou o controle de acesso baseado em função do Kubernetes | 1.0.1 | BuiltIn | Modo de Auditoria, Desativado | Link |
| Os clusters privados do Azure Kubernetes Service devem estar ativados | Ative a funcionalidade de cluster privado para o seu cluster Azure Kubernetes Service para garantir que o tráfego de rede entre o seu servidor API e os pools de nós permanece apenas na rede privada. Este requisito é comum em muitas normas regulatórias e de conformidade do setor. | 2.0.0 | BuiltIn | Modo de Auditoria, Desativado | Link |
| Tanto os sistemas operativos como os discos de dados nos clusters Azure Kubernetes Service devem ser encriptados por chaves geridas pelo cliente | Encriptar discos do sistema operativo e de dados utilizando chaves geridas pelo cliente proporciona mais controlo e maior flexibilidade na gestão de chaves. Este requisito é comum em muitas normas regulatórias e de conformidade do setor. | 2.0.0 | BuiltIn | Modo de Auditoria, Desativado | Link |
| Role-Based Controlo de Acesso (RBAC) deve ser utilizado nos Serviços Kubernetes | Para fornecer filtragem detalhada das ações que os utilizadores podem realizar, utilize o Role-Based Controlo de Acesso (RBAC) para gerir permissões nos Clusters de Serviços Kubernetes e configurar políticas de autorização relevantes. | 1.1.0 | BuiltIn | Modo de Auditoria, Desativado | Link |
| Os clusters do Azure Kubernetes Service devem utilizar identidades geridas | Utilize identidades geridas para envolver os service principals, simplificar a gestão de clusters e evitar a complexidade necessária para gerir os service principals. Saiba mais em: https://aka.ms/aks-update-managed-identities | 1.0.1 | BuiltIn | Modo de Auditoria, Desativado | Link |
| Azure Kubernetes Service clusters devem ter o perfil Defender ativado | O Microsoft Defender for Containers fornece recursos de segurança Kubernetes nativos da nuvem, incluindo proteção de ambiente, proteção de carga de trabalho e proteção em tempo de execução. Quando você habilita o SecurityProfile.AzureDefender no cluster do Serviço Kubernetes do Azure, um agente é implantado no cluster para coletar dados de eventos de segurança. Saiba mais sobre o Microsoft Defender for Containers no Defender for Containers. | 2.0.1 | BuiltIn | Modo de Auditoria, Desativado | Link |