Permita a implementação com acesso controlado para AKS utilizando a API do cluster gerido

Este artigo mostra-lhe como configurar a implementação controlada para o Azure Kubernetes Service (AKS) utilizando a API do cluster gerido. Também podes instalar o sensor Defender for Containers usando o Helm.

A implementação controlada utiliza um controlador de admissão para avaliar imagens de contentores antes de autorizar a sua entrada num cluster do Kubernetes. Para o AKS, o agente de implementação bloqueada precisa de acesso de leitura ao Azure Container Registry (ACRs) que o cluster utiliza para poder aceder a artefactos de descoberta de vulnerabilidades gerados pelo Microsoft Defender for Containers.

Antes de configurar a implantação bloqueada usando a API do cluster gerido, ative os componentes Defender for Containers necessários para o cluster AKS e os ACRs.

Para fornecer o acesso ACR necessário, criar uma identidade gerida atribuída pelo utilizador, atribuir-lhe permissões de leitura nos ACRs relevantes, configurar credenciais de identidade federada e referenciar a identidade gerida na API do cluster gerido.

Pré-requisitos

Antes de começar, certifique-se de que:

• Tens uma subscrição do Microsoft Azure. Se não tiver uma subscrição do Azure, pode inscrever-se numa subscrição gratuita.

• O Defender para a Cloud está ativado na sua subscrição do Azure.

• O Defender for Containers está ativado para a subscrição ou subscrições do Azure que contêm o seu cluster AKS e os Registos de Contentores do Azure (ACRs), com os seguintes componentes ativados:

  • Sensor do Defender com controlo de segurança
  • Acesso ao registo com conclusões de segurança

  Note

  Só precisas de instalar um bloqueio de segurança uma vez. Na primeira vez que ativas a opção de bloqueio de segurança, instala-se o bloqueio de segurança. Depois disso, o bloqueio de segurança já está instalado.

  Quando a instalação corre novamente, o sistema deteta isso e não faz nada. Se tentares instalá-lo novamente através da API, falha porque o bloqueio de segurança já existe.

  

• O seu cluster AKS tem:

  • Um emissor OpenID Connect (OIDC) está ativado.
  • Azure Workload Identity ativada.

• Permissão para criar e atribuir uma identidade gerida atribuída pelo utilizador.

• Permissão para atribuir a função AcrPull, ou uma função de leitura equivalente, em todos os ACRs utilizados pelo cluster.

Configurar a identidade gerenciada

Efetue os seguintes passos para configurar a identidade gerida para implementação controlada:

1. Crie uma Identidade de Serviço Gerido (MSI) que o agente de implementação por fases utilize.

2. Atribua a função AcrPull ou uma função de leitura equivalente ao MSI em todos os ACRs utilizados pelo cluster.

3. Adicione uma Credencial de Identidade Federada (FIC) ao MSI que permita ao agente de implementação bloqueada autenticar-se usando a Identidade de Carga de Trabalho AKS, com os seguintes parâmetros FIC:

   • Emissor: URL do emissor AKS OIDC
   • Assunto: A conta de serviço usada pelo agente system:serviceaccount:kube-system:defender-admission-controller-serviceaccountde implementação bloqueada.
   • Público: api://AzureADTokenExchange

4. Na secção securityGating da configuração da API do cluster gerido, defina o objectId do MSI no parâmetro identities da secção de bloqueio de segurança da configuração da API do cluster gerido.

   

   Definir o objectId do MSI no parâmetro identities garante que o agente de implementação controlada pode utilizar o MSI em tempo de execução.

Passo seguinte