Installera Defender for Containers-sensorn med Helm

För att kontrollera driftsättnings- och uppgraderingstider över dina Azure Kubernetes Service (AKS), Amazon Elastic Kubernetes Service (EKS) och Google Kubernetes Engine (GKE)-kluster, installera och konfigurera Defender for Containers-sensorn med hjälp av Helm. Innan du börjar, se till att du uppfyller förkunskapskraven.

Defender for Containers stöder flera sensordistributionsmodeller, inklusive automatisk etablering och Helm-baserad installation. Helm-baserad distribution ger dig mer kontroll över versionshantering och uppgraderingstid, men du hanterar en del av det operativa arbetet. När du använder Helm-baserad distribution bör du tänka på följande:

  • Sensoruppgraderingar: Genom att använda Helm-baserad utplacering hanterar du sensoruppgraderingar och timing. Automatisk tilldelning följer Microsoft-hanterade distributionsscheman.

  • Automatiska installationsflöden: När du distribuerar sensorn med Helm hoppar du över automatiska uppmaningar och rekommendationer i Azure portalen för att undvika konflikter med den befintliga distributionen.

Förutsättningar

Innan du installerar sensorn med hjälp av Helm måste du uppfylla följande krav:

Installera Helm-diagrammet

Defender for Containers Helm-diagram publiceras till mcr.microsoft.com/azuredefender/microsoft-defender-for-containers.

Diagrammet kräver klusteridentifierarvärden under global.cloudIdentifiers. Du kan ange dessa värden infogade med --set, som du ser i följande exempel, eller med hjälp av en värdefil.

För att installera den senaste versionen av diagrammet använder du Helm-installationskommandot. Ange de nödvändiga värdena global.cloudIdentifiers med hjälp av en värdefil eller direkt inbäddat med --set, enligt de miljöspecifika exemplen.

helm install defender-k8s oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers

Du kan visa en lista över publicerade versioner genom att köra följande kommando:

curl https://mcr.microsoft.com/v2/azuredefender/microsoft-defender-for-containers/tags/list

Om du vill installera en viss version inkluderar du versionstaggen:

helm install defender-k8s oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers:<tag>

Om du vill granska konfigurerbara diagramvärden, till exempel funktionsflaggor eller poddresursgränser, hämtar du diagrammet och granskar values.yaml filen:

helm pull oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers

Så här installerar du sensorn för din miljö:

För standard AKS-kluster, använd mdc namnområde.

För AKS-automatiska kluster använder du kube-system namnområdet.

Om AKS-klustret redan har en befintlig distribution av Defender för containrar inaktiverar du den befintliga distributionen enligt beskrivningen i Konfigurera Defender för containrar för Azure och tar bort eventuella överblivna resurser genom att köra följande kommandon:

kubectl delete crd/policies.defender.microsoft.com || true
kubectl delete crd/policytemplates.defender.microsoft.com || true
kubectl delete crd/runtimepolicies.defender.microsoft.com || true
kubectl delete crd/securityartifactpolicies.defender.microsoft.com || true
kubectl delete ClusterRole defender-admission-controller-cluster-role || true
kubectl delete ClusterRole defender-admission-controller-resource-cluster-role || true
kubectl delete ClusterRoleBinding defender-admission-controller-cluster-role-binding || true
kubectl delete ClusterRoleBinding defender-admission-controller-cluster-resource-role-binding || true

Installera sensorn:

helm install defender-k8s oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers \
    --create-namespace --namespace <namespace> \
    --set global.cloudIdentifiers.Azure.subscriptionId="<cluster-subscription-id>" \
    --set global.cloudIdentifiers.Azure.resourceGroupName="<cluster-resource-group>" \
    --set global.cloudIdentifiers.Azure.clusterName="<cluster-name>" \
    --set global.cloudIdentifiers.Azure.region="<cluster-region>"

Ersätt <namespace> med:

  • mdc för AKS-standardkluster.
  • kube-system för automatiska AKS-kluster.

Kontrollera installationen

Kontrollera installationen med samma namnområde som du använde för att installera diagrammet.

helm list --namespace mdc

Om STATUS fältet visar deployed, lyckades installationen.

Konfigurera säkerhetsregler för gated deployment

Anmärkning

Kubernetes gated deployment stöds endast på AKS Automatic-kluster när sensorn installeras med Helm i kube-system namnrymden. Tilläggsutplacering stöds inte i detta scenario.

Important

När du skapar regler kan den valda prenumerationen visas som not supported for Gated deployment. Den här statusen beror på att du har installerat Defender for Containers-komponenterna med hjälp av Helm i stället för via instrumentpanelens automatiska installation.

Definiera säkerhetsregler för att styra vad du kan distribuera till dina Kubernetes-kluster. Dessa regler kan blockera eller granska containeravbildningar som inte uppfyller dina säkerhetskriterier.

  1. Logga in på Azure-portalen.

  2. Gå till Defender för molnet>Miljöinställningar.

  3. Välj Säkerhetsregler.

  4. Välj Gated deployment>Sårbarhetsbedömning (Vulnerability assessment).

  5. Välj en regel för att redigera den eller välj + Lägg till regel för att skapa en ny.

Hantera befintliga rekommendationer

Important

Om du installerar sensorn med hjälp av Helm ska du inte använda befintliga Defender för molnet rekommendationer för att installera Defender-profilen eller Arc-tillägget för samma kluster. Om du åtgärdar de här rekommendationerna kan det leda till en utplacering som leder till konflikter.

Beroende på din distributionstyp kan följande rekommendationer fortfarande visas i Defender för molnet. Gå igenom dem för att bekräfta att de syftar på automatiska distributionsflöden, och ignorera dem sedan för kluster där du distribuerade med Helm.

Uppgradera en befintlig Helm-baserad distribution

Med en Helm-baserad utplacering hanterar du sensoruppgraderingar. Defender för molnet tillämpar dem inte automatiskt.

Kör följande kommando för att uppdatera en befintlig Helm-baserad distribution. Använd det namnområde som du använde under installationen.

helm upgrade defender-k8s \
    oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers \
    --namespace <namespace> \
    --reuse-values

Ersätt <namespace> med det namnområde som du använde under installationen.

Parametern --reuse-values behåller dina befintliga anpassade värden under uppgraderingen.

För <namespace>använder du:

  • mdc för AKS-, EKS- och GKE-standardkluster.
  • kube-system för automatiska AKS-kluster.

Om uppgraderingen misslyckas på grund av resurskonflikter lägger du till följande alternativ i uppgraderingskommandot:

--server-side=true --resolve-conflicts

Nästa steg

Vanliga frågor om att skydda containrar

  • Uppdaterades senast