Protección del endurecimiento de los planos de datos de Kubernetes

En esta página se describe cómo usar el conjunto de recomendaciones de seguridad de Microsoft Defender for Cloud dedicadas a la protección del plano de datos de Kubernetes.

Configuración de la protección de cargas de trabajo

Microsoft Defender for Cloud incluye una agrupación de recomendaciones que están disponibles una vez que haya instalado el Azure Policy para Kubernetes.

Requisitos previos

• Agregue Reglas de aplicación o FQDN obligatorias para Azure Policy.
• (Para clústeres que no son de AKS) Conecte un clúster de Kubernetes existente para Azure Arc.

Habilitación del endurecimiento de planos de datos de Kubernetes

Puede habilitar el Azure Policy para Kubernetes de una de estas dos maneras:

• Habilite esto en todos los clústeres actuales y futuros mediante la configuración del plan o del conector:
  • Habilitación para suscripciones de Azure o en entornos locales
  • Habilitación de proyectos de Google Cloud Platform (GCP)
• Implementar Azure Policy para Kubernetes en los clústeres existentes

Habilitación de Azure Policy para Kubernetes para todos los clústeres actuales y futuros mediante la configuración del plan o conector

Habilitar para suscripciones de Azure o en las instalaciones.

Al habilitar Microsoft Defender para contenedores, la configuración "Azure Policy para Kubernetes" está habilitada de forma predeterminada para la Azure Kubernetes Service y para los clústeres de Kubernetes habilitados para Azure Arc en la suscripción correspondiente. Si deshabilita este ajuste en la configuración inicial, podrá habilitarlo después manualmente.

Si deshabilitó la configuración de "Azure Policy para Kubernetes" en el plan de contenedores, puede seguir los pasos que se indican a continuación para habilitarlo en todos los clústeres de la suscripción:

1. Inicie sesión en el portal Azure.

2. Vaya a Microsoft Defender for Cloud>Management>Configuración de entorno.

3. Seleccione la suscripción correspondiente.

4. En la página Planes de Defender, confirme que el parámetro Contenedores esté Activado.

5. Seleccione Configuración.

   

6. En la página Configuración y supervisión, en Azure Policy para Kubernetes elija la opción Activado.

   

Habilitar para proyectos de GCP

Al habilitar Microsoft Defender para contenedores en un conector GCP, la opción "Extensión Azure Policy para Azure Arc" se habilita de forma predeterminada para Google Kubernetes Engine en el proyecto pertinente. Si deshabilita este ajuste en la configuración inicial, podrá habilitarlo después manualmente.

Si deshabilitó la configuración de "extensión Azure Policy para Azure Arc" en el conector GCP, puede seguir los pasos siguientes para enablelo en el conector de GCP.

Implementación de Azure Policy para Kubernetes en clústeres existentes

Puede configurar manualmente el Azure Policy para Kubernetes en clústeres de Kubernetes existentes a través de la página Recomendaciones. Una vez habilitadas, las recomendaciones de protección estarán disponibles (algunas de las recomendaciones requieren otra configuración para funcionar).

To implementar el Azure Policy para Kubernetes en clústeres especificados:

1. Inicie sesión en el portal Azure.

2. Vaya a Microsoft Defender for Cloud>General>Recommendations.

3. Busque la recomendación pertinente:

   • Azure -"Azure Kubernetes Service clusters should have the Azure Policy add-on for Kubernetes installed"
   • GCP - "GKE clusters should have the Azure Policy extension".
   • AWS y local - "Azure Arc-enabled Kubernetes clusters should have the Azure policy extension for Kubernetes extension installed".

   

4. Seleccione una recomendación encontrada.

5. Seleccione Corregir.

   

6. Repita para cada recomendación adicional.

Vista y configuración del conjunto de recomendaciones

Aproximadamente 30 minutos después de que se complete la Azure Policy para la instalación de Kubernetes, Defender for Cloud muestra el estado de mantenimiento de los clústeres para las siguientes recomendaciones, cada una de ellas en el control de seguridad pertinente, tal como se muestra:

Para las recomendaciones con parámetros que deben personalizarse, es necesario establecer los parámetros:

Para establecer los parámetros:

1. Inicie sesión en el portal Azure.

2. Vaya a Microsoft Defender for Cloud>Management>Configuración de entorno.

3. Seleccione la suscripción correspondiente.

4. En el menú de navegación, seleccione Directivas de seguridad.

   

5. En la pestaña Estándares , busque el estándar de seguridad adecuado.

6. Seleccione el menú de 3 puntos del estándar de seguridad y seleccione Administrar.

   

7. Seleccione el menú de 3 puntos de la asignación de directiva pertinente y seleccione Administrar efecto y parámetros.

   

8. Modifique los valores según sea necesario.

   

9. Seleccione Guardar.

Para aplicar cualquiera de las recomendaciones:

1. Abra la página de detalles de recomendaciones y haga clic en Denegar:

   

   Se abre el panel para establecer el ámbito.

2. Establezca el ámbito y seleccione Cambiar a denegar.

Para ver qué recomendaciones se aplican a los clústeres:

1. Inicie sesión en el portal Azure.

2. Vaya a Defender for Cloud>Inventory.

3. Establezca el filtro de tipo de recurso en servicios de Kubernetes y seleccione Aplicar.

   

4. Seleccione un clúster para investigar.

5. Revise las recomendaciones disponibles para ella. Cuando vea una recomendación de la protección de cargas de trabajo establecida, se mostrará el número de pods afectados ("componentes de Kubernetes") mostrados junto con el clúster.

6. Opcional: para ver la lista de los pods específicos, seleccione la recomendación.

   

7. y, a continuación, seleccione Realizar acción.

Para probar la aplicación, use las dos implementaciones de Kubernetes siguientes:

• Una es para una implementación correcta, compatible con el conjunto de recomendaciones de protección de cargas de trabajo.

• La otra es para una implementación incorrecta, no compatible con cualquiera de las recomendaciones.

Implemente los archivos .yaml de ejemplo tal cual o úselos como referencia para corregir su propia carga de trabajo.

Archivo .yaml de ejemplo de implementación correcta

apiVersion: apps/v1
kind: Deployment
metadata:
  name: redis-healthy-deployment
  labels:
    app: redis
spec:
  replicas: 3
  selector:
    matchLabels:
      app: redis
  template:
    metadata:
      labels:
        app: redis
      annotations:
        container.apparmor.security.beta.kubernetes.io/redis: runtime/default
    spec:
      containers:
      - name: redis
        image: <customer-registry>.azurecr.io/redis:latest
        ports:
        - containerPort: 80
        resources:
          limits:
            cpu: 100m
            memory: 250Mi
        securityContext:
          privileged: false
          readOnlyRootFilesystem: true
          allowPrivilegeEscalation: false
          runAsNonRoot: true
          runAsUser: 1000
---
apiVersion: v1
kind: Service
metadata:
  name: redis-healthy-service
spec:
  type: LoadBalancer
  selector:
    app: redis
  ports:
  - port: 80
    targetPort: 80

Archivo .yaml de ejemplo de implementación incorrecta

apiVersion: apps/v1
kind: Deployment
metadata:
  name: redis-unhealthy-deployment
  labels:
    app: redis
spec:
  replicas: 3
  selector:
    matchLabels:
      app: redis
  template:
    metadata:      
      labels:
        app: redis
    spec:
      hostNetwork: true
      hostPID: true 
      hostIPC: true
      containers:
      - name: redis
        image: redis:latest
        ports:
        - containerPort: 9001
          hostPort: 9001
        securityContext:
          privileged: true
          readOnlyRootFilesystem: false
          allowPrivilegeEscalation: true
          runAsUser: 0
          capabilities:
            add:
              - NET_ADMIN
        volumeMounts:
        - mountPath: /test-pd
          name: test-volume
          readOnly: true
      volumes:
      - name: test-volume
        hostPath:
          # directory location on host
          path: /tmp
---
apiVersion: v1
kind: Service
metadata:
  name: redis-unhealthy-service
spec:
  type: LoadBalancer
  selector:
    app: redis
  ports:
  - port: 6001
    targetPort: 9001

Pasos siguientes

En este artículo, ha aprendido a configurar el endurecimiento de planos de datos de Kubernetes.

Para obtener material relacionado, vea las páginas siguientes:

• Recomendaciones de Defender for Cloud para cómputo
• Alertas del nivel de clúster de AKS