Configurer le renforcement du plan de données Kubernetes dans Defender for Cloud

Le renforcement du plan de données Kubernetes permet d’appliquer des configurations sécurisées pour les charges de travail exécutées dans votre cluster, telles que la restriction des conteneurs privilégiés, l’application des limites de ressources et la limitation de l’accès réseau.

Dans Microsoft Defender for Cloud, le renforcement du plan de données est implémenté à l’aide de Azure Policy pour que Kubernetes évalue et applique ces configurations. Azure Policy est déployé dans le cadre de Defender pour les conteneurs lorsque l’approvisionnement automatique est activé.

Si Azure Policy pour Kubernetes est désactivé dans les paramètres de plan Defender pour conteneurs, vous pouvez le déployer en corrigeant la recommandation appropriée. Vous pouvez également déployer Azure Policy manuellement à l’aide de Azure CLI ou Helm si vous avez désactivé l’approvisionnement automatique pendant l’activation ou exclu des clusters spécifiques de l’approvisionnement automatique.

Une fois Azure Policy pour Kubernetes déployée, Defender for Cloud génère des recommandations de renforcement du plan de données en fonction de la configuration de votre cluster. Cette page montre comment passer en revue ces recommandations, configurer des paramètres de stratégie et les appliquer à vos clusters.

Prérequis

Pour commencer, assurez-vous que :

• Defender pour conteneurs est activé sur votre abonnement.

• Vous avez ajouté les règles FQDN/application obligatoires pour la stratégie Azure.

• (Pour les clusters non AKS) Votre cluster Kubernetes est connecté à Azure Arc.

Activer Azure Policy pour Kubernetes en corrigeant les recommandations

Si Azure Policy pour Kubernetes n'est pas déployé ou a été désactivé dans les paramètres du plan Defender pour conteneurs, vous pouvez l'installer en corrigeant la recommandation appropriée dans Defender for Cloud.

1. Connectez-vous au portail Azure.

2. Accédez à Microsoft Defender for Cloud>Recommendations.

3. Recherchez la recommandation appropriée :

   • Azure : Azure Kubernetes Service clusters doivent avoir le module complémentaire Azure Policy pour Kubernetes installé
   • GCP : les clusters GKE doivent avoir installé l’extension Azure Policy
   • Azure Arc-enabled Kubernetes : Les clusters Kubernetes Azure Arc-enabled doivent avoir l’extension Azure Policy installée

   

4. Sélectionnez une recommandation.

5. Dans l’onglet Effectuer une action , sélectionnez Corriger.

   

6. Sélectionnez Correctif pour corriger les ressources sélectionnées.

7. Répétez chaque recommandation.

Recommandations de renforcement du plan de données

Après avoir déployé Azure Policy pour Kubernetes, Defender for Cloud évalue la configuration de votre cluster et génère des recommandations de renforcement du plan de données. Ce processus peut prendre jusqu’à 30 minutes.

Le tableau suivant répertorie les recommandations courantes de renforcement du plan de données :

Afficher les recommandations d’un cluster

Pour afficher les recommandations de renforcement du plan de données pour un cluster spécifique :

1. Connectez-vous au portail Azure.

2. Accédez à Defender for Cloud>Inventory.

3. Définissez le filtre de type de ressource sur Le service Kubernetes , puis sélectionnez Appliquer.

   

4. Sélectionnez le cluster approprié.

5. Passez en revue les recommandations disponibles. Les recommandations de renforcement du plan de données montrent le nombre de composants Kubernetes affectés.

6. Sélectionnez une recommandation pour afficher les ressources affectées.

   

7. Sélectionnez l’onglet Effectuer une action pour passer en revue les options de correction.

   

Configurer les paramètres de stratégie

Certaines recommandations nécessitent que la configuration des paramètres soit efficace. Par exemple, la recommandation selon laquelle les images de conteneur doivent être déployées uniquement à partir de registres de confiance vous oblige à définir une liste de registres de confiance.

Si les paramètres requis ne sont pas configurés, les ressources sont affichées comme non saines.

Pour configurer les paramètres de stratégie :

1. Connectez-vous au portail Azure.

2. Accédez aux paramètres Microsoft Defender for Cloud>Environment.

3. Sélectionnez l’abonnement approprié.

4. Sélectionnez Stratégies de sécurité.

   

5. Sous l’onglet Normes , sélectionnez la norme de sécurité appropriée.

6. Sélectionnez le menu 3 points de l’attribution de stratégie appropriée, puis sélectionnez Gérer l’effet et les paramètres.

   

7. Mettez à jour les valeurs de paramètre requises.

   

8. Sélectionnez Enregistrer.

Appliquer des stratégies de renforcement du data plane

Par défaut, les stratégies évaluent les ressources en mode audit. Pour appliquer une stratégie, définissez son effet sur Refuser.

Pour appliquer une recommandation :

1. Connectez-vous au portail Azure.

2. Accédez à Microsoft Defender for Cloud>Recommendations.

3. Recherchez et sélectionnez la recommandation de renforcement du plan de données appropriée.

4. Sous l’onglet Effectuer une action , sélectionnez Refuser.

   

5. Définissez l’étendue.

6. Sélectionnez Modifier pour refuser.

Mise en œuvre de la stratégie de test

Vous pouvez valider les stratégies de renforcement du plan de données en déployant des charges de travail de test.

• Déploiement conforme qui répond aux exigences de renforcement du plan de données
• Déploiement non conforme qui enfreint plusieurs stratégies

Déployez les exemples de fichiers YAML suivants pour vérifier que les charges de travail conformes sont déployées avec succès et que les charges de travail non conformes sont marquées ou bloquées, en fonction des paramètres d’application de stratégie.

Exemple de déploiement conforme

apiVersion: apps/v1
kind: Deployment
metadata:
  name: redis-healthy-deployment
  labels:
    app: redis
spec:
  replicas: 3
  selector:
    matchLabels:
      app: redis
  template:
    metadata:
      labels:
        app: redis
      annotations:
        container.apparmor.security.beta.kubernetes.io/redis: runtime/default
    spec:
      containers:
      - name: redis
        image: <customer-registry>.azurecr.io/redis:latest
        ports:
        - containerPort: 80
        resources:
          limits:
            cpu: 100m
            memory: 250Mi
        securityContext:
          privileged: false
          readOnlyRootFilesystem: true
          allowPrivilegeEscalation: false
          runAsNonRoot: true
          runAsUser: 1000
---
apiVersion: v1
kind: Service
metadata:
  name: redis-healthy-service
spec:
  type: LoadBalancer
  selector:
    app: redis
  ports:
  - port: 80
    targetPort: 80

Exemple de déploiement non conforme

apiVersion: apps/v1
kind: Deployment
metadata:
  name: redis-unhealthy-deployment
  labels:
    app: redis
spec:
  replicas: 3
  selector:
    matchLabels:
      app: redis
  template:
    metadata:      
      labels:
        app: redis
    spec:
      hostNetwork: true
      hostPID: true 
      hostIPC: true
      containers:
      - name: redis
        image: redis:latest
        ports:
        - containerPort: 9001
          hostPort: 9001
        securityContext:
          privileged: true
          readOnlyRootFilesystem: false
          allowPrivilegeEscalation: true
          runAsUser: 0
          capabilities:
            add:
              - NET_ADMIN
        volumeMounts:
        - mountPath: /test-pd
          name: test-volume
          readOnly: true
      volumes:
      - name: test-volume
        hostPath:
          # directory location on host
          path: /tmp
---
apiVersion: v1
kind: Service
metadata:
  name: redis-unhealthy-service
spec:
  type: LoadBalancer
  selector:
    app: redis
  ports:
  - port: 6001
    targetPort: 9001

Contenu connexe

• Activer Defender pour les conteneurs dans Microsoft Defender for Cloud

• ** Déployer les composants de Defender pour les conteneurs en utilisant l'Azure CLI