Federal Information Processing Standard (FIPS) inschakelen voor Azure Kubernetes Service (AKS) knooppuntgroepen

• Terraform lokaal geïnstalleerd. Zie Terraform installeren voor installatie-instructies.

• Azure CLI versie 2.32.0 of hoger geïnstalleerd en geconfigureerd. Voer az --version uit om de versie te zoeken. Zie Install Azure CLI voor meer informatie over het installeren of upgraden van de Azure CLI.

• Arm-sjabloonvoorbeelden in dit artikel gebruiken API-versie 2023-03-01 voor Microsoft.ContainerService/managedClusters en Microsoft.ContainerService/managedClusters/agentPools.

• Bicep voorbeelden in dit artikel gebruiken API-versie 2023-03-01 voor Microsoft.ContainerService/managedClusters en Microsoft.ContainerService/managedClusters/agentPools.

• Terraform-voorbeelden in dit artikel gebruiken de AzureRM-provider 3.x.
• Voor Terraform FIPS-instellingen gebruikt u enable_fips_image aan azurerm_kubernetes_cluster.default_node_pool en fips_enabled aan azurerm_kubernetes_cluster_node_pool.

Het Terraform-configuratiebestand maken

Terraform-configuratiebestanden definiëren de infrastructuur die Terraform maakt en beheert.

1. Maak een bestand met de naam main.tf en voeg de volgende code toe om de Terraform-versie te definiëren en geef de Azure-provider op:

   terraform {
     required_version = ">= 1.0"
   
     required_providers {
       azurerm = {
         source  = "hashicorp/azurerm"
         version = "~> 3.0"
       }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   

2. Voeg de volgende code toe aan main.tf om een Azure resourcegroep te maken. U kunt desgewenst de naam en locatie van de resourcegroep wijzigen.

   resource "azurerm_resource_group" "example" {
     name     = "example-fips-rg"
     location = "East US"
   }
   

Wanneer u meer knooppuntgroepen maakt op een cluster dat al een standaardknooppuntgroep met FIPS-functionaliteit heeft, moet u ook FIPS inschakelen voor de nieuwe knooppuntgroepen met behulp van de --enable-fips-image parameter.

1. Maak een AKS-cluster waarvoor FIPS is ingeschakeld in de standaardknooppuntgroep met behulp van de az aks create opdracht met de --enable-fips-image parameter.

   az aks create \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --node-count 3 \
       --enable-fips-image
   

2. Controleer of uw knooppuntgroep is ingeschakeld voor FIPS met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   In de volgende voorbeelduitvoer ziet u dat de standaardknooppuntgroep is ingeschakeld voor FIPS:

   Name       enableFips
   ---------  ------------
   nodepool1  True
   

FIPS inschakelen tijdens het maken van een AKS-cluster wordt momenteel niet ondersteund in de Azure-portal. Als u een cluster met een standaardknooppuntgroep met FIPS wilt maken, gebruikt u de instructies Azure CLI, ARM-sjabloon, Bicep of Terraform in dit artikel.

Wanneer u meer knooppuntgroepen maakt op een cluster dat al een standaardknooppuntgroep met FIPS-functionaliteit heeft, moet u OOK FIPS inschakelen voor de nieuwe knooppuntgroepen door in te stellen enableFips op true.

1. Maak een AKS-cluster waarvoor FIPS is ingeschakeld in de standaardknooppuntgroep met behulp van een ARM-sjabloon door de enableFips eigenschap true in te stellen op het profiel van de agentgroep. Voorbeeld:

   {
     "type": "Microsoft.ContainerService/managedClusters",
     "location": "[parameters('location')]",
     "name": "[parameters('clusterName')]",
     "properties": {
       "kubernetesVersion": "1.27",
       "enableRBAC": true,
       "dnsPrefix": "[parameters('dnsPrefix')]",
       "agentPoolProfiles": [
         {
           "name": "nodepool1",
           "count": 3,
           "vmSize": "Standard_D2s_v3",
           "osType": "Linux",
           "osSKU": "Ubuntu",
           "type": "VirtualMachineScaleSets",
           "mode": "System",
           "enableFips": true
         }
       ]
     },
     "identity": {
       "type": "SystemAssigned"
     }
   }
   

2. Implementeer de ARM-sjabloon met behulp van de Azure-portal, Azure CLI of Azure PowerShell. Zie Resources implementeren met ARM-sjablonen voor meer informatie over het implementeren van ARM-sjablonen.

3. Controleer of uw knooppuntgroep is ingeschakeld voor FIPS met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   In de volgende voorbeelduitvoer ziet u dat de standaardknooppuntgroep is ingeschakeld voor FIPS:

   Name       enableFips
   ---------  ------------
   nodepool1  True
   

Wanneer u meer knooppuntgroepen maakt op een cluster dat al een standaardknooppuntgroep met FIPS-functionaliteit heeft, moet u OOK FIPS inschakelen voor de nieuwe knooppuntgroepen door in te stellen enableFIPS op true.

1. Maak een AKS-cluster waarvoor FIPS is ingeschakeld in de standaardknooppuntgroep met behulp van Bicep door enableFIPS in te stellen op true in het profiel van de agentgroep. Voorbeeld:

   param location string
   param clusterName string
   param dnsPrefix string
   
   resource aks 'Microsoft.ContainerService/managedClusters@2023-03-01' = {
     name: clusterName
     location: location
     identity: {
       type: 'SystemAssigned'
     }
     properties: {
       kubernetesVersion: '1.27'
       enableRBAC: true
       dnsPrefix: dnsPrefix
       agentPoolProfiles: [
         {
           name: 'nodepool1'
           count: 3
           vmSize: 'Standard_D2s_v3'
           osType: 'Linux'
           osSKU: 'Ubuntu'
           type: 'VirtualMachineScaleSets'
           mode: 'System'
           enableFIPS: true
         }
       ]
     }
   }
   

2. Implementeer het Bicep-bestand met behulp van de Azure CLI, Azure PowerShell of de Azure-portal. Zie Maak Bicep bestanden met Visual Studio Code voor meer informatie over het implementeren van Bicep bestanden.

3. Controleer of uw knooppuntgroep is ingeschakeld voor FIPS met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   In de volgende voorbeelduitvoer ziet u dat de standaardknooppuntgroep is ingeschakeld voor FIPS:

   Name       enableFips
   ---------  ------------
   nodepool1  True
   

Wanneer u meer knooppuntgroepen maakt op een cluster dat al een standaardknooppuntgroep met FIPS-functionaliteit heeft, moet u ook FIPS inschakelen voor de nieuwe knooppuntgroepen door fips_enabled in te stellen op true op azurerm_kubernetes_cluster_node_pool.

1. Voeg de volgende code toe aan main.tf om een AKS-cluster te maken waarvoor FIPS is ingeschakeld in de standaardknooppuntgroep:

   resource "azurerm_kubernetes_cluster" "example" {
     name                = "example-aks-cluster"
     location            = azurerm_resource_group.example.location
     resource_group_name = azurerm_resource_group.example.name
     dns_prefix          = "example-aks"
   
     default_node_pool {
       name              = "nodepool1"
       node_count        = 3
       vm_size           = "Standard_D2s_v3"
       os_sku            = "Ubuntu"
       enable_fips_image = true
     }
   
     identity {
       type = "SystemAssigned"
     }
   }
   

2. Initialiseer Terraform in de map met het main.tf bestand met behulp van de terraform init opdracht.

   terraform init
   

3. Maak een Terraform-uitvoeringsplan met behulp van de terraform plan opdracht.

   terraform plan
   

4. Pas de configuratie toe met behulp van de terraform apply opdracht om het cluster te implementeren met een standaardknooppuntgroep met FIPS-functionaliteit.

   terraform apply
   

5. Maak verbinding met het AKS-cluster met behulp van de opdracht [az aks get-credentials][az-aks-get-credentials].

   az aks get-credentials \
       --resource-group myResourceGroup \
       --name myAKSCluster
   

6. Controleer of uw knooppuntgroep is ingeschakeld voor FIPS met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   In de volgende voorbeelduitvoer ziet u dat de standaardknooppuntgroep is ingeschakeld voor FIPS:

   Name       enableFips
   ---------  ------------
   nodepool1  True
   

Zie de documentatie van de Terraform Azure-provider voor meer informatie over de azurerm_kubernetes_cluster resource.

1. Voeg een Linux-knooppuntgroep met FIPS-functionaliteit toe aan een bestaand cluster met behulp van de az aks nodepool add opdracht met de --enable-fips-image parameter.

   az aks nodepool add \
       --resource-group myResourceGroup \
       --cluster-name myAKSCluster \
       --name fipsnp \
       --enable-fips-image
   

2. Controleer de configuratie van uw knooppuntgroep met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   In de volgende voorbeelduitvoer ziet u dat de fipsnp-knooppuntgroep is ingeschakeld voor FIPS:

   Name       enableFips
   ---------  ------------
   fipsnp     True
   nodepool1  False  
   

3. Vermeld de knooppunten met behulp van de kubectl get nodes opdracht.

   kubectl get nodes
   

   In de volgende voorbeelduitvoer ziet u een lijst met de knooppunten in het cluster. De knooppunten die beginnen met aks-fipsnp , maken deel uit van de knooppuntgroep waarvoor FIPS is ingeschakeld.

   NAME                                STATUS   ROLES   AGE     VERSION
   aks-fipsnp-12345678-vmss000000      Ready    agent   6m4s    v1.19.9
   aks-fipsnp-12345678-vmss000001      Ready    agent   5m21s   v1.19.9
   aks-fipsnp-12345678-vmss000002      Ready    agent   6m8s    v1.19.9
   aks-nodepool1-12345678-vmss000000   Ready    agent   34m     v1.19.9
   

4. Voer een implementatie uit met een interactieve sessie op een van de knooppunten in de knooppuntgroep met FIPS-functionaliteit met behulp van de kubectl debug opdracht.

   kubectl debug node/aks-fipsnp-12345678-vmss000000 -it --image=mcr.microsoft.com/dotnet/runtime-deps:6.0
   

5. Controleer in de uitvoer van de interactieve sessie of de cryptografische FIPS-bibliotheken zijn ingeschakeld. De uitvoer moet er ongeveer uitzien als in de volgende voorbeelduitvoer:

   root@aks-fipsnp-12345678-vmss000000:/# cat /proc/sys/crypto/fips_enabled
   1
   

   FIPS-nodepools hebben ook een kubernetes.azure.com/fips_enabled=true label, dat implementaties kunnen gebruiken om deze nodepools te selecteren.

FIPS inschakelen bij het toevoegen van een Linux-knooppuntgroep wordt momenteel niet ondersteund in de Azure-portal. Als u een Linux-knooppuntgroep met FIPS-functionaliteit wilt toevoegen, gebruikt u de instructies Azure CLI, ARM-sjabloon, Bicep of Terraform in dit artikel.

1. Maak een Linux-knooppuntgroep met FIPS-functionaliteit met behulp van een ARM-sjabloon door een agentpoolresource te implementeren, waarbij de enableFips eigenschap is ingesteld op true. Voorbeeld:

   {
     "type": "Microsoft.ContainerService/managedClusters/agentPools",
     "apiVersion": "2023-03-01",
     "name": "[concat(parameters('clusterName'), '/fipsnp')]",
     "properties": {
       "count": 3,
       "vmSize": "Standard_D2s_v3",
       "osType": "Linux",
       "osSKU": "Ubuntu",
       "mode": "User",
       "enableFips": true
     }
   }
   

2. Implementeer de ARM-sjabloon met behulp van de Azure-portal, Azure CLI of Azure PowerShell. Zie Resources implementeren met ARM-sjablonen voor meer informatie over het implementeren van ARM-sjablonen.

3. Controleer de configuratie van uw knooppuntgroep met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   In de volgende voorbeelduitvoer ziet u dat de fipsnp-knooppuntgroep is ingeschakeld voor FIPS:

   Name       enableFips
   ---------  ------------
   fipsnp     True
   nodepool1  False  
   

4. Vermeld de knooppunten met behulp van de kubectl get nodes opdracht.

   kubectl get nodes
   

   In de volgende voorbeelduitvoer ziet u een lijst met de knooppunten in het cluster. De knooppunten die beginnen met aks-fipsnp , maken deel uit van de knooppuntgroep waarvoor FIPS is ingeschakeld.

   NAME                                STATUS   ROLES   AGE     VERSION
   aks-fipsnp-12345678-vmss000000      Ready    agent   6m4s    v1.19.9
   aks-fipsnp-12345678-vmss000001      Ready    agent   5m21s   v1.19.9
   aks-fipsnp-12345678-vmss000002      Ready    agent   6m8s    v1.19.9
   aks-nodepool1-12345678-vmss000000   Ready    agent   34m     v1.19.9
   

5. Voer een implementatie uit met een interactieve sessie op een van de knooppunten in de knooppuntgroep met FIPS-functionaliteit met behulp van de kubectl debug opdracht.

   kubectl debug node/aks-fipsnp-12345678-vmss000000 -it --image=mcr.microsoft.com/dotnet/runtime-deps:6.0
   

6. Controleer in de uitvoer van de interactieve sessie of de cryptografische FIPS-bibliotheken zijn ingeschakeld. De uitvoer moet er ongeveer uitzien als in de volgende voorbeelduitvoer:

   root@aks-fipsnp-12345678-vmss000000:/# cat /proc/sys/crypto/fips_enabled
   1
   

   FIPS-nodepools hebben ook een kubernetes.azure.com/fips_enabled=true label, dat implementaties kunnen gebruiken om deze nodepools te selecteren.

1. Maak een linux-knooppuntgroep met FIPS-functionaliteit met behulp van Bicep door een agentgroepresource te implementeren met enableFIPS ingesteld op true. Voorbeeld:

   param clusterName string
   param nodePoolName string = 'fipsnp'
   
   resource nodePool 'Microsoft.ContainerService/managedClusters/agentPools@2023-03-01' = {
     name: '${clusterName}/${nodePoolName}'
     properties: {
       count: 3
       vmSize: 'Standard_D2s_v3'
       osType: 'Linux'
       osSKU: 'Ubuntu'
       mode: 'User'
       enableFIPS: true
     }
   }
   

2. Implementeer het Bicep-bestand met behulp van de Azure CLI, Azure PowerShell of de Azure-portal. Zie Maak Bicep bestanden met Visual Studio Code voor meer informatie over het implementeren van Bicep bestanden.

3. Controleer de configuratie van uw knooppuntgroep met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   In de volgende voorbeelduitvoer ziet u dat de fipsnp-knooppuntgroep is ingeschakeld voor FIPS:

   Name       enableFips
   ---------  ------------
   fipsnp     True
   nodepool1  False  
   

4. Vermeld de knooppunten met behulp van de kubectl get nodes opdracht.

   kubectl get nodes
   

   In de volgende voorbeelduitvoer ziet u een lijst met de knooppunten in het cluster. De knooppunten die beginnen met aks-fipsnp , maken deel uit van de knooppuntgroep waarvoor FIPS is ingeschakeld.

   NAME                                STATUS   ROLES   AGE     VERSION
   aks-fipsnp-12345678-vmss000000      Ready    agent   6m4s    v1.19.9
   aks-fipsnp-12345678-vmss000001      Ready    agent   5m21s   v1.19.9
   aks-fipsnp-12345678-vmss000002      Ready    agent   6m8s    v1.19.9
   aks-nodepool1-12345678-vmss000000   Ready    agent   34m     v1.19.9
   

5. Voer een implementatie uit met een interactieve sessie op een van de knooppunten in de knooppuntgroep met FIPS-functionaliteit met behulp van de kubectl debug opdracht.

   kubectl debug node/aks-fipsnp-12345678-vmss000000 -it --image=mcr.microsoft.com/dotnet/runtime-deps:6.0
   

6. Controleer in de uitvoer van de interactieve sessie of de cryptografische FIPS-bibliotheken zijn ingeschakeld. De uitvoer moet er ongeveer uitzien als in de volgende voorbeelduitvoer:

   root@aks-fipsnp-12345678-vmss000000:/# cat /proc/sys/crypto/fips_enabled
   1
   

   FIPS-nodepools hebben ook een kubernetes.azure.com/fips_enabled=true label, dat implementaties kunnen gebruiken om deze nodepools te selecteren.

1. Voeg de volgende code toe aan main.tf om een Linux-knooppuntgroep met FIPS-ingeschakeld in uw AKS-cluster toe te voegen.

   resource "azurerm_kubernetes_cluster_node_pool" "fips_linux" {
     name                   = "fipsnp"
     kubernetes_cluster_id  = azurerm_kubernetes_cluster.example.id
     vm_size                = "Standard_D2s_v3"
     os_type                = "Linux"
     os_sku                 = "Ubuntu"
     node_count             = 3
     fips_enabled           = true
   
     node_taints = []
   }
   

2. Pas de bijgewerkte Terraform-configuratie toe met behulp van de terraform plan en terraform apply opdrachten.

   terraform plan
   terraform apply
   

3. Maak verbinding met het AKS-cluster met behulp van de opdracht [az aks get-credentials][az-aks-get-credentials].

   az aks get-credentials \
       --resource-group myResourceGroup \
       --name myAKSCluster
   

4. Controleer de configuratie van uw knooppuntgroep met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   In de volgende voorbeelduitvoer ziet u dat de fipsnp-knooppuntgroep is ingeschakeld voor FIPS:

   Name       enableFips
   ---------  ------------
   fipsnp     True
   nodepool1  False  
   

5. Vermeld de knooppunten met behulp van de kubectl get nodes opdracht.

   kubectl get nodes
   

   In de volgende voorbeelduitvoer ziet u een lijst met de knooppunten in het cluster. De knooppunten die beginnen met aks-fipsnp , maken deel uit van de knooppuntgroep waarvoor FIPS is ingeschakeld.

   NAME                                STATUS   ROLES   AGE     VERSION
   aks-fipsnp-12345678-vmss000000      Ready    agent   6m4s    v1.19.9
   aks-fipsnp-12345678-vmss000001      Ready    agent   5m21s   v1.19.9
   aks-fipsnp-12345678-vmss000002      Ready    agent   6m8s    v1.19.9
   aks-nodepool1-12345678-vmss000000   Ready    agent   34m     v1.19.9
   

6. Voer een implementatie uit met een interactieve sessie op een van de knooppunten in de knooppuntgroep met FIPS-functionaliteit met behulp van de kubectl debug opdracht.

   kubectl debug node/aks-fipsnp-12345678-vmss000000 -it --image=mcr.microsoft.com/dotnet/runtime-deps:6.0
   

7. Controleer in de uitvoer van de interactieve sessie of de cryptografische FIPS-bibliotheken zijn ingeschakeld. De uitvoer moet er ongeveer uitzien als in de volgende voorbeelduitvoer:

   root@aks-fipsnp-12345678-vmss000000:/# cat /proc/sys/crypto/fips_enabled
   1
   

   FIPS-nodepools hebben ook een kubernetes.azure.com/fips_enabled=true label, dat implementaties kunnen gebruiken om deze nodepools te selecteren.

Zie de Terraform Azure provider documentatie voor meer informatie over de azurerm_kubernetes_cluster_node_pool resource.

1. Maak een Windows-knooppuntgroep met behulp van de opdracht az aks nodepool add. In tegenstelling tot op Linux gebaseerde knooppuntgroepen delen Windows-knooppuntgroepen dezelfde afbeeldingsset.

   az aks nodepool add \
       --resource-group myResourceGroup \
       --cluster-name myAKSCluster \
       --name fipsnp \
       --enable-fips-image \
       --os-type Windows
   

2. Controleer de configuratie van uw knooppuntgroep met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

3. Controleer of Windows knooppuntgroepen toegang hebben tot cryptografische FIPS-bibliotheken door een RDP-verbinding te maken met een Windows-knooppunt in een knooppuntgroep en het register te controleren. Voer in de toepassing 'Uitvoeren' in.

4. Zoek naar HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\FIPSAlgorithmPolicy in het register.

5. Als Enabled is ingesteld op 1, is FIPS ingeschakeld.

   

   FIPS-nodepools hebben ook een kubernetes.azure.com/fips_enabled=true label, dat implementaties kunnen gebruiken om deze nodepools te selecteren.

Er is geen Azure portalervaring om FIPS-instellingen voor Windows knooppuntgroepen in of uit te schakelen. Voor alle Windows knooppuntgroepen die zijn gemaakt met Azure portal, is FIPS ingeschakeld. Windows Server 2022 en nieuwere knooppuntgroepen standaard FIPS inschakelen en Windows Server 2025- en hoger-knooppuntgroepen bieden geen ondersteuning voor het uitschakelen van FIPS.

1. Maak een Windows-knooppuntgroep met behulp van een ARM-sjabloon door een resource voor een agentgroep te implementeren met osType ingesteld op Windows. Voorbeeld:

   {
     "type": "Microsoft.ContainerService/managedClusters/agentPools",
     "apiVersion": "2023-03-01",
     "name": "[concat(parameters('clusterName'), '/fipsnp')]",
     "properties": {
       "count": 3,
       "vmSize": "Standard_D2s_v3",
       "osType": "Windows",
       "osSKU": "Windows2022",
       "mode": "User"
     }
   }
   

2. Implementeer de ARM-sjabloon met behulp van de Azure-portal, Azure CLI of Azure PowerShell. Zie Resources implementeren met ARM-sjablonen voor meer informatie over het implementeren van ARM-sjablonen.

3. Controleer de configuratie van uw knooppuntgroep met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

4. Controleer of Windows knooppuntgroepen toegang hebben tot cryptografische FIPS-bibliotheken door een RDP-verbinding te maken met een Windows-knooppunt in een knooppuntgroep en het register te controleren. Voer in de toepassing 'Uitvoeren' in.

5. Zoek naar HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\FIPSAlgorithmPolicy in het register.

6. Als Enabled is ingesteld op 1, is FIPS ingeschakeld.

   

   FIPS-nodepools hebben ook een kubernetes.azure.com/fips_enabled=true label, dat implementaties kunnen gebruiken om deze nodepools te selecteren.

1. Maak een Windows knooppuntgroep met behulp van Bicep door een resource voor een agentgroep te implementeren met osType ingesteld op Windows. Voorbeeld:

   param clusterName string
   param nodePoolName string = 'fipsnp'
   
   resource nodePool 'Microsoft.ContainerService/managedClusters/agentPools@2023-03-01' = {
     name: '${clusterName}/${nodePoolName}'
     properties: {
       count: 3
       vmSize: 'Standard_D2s_v3'
       osType: 'Windows'
       osSKU: 'Windows2022'
       mode: 'User'
       enableFIPS: true
     }
   }
   

2. Implementeer het Bicep-bestand met behulp van de Azure CLI, Azure PowerShell of de Azure-portal. Zie Maak Bicep bestanden met Visual Studio Code voor meer informatie over het implementeren van Bicep bestanden.

3. Controleer de configuratie van uw knooppuntgroep met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

4. Controleer of Windows knooppuntgroepen toegang hebben tot cryptografische FIPS-bibliotheken door een RDP-verbinding te maken met een Windows-knooppunt in een knooppuntgroep en het register te controleren. Voer in de toepassing 'Uitvoeren' in.

5. Zoek naar HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\FIPSAlgorithmPolicy in het register.

6. Als Enabled is ingesteld op 1, is FIPS ingeschakeld.

   

   FIPS-nodepools hebben ook een kubernetes.azure.com/fips_enabled=true label, dat implementaties kunnen gebruiken om deze nodepools te selecteren.

1. Voeg de volgende code toe aan main.tf om een Windows knooppuntgroep te maken in uw AKS-cluster:

   resource "azurerm_kubernetes_cluster_node_pool" "fips_windows" {
     name                   = "fipsnp"
     kubernetes_cluster_id  = azurerm_kubernetes_cluster.example.id
     vm_size                = "Standard_D2s_v3"
     os_type                = "Windows"
     os_sku                 = "Windows2022"
     node_count             = 3
     fips_enabled           = true
   
     node_taints = []
   }
   

2. Pas de bijgewerkte Terraform-configuratie toe met behulp van de terraform plan en terraform apply opdrachten.

   terraform plan
   terraform apply
   

3. Maak verbinding met het AKS-cluster met behulp van de opdracht [az aks get-credentials][az-aks-get-credentials].

   az aks get-credentials \
       --resource-group myResourceGroup \
       --name myAKSCluster
   

4. Controleer de configuratie van uw knooppuntgroep met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

5. Controleer of Windows knooppuntgroepen toegang hebben tot cryptografische FIPS-bibliotheken door een RDP-verbinding te maken met een Windows-knooppunt in een knooppuntgroep en het register te controleren. Voer in de toepassing 'Uitvoeren' in.

6. Zoek naar HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\FIPSAlgorithmPolicy in het register.

7. Als Enabled is ingesteld op 1, is FIPS ingeschakeld.

   

   FIPS-nodepools hebben ook een kubernetes.azure.com/fips_enabled=true label, dat implementaties kunnen gebruiken om deze nodepools te selecteren.

Vereisten voor het bijwerken van een bestaande knooppuntgroep

Azure CLI versie 2.64.0 of hoger. Voer az --version uit om de versie te zoeken. Zie Install Azure CLI als u de Azure CLI wilt installeren of upgraden.

1. Werk een knooppuntgroep bij met behulp van de az aks nodepool update opdracht met de --enable-fips-image parameter.

   az aks nodepool update \
       --resource-group myResourceGroup \
       --cluster-name myAKSCluster \
       --name np \
       --enable-fips-image
   

   Met dit commando wordt de knooppool direct opnieuw geïmageerd om het FIPS-conforme besturingssysteem te implementeren. De herinstallatie vindt plaats tijdens de update van de node-pool. Er zijn geen extra stappen vereist.

2. Controleer of uw knooppuntgroep is ingeschakeld voor FIPS met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   In de volgende voorbeelduitvoer ziet u dat de np-knooppool FIPS-geactiveerd is:

   Name       enableFips
   ---------  ------------
   np         True
   nodepool1  False  
   

FIPS inschakelen voor een bestaande knooppool wordt momenteel niet ondersteund in de Azure-portal. Als u FIPS wilt inschakelen voor een bestaande knooppuntgroep, gebruikt u de instructies Azure CLI, ARM-sjabloon, Bicep of Terraform in dit artikel.

1. Schakel FIPS in voor een bestaande knooppuntgroep met behulp van een ARM-sjabloon door het profiel van de agentgroep bij te werken om de enableFips eigenschap truein te stellen op . Voorbeeld:

   {
     "type": "Microsoft.ContainerService/managedClusters/agentPools",
     "name": "[concat(parameters('clusterName'), '/np')]",
     "apiVersion": "2023-03-01",
     "properties": {
       "enableFips": true
     }
   }
   

2. Implementeer de bijgewerkte sjabloon met behulp van de Azure-portal, Azure CLI of Azure PowerShell. Zie Resources implementeren met ARM-sjablonen voor meer informatie over het implementeren van ARM-sjablonen.

3. Controleer of uw knooppuntgroep is ingeschakeld voor FIPS met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   In de volgende voorbeelduitvoer ziet u dat de np-knooppool FIPS-geactiveerd is:

   Name       enableFips
   ---------  ------------
   np         True
   nodepool1  False  
   

1. Schakel FIPS in voor een bestaande knooppuntgroep met behulp van Bicep door de resource van de agentgroep bij te werken om enableFIPS in te stellen op true. Voorbeeld:

   param clusterName string
   param nodePoolName string = 'np'
   
   resource nodePool 'Microsoft.ContainerService/managedClusters/agentPools@2023-03-01' = {
     name: '${clusterName}/${nodePoolName}'
     properties: {
       enableFIPS: true
     }
   }
   

2. Implementeer het bijgewerkte Bicep-bestand met behulp van de Azure CLI, Azure PowerShell of de Azure-portal. Zie Maak Bicep bestanden met Visual Studio Code voor meer informatie over het implementeren van Bicep bestanden.

3. Controleer of uw knooppuntgroep is ingeschakeld voor FIPS met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   In de volgende voorbeelduitvoer ziet u dat de np-knooppool FIPS-geactiveerd is:

   Name       enableFips
   ---------  ------------
   np         True
   nodepool1  False  
   

1. Werk de resource bij in azurerm_kubernetes_cluster_node_pool door fips_enabled in te stellen op true in main.tf.

   resource "azurerm_kubernetes_cluster_node_pool" "example" {
     name                   = "np"
     kubernetes_cluster_id  = azurerm_kubernetes_cluster.example.id
     vm_size                = "Standard_D2s_v3"
     os_type                = "Linux"
     os_sku                 = "Ubuntu"
     node_count             = 3
     fips_enabled           = true
   }
   

2. Pas de bijgewerkte Terraform-configuratie toe met behulp van de terraform plan en terraform apply opdrachten. Terraform detecteert de wijziging in fips_enabled en activeert de benodigde reimagebewerking.

   terraform plan
   terraform apply
   

3. Maak verbinding met het AKS-cluster met behulp van de opdracht [az aks get-credentials][az-aks-get-credentials].

   az aks get-credentials \
       --resource-group myResourceGroup \
       --name myAKSCluster
   

4. Controleer of uw knooppuntgroep is ingeschakeld voor FIPS met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   In de volgende voorbeelduitvoer ziet u dat de np-knooppool FIPS-geactiveerd is:

   Name       enableFips
   ---------  ------------
   np         True
   nodepool1  False  
   

1. Werk een Linux-knooppuntgroep bij met behulp van de az aks nodepool update opdracht met de --disable-fips-image parameter.

   az aks nodepool update \
       --resource-group myResourceGroup \
       --cluster-name myAKSCluster \
       --name np \
       --disable-fips-image
   

   Met deze opdracht wordt onmiddellijk een herinstallatie van de knooppool geactiveerd om het FIPS-conforme besturingssysteem te implementeren. De herinstallatie vindt plaats tijdens de update van de node-pool. Er zijn geen extra stappen vereist.

2. Controleer of uw knooppuntgroep niet is ingeschakeld voor FIPS met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   In de volgende voorbeelduitvoer ziet u dat de NP-knooppuntgroep niet is ingeschakeld voor FIPS:

   Name       enableFips
   ---------  ------------
   np         False
   nodepool1  False  
   

FIPS uitschakelen voor een bestaande knooppuntgroep wordt momenteel niet ondersteund in de Azure-portaal. Als u FIPS wilt uitschakelen voor een bestaande knooppuntgroep, gebruikt u de instructies Azure CLI, ARM-sjabloon, Bicep of Terraform in dit artikel.

1. Schakel FIPS uit voor een bestaande knooppuntgroep met behulp van een ARM-sjabloon door het profiel van de agentgroep bij te werken om de enableFips eigenschap falsein te stellen op . Voorbeeld:

   {
     "type": "Microsoft.ContainerService/managedClusters/agentPools",
     "name": "[concat(parameters('clusterName'), '/np')]",
     "apiVersion": "2023-03-01",
     "properties": {
       "enableFips": false
     }
   }
   

2. Implementeer de bijgewerkte sjabloon met behulp van de Azure-portal, Azure CLI of Azure PowerShell. Zie Resources implementeren met ARM-sjablonen voor meer informatie over het implementeren van ARM-sjablonen.

3. Controleer of uw knooppuntgroep niet is ingeschakeld voor FIPS met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
     --resource-group myResourceGroup \
     --name myAKSCluster \
     --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
     -o table
   

   In de volgende voorbeelduitvoer ziet u dat de NP-knooppuntgroep niet is ingeschakeld voor FIPS:

   Name       enableFips
   ---------  ------------
   np         False
   nodepool1  False  
   

1. Schakel FIPS uit voor een bestaande knooppuntgroep met behulp van Bicep door de resource van de agentgroep bij te werken om enableFIPS in te stellen op false. Voorbeeld:

   param clusterName string
   param nodePoolName string = 'np'
   
   resource nodePool 'Microsoft.ContainerService/managedClusters/agentPools@2023-03-01' = {
     name: '${clusterName}/${nodePoolName}'
     properties: {
       enableFIPS: false
     }
   }
   

2. Implementeer het bijgewerkte Bicep-bestand met behulp van de Azure CLI, Azure PowerShell of de Azure-portal. Zie Maak Bicep bestanden met Visual Studio Code voor meer informatie over het implementeren van Bicep bestanden.

3. Controleer of uw knooppuntgroep niet is ingeschakeld voor FIPS met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
     --resource-group myResourceGroup \
     --name myAKSCluster \
     --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
     -o table
   

   In de volgende voorbeelduitvoer ziet u dat de NP-knooppuntgroep niet is ingeschakeld voor FIPS:

   Name       enableFips
   ---------  ------------
   np         False
   nodepool1  False  
   

1. Werk de resource azurerm_kubernetes_cluster_node_pool bij in main.tf door fips_enabled in te stellen op false:

   resource "azurerm_kubernetes_cluster_node_pool" "example" {
     name                   = "np"
     kubernetes_cluster_id  = azurerm_kubernetes_cluster.example.id
     vm_size                = "Standard_D2s_v3"
     os_type                = "Linux"
     os_sku                 = "Ubuntu"
     node_count             = 3
     fips_enabled           = false
   }
   

2. Pas de bijgewerkte Terraform-configuratie toe met behulp van de terraform plan en terraform apply opdrachten. Terraform detecteert de wijziging in fips_enabled en activeert de benodigde reimagebewerking.

   terraform plan
   terraform apply
   

3. Controleer of uw knooppuntgroep niet is ingeschakeld voor FIPS met behulp van de az aks show opdracht en voer een query uit voor de enableFIPS-waarde in agentPoolProfiles.

   az aks show \
     --resource-group myResourceGroup \
     --name myAKSCluster \
     --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
     -o table
   

   In de volgende voorbeelduitvoer ziet u dat de NP-knooppuntgroep niet is ingeschakeld voor FIPS:

   Name       enableFips
   ---------  ------------
   np         False
   nodepool1  False  
   

Bericht van de dag

U kunt het bericht van de dag (MOTD) op Linux-knooppunten vervangen met behulp van de vlag bij het --message-of-the-day maken van een cluster of het toevoegen van een knooppuntgroep.

Maak een cluster en vervang het bericht van de dag met behulp van de az aks create opdracht door de --message-of-the-day vlag ingesteld op het pad van het nieuwe MOTD-bestand.

az aks create --cluster-name myAKSCluster --resource-group myResourceGroup --message-of-the-day ./newMOTD.txt

Voeg een knooppuntgroep toe en vervang het bericht van de dag met behulp van de az aks nodepool add opdracht door de --message-of-the-day vlag die is ingesteld op het pad van het nieuwe MOTD-bestand.

az aks nodepool add --name mynodepool1 --cluster-name myAKSCluster --resource-group myResourceGroup --message-of-the-day ./newMOTD.txt