Cloud-IAM-machtigingen voor Defender voor containers op AWS en GCP

In dit artikel worden de cloud-IAM-rollen en -machtigingen beschreven die nodig zijn voor het onboarden en uitvoeren van Microsoft Defender voor containers in Amazon Elastic Kubernetes Service (EKS) en Google Kubernetes Engine-omgevingen (GKE).

Deze machtigingen zijn van toepassing op cloudconnectors, Azure Arc inrichting, bedreigingsbeveiliging zonder agent en functies voor registerintegratie.

Machtigingen die zijn vereist voor de functie

Azure Arc-inrichtingsrol voor EKS en GKE

De ingebouwde Azure Arc-rol Defender Kubernetes Agent Operator voor het inrichten van de Defender-agent en De Azure Policy-agent heeft de volgende machtigingen:

• Microsoft.Authorization/*/read
• Microsoft.Insights/alertRules/*
• Microsoft.Resources/deployments/*
• Microsoft.Resources/subscriptions/resourceGroups/read
• Microsoft.Resources/subscriptions/resourceGroups/write
• Microsoft.Resources/subscriptions/operationresults/read
• Microsoft.Resources/subscriptions/read
• Microsoft.KubernetesConfiguration/extensions/write
• Microsoft.KubernetesConfiguration/extensions/read
• Microsoft.KubernetesConfiguration/extensies/verwijderen
• Microsoft.KubernetesConfiguration/extensions/operations/read
• Microsoft.Kubernetes/connectedClusters/Write
• Microsoft.Kubernetes/connectedClusters/read
• Microsoft.OperationalInsights/workspaces/write
• Microsoft.OperationalInsights/workspaces/read
• Microsoft.OperationalInsights/workspaces/listKeys/action
• Microsoft.OperationalInsights/workspaces/sharedkeys/action
• Microsoft.Kubernetes/register/action
• Microsoft.KubernetesConfiguration/register/action

Machtigingen voor beveiliging tegen bedreigingen zonder AWS-agent

• AzureDefenderKubernetesRole (standaardrolnaam: MDCContainersK8sRole):

• sts:AssumeRole

• sts:AssumeRoleWithWebIdentity

• logboeken:PutSubscriptionFilter

• logs:BeschrijfAbonnementsfilters

• logboeken:DescribeLogGroups

• logboeken:PutRetentionPolicy

• firehose:*

• iam:PassRole

• eks:UpdateClusterConfig

• eks:DescribeCluster

• eks:CreateAccessEntry

• eks:ListAccessEntries

• eks:AssociateAccessPolicy

• eks:ListAssociatedAccessPolicies

• sqs:*

• s3:*

• AzureDefenderKubernetesScubaReaderRole (standaardrolnaam: MDCContainersK8sDataCollectionRole):

  • sts:AssumeRole
  • sts:AssumeRoleWithWebIdentity
  • sqs:ReceiveMessage
  • sqs:DeleteMessage
  • s3:GetObject
  • s3:GetBucketLocation

• AzureDefenderCloudWatchToKinesisRole (standaardrolnaam: MDCContainersK8sCloudWatchToKinesisRole):

  • sts:AssumeRole
  • firehose:*

• AzureDefenderKinesisToS3Role (standaardrolnaam: MDCContainersK8sKinesisToS3Role):

• MDCContainersAgentlessDiscoveryK8sRole

  • sts:AssumeRoleWithWebIdentity
  • eks:UpdateClusterConfig
  • eks:DescribeCluster
  • eks:CreateAccessEntry
  • eks:ListAccessEntries
  • eks:AssociateAccessPolicy
  • eks:ListAssociatedAccessPolicies

• Rol voor Beoordeling van Beeld in MDC Containers

  • sts:AssumeRoleWithWebIdentity
  • De machtigingen van deze veronderstelde rollen: AmazonEC2ContainerRegistryPowerUser & AmazonElasticContainerRegistryPublicPowerUser

GCP-machtigingen voor beveiliging tegen bedreigingen zonder agent

• MicrosoftDefenderContainersDataCollectionRole

  • pubsub.subscriptions.consume
  • pubsub.subscriptions.get

• MicrosoftDefenderContainersRole

  • logging.sinks.list
  • logging.sinks.get
  • logging.sinks.create
  • logging.sinks.bijwerken
  • logging.sinks.delete
  • resourcemanager.projects.getIamPolicy
  • resourcemanager.organizations.getIamPolicy
  • iam.serviceAccounts.get
  • iam.workloadIdentityPoolProviders.get (alle logbestanden dat naar Pub/Sub gaan)

• MDCCustomRole

  • resourcemanager.folders.get
  • resourcemanager.folders.list
  • resourcemanager.projects.get
  • resourcemanager.projects.list
  • serviceusage.services.enable
  • iam.roles.create
  • iam.roles.list
  • compute.projects.get
  • compute.projects.setCommonInstanceMetadata

• MDCCspmCustomRole

  • resourcemanager.folders.getIamPolicy
  • resourcemanager.folders.list
  • resourcemanager.organizations.get
  • resourcemanager.organizations.getIamPolicy
  • storage.buckets.getIamPolicy

• MDCGkeContainerInventoryCollectionRole

  • container.nodes.proxy
  • container.secrets.list

Machtigingen verleend in cloudomgevingen

Wanneer u AWS- of GCP-omgevingen onboardt voor Microsoft Defender voor Cloud, wordt er een implementatiescript gegenereerd om de vereiste IAM-rollen te maken op basis van het geselecteerde toegangsmodel:

• Standaardtoegang ondersteunt alle huidige en toekomstige extensies van de geselecteerde Defender-abonnementen.
• Least Privileged Access verleent alleen de machtigingen die zijn vereist voor de ondersteuning van de momenteel ingeschakelde extensies.

In de volgende tabellen worden de machtigingen weergegeven die zijn verleend aan Defender voor Containers-rollen, afhankelijk van het geselecteerde toegangsmodel.

Standaardtoegang voor AWS

AWS-toegang met minimaal vereiste bevoegdheden

GCP-standaardtoegang

GCP-toegang met minimale bevoegdheden

Volgende stappen

• Ondersteuningsmatrix voor containers in Defender voor Cloud