Permissões Cloud IAM para Defender for Containers na AWS e GCP

Este artigo descreve os papéis e permissões IAM na cloud necessários para integrar e operar o Microsoft Defender for Containers nos ambientes Amazon Elastic Kubernetes Service (EKS) e Google Kubernetes Engine (GKE).

Estas permissões aplicam-se a conectores cloud, provisão Azure Arc, proteção contra ameaças sem agente e funcionalidades de integração de registos.

Permissões exigidas por funcionalidade

Função de Aprovisionamento do Azure Arc para EKS e GKE

O Operador de Agente Kubernetes Defender do Azure Arc para provisionar o agente Defender e o agente de políticas Azure tem as seguintes permissões:

• Microsoft.Authorization/*/read
• Microsoft.Insights/alertRules/*
• Microsoft.Resources/deployments/*
• Microsoft.Resources/subscriptions/resourceGroups/read
• Microsoft.Resources/subscriptions/gruposDeRecursos/escrever
• Microsoft.Resources/subscriptions/operationresults/read
• Microsoft.Resources/subscriptions/read
• Microsoft.KubernetesConfiguration/extensions/write
• Microsoft.KubernetesConfiguração/extensões/leitura
• Microsoft.KubernetesConfiguration/extensions/delete
• Microsoft.KubernetesConfiguration/extensions/operations/read
• Microsoft.Kubernetes/connectedClusters/Gravação
• Microsoft.Kubernetes/connectedClusters/read
• Microsoft.OperationalInsights/workspaces/write
• Microsoft.OperationalInsights/workspaces/read
• Microsoft.OperationalInsights/workspaces/listKeys/action
• Microsoft.OperationalInsights/workspaces/sharedkeys/action
• Microsoft.Kubernetes/register/action
• Microsoft.KubernetesConfiguração/registro/ação

Permissões de proteção contra ameaças AWS Agentless

• AzureDefenderKubernetesRole (default role name: MDCContainersK8sRole):

• sts:AssumeRole

• sts:AssumeRoleWithWebIdentity

• registos:PutSubscriptionFilter

• registos:DescreverFiltrosDeSubscrição

• logs:DescribeLogGroups

• registos:PutRetentionPolicy

• mangueira de incêndio:*

• iam:PassRole

• eks:UpdateClusterConfig

• eks:DescribeCluster

• eks:CreateAccessEntry

• eks:ListAccessEntries

• eks:AssociateAccessPolicy

• eks:ListAssociatedAccessPolicies

• sqs:*

• s3:*

• AzureDefenderKubernetesScubaReaderRole (default role name: MDCContainersK8sDataCollectionRole):

  • sts:AssumeRole
  • sts:AssumeRoleWithWebIdentity
  • sqs:ReceiveMessage
  • sqs:DeleteMessage
  • s3:GetObject
  • s3:GetBucketLocation

• AzureDefenderCloudWatchToKinesisRole (nome da função padrão: MDCContainersK8sCloudWatchToKinesisRole):

  • sts:AssumeRole
  • mangueira de incêndio:*

• AzureDefenderKinesisToS3Role (default role name: MDCContainersK8sKinesisToS3Role):

• MDCContainersAgentlessDiscoveryK8sRole

  • sts:AssumeRoleWithWebIdentity
  • eks:UpdateClusterConfig
  • eks:DescribeCluster
  • eks:CreateAccessEntry
  • eks:ListAccessEntries
  • eks:AssociateAccessPolicy
  • eks:ListAssociatedAccessPolicies

• MDCContainersImageAssessmentRole

  • sts:AssumeRoleWithWebIdentity
  • As permissões destas funções assumidas: AmazonEC2ContainerRegistryPowerUser e AmazonElasticContainerRegistryPublicPowerUser

Permissões para proteção de ameaças sem agente do GCP

• MicrosoftDefenderContainersDataCollectionRole

  • pubsub.assinaturas.consumir
  • pubsub.subscriptions.get

• Microsoft Defender Função de Contêineres

  • logging.sinks.list
  • registo.sinks.obter
  • logging.sinks.create
  • logging.sinks.update
  • logging.sinks.delete
  • resourcemanager.projects.getIamPolicy
  • resourcemanager.organizations.getIamPolicy
  • iam.serviceAccounts.get
  • iam.workloadIdentityPoolProviders.get (todos os logs que vão para o Pub/Sub)

• MDCCustomRole

  • resourcemanager.folders.get
  • resourcemanager.folders.list
  • resourcemanager.projects.get
  • resourcemanager.projects.list
  • serviceusage.services.enable
  • iam.roles.create
  • iam.roles.lista
  • compute.projects.get
  • compute.projects.setCommonInstanceMetadata

• MDCCspmCustomRole

  • resourcemanager.folders.getIamPolicy
  • resourcemanager.folders.list
  • resourcemanager.organizations.get
  • resourcemanager.organizations.getIamPolicy
  • storage.buckets.getIamPolicy

• MDCGkeContainerInventoryCollectionRole

  • container.nodes.proxy
  • container.secrets.list

Permissões concedidas em ambientes cloud

Quando integra ambientes AWS ou GCP no Microsoft Defender para a Cloud, é gerado um script de implementação para criar os papéis IAM necessários com base no modelo de acesso selecionado:

• O Acesso Padrão suporta todas as extensões atuais e futuras dos planos Defender selecionados.
• O Acesso Mínimo Privilegiado concede apenas as permissões necessárias para suportar as extensões atualmente ativadas.

As tabelas seguintes mostram as permissões concedidas aos papéis do Defender para Containers, dependendo do modelo de acesso selecionado.

Acesso padrão da AWS

Acesso com privilégios mínimos da AWS

Acesso padrão do GCP

GCP acesso menos privilegiado

Próximos passos

• Matriz de suporte de contentores no Defender para a Cloud