إشعار
يتطلب الوصول إلى هذه الصفحة تخويلاً. يمكنك محاولة تسجيل الدخول أو تغيير الدلائل.
يتطلب الوصول إلى هذه الصفحة تخويلاً. يمكنك محاولة تغيير الدلائل.
هذه الصفحة عبارة عن فهرس نهج Azure تعريفات النهج المضمنة Azure Kubernetes Service. للحصول على نهج Azure إضافية مضمنة للخدمات الأخرى، راجع التعريفات المضمنة نهج Azure.
يرتبط اسم كل تعريف نهج مضمن بتعريف النهج في مدخل Azure. استخدم الارتباط في العمود Version لعرض المصدر على نهج Azure GitHub repo.
المبادرات
| اسم | الوصف | السياسات | إصدار |
|---|---|---|---|
| [معاينة]: استخدم تكامل الصورة لضمان نشر الصور الموثوق بها فقط | استخدم تكامل الصورة للتأكد من أن مجموعات AKS تنشر الصور الموثوق بها فقط عن طريق تمكين تكامل الصور نهج Azure Add-Ons على مجموعات AKS. تكامل الصورة Add-On نهج Azure Add-On كلاهما شرطان أساسيان لاستخدام تكامل الصورة للتحقق مما إذا كانت الصورة موقعة عند النشر. لمزيد من المعلومات، تفضل بزيارة https://aka.ms/aks/image-integrity. | 3 | معاينة 1.1.0 |
| [معاينة]: يجب أن تتبع مجموعة Kubernetes توصيات التحكم في الأمان لمعيار Kubernetes ل Center for Internet Security (CIS | تتضمن هذه المبادرة سياسات توصية الأمان لمعيار Kubernetes لمركز أمان الإنترنت (CIS)، يمكنك استخدام هذه المبادرة للبقاء متوافقا مع معيار CIS Kubernetes. لمزيد من المعلومات حول توافق CIS، تفضل بزيارة: https://aka.ms/aks/cis-kubernetes | 7 | 1.0.0-المعاينة |
| يجب أن تساعد ضمانات Deployment في توجيه المطورين نحو أفضل الممارسات الموصى بها في AKS | مجموعة من أفضل ممارسات Kubernetes التي توصي بها خدمة Azure Kubernetes (AKS). للحصول على أفضل تجربة، استخدم ضمانات التوزيع لتعيين مبادرة النهج هذه: https://aka.ms/aks/deployment-safeguards. يعد نهج Azure Add-On ل AKS شرطا مسبقا لتطبيق أفضل الممارسات هذه على مجموعاتك. للحصول على إرشادات حول تمكين الوظيفة الإضافية نهج Azure، انتقل إلى aka.ms/akspolicydoc | 27 | 3.0.0 |
| مقاييس أساس أمان جراب نظام المجموعةKubernetes لأحمال العمل المستندة إلى Linux | تتضمن هذه المبادرة سياسات معايير خط الأساس لأمان مجموعة Kubernetes. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. للحصول على إرشادات حول استخدام هذا النهج، تفضل بزيارة https://aka.ms/kubepolicydoc. | 5 | 1.4.0 |
| معايير أمان مجموعة Kubernetes المقيدة لأحمال العمل المستندة إلى Linux | تتضمن هذه المبادرة سياسات المعايير المقيدة لأمان مجموعة Kubernetes. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. للحصول على إرشادات حول استخدام هذا النهج، تفضل بزيارة https://aka.ms/kubepolicydoc. | 8 | 2.5.0 |
تعريفات النهج
Microsoft. خدمة الحاوية
| اسم (مدخل Azure) |
الوصف | التأثير (التأثيرات) | إصدار (GitHub) |
|---|---|---|---|
| [معاينة]: [Image Integrity] يجب أن تستخدم مجموعات Kubernetes الصور الموقعة بواسطة العلامات فقط | استخدم الصور الموقعة بواسطة تدوين للتأكد من أن الصور تأتي من مصادر موثوق بها ولن يتم تعديلها بشكل ضار. لمزيد من المعلومات، تفضل بزيارة https://aka.ms/aks/image-integrity | المراجعة، معطلة | 1.1.0-preview |
| [Preview]: يجب تثبيت ملحق النسخ الاحتياطي في Azure في مجموعات AKS | تأكد من تثبيت الحماية لملحق النسخ الاحتياطي في مجموعات AKS للاستفادة من النسخ الاحتياطي في Azure. النسخ الاحتياطي في Azure ل AKS هو حل آمن وسحابة لحماية البيانات الأصلية لمجموعات AKS | AuditIfNotExists، معطل | 1.0.0-preview |
| [Preview]: يجب تمكين النسخ الاحتياطي في Azure لمجموعات AKS | تأكد من حماية مجموعات AKS الخاصة بك عن طريق تمكين النسخ الاحتياطي في Azure. النسخ الاحتياطي في Azure ل AKS هو حل آمن وسحابة لحماية البيانات الأصلية لمجموعات AKS. | AuditIfNotExists، معطل | 1.0.0-preview |
| [معاينة]: يجب أن تكون المجموعات المدارة Azure Kubernetes Service متكررة في المنطقة | Azure Kubernetes Service يمكن تكوين المجموعات المدارة لتكون المنطقة زائدة عن الحاجة أم لا. يتحقق النهج من تجمعات العقدة في نظام المجموعة ويضمن تعيين مناطق التوفر لكافة تجمعات العقد. | التدقيق، الرفض، التعطيل | 1.0.0-preview |
| [معاينة]: نشر تكامل الصورة على Azure Kubernetes Service | توزيع كل من تكامل الصورة والنهج Add-Ons Azure مجموعات Kubernetes. لمزيد من المعلومات، تفضل بزيارة https://aka.ms/aks/image-integrity | DeployIfNotExists، معطل | 1.2.0-preview |
| [Preview]: تثبيت ملحق النسخ الاحتياطي في Azure في مجموعات AKS (نظام المجموعة المدارة) بعلامة معينة. | يعد تثبيت ملحق النسخ الاحتياطي في Azure شرطا مسبقا لحماية مجموعات AKS الخاصة بك. فرض تثبيت ملحق النسخ الاحتياطي على جميع مجموعات AKS التي تحتوي على علامة معينة. يمكن أن يساعدك القيام بذلك في إدارة النسخ الاحتياطي لمجموعات AKS على نطاق واسع. | AuditIfNotExists، DeployIfNotExists، مُعطل | 1.0.0-preview |
| [Preview]: تثبيت ملحق النسخ الاحتياطي في Azure في مجموعات AKS (نظام المجموعة المدارة) دون علامة معينة. | يعد تثبيت ملحق النسخ الاحتياطي في Azure شرطا مسبقا لحماية مجموعات AKS الخاصة بك. فرض تثبيت ملحق النسخ الاحتياطي على جميع مجموعات AKS دون قيمة علامة معينة. يمكن أن يساعدك القيام بذلك في إدارة النسخ الاحتياطي لمجموعات AKS على نطاق واسع. | AuditIfNotExists، DeployIfNotExists، مُعطل | 1.0.0-preview |
| [معاينة]: يجب أن تستخدم حاويات نظام مجموعة Kubernetes واجهات sysctl المسموح بها فقط | يجب أن تستخدم الحاويات واجهات sysctl المسموح بها فقط في مجموعة Kubernetes. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | التدقيق، الرفض، التعطيل | 1.0.0-preview |
| [معاينة]: يجب أن تنفذ مجموعة Kubernetes ميزانيات دقيقة لتعطل الجراب | يمنع ميزانيات تعطيل Pod الخاطئة، ما يضمن الحد الأدنى لعدد الجرابات التشغيلية. راجع وثائق Kubernetes الرسمية للحصول على التفاصيل. يعتمد على النسخ المتماثل لبيانات Gatekeeper ويتزامن مع جميع موارد Deployment و StatefulSet و PodDisruptionBudget التي تم تحديد نطاقها إليه في OPA. قبل تطبيق هذا النهج، تأكد من أن الموارد المتزامنة لن تجهد سعة الذاكرة. ستتم مزامنة جميع الموارد من هذه الأنواع عبر مساحات الأسماء. ملاحظة: قيد المعاينة حاليا لخدمة Kubernetes (AKS). | التدقيق، الرفض، التعطيل | 1.3.1-preview |
| [معاينة]: يجب أن تقيد مجموعات Kubernetes إنشاء نوع مورد معين | يتعين عدم توزيع نوع مورد Kubernetes المحدد في مساحة اسم معينة. | التدقيق، الرفض، التعطيل | 2.3.0-preview |
| [معاينة]: يمنع تشغيل الحاويات كجذر عن طريق تعيين runAsNotRoot إلى true. | يؤدي تعيين runAsNotRoot إلى true إلى زيادة الأمان عن طريق منع تشغيل الحاويات كجذر. | متغير، معطل | 1.1.0-preview |
| [معاينة]: يمنع تشغيل حاويات التهيئة كجذر عن طريق تعيين runAsNotRoot إلى true. | يؤدي تعيين runAsNotRoot إلى true إلى زيادة الأمان عن طريق منع تشغيل الحاويات كجذر. | متغير، معطل | 1.1.0-preview |
| [معاينة]: تعيين حقول Kubernetes cluster container securityContext.runAsUser إلى 1000، معرف مستخدم غير جذري | يقلل من سطح الهجوم الذي تم تقديمه عن طريق تصعيد الامتيازات كمستخدم جذر في وجود ثغرات أمنية. | متغير، معطل | 1.1.0-preview |
| [معاينة]: تعيين نوع ملف تعريف وضع الحوسبة الآمن لحاويات نظام مجموعة Kubernetes إلى RuntimeDefault إذا لم يكن موجودا. | تعيين نوع ملف تعريف وضع الحوسبة الآمن للحاويات لمنع استدعاءات النظام غير المصرح بها والمحتمل أن تكون ضارة إلى النواة من مساحة المستخدم. | متغير، معطل | 1.2.0-preview |
| [معاينة]: تعيين حقول حاويات مجموعة Kubernetes init securityContext.runAsUser إلى 1000، معرف مستخدم غير جذر | يقلل من سطح الهجوم الذي تم تقديمه عن طريق تصعيد الامتيازات كمستخدم جذر في وجود ثغرات أمنية. | متغير، معطل | 1.1.0-preview |
| [معاينة]: تعيين نوع ملف تعريف وضع الحوسبة الآمن لحاويات مجموعة Kubernetes إلى RuntimeDefault إذا لم يكن موجودا. | تعيين نوع ملف تعريف وضع الحوسبة الآمن لحاويات التهيئة لمنع استدعاءات النظام غير المصرح بها والمحتمل أن تكون ضارة إلى النواة من مساحة المستخدم. | متغير، معطل | 1.2.0-preview |
| [معاينة]: تعيين حقول Kubernetes cluster Pod securityContext.runAsUser إلى 1000، معرف مستخدم غير جذري | يقلل من سطح الهجوم الذي تم تقديمه عن طريق تصعيد الامتيازات كمستخدم جذر في وجود ثغرات أمنية. | متغير، معطل | 1.1.0-preview |
| [معاينة]: يعين تصعيد الامتياز في مواصفات الجراب في حاويات التهيئة إلى خطأ. | يؤدي تعيين تصعيد الامتياز إلى خطأ في حاويات init إلى زيادة الأمان عن طريق منع الحاويات من السماح بتصعيد الامتيازات مثل وضع ملف set-user-ID أو set-group-ID. | متغير، معطل | 1.2.0-preview |
| [معاينة]: تعيين تصعيد الامتياز في مواصفات Pod إلى خطأ. | يؤدي تعيين تصعيد الامتياز إلى خطأ إلى زيادة الأمان عن طريق منع الحاويات من السماح بتصعيد الامتيازات مثل وضع ملف set-user-ID أو set-group-ID. | متغير، معطل | 1.2.0-preview |
| [معاينة]: تعيين نهج النظام غير السليم إلى "AlwaysAllow" | تعيين Pod Disruption Budget's UnhealthyPodEvictionPolicy إلى "AlwaysAllow" للسماح بإخلاء حتى القرون غير السليمة عند تنفيذ إدارة نظام المجموعة | متغير، معطل | 1.1.0-preview |
| يجب تعريف نطاقات IP المعتمدة على خدمات Kubernetes | قم بتقييد الوصول إلى إدارة خدمة واجهة برمجة التطبيقات Kubernetes عن طريق منح الوصول إليها فقط إلى عناوين IP في نطاقات معينة. يستحسن الحد من الوصول إلى نطاقات IP المعتمدة لضمان أن التطبيقات من الشبكات المسموح بها فقط يمكنها الوصول إلى المجموعة. | المراجعة، معطلة | 2.0.1 |
| Azure يجب أن تقوم مجموعات Kubernetes بتعطيل SSH | يمنحك تعطيل SSH القدرة على تأمين مجموعتك وتقليل سطح الهجوم. لمعرفة المزيد، تفضل بزيارة: aka.ms/aks/disablessh | المراجعة، معطلة | 1.0.0 |
| Azure يجب أن تمكن مجموعات Kubernetes واجهة تخزين الحاويات (CSI) | واجهة تخزين الحاويات (CSI) هي معيار لكشف أنظمة تخزين الملفات والكتلة العشوائية لأحمال العمل الحاوية على Azure Kubernetes Service. لمعرفة المزيد، https://aka.ms/aks-csi-driver | المراجعة، معطلة | 1.0.0 |
| Azure يجب أن تمكن مجموعات Kubernetes خدمة إدارة المفاتيح (KMS) | استخدم خدمة إدارة المفاتيح (KMS) لتشفير البيانات السرية الثابتة في etcd لأمان مجموعة Kubernetes. تعرف على المزيد من خلال: https://aka.ms/aks/kmsetcdencryption. | المراجعة، معطلة | 1.1.0 |
| Azure يجب أن تستخدم مجموعات Kubernetes Azure CNI | يعد Azure CNI شرطا أساسيا لبعض ميزات Azure Kubernetes Service، بما في ذلك نهج الشبكة Azure وتجمعات العقد Windows والعقد الظاهرية الإضافية. تعرّف على المزيد من خلال: https://aka.ms/aks-azure-cni | المراجعة، معطلة | 1.0.1 |
| يجب أن تكون مجموعات Azure Kubernetes Service عضوا في Azure Kubernetes Fleet Manager. | الكشف عن أي مجموعات AKS غير أعضاء في Azure Kubernetes Fleet Manager والإبلاغ عنها. لمعرفة المزيد، تفضل بزيارة https://aka.ms/kubernetes-fleet/policy | AuditIfNotExists، معطل | 1.0.0 |
| Azure Kubernetes Service يجب أن تعطل مجموعات الأوامر Invoke | يمكن أن يؤدي تعطيل ميزة استدعاء الأمر إلى تحسين الأمان عن طريق تجنب تجاوز الوصول المقيد إلى الشبكة أو التحكم في الوصول المستند إلى الدور في Kubernetes | المراجعة، معطلة | 1.0.1 |
| Azure Kubernetes Service يجب أن تمكن أنظمة المجموعات الترقية التلقائية لنظام المجموعة | يمكن أن تضمن الترقية التلقائية لنظام مجموعة AKS تحديث مجموعاتك ولا تفوت أحدث الميزات أو التصحيحات من AKS وKubernetes المصدر. تعرف على المزيد من خلال: https://learn.microsoft.com/en-us/azure/aks/auto-upgrade-cluster. | المراجعة، معطلة | 1.0.0 |
| يجب أن تمكن مجموعات Azure Kubernetes Service Image Cleaner | يقوم "منظف الصور" بتعريف الصور وإزالتها بشكل تلقائي ضعيف وغير مستخدم، مما يخفف من مخاطر الصور القديمة ويقلل من الوقت اللازم لتنظيفها. تعرف على المزيد من خلال: https://aka.ms/aks/image-cleaner. | المراجعة، معطلة | 1.0.0 |
| يجب أن تمكن مجموعات Azure Kubernetes Service التكامل Microsoft Entra ID | يمكن لتكامل Microsoft Entra ID المدار بواسطة AKS إدارة الوصول إلى المجموعات عن طريق تكوين التحكم في الوصول المستند إلى دور Kubernetes (Kubernetes RBAC) استنادا إلى هوية المستخدم أو عضوية مجموعة الدليل. تعرف على المزيد من خلال: https://aka.ms/aks-managed-aad. | المراجعة، معطلة | 1.0.2 |
| يجب أن تمكن Azure Kubernetes Service Clusters الترقية التلقائية لنظام تشغيل العقدة | تتحكم الترقية التلقائية لنظام التشغيل لعقدة AKS في تحديثات أمان نظام التشغيل على مستوى العقدة. تعرف على المزيد من خلال: https://learn.microsoft.com/en-us/azure/aks/auto-upgrade-node-image. | المراجعة، معطلة | 1.0.0 |
| Azure Kubernetes Service يجب أن تمكن أنظمة المجموعات هوية حمل العمل | تسمح هوية حمل العمل بتعيين هوية فريدة لكل جراب Kubernetes وربطها بالموارد المحمية Azure AD مثل Azure Key Vault، ما يتيح الوصول الآمن إلى هذه الموارد من داخل الجراب. تعرف على المزيد من خلال: https://aka.ms/aks/wi. | المراجعة، معطلة | 1.0.0 |
| يجب تمكين ملف تعريف Defender لمجموعات Azure Kubernetes Service | يوفر Microsoft Defender للحاويات قدرات أمان Kubernetes السحابية الأصلية بما في ذلك تصلب البيئة وحماية حمل العمل والحماية في وقت التشغيل. عند تمكين SecurityProfile.AzureDefender على نظام مجموعة Azure Kubernetes Service، يتم نشر عامل إلى نظام المجموعة الخاص بك لجمع بيانات حدث الأمان. تعرف على المزيد حول Microsoft Defender للحاويات في https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks | المراجعة، معطلة | 2.0.1 |
| Azure Kubernetes Service يجب تعطيل أساليب المصادقة المحلية للمجموعات | يؤدي تعطيل أساليب المصادقة المحلية إلى تحسين الأمان من خلال التأكد من أن أنظمة مجموعات Azure Kubernetes Service يجب أن تتطلب حصريا هويات Azure Active Directory للمصادقة. تعرف على المزيد من خلال: https://aka.ms/aks-disable-local-accounts. | التدقيق، الرفض، التعطيل | 1.0.1 |
| Azure Kubernetes Service يجب أن تستخدم المجموعات الهويات المدارة | استخدم الهويات المدارة للالتفاف حول الكيانات الخاصة بالخدمة، وتبسيط إدارة نظام المجموعة وتجنب التعقيد المطلوب لكيانات الخدمة المدارة. تعرّف على المزيد من خلال: https://aka.ms/aks-update-managed-identities | المراجعة، معطلة | 1.0.1 |
| Azure Kubernetes Service يجب تمكين المجموعات الخاصة | قم بتمكين ميزة نظام المجموعة الخاصة لمجموعة Azure Kubernetes Service لضمان بقاء نسبة استخدام الشبكة بين خادم API وتجمعات العقد على الشبكة الخاصة فقط. وهذا مطلب شائع في العديد من معايير الامتثال التنظيمية والصناعية. | التدقيق، الرفض، التعطيل | 1.0.1 |
| نهج Azure يجب تثبيت الوظيفة الإضافية لخدمة Kubernetes (AKS) وتمكينها على مجموعاتك | نهج Azure الوظيفة الإضافية لخدمة Kubernetes (AKS) توسيع Gatekeeper v3، وهو خطاف ويب لوحدة تحكم القبول ل Open Policy Agent (OPA)، لتطبيق عمليات الإنفاذ والضمانات على نطاق واسع على مجموعاتك بطريقة مركزية ومتسقة. | المراجعة، معطلة | 1.0.2 |
| Azure يجب أن تحتوي صور الحاوية قيد التشغيل على ثغرات أمنية تم حلها (مشغلة بواسطة إدارة الثغرات الأمنية في Microsoft Defender) | يفحص تقييم الثغرات الأمنية لصورة الحاوية السجل بحثا عن الثغرات الأمنية المعروفة (CVEs) ويوفر تقريرا مفصلا عن الثغرات الأمنية لكل صورة. توفر هذه التوصية رؤية للصور الضعيفة التي تعمل حاليا في مجموعات Kubernetes الخاصة بك. معالجة الثغرات الأمنية في صور الحاوية التي يتم تشغيلها حاليا هو المفتاح لتحسين وضع الأمان الخاص بك، ما يقلل بشكل كبير من سطح الهجوم لأحمال العمل المعبأة في حاويات. | AuditIfNotExists، معطل | 1.0.1 |
| يجب تشفير أنظمة التشغيل Both وأقراص البيانات في مجموعات Azure Kubernetes Service بواسطة مفاتيح يديرها العميل | تشفير نظام التشغيل وأقراص البيانات باستخدام مفاتيح يديرها العملاء يوفر المزيد من التحكم والمرونة في إدارة المفاتيح. وهذا مطلب شائع في العديد من معايير الامتثال التنظيمية والصناعية. | التدقيق، الرفض، التعطيل | 1.0.1 |
| يتعذر تحرير العقد الفردية | يتعذر تحرير العقد الفردية. يجب ألا يقوم المستخدمون بتحرير العقد الفردية. الرجاء تحرير تجمعات العقدة. يمكن أن يؤدي تعديل العقد الفردية إلى إعدادات غير متناسقة وتحديات تشغيلية ومخاطر أمنية محتملة. | التدقيق، الرفض، التعطيل | 1.3.1 |
| تكوين مجموعات AKS للانضمام تلقائيا إلى Azure Kubernetes Fleet Manager المحدد | اكتشف وتأكد من أن مجموعات AKS تنضم إلى Azure معينة ل Kubernetes Fleet Manager. اختياريا، حدد علامة بحث لتحديد مجموعة تحديث الأسطول المراد الانضمام إليها. لمعرفة المزيد، تفضل بزيارة https://aka.ms/kubernetes-fleet/policy | DeployIfNotExists، معطل | 1.0.0 |
| تكوين مجموعات Azure Kubernetes Service لتمكين ملف تعريف Defender | يوفر Microsoft Defender للحاويات قدرات أمان Kubernetes السحابية الأصلية بما في ذلك تصلب البيئة وحماية حمل العمل والحماية في وقت التشغيل. عند تمكين SecurityProfile. Defender على نظام مجموعة Azure Kubernetes Service، يتم نشر عامل إلى نظام المجموعة الخاص بك لجمع بيانات حدث الأمان. تعرف على المزيد حول Microsoft Defender للحاويات: https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks. | DeployIfNotExists، معطل | 4.3.0 |
| تكوين تثبيت ملحق Flux على مجموعة Kubernetes | تثبيت ملحق Flux على مجموعة Kubernetes لتمكين نشر "fluxconfigurations" في نظام المجموعة | DeployIfNotExists، معطل | 1.0.0 |
| تكوين مجموعات Kubernetes مع تكوين Flux v2 باستخدام مصدر المستودع والبيانات السرية في KeyVault | انشر "fluxConfiguration" إلى مجموعات Kubernetes للتأكد من أن المجموعات تحصل على مصدر تقصي الحقائق الخاص بها لأحمال العمل والتكوينات من المستودع المحدد. يتطلب هذا التعريف مستودع SecretKey مخزنا في Key Vault. للحصول على إرشادات، قم بزيارة https://aka.ms/GitOpsFlux2Policy. | DeployIfNotExists، معطل | 1.1.0 |
| تكوين مجموعات Kubernetes مع تكوين Flux v2 باستخدام مستودع Git وشهادة HTTPS CA | انشر "fluxConfiguration" إلى مجموعات Kubernetes للتأكد من أن المجموعات تحصل على مصدر تقصي الحقائق الخاص بها لأحمال العمل والتكوينات من مستودع Git المحدد. يتطلب هذا التعريف شهادة HTTPS CA. للحصول على إرشادات، قم بزيارة https://aka.ms/GitOpsFlux2Policy. | DeployIfNotExists، معطل | 1.1.0 |
| تكوين مجموعات Kubernetes مع تكوين Flux v2 باستخدام مستودع Git والبيانات السرية لـ HTTPS | انشر "fluxConfiguration" إلى مجموعات Kubernetes للتأكد من أن المجموعات تحصل على مصدر تقصي الحقائق الخاص بها لأحمال العمل والتكوينات من مستودع Git المحدد. يتطلب هذا التعريف سر مفتاح HTTPS مخزنا في Key Vault. للحصول على إرشادات، قم بزيارة https://aka.ms/GitOpsFlux2Policy. | DeployIfNotExists، معطل | 1.1.0 |
| تكوين مجموعات Kubernetes مع تكوين Flux v2 باستخدام مستودع Git وبيانات سرية محلية | انشر "fluxConfiguration" إلى مجموعات Kubernetes للتأكد من أن المجموعات تحصل على مصدر تقصي الحقائق الخاص بها لأحمال العمل والتكوينات من مستودع Git المحدد. يتطلب هذا التعريف بيانات سرية المصادقة المحلية المخزنة في مجموعة Kubernetes. للحصول على إرشادات، قم بزيارة https://aka.ms/GitOpsFlux2Policy. | DeployIfNotExists، معطل | 1.1.0 |
| تكوين مجموعات Kubernetes مع تكوين Flux v2 باستخدام مستودع Git وبيانات سرية SSH | انشر "fluxConfiguration" إلى مجموعات Kubernetes للتأكد من أن المجموعات تحصل على مصدر تقصي الحقائق الخاص بها لأحمال العمل والتكوينات من مستودع Git المحدد. يتطلب هذا التعريف سر مفتاح SSH الخاص المخزن في Key Vault. للحصول على إرشادات، قم بزيارة https://aka.ms/GitOpsFlux2Policy. | DeployIfNotExists، معطل | 1.1.0 |
| تكوين مجموعات Kubernetes مع تكوين Flux v2 باستخدام مستودع Git العام | انشر "fluxConfiguration" إلى مجموعات Kubernetes للتأكد من أن المجموعات تحصل على مصدر تقصي الحقائق الخاص بها لأحمال العمل والتكوينات من مستودع Git المحدد. هذا التعريف لا يتطلب معلومات سرية. للحصول على إرشادات، قم بزيارة https://aka.ms/GitOpsFlux2Policy. | DeployIfNotExists، معطل | 1.1.0 |
| تكوين مجموعات Kubernetes مع مصدر مستودع Flux v2 محدد باستخدام البيانات السرية المحلية | انشر "fluxConfiguration" إلى مجموعات Kubernetes للتأكد من أن المجموعات تحصل على مصدر تقصي الحقائق الخاص بها لأحمال العمل والتكوينات من المستودع المحدد. يتطلب هذا التعريف بيانات سرية المصادقة المحلية المخزنة في مجموعة Kubernetes. للحصول على إرشادات، قم بزيارة https://aka.ms/GitOpsFlux2Policy. | DeployIfNotExists، معطل | 1.1.0 |
| تكوين مجموعات Kubernetes مع تهيئة GitOps المحددة باستخدام المعلومات السرية لـ HTTPS | انشر "sourceControlConfiguration" إلى مجموعات Kubernetes للتأكد من أن المجموعات تحصل على مصدر تقصي الحقائق الخاص بها لأحمال العمل والتكوينات من git repo المحدد. يتطلب هذا التعريف مستخدم HTTPS والأسرار الرئيسية المخزنة في Key Vault. للحصول على إرشادات، قم بزيارة https://aka.ms/K8sGitOpsPolicy. | auditIfNotExists, AuditIfNotExists, deployIfNotExists, DeployIfNotExists, disabled, Disabled | 1.1.0 |
| تكوين مجموعات Kubernetes مع تهيئة GitOps المحددة بدون استخدام معلومات سرية | انشر "sourceControlConfiguration" إلى مجموعات Kubernetes للتأكد من أن المجموعات تحصل على مصدر تقصي الحقائق الخاص بها لأحمال العمل والتكوينات من git repo المحدد. هذا التعريف لا يتطلب معلومات سرية. للحصول على إرشادات، قم بزيارة https://aka.ms/K8sGitOpsPolicy. | auditIfNotExists, AuditIfNotExists, deployIfNotExists, DeployIfNotExists, disabled, Disabled | 1.1.0 |
| تكوين مجموعات Kubernetes مع تهيئة GitOps المحددة باستخدام معلومات سرية لـ SSH | انشر "sourceControlConfiguration" إلى مجموعات Kubernetes للتأكد من أن المجموعات تحصل على مصدر تقصي الحقائق الخاص بها لأحمال العمل والتكوينات من git repo المحدد. يتطلب هذا التعريف سر مفتاح خاص SSH في Key Vault. للحصول على إرشادات، قم بزيارة https://aka.ms/K8sGitOpsPolicy. | auditIfNotExists, AuditIfNotExists, deployIfNotExists, DeployIfNotExists, disabled, Disabled | 1.1.0 |
| تكوين Microsoft Entra ID مجموعات Azure Kubernetes Service المتكاملة مع وصول مجموعة المسؤولين المطلوب | تأكد من تحسين أمان نظام المجموعة من خلال التحكم مركزيا في وصول المسؤول إلى مجموعات AKS المتكاملة Microsoft Entra ID. | DeployIfNotExists، معطل | 2.1.0 |
| تكوين الترقية التلقائية لنظام التشغيل Node على نظام مجموعة Azure Kubernetes | استخدم الترقية التلقائية لنظام تشغيل العقدة للتحكم في تحديثات أمان نظام التشغيل على مستوى العقدة لمجموعات خدمة Azure Kubernetes (AKS). لمزيد من المعلومات، تفضل بزيارة https://learn.microsoft.com/en-us/azure/aks/auto-upgrade-node-image. | DeployIfNotExists، معطل | 1.2.0 |
| Deploy - تكوين إعدادات التشخيص Azure Kubernetes Service إلى مساحة عمل Log Analytics | نشر إعدادات التشخيص Azure Kubernetes Service لدفق سجلات الموارد إلى مساحة عمل Log Analytics. | DeployIfNotExists، معطل | 3.0.0 |
| الوظيفة الإضافية نهج Azure Deploy إلى مجموعات Azure Kubernetes Service | استخدم الوظيفة الإضافية نهج Azure لإدارة حالة التوافق لمجموعات خدمة Azure Kubernetes (AKS) والإبلاغ بها. لمزيد من المعلومات، انظر https://aka.ms/akspolicydoc. | DeployIfNotExists، معطل | 4.2.0 |
| Deploy Image Cleaner على Azure Kubernetes Service | نشر Image Cleaner على مجموعات Azure Kubernetes. لمزيد من المعلومات، تفضل بزيارة https://aka.ms/aks/image-cleaner | DeployIfNotExists، معطل | 1.2.0 |
| Deploy Planned Maintenance لجدولة الترقيات لنظام مجموعة خدمة Azure Kubernetes (AKS) والتحكم فيها | تسمح لك الصيانة المخطط لها بجدولة نوافذ الصيانة الأسبوعية لإجراء التحديثات وتقليل تأثير حمل العمل. بمجرد جدولتها، تحدث الترقيات فقط أثناء النافذة التي حددتها. تعرّف على المزيد من خلال: https://aka.ms/aks/planned-maintenance | DeployIfNotExists، AuditIfNotExists، معطل | 1.1.0 |
| استدعاء الأمر Disable على مجموعات Azure Kubernetes Service | يمكن أن يؤدي تعطيل استدعاء الأمر إلى تحسين الأمان بواسطة رفض استدعاء الوصول إلى الأمر إلى نظام المجموعة | DeployIfNotExists، معطل | 1.2.0 |
| تأكد من أن حاويات نظام مجموعة بها مجسات استعداد أو حيوية تم تكوينها | تفرض هذه السياسة أن جميع البودات بها تحقيقات جاهزية و/ أو حيوية تم تكوينها. يمكن أن تكون الأنواع الخاصة بالفحص أي من tcpSocket وhttpGet وexec. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. للحصول على إرشادات حول استخدام هذا النهج، تفضل بزيارة https://aka.ms/kubepolicydoc. | التدقيق، الرفض، التعطيل | 3.3.0 |
| يجب أن تتضمن صور حاوية مجموعة Kubernetes خطاف preStop | يتطلب أن تتضمن صور الحاوية خطاف preStop لإنهاء العمليات بأمان أثناء إيقاف تشغيل الجراب. | التدقيق، الرفض، التعطيل | 1.1.1 |
| يجب ألا تتضمن صور حاوية نظام مجموعة Kubernetes أحدث علامة صورة | يتطلب عدم استخدام صور الحاوية لأحدث علامة في Kubernetes، فمن أفضل الممارسات ضمان إمكانية إعادة الإنتاج، ومنع التحديثات غير المقصودة، وتسهيل تصحيح الأخطاء والتراجع بسهولة باستخدام صور حاوية صريحة وإصدارية. | التدقيق، الرفض، التعطيل | 2.0.1 |
| يجب ألا تتجاوز حاويات نظام المجموعة Kubernetes CPU وموارد الذاكرة الحدود المحددة | فرض حاوية CPU وحدود موارد الذاكرة لمنع هجمات استنفاد الموارد في مجموعة نظام Kubernetes. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 9.3.0 |
| يجب تعريف طلبات وحدة المعالجة المركزية ومورد الذاكرة وحاويات نظام مجموعة Kubernetes | فرض وحدة المعالجة المركزية للحاوية وطلبات موارد الذاكرة لضمان أن العقدة المجدولة لديها الموارد المطلوبة. | التدقيق، الرفض، التعطيل | 1.0.0-preview |
| يجب ألا تشارك حاويات نظام مجموعة Kubernetes مساحات أسماء المضيفين | حظر حاويات الجراب من مشاركة مساحة اسم معرف عملية المضيف ومساحة اسم IPC المضيف ومساحة اسم الشبكة المضيفة في مجموعة Kubernetes. تتوافق هذه التوصية مع معايير أمان Kubernetes Pod لمساحات أسماء المضيفين وهي جزء من CIS 5.2.1 و5.2.2 و5.2.3 التي تهدف إلى تحسين أمان بيئات Kubernetes الخاصة بك. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | التدقيق، الرفض، التعطيل | 6.0.0 |
| يجب ألا تستخدم حاويات مجموعة Kubernetes واجهات sysctl محظورة | يجب ألا تستخدم الحاويات واجهات sysctl محظورة في مجموعة Kubernetes. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 7.2.0 |
| يجب أن تسحب حاويات نظام مجموعة Kubernetes الصور فقط عند وجود أسرار سحب الصور | تقييد سحب صور الحاويات لفرض وجود ImagePullSecrets، ما يضمن الوصول الآمن والمخول إلى الصور داخل مجموعة Kubernetes | التدقيق، الرفض، التعطيل | 1.3.1 |
| يجب أن تستمع حاويات المجموعة Kubernetes فقط إلى المنافذ المسموح بها | يجب أن تستخدم الحاويات ملفات تعريف AppArmor المسموح بها فقط في مجموعة نظام Kubernetes. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 6.2.1 |
| يجب أن تستخدم حاويات الكتلة Kubernetes فقط الإمكانات المسموح بها | يجب تقييد القدرات لخفض سطح الهجوم من الحاويات في مجموعة Kubernetes. هذه التوصية هي جزء من CIS 5.2.8 وCIS 5.2.9 التي تهدف إلى تحسين أمن بيئات Kubernetes الخاصة بك. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 6.2.0 |
| يجب أن تستخدم حاويات المجموعة Kubernetes الصور المسموح بها فقط | استخدم الصور من السجلات الموثوق بها لتقليل خطر تعرض مجموعة Kubernetes للثغرات الأمنية غير المعروفة ومشكلات الأمان والصور الضارة. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 9.3.0 |
| يجب أن تستخدم حاويات مجموعة Kubernetes فقط ProcMountType المسموح بها | يمكن للحاويات الجرابية فقط استخدام ProcMountTypes المسموح بها في مجموعة Kubernetes. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 8.2.0 |
| يتعين أن تستخدم حاويات نظام المجموعة Kubernetes نهج السحب المسموح به فحسب | تقييد النهج الخاص بسحب الحاويات لفرض الحاويات لاستخدام الصور المسموح بها في عمليات التوزيع فحسب | التدقيق، الرفض، التعطيل | 3.2.0 |
| يجب أن تستخدم حاويات مجموعة Kubernetes ملفات تعريف seccomp المسموح بها فقط | يمكن للحاويات الجرابية فقط استخدام ملفات تعريف seccomp المسموح بها في مجموعة Kubernetes. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 7.2.0 |
| يجب تشغيل حاويات نظام المجموعة Kubernetes مع نظام ملف الجذر للقراءة فقط | تشغيل حاويات مع نظام ملفات جذر للقراءة فقط للحماية من التغييرات في وقت التشغيل مع الثنائيات الضارة التي يتم إضافتها إلى PATH في مجموعة نظام Kubernetes. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 6.3.0 |
| يجب أن تستخدم وحدات التخزين FlexVolume الجرابية الخاصة بمجموعة Kubernetes برامج التشغيل المسموح بها فقط | يجب أن تستخدم وحدات تخزين FlexVolumeالجرابية برامج التشغيل المسموح بها فقط في مجموعة Kubernetes. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 5.2.0 |
| يجب أن تستخدم مجموعة Kubernetes أحجام مسارات المضيف الجرابية المسموح بها فقط | تحميل حجم جراب HostPath الحد إلى مسارات المضيف المسموح به في مجموعة نظام Kubernetes. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، Azure Arc تمكين Kubernetes. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 6.3.0 |
| يجب أن تتبع حاويات وحاويات نظام مجموعة Kubernetes معايير أمان SELinux | يفرض هذا النهج معايير أمان Kubernetes Pod لخيارات SELinux. ضمن وضع PSS، يجب أن تكون حقول "المستخدم" و"الدور" فارغة، ويجب أن يكون حقل "النوع" إحدى القيم المسموح بها. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | التدقيق، الرفض، التعطيل | 8.0.0 |
| يجب تشغيل جرابات مجموعة Kubernetes والحاويات فقط باستخدام معرفات المستخدم والمجموعة المعتمدة | التحكم في المستخدم، المجموعة الأساسية، المجموعة التكميلية ومعرفات مجموعة نظام الملفات التي يمكن استخدامها pods وحاويات لتشغيل في مجموعة نظام Kubernetes. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 6.2.0 |
| يجب أن تستخدم جرابات مجموعات Kubernetes أنواع وحدات التخزين المسموح بها فقط | لا يمكن للجرابات سوى استخدام أنواع وحدات التخزين المسموح بها في مجموعة Kubernetes. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 5.2.0 |
| يجب أن تستخدم جرابات نظام مجموعة Kubernetes شبكة المضيف المعتمدة وقائمة المنفذ فقط | تقييد الوصول إلى الجراب إلى شبكة المضيف ومنافذ المضيف المسموح بها في مجموعة Kubernetes. هذه التوصية هي جزء من CIS 5.2.4 الذي يهدف إلى تحسين أمان بيئات Kubernetes الخاصة بك ويتوافق مع معايير أمان Pod (PSS) ل hostPorts. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | التدقيق، الرفض، التعطيل | 7.0.0 |
| يجب أن تستخدم جرابات مجموعات Kubernetes تسميات محددة | استخدم التسميات المحددة لتحديد الجرابات في مجموعة Kubernetes. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 7.2.0 |
| يجب أن تستمع خدمات مجموعة Kubernetes فقط إلى المنافذ المسموح بها | يجب تقييد الخدمات للاستماع فقط على المنافذ المسموح بها لتأمين الوصول إلى مجموعة Kubernetes. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 8.2.0 |
| يجب أن تستخدم خدمات مجموعة Kubernetes عناوين IP الخارجية المسموح بها فقط | استخدم عناوين IP الخارجية المسموح بها لتجنب الهجوم المحتمل (CVE-2020-8554) في مجموعة Kubernetes. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 5.2.0 |
| يجب أن تستخدم خدمات نظام مجموعة Kubernetes محددات فريدة | تأكد من أن الخدمات في مساحة الاسم لها محددات فريدة. يضمن محدد الخدمة الفريد أن كل خدمة داخل مساحة الاسم قابلة للتحديد بشكل فريد استنادا إلى معايير محددة. يقوم هذا النهج بمزامنة موارد الخدمة في OPA عبر Gatekeeper. قبل التطبيق، تحقق من عدم تجاوز سعة ذاكرة Gatekeeper pods. تنطبق المعلمات على مساحات أسماء معينة، ولكنها تقوم بمزامنة جميع الموارد من هذا النوع عبر جميع مساحات الأسماء. حاليا في المعاينة لخدمة Kubernetes (AKS). | التدقيق، الرفض، التعطيل | 1.2.2 |
| يجب ألا تسمح مجموعة Kubernetes بوجود الحاويات المتميزة | لا تسمح بإنشاء حاويات مميزة في مجموعة Kubernetes. هذه التوصية هي جزء من CIS 5.2.1 الذي يهدف إلى تحسين أمن بيئات Kubernetes الخاصة بك. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 9.2.0 |
| يتعين ألا تستخدم نظام مجموعة Kubernetes البودات المجردة | حظر استخدام البودات المجردة. لن تتم إعادة جدولة البودات المجردة في حالة تعطل العقدة. يتعين إدارة البودات بواسطة التوزيع أو Replicset أو Daemonset أو المهام | التدقيق، الرفض، التعطيل | 2.3.1 |
| يجب ألا تتجاوز حاويات Windows نظام المجموعةKubernetes التزام وحدة المعالجة المركزية والذاكرة | Windows يجب أن تكون طلبات موارد الحاوية أقل أو مساوية لحد الموارد أو غير محدد لتجنب الإفراط في الالتزام. إذا كانت الذاكرة Windows مزودة بشكل زائد، فستعالج الصفحات في القرص - والتي يمكن أن تؤدي إلى إبطاء الأداء - بدلا من إنهاء الحاوية مع نفاد الذاكرة | التدقيق، الرفض، التعطيل | 2.2.0 |
| يجب ألا يتم تشغيل حاويات Windows مجموعةKubernetes ك ContainerAdministrator | منع استخدام ContainerAdministrator كمستخدم لتنفيذ عمليات الحاوية Windows pods أو الحاويات. تهدف هذه التوصية إلى تحسين أمان العقد Windows. لمزيد من المعلومات، راجع https://kubernetes.io/docs/concepts/windows/intro/ . | التدقيق، الرفض، التعطيل | 1.2.0 |
| يجب تشغيل حاويات Windows مجموعة Kubernetes فقط مع المستخدم المعتمد ومجموعة مستخدمي المجال | التحكم في المستخدم الذي Windows الحاويات والحاويات التي يمكن استخدامها للتشغيل في مجموعة Kubernetes. هذه التوصية هي جزء من نهج أمان Pod على العقد Windows التي تهدف إلى تحسين أمان بيئات Kubernetes الخاصة بك. | التدقيق، الرفض، التعطيل | 2.2.0 |
| يجب ألا تقوم مجموعات Windows Kubernetes بتشغيل حاويات HostProcess | منع الوصول prviledged إلى عقدة windows. تهدف هذه التوصية إلى تحسين أمان العقد Windows. لمزيد من المعلومات، راجع https://kubernetes.io/docs/concepts/windows/intro/ . | التدقيق، الرفض، التعطيل | 1.0.0 |
| يجب أن تكون مجموعات Kubernetes متاحة فقط عبر HTTPS | يضمن استخدام HTTPS المصادقة ويحمي البيانات أثناء النقل من هجمات التنصت على طبقة الشبكة. هذه الإمكانية متاحة حاليا بشكل عام لخدمة Kubernetes (AKS)، وفي المعاينة ل Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، تفضل بزيارة https://aka.ms/kubepolicydoc | التدقيق، الرفض، التعطيل | 9.0.0 |
| يجب أن تقوم مجموعات Kubernetes بتعطيل بيانات اعتماد API للتحميل التلقائي | يجب تعطيل تحميل بيانات اعتماد واجهة برمجة التطبيقات تلقائياً لمنع مورد Pod الذي يُحتمل تعرضه للخطر لتشغيل أوامر واجهة برمجة التطبيقات ضد مجموعات Kubernetes. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 4.2.0 |
| يجب أن تضمن مجموعات Kubernetes استخدام دور مسؤول نظام المجموعة فقط عند الحاجة | يوفر الدور 'cluster-admin' صلاحيات واسعة النطاق على البيئة ويجب استخدامه فقط حيث ومتى لزم الأمر. | المراجعة، معطلة | 1.1.0 |
| يجب أن تقلل مجموعات Kubernetes من استخدام حرف البدل في دور الدور والكتلة | يمكن أن يكون استخدام أحرف البدل '*' خطرا أمنيا لأنه يمنح أذونات واسعة قد لا تكون ضرورية لدور معين. إذا كان الدور يحتوي على أذونات كثيرة جدا، فمن المحتمل أن يتم إساءة استخدامه من قبل مهاجم أو مستخدم مخترق للحصول على وصول غير مصرح به إلى الموارد في نظام المجموعة. | المراجعة، معطلة | 1.1.0 |
| يجب ألا تسمح مجموعات Kubernetes بتصعيد امتيازات الحاوية | لا تسمح بتشغيل الحاويات مع التصعيد امتياز الجذر في مجموعة نظام Kubernetes. هذه التوصية هي جزء من CIS 5.2.5 الذي يهدف إلى تحسين أمن بيئات Kubernetes الخاص بك. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | التدقيق، الرفض، التعطيل | 8.0.0 |
| يجب أن لا تسمح مجموعات Kubernetes بأذونات تحرير نقطة النهاية لـ ClusterRole/system:التجميع إلى التحرير | ClusterRole/system: التجميع إلى التحرير ينبغي أن لا تسمح أذونات تحرير نقطة النهاية بسببCVE-2021-25740، Endpoint & EndpointSlice أذونات تسمح إعادة توجيه عبر مساحة الاسم، https://github.com/kubernetes/kubernetes/issues/103675. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | المراجعة، معطلة | 3.2.0 |
| المعاينة: يجب ألا تمنح مجموعات Kubernetes إمكانيات أمان CAP_SYS_ADMIN | لتقليل السطح المعرض للهجوم في الحاويات الخاصة بك، قم بتقييد قدرات CAP_SYS_ADMIN Linux. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 5.1.0 |
| يتعين ألا تستخدم نظام مجموعات Kubernetes إمكانيات أمان معينة | يجب منع إمكانات الأمان المحددة في مجموعات Kubernetes لمنع الامتيازات غير الممنوحة على مورد Pod. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 5.2.0 |
| يجب ألا تستخدم مجموعات Kubernetes مساحة الاسم الافتراضية | يجب منع استخدام مساحة الاسم الافتراضية في مجموعات Kubernetes للحماية من الوصول غير المصرح به لأنواع موارد ConfigMap وPod وSecret وService وServiceAccount. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 4.2.0 |
| يجب أن تحدد مجموعات Kubernetes المضيف في قواعد موارد الدخول | تأكد من تحديد المضيف في قواعد موارد الدخول لمنع التعرض غير المقصود لخدمات الواجهة الخلفية للوصول غير المصرح به. يقوم هذا النهج بتقييم موارد دخول Kubernetes للتأكد من أن كل قاعدة لها حقل مضيف محدد. | التدقيق، الرفض، التعطيل | 1.1.0-preview |
| يجب أن تستخدم مجموعات Kubernetes برنامج تشغيل Container Storage Interface (CSI) StorageClass | واجهة تخزين الحاويات (CSI) هي معيار عرض كتلة عشوائية وأنظمة لتخزين ملفات أحمال العمل موضوعة بحاويات على Kubernetes. يجب إهمال StorageClass للتزويد داخل الشجرة منذ إصدار AKS 1.21. لمعرفة المزيد، https://aka.ms/aks-csi-driver | التدقيق، الرفض، التعطيل | 2.3.0 |
| يجب أن تستخدم مجموعات Kubernetes موازنات التحميل الداخلية | استخدم موازنات التحميل الداخلية لإتاحة خدمة Kubernetes فقط للتطبيقات التي تعمل في نفس الشبكة الافتراضية مثل مجموعة Kubernetes. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | تدقيق، Audit، رفض، Deny، معطل، Disabled | 8.2.0 |
| يتعين أن تحتوي موارد Kubernetes على تعليقات توضيحية مطلوبة | تأكد من إرفاق التعليقات التوضيحية المطلوبة على نوع مورد Kubernetes معين لعملية تحسين إدارة الموارد لموارد Kubernetes الخاصة بك. يتوفر هذا النهج بشكل عام لخدمة Kubernetes (AKS)، ومعاينة Kubernetes الممكنة Azure Arc. لمزيد من المعلومات، انظر https://aka.ms/kubepolicydoc. | التدقيق، الرفض، التعطيل | 3.2.0 |
| يجب ترقية خدمات Kubernetes إلى إصدار Kubernetes غير عرضة للثغرات الأمنية | قم بترقية مجموعة خدمات Kubernetes إلى إصدار أحدث من Kubernetes للحماية من الثغرات الأمنية المعروفة في إصدار Kubernetes الحالي. تم تصحيح الثغرة الأمنية CVE-2019-9946 في إصدارات Kubernetes 1.11.9+ و1.12.7+ و1.13.5+ و1.14.0+ | المراجعة، معطلة | 1.0.2 |
| يجب أن يكون لديك قواعد مكافحة الترابط أو مجموعة قيود انتشار المخطط | يضمن هذا النهج جدولة الحجيرات على عقد مختلفة داخل نظام المجموعة. من خلال فرض قواعد مكافحة الترابط أو قيود انتشار مخطط الجراب، يتم الحفاظ على التوفر حتى إذا أصبحت إحدى العقد غير متوفرة. ستستمر Pods في العمل على العقد الأخرى، ما يعزز المرونة. | التدقيق، الرفض، التعطيل | 1.2.2 |
| تغيير حاوية K8s لإسقاط جميع القدرات | تغيير securityContext.capabilities.drop لإضافته في "ALL". يؤدي هذا إلى إسقاط جميع الإمكانات لحاويات k8s linux | متغير، معطل | 1.2.1 |
| تغيير حاوية K8s Init لإسقاط جميع القدرات | تغيير securityContext.capabilities.drop لإضافته في "ALL". يؤدي هذا إلى إسقاط جميع الإمكانات لحاويات k8s linux init | متغير، معطل | 1.2.1 |
| لا توجد تسميات محددة ل AKS | يمنع العملاء من تطبيق تسميات محددة ل AKS. تستخدم AKS تسميات مسبوقة kubernetes.azure.com بالإشارة إلى المكونات المملوكة ل AKS. يجب ألا يستخدم العميل هذه التسميات. |
التدقيق، الرفض، التعطيل | 1.2.1 |
| طباعة رسالة إذا تم تطبيق طفرة | البحث عن التعليقات التوضيحية للطفرة المطبقة وطباعة رسالة إذا كان هناك تعليق توضيحي. | المراجعة، معطلة | 1.2.1 |
| صبغات تجمع النظام المحجوزة | يقيد صبغة CriticalAddonsOnly إلى تجمع النظام فقط. تستخدم AKS تلوث CriticalAddonsOnly للحفاظ على جرابات العملاء بعيدا عن تجمع النظام. يضمن فصلا واضحا بين مكونات AKS وقرون العملاء، بالإضافة إلى منع إخلاء جرابات العملاء إذا لم تتسامح مع تلوث CriticalAddonsOnly. | التدقيق، الرفض، التعطيل | 1.2.1 |
| يجب تمكين سجلات Resource في Azure Kubernetes Service | يمكن أن تساعد سجلات موارد Azure Kubernetes Service في إعادة إنشاء مسارات النشاط عند التحقيق في الحوادث الأمنية. تمكينه للتأكد من وجود السجلات عند الحاجة | AuditIfNotExists، معطل | 1.0.0 |
| يقيد صبغة CriticalAddonsOnly إلى تجمع النظام فقط. | لتجنب إخلاء تطبيقات المستخدم من تجمعات المستخدمين والحفاظ على فصل المخاوف بين تجمعات المستخدم والنظام، يجب عدم تطبيق تلوث "CriticalAddonsOnly" على تجمعات المستخدمين. | متغير، معطل | 1.3.1 |
| يجب استخدام Role-Based Access Control (RBAC) على خدمات Kubernetes | لتوفير تصفية دقيقة للإجراءات التي يمكن للمستخدمين تنفيذها، استخدم Role-Based Access Control (RBAC) لإدارة الأذونات في مجموعات خدمة Kubernetes وتكوين نهج التخويل ذات الصلة. | المراجعة، معطلة | 1.1.0 |
| تعيين automountServiceAccountToken في مواصفات Pod في حاويات إلى false. | يؤدي تعيين automountServiceAccountToken إلى false إلى زيادة الأمان عن طريق تجنب التحميل التلقائي الافتراضي للرموز المميزة لحساب الخدمة | متغير، معطل | 1.2.1 |
| تعيين حدود وحدة المعالجة المركزية لحاويات نظام مجموعة Kubernetes على القيم الافتراضية في حالة عدم وجودها. | تعيين حدود وحدة المعالجة المركزية للحاوية لمنع هجمات استنفاد الموارد في مجموعة Kubernetes. | متغير، معطل | 1.3.1 |
| تعيين حدود ذاكرة حاويات نظام مجموعة Kubernetes على القيم الافتراضية في حالة عدم وجودها. | تعيين حدود ذاكرة الحاوية لمنع هجمات استنفاد الموارد في مجموعة Kubernetes. | متغير، معطل | 1.3.1 |
| تعيين maxUnavailable pods إلى 1 لموارد PodDisruptionBudget | يضمن تعيين الحد الأقصى لقيمة الجراب غير المتوفرة إلى 1 توفر التطبيق أو الخدمة أثناء حدوث انقطاع | متغير، معطل | 1.3.1 |
| تعيين readOnlyRootFileSystem في مواصفات Pod في حاويات init إلى true إذا لم يتم تعيينه. | يؤدي تعيين readOnlyRootFileSystem إلى true إلى زيادة الأمان عن طريق منع الحاويات من الكتابة في نظام ملفات الجذر. يعمل هذا فقط لحاويات Linux. | متغير، معطل | 1.3.1 |
| تعيين readOnlyRootFileSystem في مواصفات Pod إلى true إذا لم يتم تعيينه. | يؤدي تعيين readOnlyRootFileSystem إلى true إلى زيادة الأمان عن طريق منع الحاويات من الكتابة في نظام ملفات الجذر | متغير، معطل | 1.3.1 |
| يجب تشفير أقراص Temp وذاكرة التخزين المؤقت لتجمعات عقد العامل في مجموعات Azure Kubernetes Service في المضيف | لتحسين أمان البيانات، يجب تشفير البيانات المخزنة على مضيف الجهاز الظاهري (VM) لعقد Azure Kubernetes Service VMs الثابتة. وهذا مطلب شائع في العديد من معايير الامتثال التنظيمية والصناعية. | التدقيق، الرفض، التعطيل | 1.0.1 |
الخطوات التالية
- راجع المضمنات في نهج Azure GitHub repo.
- راجع بنية تعريف نهج Azure.
- راجع فهم تأثيرات النهج.