Standardní hodnoty zabezpečení Azure pro Azure Kubernetes Service (AKS)

  • Článek

Tyto standardní hodnoty zabezpečení aplikují na Azure Kubernetes Service (AKS) pokyny ze srovnávacího testu cloudového zabezpečení Microsoftu verze 1.0. Srovnávací test zabezpečení cloudu Microsoftu poskytuje doporučení, jak můžete zabezpečit cloudová řešení v Azure. Obsah je seskupený podle kontrolních mechanismů zabezpečení definovaných srovnávacím testem cloudového zabezpečení Microsoftu a souvisejících pokynů platných pro Azure Kubernetes Service (AKS).

Tyto standardní hodnoty zabezpečení a jejich doporučení můžete monitorovat pomocí Microsoft Defender for Cloud. Azure Policy definice budou uvedené v části Dodržování právních předpisů na stránce portálu Microsoft Defender pro cloud.

Pokud má funkce relevantní definice Azure Policy, jsou uvedené v tomto směrném plánu, aby vám pomohly měřit dodržování předpisů s kontrolními mechanismy a doporučeními srovnávacího testu zabezpečení cloudu Od Microsoftu. Některá doporučení můžou vyžadovat placený plán Microsoft Defender, aby bylo možné povolit určité scénáře zabezpečení.

Poznámka

Funkce, které se nevztahují na Azure Kubernetes Service (AKS), byly vyloučeny. Pokud chcete zjistit, jak se Azure Kubernetes Service (AKS) kompletně mapuje na srovnávací test zabezpečení cloudu Microsoftu, podívejte se na úplný soubor mapování standardních hodnot zabezpečení Azure Kubernetes Service (AKS).

Profil zabezpečení

Profil zabezpečení shrnuje chování Azure Kubernetes Service (AKS) s vysokým dopadem, které může mít za následek zvýšené aspekty zabezpečení.

Atribut Chování služby Hodnota
Kategorie produktu Kontejnery
Zákazník má přístup k hostiteli nebo operačnímu systému. Zakázaný přístup
Službu je možné nasadit do virtuální sítě zákazníka. Ano
Ukládá obsah zákazníka v klidovém stavu. Ano

Zabezpečení sítě

Další informace najdete ve srovnávacím testu cloudového zabezpečení Microsoftu: Zabezpečení sítě.

NS-1: Vytvoření hranic segmentace sítě

Funkce

Integrace virtuální sítě

Popis: Služba podporuje nasazení do privátní Virtual Network (VNet) zákazníka. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ano Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Referenční informace: Použití sítí kubenet s vlastními rozsahy IP adres v Azure Kubernetes Service (AKS)

Podpora skupin zabezpečení sítě

Popis: Síťový provoz služby respektuje přiřazení pravidla skupin zabezpečení sítě ve svých podsítích. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ano Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Referenční informace: Skupiny zabezpečení sítě

NS-2: Zabezpečení cloudových služeb pomocí síťových ovládacích prvků

Funkce

Popis: Funkce nativního filtrování IP adres pro filtrování síťového provozu (nezaměňovat se skupinou zabezpečení sítě nebo Azure Firewall). Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Nasaďte privátní koncové body pro všechny prostředky Azure, které podporují funkci Private Link, a vytvořte privátní přístupový bod pro prostředky.

Referenční informace: Vytvoření privátního clusteru Azure Kubernetes Service

Zakázání přístupu z veřejné sítě

Popis: Služba podporuje zakázání veřejného síťového přístupu buď pomocí pravidla filtrování seznamu ACL protokolu IP na úrovni služby (nikoli skupiny zabezpečení sítě nebo Azure Firewall), nebo pomocí přepínače Zakázat veřejný síťový přístup. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Pomocí Azure CLI zakažte veřejný plně kvalifikovaný název domény v privátním clusteru Azure Kubernetes Service.

Referenční informace: Vytvoření privátního clusteru Azure Kubernetes Service

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.ContainerService:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Ve službě Kubernetes Services by se měly definovat autorizované rozsahy IP adres. Omezte přístup k rozhraní API pro správu služby Kubernetes tím, že rozhraní API udělíte přístup pouze k IP adresám v určitých rozsazích. Doporučuje se omezit přístup na autorizované rozsahy IP adres, aby ke clusteru mohly přistupovat jenom aplikace z povolených sítí. Auditování, zakázáno 2.0.1

Správa identit

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Správa identit.

IM-1: Použití centralizovaného systému identit a ověřování

Funkce

Azure AD ověřování vyžadované pro přístup k rovině dat

Popis: Služba podporuje použití ověřování Azure AD pro přístup k rovině dat. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Použijte Azure Active Directory (Azure AD) jako výchozí metodu ověřování k řízení přístupu k rovině dat.

Referenční informace: Integrace Azure Active Directory spravovaná službou AKS

Metody místního ověřování pro přístup k rovině dat

Popis: Místní metody ověřování podporované pro přístup k rovině dat, jako je místní uživatelské jméno a heslo. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Poznámky k funkcím: Vyhněte se používání místních metod ověřování nebo účtů, měly by se zakázat, kdykoli je to možné. Místo toho k ověření použijte Azure AD, kde je to možné.

Pokyny ke konfiguraci: K ověřování, autorizaci, zabezpečení a řízení přístupu ke clusterům Kubernetes můžete použít řízení přístupu na základě role Kubernetes (Kubernetes RBAC) nebo Azure Active Directory a Azure RBAC.

Referenční informace: Možnosti přístupu a identit pro Azure Kubernetes Service (AKS)

IM-3: Zabezpečená a automatická správa identit aplikací

Funkce

Spravované identity

Popis: Akce roviny dat podporují ověřování pomocí spravovaných identit. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ano Microsoft

Poznámky k funkcím: Ve výchozím nastavení se při vytváření clusteru AKS automaticky vytvoří spravovaná identita přiřazená systémem. Pokud k nasazení nepoužíváte Azure CLI, ale vlastní virtuální síť, připojený disk Azure, statickou IP adresu, směrovací tabulku nebo identitu kubeletu přiřazenou uživatelem, které jsou mimo skupinu prostředků pracovního uzlu, doporučujeme použít identitu řídicí roviny přiřazenou uživatelem.

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Referenční informace: Použití spravované identity v Azure Kubernetes Service

Instanční objekty

Popis: Rovina dat podporuje ověřování pomocí instančních objektů. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Microsoft v současné době neobsahuje žádné pokyny ke konfiguraci této funkce. Zkontrolujte a určete, jestli vaše organizace chce tuto funkci zabezpečení nakonfigurovat.

Referenční informace: Vytvoření instančního objektu

IM-7: Omezení přístupu k prostředkům na základě podmínek

Funkce

Podmíněný přístup pro rovinu dat

Popis: Přístup k rovině dat je možné řídit pomocí Azure AD zásad podmíněného přístupu. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Definujte příslušné podmínky a kritéria pro podmíněný přístup Azure Active Directory (Azure AD) v úloze. Zvažte běžné případy použití, jako je blokování nebo udělení přístupu z konkrétních umístění, blokování rizikového chování při přihlašování nebo vyžadování zařízení spravovaných organizací pro konkrétní aplikace.

Referenční informace: Použití podmíněného přístupu s Azure AD a AKS

IM-8: Omezení odhalení přihlašovacích údajů a tajných kódů

Funkce

Integrace a úložiště přihlašovacích údajů služby a tajných kódů v Azure Key Vault

Popis: Rovina dat podporuje nativní použití Azure Key Vault pro úložiště přihlašovacích údajů a tajných kódů. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Zajistěte, aby tajné kódy a přihlašovací údaje byly uložené v zabezpečených umístěních, jako je Azure Key Vault, a ne vkládejte je do kódu nebo konfiguračních souborů.

Referenční informace: Úložiště tajných kódů CSI

Privilegovaný přístup

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Privilegovaný přístup.

PA-1: Oddělení a omezení vysoce privilegovaných uživatelů nebo uživatelů s oprávněními pro správu

Funkce

Místní účty Správa

Popis: Služba má koncept místního účtu pro správu. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Poznámky k funkcím: Vyhněte se používání místních metod ověřování nebo účtů, měly by se zakázat, kdykoli je to možné. Místo toho k ověření použijte Azure AD, kde je to možné.

Pokyny ke konfiguraci: K ověřování, autorizaci, zabezpečení a řízení přístupu ke clusterům Kubernetes můžete použít řízení přístupu na základě role Kubernetes (Kubernetes RBAC) nebo Azure Active Directory a Azure RBAC.

Pokud to rutinní operace správy nevyžaduje, zakažte nebo omezte všechny účty místních správců jenom pro nouzové použití.

Referenční informace: Možnosti přístupu a identit pro Azure Kubernetes Service (AKS)

PA-7: Dodržujte pouze dostatečný princip správy (nejnižší oprávnění)

Funkce

Azure RBAC pro rovinu dat

Popis: Azure Role-Based Access Control (Azure RBAC) je možné použít ke spravovanému přístupu k akcím roviny dat služby. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Řízení přístupu na základě role v Azure (Azure RBAC) slouží ke správě přístupu k prostředkům Azure prostřednictvím předdefinovaných přiřazení rolí. Role Azure RBAC je možné přiřadit uživatelům, skupinám, instančním objektům a spravovaným identitám.

Referenční informace: Použití Azure RBAC pro autorizaci Kubernetes

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.ContainerService:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Ve službách Kubernetes Services by se měla používat azure Role-Based Access Control (RBAC). Pokud chcete zajistit podrobné filtrování akcí, které můžou uživatelé provádět, použijte Azure Role-Based Access Control (RBAC) ke správě oprávnění v clusterech Kubernetes Service a konfiguraci příslušných zásad autorizace. Audit, zakázáno 1.0.3

PA-8: Určení procesu přístupu pro podporu poskytovatele cloudu

Funkce

Customer Lockbox

Popis: Customer Lockbox je možné použít pro přístup k podpoře Microsoftu. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Ve scénářích podpory, kdy Microsoft potřebuje získat přístup k vašim datům, použijte Customer Lockbox ke kontrole a následnému schválení nebo zamítnutí každé žádosti Microsoftu o přístup k datům.

Referenční informace: Customer Lockbox pro Microsoft Azure

Ochrana dat

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Ochrana dat.

DP-1: Zjišťování, klasifikace a označování citlivých dat

Funkce

Zjišťování a klasifikace citlivých dat

Popis: Ke zjišťování a klasifikaci dat ve službě je možné použít nástroje (například Azure Purview nebo Azure Information Protection). Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ne Neuvedeno Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována k zabezpečení této služby.

DP-2: Monitorování anomálií a hrozeb cílených na citlivá data

Funkce

Ochrana před únikem nebo ztrátou dat

Popis: Služba podporuje řešení ochrany před únikem informací pro monitorování přesunu citlivých dat (v obsahu zákazníka). Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Pokud se vyžaduje dodržování předpisů v oblasti ochrany před únikem informací, můžete použít řešení ochrany před únikem informací založené na hostiteli z Azure Marketplace nebo řešení Ochrany před únikem informací Microsoft 365 k vynucení detektivních nebo preventivních ovládacích prvků, které zabrání exfiltraci dat.

Referenční informace: Povolení Microsoft Defender pro kontejnery

DP-3: Šifrování přenášených citlivých dat

Funkce

Šifrování dat při přenosu

Popis: Služba podporuje šifrování přenášených dat pro rovinu dat. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Povolte zabezpečený přenos ve službách, kde je integrovaná funkce nativního šifrování přenášených dat. Vynucujte https u všech webových aplikací a služeb a ujistěte se, že se používá protokol TLS verze 1.2 nebo novější. Starší verze, jako je SSL 3.0 nebo TLS v1.0, by měly být zakázané. Pro vzdálenou správu Virtual Machines použijte místo nešifrovaného protokolu SSH (pro Linux) nebo RDP/TLS (pro Windows).

Referenční informace: Použití protokolu TLS s kontrolerem příchozího přenosu dat v Azure Kubernetes Service (AKS)

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.ContainerService:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Clustery Kubernetes by měly být přístupné jenom přes HTTPS. Použití protokolu HTTPS zajišťuje ověřování a chrání přenášená data před útoky na odposlouchávání na síťové vrstvě. Tato funkce je v současné době obecně dostupná pro Kubernetes Service (AKS) a ve verzi Preview pro Kubernetes s podporou Azure Arc. Další informace najdete na stránce https://aka.ms/kubepolicydoc audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno 8.1.0

DP-4: Ve výchozím nastavení povolte šifrování neaktivních uložených dat.

Funkce

Šifrování dat v klidovém stavu pomocí klíčů platformy

Popis: Šifrování neaktivních uložených dat pomocí klíčů platformy je podporováno. Veškerý uložený obsah zákazníka se šifruje pomocí těchto klíčů spravovaných Microsoftem. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Poznámky k funkcím: Šifrování na základě hostitele se liší od šifrování na straně serveru (SSE), které používá Azure Storage. Spravované disky Azure používají Službu Azure Storage k automatickému šifrování neaktivních uložených dat při ukládání dat. Šifrování na základě hostitele používá hostitele virtuálního počítače ke zpracování šifrování před tím, než data procházejí službou Azure Storage.

Pokyny ke konfiguraci: Povolte šifrování neaktivních uložených dat pomocí klíčů spravovaných platformou (spravovaných Microsoftem), které služba nenakonfiguruje automaticky.

Referenční informace: Šifrování na základě hostitele na Azure Kubernetes Service (AKS)

DP-5: Použití možnosti klíče spravovaného zákazníkem při šifrování neaktivních uložených dat v případě potřeby

Funkce

Šifrování dat v klidovém stavu pomocí CMK

Popis: Šifrování neaktivních uložených dat pomocí klíčů spravovaných zákazníkem se podporuje pro obsah zákazníka uložený službou. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: V případě potřeby pro dodržování právních předpisů definujte případ použití a obor služby, kde se vyžaduje šifrování pomocí klíčů spravovaných zákazníkem. Povolte a implementujte šifrování neaktivních uložených dat pomocí klíče spravovaného zákazníkem pro tyto služby.

Referenční informace: Šifrování na základě hostitele na Azure Kubernetes Service (AKS)

DP-6: Použití zabezpečeného procesu správy klíčů

Funkce

Správa klíčů v Azure Key Vault

Popis: Služba podporuje integraci azure Key Vault pro všechny klíče, tajné kódy nebo certifikáty zákazníků. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Pomocí Azure Key Vault můžete vytvořit a řídit životní cyklus šifrovacích klíčů, včetně generování, distribuce a úložiště klíčů. Obměňujte a odvolávejte klíče v Azure Key Vault a vaší službě na základě definovaného plánu nebo v případě, že dojde k vyřazení nebo ohrožení zabezpečení klíče. Pokud je potřeba použít klíč spravovaný zákazníkem (CMK) na úrovni úlohy, služby nebo aplikace, ujistěte se, že dodržujete osvědčené postupy pro správu klíčů: Pomocí hierarchie klíčů vygenerujte samostatný šifrovací klíč dat (DEK) s šifrovacím klíčem klíče (KEK) ve vašem trezoru klíčů. Ujistěte se, že jsou klíče zaregistrované v Azure Key Vault a odkazované prostřednictvím ID klíčů ze služby nebo aplikace. Pokud potřebujete do služby přinést vlastní klíč (BYOK) (například import klíčů chráněných HSM z místních modulů HSM do Azure Key Vault), postupujte podle doporučených pokynů a proveďte počáteční generování a přenos klíče.

Referenční informace: Šifrování na základě hostitele na Azure Kubernetes Service (AKS)

DP-7: Použití zabezpečeného procesu správy certifikátů

Funkce

Správa certifikátů v Azure Key Vault

Popis: Služba podporuje integraci azure Key Vault pro všechny zákaznické certifikáty. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Pomocí Azure Key Vault můžete vytvořit a řídit životní cyklus certifikátu, včetně vytvoření, importu, obměně, odvolání, úložiště a vymazání certifikátu. Ujistěte se, že generování certifikátů odpovídá definovaným standardům bez použití nezabezpečených vlastností, například: nedostatečná velikost klíče, příliš dlouhá doba platnosti nebo nezabezpečená kryptografie. Nastavte automatickou obměnu certifikátu v Azure Key Vault a službě Azure (pokud je podporována) na základě definovaného plánu nebo v případě vypršení platnosti certifikátu. Pokud aplikace nepodporuje automatické otáčení, ujistěte se, že se stále obměňuje pomocí ručních metod v Azure Key Vault a v aplikaci.

Referenční informace: Použití protokolu TLS s vlastními certifikáty s ovladačem CSI úložiště tajných kódů

Správa aktiv

Další informace najdete v tématu Microsoft Cloud Security Benchmark: Správa prostředků.

AM-2: Používejte jenom schválené služby

Funkce

Podpora služby Azure Policy

Popis: Konfigurace služeb je možné monitorovat a vynucovat prostřednictvím Azure Policy. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Pomocí Microsoft Defender for Cloud nakonfigurujte Azure Policy k auditování a vynucování konfigurací prostředků Azure. Azure Monitor slouží k vytváření upozornění, když se u prostředků zjistí odchylka konfigurace. K vynucení zabezpečené konfigurace napříč prostředky Azure použijte efekty Azure Policy [odepřít] a [nasadit, pokud neexistuje].

Referenční informace: Předdefinované Azure Policy AKS

Protokolování a detekce hrozeb

Další informace najdete v tématu Microsoft Cloud Security Benchmark: Protokolování a detekce hrozeb.

LT-1: Povolení možností detekce hrozeb

Funkce

Microsoft Defender pro službu / nabídku produktů

Popis: Služba má řešení Microsoft Defender specifické pro konkrétní nabídku, které umožňuje monitorovat a upozorňovat na problémy se zabezpečením. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Microsoft Defender pro kontejnery je nativní cloudové řešení, které slouží k zabezpečení kontejnerů, abyste mohli vylepšovat, monitorovat a udržovat zabezpečení clusterů, kontejnerů a jejich aplikací.

Referenční informace: Povolení Microsoft Defender pro kontejnery

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.ContainerService:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Azure Kubernetes Service clustery by měly mít povolený profil Defender. Microsoft Defender for Containers poskytuje funkce zabezpečení Kubernetes nativní pro cloud, včetně posílení zabezpečení prostředí, ochrany úloh a ochrany za běhu. Když povolíte SecurityProfile.AzureDefender v clusteru Azure Kubernetes Service, nasadí se do clusteru agent, který bude shromažďovat data událostí zabezpečení. Další informace o Microsoft Defender pro kontejnery vhttps://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks Audit, zakázáno 2.0.1

LT-4: Povolení protokolování pro šetření zabezpečení

Funkce

Protokoly prostředků Azure

Popis: Služba vytváří protokoly prostředků, které můžou poskytovat rozšířené metriky a protokolování specifické pro službu. Zákazník může tyto protokoly prostředků nakonfigurovat a odeslat je do vlastní datové jímky, jako je účet úložiště nebo pracovní prostor služby Log Analytics. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Povolte pro službu protokoly prostředků. Například Key Vault podporuje další protokoly prostředků pro akce, které získávají tajný kód z trezoru klíčů, nebo Azure SQL obsahuje protokoly prostředků, které sledují požadavky na databázi. Obsah protokolů prostředků se liší podle služby Azure a typu prostředku.

Referenční informace: Shromažďování protokolů prostředků

Správa stavu a ohrožení zabezpečení

Další informace najdete v tématu Microsoft Cloud Security Benchmark: Stav a správa ohrožení zabezpečení.

PV-3: Vytvoření zabezpečených konfigurací pro výpočetní prostředky

Funkce

Vlastní image kontejneru

Popis: Služba podporuje použití uživatelem zadaných imagí kontejneru nebo předem vytvořených imagí z marketplace s předem použitými určitými standardními konfiguracemi. Další informace

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Při používání Azure Container Registry (ACR) s Azure Kubernetes Service (AKS) musíte vytvořit mechanismus ověřování. Konfigurace požadovaných oprávnění mezi službami ACR a AKS je možné provést pomocí Azure CLI, Azure PowerShell a Azure Portal. Integrace AKS do ACR přiřadí roli AcrPull spravované identitě Azure Active Directory (Azure AD) přidružené k fondu agentů v clusteru AKS.

Referenční informace: Integrace Azure Container Registry s Azure Kubernetes Service – Azure Kubernetes Service

PV-5: Provádění posouzení ohrožení zabezpečení

Funkce

Posouzení ohrožení zabezpečení pomocí Microsoft Defender

Popis: Službu je možné zkontrolovat z hlediska kontroly ohrožení zabezpečení pomocí Microsoft Defender pro cloud nebo jinou možnost posouzení ohrožení zabezpečení vložených Microsoft Defender služeb (včetně Microsoft Defender pro server, registr kontejneru, App Service, SQL a DNS). Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Ve výchozím nastavení je při povolování plánu prostřednictvím Azure Portal nakonfigurovaná služba Microsoft Defender for Containers tak, aby automaticky nainstalovala požadované komponenty, které poskytují ochranu nabízenou plánem, včetně přiřazení výchozího pracovního prostoru.

Referenční informace: Správa ohrožení zabezpečení pro Azure Kubernetes Service – Azure Kubernetes Service

Backup a obnovení

Další informace najdete v tématu Srovnávací test zabezpečení cloudu Microsoftu: Zálohování a obnovení.

BR-1: Zajištění pravidelného automatizovaného zálohování

Funkce

Azure Backup

Popis: Službu může zálohovat služba Azure Backup. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Povolte Azure Backup a nakonfigurujte zdroj zálohování (například Azure Virtual Machines, SQL Server, databáze HANA nebo sdílené složky) s požadovanou frekvencí a s požadovanou dobou uchovávání. Pro Azure Virtual Machines můžete k povolení automatického zálohování použít Azure Policy.

Referenční informace: Zálohování Azure Kubernetes Service pomocí Azure Backup

Funkce nativního zálohování služby

Popis: Služba podporuje vlastní nativní zálohování (pokud nepoužíváte Azure Backup). Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ne Neuvedeno Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována k zabezpečení této služby.

Další kroky