Introduction
Azure services de conteneur permettent aux équipes de développement de créer, stocker et exécuter des applications dans des environnements isolés et portables. Les registres de conteneurs contiennent les images dont dépendent les charges de travail, les instances de conteneur exécutent ces images en tant que travaux de courte durée ou de longue durée, et les environnements d’application conteneur fournissent une plateforme managée pour les microservices à grande échelle. Chaque couche introduit un ensemble distinct de contrôles de sécurité qui doivent être configurés intentionnellement , les services de conteneur ne sont pas sécurisés par défaut.
Contoso Retail exécute une partie importante de sa plateforme de commerce électronique sur Azure services de conteneur, et un examen récent de la sécurité a découvert trois lacunes. Le registre de conteneurs s’appuie sur son compte d’administrateur intégré pour l’authentification. Ce compte donne à chaque développeur et pipeline le même ensemble d’informations d’identification avec un accès au Registre complet, et aucune action individuelle n’est traceable vers une identité spécifique. Les charges de travail des instances de conteneur qui gèrent les données d’inventaire transmettent les chaînes de connexion à la base de données sous forme de variables d’environnement en texte brut dans des modèles ARM validés dans le contrôle de code source, ce qui rend chaque secret visible à toute personne ayant accès au dépôt. L’environnement Container Apps qui sert les API côté client a une entrée externe activée pour chaque service, y compris les services principaux internes qui ne doivent jamais être accessibles à partir de l’Internet public.
Ces trois lacunes suivent le même modèle : accès aux informations d’identification par défaut, gestion des secrets en texte clair et exposition réseau illimitée. Les contrôles à fermer suivent un modèle correspondant : désactivez les informations d’identification par défaut, utilisez des identités managées pour l’authentification, appliquez l’isolation réseau et stockez les secrets dans Azure Key Vault.
Ce module traite les trois couches. Vous implémentez RBAC, les points de terminaison privés et la confiance du contenu pour Azure Container Registry ; utilisez des identités managées et l’intégration au réseau virtuel pour Azure Container Instances ; et configurez les contrôles d’entrée, les identités managées et la gestion des secrets basée sur Key Vault pour les environnements Azure Container Apps.
Objectifs d’apprentissage
À l’issue de ce module, vous pourrez :
- Implémenter des contrôles d’accès et une isolation réseau pour Azure Container Registry
- Configurer des contrôles de sécurité pour les charges de travail Azure Container Instances
- Appliquer des contrôles d’entrée, une identité managée et une gestion des secrets pour Azure Container Apps