Summary
L’examen de sécurité de Contoso Retail a identifié trois lacunes de sécurité de conteneur : un registre utilisant des informations d’identification d’administrateur partagé, des charges de travail de conteneur passant des secrets en tant que variables d’environnement de texte brut et un environnement Container Apps avec une entrée publique illimitée sur chaque service. Ce module a fermé chaque écart à l’aide du même ensemble de contrôles qui s’appliquent aux trois couches de service de conteneur Azure.
Ce que vous avez accompli
Vous avez sécurisé Azure Container Registry en désactivant le compte d’administrateur et en le remplaçant par des attributions de rôles RBAC limitées à des identités et opérations spécifiques. Les développeurs et les pipelines s’authentifient désormais avec des identités Microsoft Entra ID, et chaque action de Registre est attribuable à un utilisateur ou une charge de travail spécifique. Les jetons de scope map donnaient aux pipelines CI/CD les autorisations minimales nécessaires pour leur référentiel spécifique sans accorder d’accès au reste du registre. Les points de terminaison privés ont supprimé l’accès au registre depuis le réseau public, et la confiance du contenu a imposé que les images soient signées cryptographiquement avant de pouvoir être stockées.
Pour Azure Container Instances, vous avez affecté des identités managées à des groupes de conteneurs et remplacé des variables d’environnement de texte brut par des références secrètes Key Vault que l’identité managée récupère au moment de l’exécution. Le manifeste de déploiement ne contient plus de valeurs sensibles et les valeurs secrètes ne sont pas visibles dans Azure métadonnées du portail ou les réponses d'API. Les conteneurs s’exécutent désormais dans un réseau virtuel avec des adresses IP privées, fonctionnent en tant qu’utilisateurs nonroot et utilisent des systèmes de fichiers racines en lecture seule.
Dans Azure Container Apps, vous avez séparé les services par niveau de confiance entre les environnements, attribué des identités managées pour la récupération d’images et l’accès à Key Vault, et configuré le trafic entrant interne afin de maintenir les API de back-end hors de l’Internet public. Les références Key Vault ont remplacé les secrets définis au niveau de l’environnement pour les chaînes de connexion et les informations d’identification. Pour les services utilisant Dapr, le TLS mutuel automatique a chiffré toutes les communications entre services sans gestion des certificats ni modification du code d’application.