コンテナーのMicrosoft Defenderのトラブルシューティング

この記事では、サポートされているすべての環境におけるコンテナーのMicrosoft Defenderでの一般的なデプロイと運用上の問題に関するトラブルシューティング ガイダンスを提供します。

Azure Kubernetes Service (AKS)

デプロイに関する一般的な問題

• Defender センサーのインストールが失敗します

  • Symptoms:kubectl get pods -n kube-system -l app=defender は、、Pending、または CrashLoopBackOff 内の Error ポッドを示します。
  • 解決方法:
    • リソースが不足しています。 ノードの容量を確認します。 kubectl top nodesを使用して、ノードにセンサーをスケジュールするのに十分な CPU とメモリがあるかどうかを確認します。
    • ネットワーク エグレス: クラスター ファイアウォールまたは NSG で 、必要な FQDN への送信トラフィックが許可されていることを確認します。
    • Taint と Toleration: ノードテイントによって、特定のノード プールへのポッドのスケジューリングが妨げられないようにします。

• 不足している推奨事項

  • Symptoms: クラスターは "正常" と表示されますが、"AKS クラスターには Defender プロファイルが有効になっている必要があります" などの特定の推奨事項がありません。
  • 解決方法:
    • 待機時間: 評価スキャンは、ダッシュボードに反映されるまでに最大 24 時間かかることがあります。
    • 除外タグ: リソースにタグ ms_defender_container_exclude_sensors = trueがあるかどうかを確認します。
    • Policy アドオン: Azure Policy アドオンがインストールされていることを確認します。インストールしないと、構成ベースの推奨事項はトリガーされません。

脆弱性スキャンの問題

• Azure Container Registry でイメージの脆弱性調査結果が見つからない

  • Symptoms: Azure Container Registryに格納されている画像に対して脆弱性の結果は表示されません。
  • 解決方法:
    • Registry scanning: コンテナーのDefenderに関連するレジストリ スキャン機能が有効になっていることを確認します。 Azure ポータルで、関連するスコープに対して Registry アクセスが有効になっていることを確認します。
    • 詳細な調査: レジストリ スキャンが有効になっていて、結果がまだ見つからない場合は、レジストリ名、イメージ名、イメージ ダイジェスト、予期される検索の詳細を含むサポート ケースを開きます。

• AKS クラスターで実行されているイメージの脆弱性の検出結果が見つかりません

  • 症状： AKS ワークロードで現在実行されているイメージの脆弱性の結果は表示されません。
  • 解決方法:
    • 耐力スキャン: コンテナーのDefenderに関連する脆弱性スキャン機能が有効になっていることを確認します。 ランタイムの脆弱性の結果は、レジストリ スキャンやディスク スキャンの結果など、実行中のイメージで使用可能なスキャン結果によって異なります。
    • ポッド インベントリコレクション: クラスターに対してポッド インベントリコレクションが有効になっていることを確認します。 AKS の場合、ポッド インベントリは、デプロイ構成に応じて、Defender センサーまたはエージェントレスコレクションによって収集できます。
    • 詳細な調査: 脆弱性スキャンとポッド インベントリ収集が有効になっていても、結果が見つからない場合は、クラスター名、名前空間、ワークロード名、イメージ名、およびイメージ ダイジェストを含むサポート ケースを開きます。

Amazon Elastic Kubernetes Service (EKS) (アマゾン エラスティック Kubernetes サービス (EKS))

コネクタと検出

• AWS コネクタが切断されました

  • CloudFormation の状態: AWS CloudFormation コンソールを調べて、オンボード スタックが CREATE_COMPLETE 状態であることを確認します。
  • アクセス 許可：MDCContainersAgentlessDiscoveryK8sRole ロールが変更されていないことを確認します。 このロールは、Defender for Cloudが EKS API を介してクラスターを検出するために必要です。

• インベントリに EKS クラスターが表示されない

  • Kubernetes API アクセス: AWS コネクタの設定で、このコンポーネントが [オン ] に切り替っていることを確認します。
  • IAM ID マッピング:aws-auth ConfigMap が更新され、Defender for Cloud ロールが含まれるようにするか、ロールに対して EKS アクセス エントリが作成されていることを確認します。

脆弱性スキャンの問題

• Amazon Elastic Container Registry で画像の脆弱性の発見が見つからない

  • 症状： Amazon Elastic Container Registry に格納されているイメージの脆弱性の結果は表示されません。
  • 解決方法:
    • Registry scanning: コンテナーのDefenderに関連するレジストリ スキャン機能が有効になっていることを確認します。 AWS コネクタの設定で、 レジストリアクセス が有効になっていることを確認します。
    • 詳細な調査: レジストリ スキャンが有効になっていて、結果がまだ見つからない場合は、レジストリ名、イメージ名、イメージ ダイジェスト、予期される検索の詳細を含むサポート ケースを開きます。

• EKS クラスターで実行されているイメージの脆弱性の検出結果が見つかりません

  • 症状： EKS ワークロードで現在実行されているイメージの脆弱性の結果は表示されません。
  • 解決方法:
    • 耐力スキャン: コンテナーのDefenderに関連する脆弱性スキャン機能が有効になっていることを確認します。 ランタイムの脆弱性の結果は、レジストリ スキャンやディスク スキャンの結果など、実行中のイメージで使用可能なスキャン結果によって異なります。
    • ポッド インベントリコレクション: クラスターに対してポッド インベントリコレクションが有効になっていることを確認します。 ポッド インベントリは、デプロイの構成に応じて、Defender センサーまたはエージェントレスコレクションによって収集できます。
    • コネクタとアクセス許可: AWS コネクタと必要なクラウドのアクセス許可が正しく構成されていることを確認します。
    • 詳細な調査: 脆弱性のスキャン、ポッド インベントリの収集、コネクタのアクセス許可が構成されていても、結果がまだ見つからない場合は、クラスター名、名前空間、ワークロード名、イメージ名、イメージ ダイジェストを含むサポート ケースを開きます。

ランタイム アラート

• コントロールプレーンのアラートは生成されません
  • 監査ログ: 監査ログは、クラスターごとに有効にする必要があります。 aws eks update-cluster-config --name <cluster-name> --logging '{"clusterLogging":[{"types":["audit","authenticator"],"enabled":true}]}' を実行します。
  • SQS 構成: CloudTrail がコネクタで使用される SQS キューにログを正しく送信していることを確認します。 コネクタの設定で SQS ARN が正確であることを確認します。

Google Kubernetes Engine (GKE)

姿勢と発見

• GKE Autopilot の制限事項

  Important

  GKE Autopilot クラスターでは、Defender センサーのリソース制限を手動で構成またはオーバーライドすることはできません。 このセンサーは、Autopilot の特殊なスケジューリングに必要な最小限のリソースを自動的に要求するように設計されています。

• サービス アカウントのエラー

  • サービス アカウントの電子メール: Azure ポータルのサービス アカウントの電子メールが、GCP コンソールで生成された電子メールと一致します。
  • IAM ロール: サービス アカウントにプロジェクト レベルで container.viewer ロールと container.clusters.update ロールがあることを確認します。

レジストリ評価の問題

• Artifact Registry に脆弱性の検出結果が見つからない

  • 症状： Google Artifact Registry に保存されているイメージに対して脆弱性の結果は表示されません。
  • 解決方法:
    • Registry scanning: コンテナーのDefenderに関連するレジストリ スキャン機能が有効になっていることを確認します。 GCP コネクタの設定で、 レジストリ アクセス が有効になっていることを確認します。
    • 詳細な調査: レジストリ スキャンが有効になっていて、結果がまだ見つからない場合は、レジストリ名、イメージ名、イメージ ダイジェスト、予期される検索の詳細を含むサポート ケースを開きます。

• GKE クラスターで実行されているイメージの脆弱性の検出結果が見つかりません

  • 症状： GKE ワークロードで現在実行されているイメージの脆弱性の結果は表示されません。
  • 解決方法:
    • 耐力スキャン: コンテナーのDefenderに関連する脆弱性スキャン機能が有効になっていることを確認します。 ランタイムの脆弱性の結果は、レジストリ スキャンやディスク スキャンの結果など、実行中のイメージで使用可能なスキャン結果によって異なります。
    • ポッド インベントリコレクション: クラスターに対してポッド インベントリコレクションが有効になっていることを確認します。 ポッド インベントリは、デプロイの構成に応じて、Defender センサーまたはエージェントレスコレクションによって収集できます。
    • コネクタとアクセス許可: GCP コネクタと必要なクラウドのアクセス許可が正しく構成されていることを確認します。
    • 詳細な調査: 脆弱性スキャンとポッド インベントリ収集が有効になっていても、結果が見つからない場合は、クラスター名、名前空間、ワークロード名、イメージ名、およびイメージ ダイジェストを含むサポート ケースを開きます。

Arc 対応 Kubernetes

アーク接続

• クラスターの状態 "Disconnected"
  • Network Egress: クラスターが TCP 443 上の必要なAzure Arc エンドポイントに到達できることを確認します。
  • 時刻同期: ノード システム時間が正確で NTP 経由で同期されていることを確認します。 ノード時間が大幅にずれると、Arc 証明書ハンドシェイクは失敗し、コンポーネントのデプロイが妨げられます。
  • プロキシの構成:環境でプロキシを使用している場合は、http_proxyの手順で Arc エージェントが正しいhttps_proxyとaz connectedk8s connect設定で構成されていることを確認します。

拡張機能の管理

• Defender拡張機能が "作成中" または "失敗" でスタックしています

  • エージェント ログ: Arc エージェント ログで詳細なエラーを確認します。 kubectl logs -n azure-arc -l app.kubernetes.io/component=cluster-agent
  • 再インストール： 拡張機能が動かないままの場合は、CLI を使用して削除して再作成します。 az k8s-extension delete --cluster-name <name> --resource-group <rg> --cluster-type connectedClusters --name microsoft.azuredefender.kubernetes

• Defender センサー ポッドの "ImagePullBackOff"

  • 症状： ポッドは、イメージ プル エラーで開始できません。
  • 解決方法:
    • MCR Connectivity: ノードが mcr.microsoft.com に到達して、Defender センサー イメージをプルできることを確認します。
    • 名前空間の競合: 他のセキュリティ ソリューションまたはアドミッション コントローラーが mdc 名前空間に干渉しないようにします。

アラート シミュレーションによる検証

Kubernetes アラート シミュレーション ツールを使用して、コンテナーのDefenderがクラスターのアラートを生成し、Defender for Cloudに送信できることを確認します。

関連するコンテンツ

• Azure CLI を使用して、Defender センサーとAzure Policyをクラスターにデプロイします。

• Helmを使用してDefender センサーをインストール。