Uw Azure Kubernetes Service (AKS)-implementatie beveiligen

Azure Kubernetes Service (AKS) biedt een beheerde Kubernetes-omgeving voor het implementeren en gebruiken van toepassingen in containers. Microsoft beheert het Kubernetes-besturingsvlak, terwijl u verantwoordelijk bent voor het beveiligen van de workloads, knooppuntconfiguratie, netwerken, identiteit en gegevens in uw clusters. Wanneer u AKS implementeert, is het belangrijk om de aanbevolen beveiligingsprocedures te volgen om dit gedeelde oppervlak gedurende de levenscyclus van het cluster te beveiligen.

In dit artikel vindt u beveiligingsaanaanveling voor het beveiligen van uw AKS-implementatie. Veel van deze besturingselementen zijn vooraf geconfigureerd in AKS Automatic, waarmee clusters worden gestart vanaf een beperkte basislijn en die u kunt inschakelen en beheren in AKS Standard. Zie Beveiligingsconcepten voor toepassingen en clusters in AKS voor de concepten achter deze besturingselementen, waaronder de werking van AKS-beveiliging in de build-to-runtime-pijplijn.

In de aanbevelingen voor beveiliging in dit artikel worden zero Trust-principes geïmplementeerd: 'Expliciet verifiëren', 'Minimale toegang tot bevoegdheden gebruiken' en 'Inbreuk aannemen'. Zie het Zero Trust Guidance Center voor uitgebreide richtlijnen voor Zero Trust.

Servicespecifieke beveiliging

AKS combineert Kubernetes-beveiligingsprimitief met Azure platformbesturingselementen. De volgende aanbevelingen hebben betrekking op het beperken van problemen die uniek zijn voor het uitvoeren van een beheerd Kubernetes-cluster, waaronder knooppuntintegriteit, herkomst van installatiekopieën en isolatie van werkbelastingen.

Hardening van clusters en knooppunten

  • Clusters behouden op een ondersteunde Kubernetes-versie met automatische clusterupgrades: schrijf clusters in een kanaal voor automatische upgrade in, zodat de besturingsvlak- en knooppuntgroepen Kubernetes-patches ontvangen waarmee bekende beveiligingsproblemen worden opgelost zonder handmatige tussenkomst. Zie Automatisch een AKS-cluster bijwerken voor meer informatie.
  • Beveiligingsupdates voor knooppuntbesturingssysteem automatisch toepassen: configureer het kanaal voor automatische upgrade van het knooppuntbesturingssysteem, zodat knooppunten Linux ontvangen en Windows besturingssysteembeveiligingspatches op een gedefinieerde frequentie. Zie Installatiekopieën van het besturingssysteem van AKS-clusterknooppunten automatisch upgraden voor meer informatie.
  • Pod Security Admission-standaarden afdwingen: pas de baseline- of restricted-Pod Security Standards toe op het niveau van de naamruimte om geprivilegieerde pods, het delen van hostnaamruimten en onveilige volumekoppelingen te voorkomen. Zie Uw pods beveiligen in AKS voor meer informatie.
  • FIPS-knooppuntgroepen implementeren voor gereglementeerde workloads: Schakel FIPS-knooppuntgroepen in, die gebruikmaken van door FIPS 140-3 gevalideerde cryptografische modules, wanneer workloads moeten voldoen aan vereisten zoals FedRAMP-naleving. Zie Federal Information Process Standard (FIPS) inschakelen voor AKS-knooppuntgroepen voor meer informatie.
  • Voer geen vijandige workloads met meerdere tenants uit op een gedeeld cluster: een standaard Kubernetes-cluster is geen vaste beveiligingsgrens tussen niet-vertrouwde tenants, omdat het beveiligingsdomein het hele cluster is in plaats van een afzonderlijk knooppunt. Voor workloads waarvoor sterke isolatie is vereist, gebruikt u fysiek geïsoleerde clusters, geïsoleerde VM-knooppuntgrootten of pod-sandboxing. Zie Best practices voor clusterisolatie in AKS voor meer informatie.

Containerimages en beveiliging van de toeleveringsketen

  • Implementaties beperken tot vertrouwde containerregisters: gebruik de invoegtoepassing Azure Policy om af te dwingen dat pods alleen installatiekopieën kunnen ophalen uit goedgekeurde registers, zoals uw persoonlijke Azure Container Registry, zodat niet-vertrouwde openbare installatiekopieën niet in het cluster kunnen worden uitgevoerd. Zie Uw AKS-clusters beveiligen met Azure Policy voor meer informatie.
  • Verwijder ongebruikte kwetsbare containerimages met Image Cleaner: Schakel Image Cleaner in om verouderde containerimages automatisch van knooppunten te verwijderen en het aanvalsoppervlak dat door kwetsbare containerimages wordt veroorzaakt te verkleinen. Zie Image Cleaner gebruiken voor het opschonen van kwetsbare afbeeldingen op AKS voor meer informatie.
  • Scan registers en actieve workloads met Microsoft Defender voor containers: detecteer kwetsbare installatiekopieën en onjuiste configuraties in uw register en clusters voor en na de implementatie. Zie Overzicht van Microsoft Defender for Containers voor meer informatie.

Netwerkbeveiliging

De AKS API-server is standaard bereikbaar via een openbaar eindpunt en uitgaand clusterverkeer is onbeperkt. Het beperken van zowel binnenkomende toegang tot het besturingsvlak als uitgaand verkeer van workloads is een van de meest effectieve wijzigingen die u kunt aanbrengen om het netwerkaanvaloppervlak van uw cluster te verminderen.

Identiteits- en toegangsbeheer

AKS verifieert cluster- en workloadidentiteiten via Microsoft Entra ID en autoriseert toegang via Azure RBAC en Kubernetes RBAC. Gebruik beheerde identiteiten en door Entra ondersteunde autorisatie in plaats van statische referenties of zelfstandige Kubernetes-accounts.

  • Gebruik een beheerde identiteit voor het cluster: configureer het cluster zo dat het een beheerde identiteit gebruikt, zodat AKS toegang heeft tot Azure-resources zonder statische service-principalreferenties die u moet roteren. Zie Een beheerde identiteit gebruiken in Azure Kubernetes Service (AKS) voor meer informatie.
  • Gebruik workloadidentiteit voor toegang van pods tot Azure-resources: Koppel Kubernetes-serviceaccounts via federatie aan Microsoft Entra-workloadidentiteiten, zodat pods tokens voor Azure-resources verkrijgen zonder geheimen op te slaan. Zie Microsoft Entra Workload-id gebruiken met AKS voor meer informatie.
  • Integreer clusterverificatie met Microsoft Entra ID: schakel Microsoft Entra integratie in, zodat gebruikers en groepen zich verifiëren bij het cluster met hun Entra-identiteiten in plaats van gedeelde certificaten. Zie AKS-beheerde Microsoft Entra-integratie voor meer informatie.
  • Kubernetes-API-toegang autoriseren met Azure RBAC: gebruik Azure RBAC voor Kubernetes-autorisatie en wijs de ingebouwde AKS-rollen toe (Azure Kubernetes Service RBAC Reader, Azure Kubernetes Service RBAC Writer, Azure Kubernetes Service RBAC-beheerder en Azure Kubernetes Service RBAC-clusterbeheerder) op cluster- of naamruimtebereik om toegang met minimale bevoegdheden te verlenen. Zie Clusterautorisatieconcepten voor meer informatie.
  • Lokale Kubernetes-accounts uitschakelen: schakel lokale accounts uit, zodat alle clustertoegang via Microsoft Entra ID verloopt en door Entra ondersteunde autorisatie niet kan worden omzeild met de statische inloggegevens van de clusterbeheerder. Zie Lokale accounts beheren met door AKS beheerde Microsoft Entra-integratie voor meer informatie.
  • Voorwaardelijke toegang afdwingen voor clusterbeheerders: pas beleid voor voorwaardelijke toegang toe waarvoor meervoudige verificatie en compatibele apparaten zijn vereist voor de Entra-identiteiten die AKS-clusters kunnen maken, upgraden of verwijderen en hun knooppuntgroepen, netwerken en roltoewijzingen kunnen beheren. Voor meer informatie, zie MFA vereisen voor Azure-beheer.

Gegevensbeveiliging

AKS versleutelt standaard gegevens in rust op beheerde schijven. Configureer de volgende besturingselementen om Kubernetes-geheimen te beveiligen en om uw eigen sleutels te gebruiken waar uw nalevingsvereisten om vragen.

  • Kubernetes-geheimen versleutelen in etcd met een sleutelbeheerservice: Schakel KMS-gegevensversleuteling in, zodat Kubernetes Secret-objecten worden versleuteld op de toepassingslaag voordat ze naar enzovoort worden geschreven, met behulp van door het platform beheerde sleutels of uw eigen door de klant beheerde sleutels in Azure Key Vault. Zie Concepten van gegevensversleuteling in rust voor AKS voor meer informatie.
  • Toepassingsgeheimen opslaan in Azure Key Vault: Gebruik de Azure Key Vault-provider voor Secrets Store CSI Driver om geheimen, sleutels en certificaten uit Key Vault te koppelen in plaats van ze op te slaan als Kubernetes-geheimen in onbewerkte tekst. Zie De Azure Key Vault-provider gebruiken voor het stuurprogramma Secrets Store CSI in AKS voor meer informatie.
  • Gebruik door de klant beheerde sleutels voor knooppunt- en gegevensschijven: Besturingssysteem- en gegevensschijven versleutelen met uw eigen sleutels in Key Vault wanneer u controle nodig hebt over de levenscyclus van de versleutelingssleutel. Zie Bring your own keys (BYOK) voor Azure-schijven in AKS voor meer informatie.
  • Versleuteling op basis van een host inschakelen: schakel versleuteling op basis van een host in, zodat tijdelijke schijven en caches van os-/gegevensschijven op de knooppunt-VM's in rust op de host worden versleuteld. Zie Host-gebaseerde versleuteling op AKS voor meer informatie.

Logboekregistratie en bewaking

Verzamel telemetriegegevens van clusters, besturingsvlak en werkbelasting, zodat u bedreigingen kunt detecteren en onderzoeken op uw AKS-clusters.

  • Clusters bewaken met containerinzichten: Schakel Containerinzichten in om metrische gegevens van knooppunten en containerlogboeken voor uw clusters te verzamelen in een Log Analytics werkruimte. Zie Azure Kubernetes Service (AKS) controleren voor meer informatie.
  • Auditlogboeken voor besturingsvlak verzamelen met diagnostische instellingen: configureer diagnostische instellingen om Kubernetes API-server en auditlogboekcategorieën (kube-audit, kube-audit-adminenguard) te verzenden naar Log Analytics voor beveiligingsonderzoek. Zie AKS-gegevensreferentie bewaken voor meer informatie.
  • Detectie van bedreigingen inschakelen met Microsoft Defender voor containers: schakel Defender in voor containers om waarschuwingen voor runtime-bedreigingsdetectie te ontvangen voor clusterknooppunten, workloads en het Kubernetes-besturingsvlak. Zie Overzicht van Microsoft Defender for Containers voor meer informatie.

Naleving en bestuur

Gebruik Azure Policy om beveiligingsconfiguraties consistent af te dwingen in uw AKS-clusters en om te voorkomen dat niet-compatibele workloads worden geïmplementeerd.

  • Cluster- en workloadconfiguratie afdwingen met Azure Policy voor AKS: schakel de Azure Policy-invoegtoepassing in en wijs het ingebouwde AKS-beleidsinitiatief toe om controles te controleren en af te dwingen, zoals goedgekeurde registers, resourcelimieten en geblokkeerde containers met bevoegdheden. Zie Uw AKS-clusters beveiligen met Azure Policy voor meer informatie.
  • Implementatiebeveiligingen toepassen voor aanbevolen procedures voor Kubernetes: schakel implementatiebeveiligingen in om clusterbronnen te valideren op basis van aanbevolen AKS-procedures in de waarschuwings- of afdwingingsmodus. Zie Implementatiebeveiligingen gebruiken om best practices in AKS af te dwingen voor meer informatie.
  • Wijs ingebouwde AKS-beleidsdefinities toe om specifieke besturingselementen af te dwingen: wijs ingebouwde Azure Policy definities voor AKS toe om afzonderlijke besturingselementen af te dwingen, zoals geautoriseerde IP-bereiken of privéclusters vereisen, bevoegde containers uitschakelen en interne load balancers afdwingen. Zie Azure Policy ingebouwde definities voor AKS voor meer informatie.

Back-up en herstel

Beveilig de clusterstatus en toepassingsgegevens, zodat u kunt herstellen na onbedoeld verwijderen, beschadigd of een mislukte upgrade.

  • Maak een back-up van de clusterstatus en permanente volumes met AKS-back-up: gebruik AKS-back-up met een Backup-kluis om back-ups van clusterbronnen en permanente volumes te plannen die worden ondersteund door Azure Schijf en Azure Files (SMB) en om een naamruimte of een volledig cluster te herstellen. Zie Wat is Azure Kubernetes Service (AKS) back-up? voor meer informatie.
  • Toegang tot back-ups verlenen met vertrouwde toegang in plaats van uitgebreide machtigingen: Schakel Vertrouwde toegang in, zodat de Backup-kluis het cluster bereikt met machtigingen binnen het bereik in plaats van permanente beheerderstoegang te vereisen. Zie Azure resources inschakelen voor toegang tot AKS-clusters met vertrouwde toegang voor meer informatie.

Volgende stappen 

  • Laatst bijgewerkt om