Defender for Containers-sensor installeren met Behulp van Helm

Om de implementatie- en upgradetiming te regelen in je Azure Kubernetes Service (AKS), Amazon Elastic Kubernetes Service (EKS) en Google Kubernetes Engine (GKE) clusters, installeer en configureer je de Defender for Containers sensor met behulp van Helm. Zorg ervoor dat je aan de vereisten voldoet voordat je begint.

Defender voor Containers ondersteunt meerdere sensorimplementatiemodellen, waaronder automatische inrichting en installatie op basis van Helm. Implementatie op basis van Helm biedt u meer controle over versiebeheer en tijdsinstellingen voor upgrades, maar u beheert een deel van het operationele werk. Wanneer u op Helm gebaseerde implementatie gebruikt, kunt u het volgende overwegen:

  • Sensor-upgrades: Door gebruik te maken van een op Helm gebaseerde uitrol, kun je sensor-upgrades en de planning beheren. Automatische voorzieningen volgen de door Microsoft beheerde implementatieschema's.

  • Automatische installatiestromen: Wanneer u de sensor implementeert met behulp van Helm, slaat u automatische prompts en aanbevelingen over in de Azure-portal om conflicten met de bestaande implementatie te voorkomen.

Prerequisites

Voordat u de sensor installeert met behulp van Helm, moet u de volgende vereisten voltooien:

De Helm-grafiek installeren

Defender voor Helm-grafieken voor containers worden gepubliceerd naar mcr.microsoft.com/azuredefender/microsoft-defender-for-containers.

Voor de grafiek zijn cluster-id-waarden vereist onder global.cloudIdentifiers. U kunt deze waarden inline --setopgeven, zoals wordt weergegeven in de volgende voorbeelden of met behulp van een waardenbestand.

Om de nieuwste versie van de Helm chart te installeren, gebruikt u het basis Helm install-commando. Geef de vereiste global.cloudIdentifiers waarden op met behulp van een waardenbestand of inline met --set, zoals wordt weergegeven in de omgevingsspecifieke voorbeelden:

helm install defender-k8s oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers

U kunt de gepubliceerde versies weergeven door de volgende opdracht uit te voeren:

curl https://mcr.microsoft.com/v2/azuredefender/microsoft-defender-for-containers/tags/list

Als u een specifieke versie wilt installeren, neemt u de versietag op:

helm install defender-k8s oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers:<tag>

Als u configureerbare grafiekwaarden wilt inspecteren, zoals functievlagmen of resourcelimieten voor pods, haalt u de grafiek op en controleert u het values.yaml bestand:

helm pull oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers

De sensor voor uw omgeving installeren:

Gebruik de mdc naamruimte voor standaard AKS-clusters.

Gebruik de kube-system naamruimte voor automatische AKS-clusters.

Als uw AKS-cluster al een bestaande Defender voor Containers-installatie heeft, schakelt u de bestaande installatie uit, zoals beschreven in Configure Defender for Containers for Azure en verwijdert u eventueel overgebleven bronnen door de volgende opdrachten uit te voeren:

kubectl delete crd/policies.defender.microsoft.com || true
kubectl delete crd/policytemplates.defender.microsoft.com || true
kubectl delete crd/runtimepolicies.defender.microsoft.com || true
kubectl delete crd/securityartifactpolicies.defender.microsoft.com || true
kubectl delete ClusterRole defender-admission-controller-cluster-role || true
kubectl delete ClusterRole defender-admission-controller-resource-cluster-role || true
kubectl delete ClusterRoleBinding defender-admission-controller-cluster-role-binding || true
kubectl delete ClusterRoleBinding defender-admission-controller-cluster-resource-role-binding || true

Installeer de sensor:

helm install defender-k8s oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers \
    --create-namespace --namespace <namespace> \
    --set global.cloudIdentifiers.Azure.subscriptionId="<cluster-subscription-id>" \
    --set global.cloudIdentifiers.Azure.resourceGroupName="<cluster-resource-group>" \
    --set global.cloudIdentifiers.Azure.clusterName="<cluster-name>" \
    --set global.cloudIdentifiers.Azure.region="<cluster-region>"

Vervangen <namespace> door:

  • mdc voor AKS-standaardclusters.
  • kube-system voor geautomatiseerde AKS-clusters.

De installatie controleren

Controleer de installatie met behulp van dezelfde naamruimte die u hebt gebruikt om de grafiek te installeren.

helm list --namespace mdc

Als het STATUS veld toont deployed, is de installatie geslaagd.

Beveiligingsregels voor gated-implementatie configureren

Note

Kubernetes-gated implementatie wordt alleen ondersteund op AKS Automatische clusters wanneer de sensor wordt geïnstalleerd met behulp van Helm in de kube-system naamruimte. Add-on deployment wordt in dit scenario niet ondersteund.

Belangrijk

Wanneer u regels maakt, kan het geselecteerde abonnement worden weergegeven als not supported for Gated deployment. Deze status treedt op omdat u de onderdelen van Defender for Containers hebt geïnstalleerd met behulp van Helm in plaats van via de automatische installatie van het dashboard.

Definieer beveiligingsregels om te bepalen wat u in uw Kubernetes-clusters kunt implementeren. Deze regels kunnen containerinstallatiekopieën blokkeren of controleren die niet voldoen aan uw beveiligingscriteria.

  1. Meld u aan bij het Azure-portaal.

  2. Ga naar Defender voor Cloud>Omgevingsinstellingen.

  3. Selecteer Beveiligingsregels.

  4. Selecteer Evaluatie vanbeveiligingsproblemen met >.

  5. Selecteer een regel om deze te bewerken of selecteer + Regel toevoegen om een nieuwe regel te maken.

Bestaande aanbevelingen afhandelen

Belangrijk

Als u de sensor installeert met behulp van Helm, gebruikt u geen bestaande Defender voor Cloud aanbevelingen om het Defender-profiel of de Arc-extensie voor hetzelfde cluster te installeren. Door deze aanbevelingen aan te pakken, kan er een conflicterende implementatie ontstaan.

Afhankelijk van uw implementatietype worden de volgende aanbevelingen mogelijk nog steeds weergegeven in Defender voor Cloud. Controleer of ze verwijzen naar automatische deploymentprocessen en negeer ze vervolgens voor clusters die je met Helm hebt geïmplementeerd.

Een bestaande Helm-gebaseerde implementatie upgraden

Met een Helm-gebaseerde implementatie beheer je sensorupgrades. Defender voor Cloud past ze niet automatisch toe.

Voer de volgende opdracht uit om een bestaande Helm-implementatie bij te werken. Gebruik de naamruimte die u tijdens de installatie hebt gebruikt.

helm upgrade defender-k8s \
    oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers \
    --namespace <namespace> \
    --reuse-values

Vervang <namespace> door de naamruimte die u tijdens de installatie hebt gebruikt.

De --reuse-values parameter bewaart uw bestaande aangepaste waarden tijdens de upgrade.

Voor <namespace>, gebruik:

  • mdc voor standaard AKS-, EKS- en GKE-clusters.
  • kube-system voor geautomatiseerde AKS-clusters.

Als de upgrade mislukt vanwege resourceconflicten, voegt u de volgende opties toe aan de upgradeopdracht:

--server-side=true --resolve-conflicts

Volgende stap

Veelgestelde vragen over het beveiligen van containers

  • Laatst bijgewerkt om