Azure Policy voor Kubernetes-clusters

Azure Policy breidt Gatekeeper v3, een toegangscontrollerwebhook voor Open Policy Agent (OPA) uit om afdwinging en beveiliging op schaal toe te passen op uw clusteronderdelen op een gecentraliseerde, consistente manier. Clusteronderdelen omvatten pods, containers en naamruimten.

Met Azure Policy kunt u vanaf één locatie de nalevingsstatus van uw Kubernetes-clusteronderdelen beheren en rapporteren. Door de invoegtoepassing of extensie van Azure Policy te gebruiken, wordt het beheren van uw clusteronderdelen uitgebreid met Azure Policy-functies, zoals de mogelijkheid om selectors en onderdrukkingen te gebruiken voor veilige beleidsrollout en rollback.

Azure Policy voor Kubernetes ondersteunt de volgende typen clusteromgevingen:

• Azure Kubernetes Service (AKS) via de invoegtoepassing van Azure Policy voor AKS
• Kubernetes met Azure Arc, via de extensie van Azure Policy voor Arc

Belangrijk

Het Helm-model van de Azure Policy-invoegtoepassing en de invoegtoepassing voor de AKS-engine zijn afgeschaft. Volg de instructies om de invoegtoepassingen te verwijderen.

Overzicht

Door de invoegtoepassing of extensie van Azure Policy te installeren op uw Kubernetes-clusters, voert Azure Policy de volgende functies uit:

• Hiermee wordt gecontroleerd met de Azure Policy-service voor beleidstoewijzingen aan het cluster.
• Hiermee worden beleidsdefinities in het cluster geïmplementeerd als beperkingssjabloon en aangepaste resources beperkt of als mutatiesjabloonresource (afhankelijk van inhoud van beleidsdefinitie).
• Rapporteert controle- en nalevingsgegevens terug naar de Azure Policy-service.

Voer de volgende acties uit om Azure Policy in te schakelen en te gebruiken met uw Kubernetes-cluster:

1. Configureer uw Kubernetes-cluster en installeer de invoegtoepassing Azure Kubernetes Service (AKS) of de extensie van Azure Policy voor Kubernetes-clusters met Arc (afhankelijk van uw clustertype).

   Notitie

   Zie Problemen oplossen - Azure Policy-invoegtoepassing voor veelvoorkomende problemen met de installatie.

2. Een Azure Policy-voorbeelddefinitie voor Kubernetes maken of gebruiken

3. Een definitie toewijzen aan uw Kubernetes-cluster

4. Wachten op validatie

5. Logboekregistratie en problemen oplossen

6. Bekijk beperkingen en aanbevelingen in de sectie Veelgestelde vragen

Azure Policy-invoegtoepassing voor AKS installeren

Vereisten

1. Registreer de resourceproviders en preview-functies.

   • Azure Portal:

     Registreer de Microsoft.PolicyInsights resourceproviders. Zie Resourceproviders en -typen voor stappen.

   • Azure CLI:

     # Log in first with az login if you're not using Cloud Shell
     
     # Provider register: Register the Azure Policy provider
     az provider register --namespace Microsoft.PolicyInsights
     

2. U hebt Azure CLI versie 2.12.0 of hoger geïnstalleerd en geconfigureerd. Voer az --version uit om de versie te bekijken. Als u uw CLI wilt installeren of upgraden, raadpleegt u De Azure CLI installeren.

3. Het AKS-cluster moet een ondersteunde Kubernetes-versie in Azure Kubernetes Service (AKS) zijn. Gebruik het volgende script om de versie van uw AKS-cluster te valideren:

   # Log in first with az login if you're not using Cloud Shell
   
   # Look for the value in kubernetesVersion
   az aks list
   

4. Open poorten voor de Azure Policy-extensie. De Azure Policy-extensie maakt gebruik van deze domeinen en poorten om beleidsdefinities en toewijzingen op te halen en naleving van het cluster te rapporteren aan Azure Policy.

   Domain	Poort
   data.policy.core.windows.net	443
   store.policy.core.windows.net	443
   login.windows.net	443
   dc.services.visualstudio.com	443

Nadat de vereisten zijn voltooid, installeert u de Azure Policy-invoegtoepassing in het AKS-cluster dat u wilt beheren.

• Azure Portal

  1. Start de AKS-service in Azure Portal door Alle services te selecteren en vervolgens Kubernetes-services te zoeken en te selecteren.

  2. Selecteer een van uw AKS-clusters.

  3. Selecteer Beleidsregels aan de linkerkant van de Kubernetes-servicepagina.

  4. Selecteer op de hoofdpagina de knop Invoegtoepassing inschakelen.

• Azure-CLI

  # Log in first with az login if you're not using Cloud Shell
  
  az aks enable-addons --addons azure-policy --name MyAKSCluster --resource-group MyResourceGroup
  

Voer de volgende opdracht uit om te controleren of de installatie van de invoegtoepassing is geslaagd en of de azure-policy - en gatekeeper-pods worden uitgevoerd:

# azure-policy pod is installed in kube-system namespace
kubectl get pods -n kube-system

# gatekeeper pod is installed in gatekeeper-system namespace
kubectl get pods -n gatekeeper-system

Controleer ten slotte of de nieuwste invoegtoepassing is geïnstalleerd door deze Azure CLI-opdracht uit te voeren, waarbij u <rg> de naam van uw resourcegroep en <cluster-name> de naam van uw AKS-cluster vervangt: az aks show --query addonProfiles.azurepolicy -g <rg> -n <cluster-name> Het resultaat moet er ongeveer uitzien als de volgende uitvoer voor clusters met behulp van service-principals:

{
  "config": null,
  "enabled": true,
  "identity": null
}

En de volgende uitvoer voor clusters met beheerde identiteit:

 {
   "config": null,
   "enabled": true,
   "identity": {
     "clientId": "########-####-####-####-############",
     "objectId": "########-####-####-####-############",
     "resourceId": "<resource-id>"
   }
 }

Azure Policy-extensie installeren voor Kubernetes met Azure Arc

Met Azure Policy voor Kubernetes kunt u vanaf één locatie de nalevingsstatus van uw Kubernetes-clusters beheren en rapporteren. Met de extensie van Azure Policy voor Kubernetes-clusters met Arc kunt u de kubernetes-clusteronderdelen met Arc beheren, zoals pods en containers.

In dit artikel wordt beschreven hoe u de extensiestatus maakt, weergeeft en de Azure Policy voor Kubernetes-extensie verwijdert.

Zie Azure Arc-clusterextensies voor een overzicht van het uitbreidingsplatform.

Vereisten

Als u Azure Policy voor Kubernetes al hebt geïmplementeerd in een Azure Arc-cluster met behulp van Helm rechtstreeks zonder extensies, volgt u de instructies om de Helm-grafiek te verwijderen. Nadat het verwijderen is voltooid, kunt u doorgaan.

1. Zorg ervoor dat uw Kubernetes-cluster een ondersteunde distributie is.

   Notitie

   Azure Policy voor Arc-extensie wordt ondersteund in de volgende Kubernetes-distributies.

2. Zorg ervoor dat u voldoet aan alle algemene vereisten voor Kubernetes-extensies die hier worden vermeld, inclusief het verbinden van uw cluster met Azure Arc.

   Notitie

   Azure Policy-extensie wordt ondersteund voor Kubernetes-clusters met Arc in deze regio's.

3. Open poorten voor de Azure Policy-extensie. De Azure Policy-extensie maakt gebruik van deze domeinen en poorten om beleidsdefinities en toewijzingen op te halen en naleving van het cluster te rapporteren aan Azure Policy.

   Domain	Poort
   data.policy.core.windows.net	443
   store.policy.core.windows.net	443
   login.windows.net	443
   dc.services.visualstudio.com	443

4. Voordat u de Azure Policy-extensie installeert of een van de servicefuncties inschakelt, moet uw abonnement de Microsoft.PolicyInsights resourceproviders inschakelen.

   Notitie

   Als u de resourceprovider wilt inschakelen, volgt u de stappen in resourceproviders en typen of voert u de Azure CLI- of Azure PowerShell-opdracht uit.

   • Azure-CLI

     # Log in first with az login if you're not using Cloud Shell
     # Provider register: Register the Azure Policy provider
     az provider register --namespace 'Microsoft.PolicyInsights'
     

   • Azure PowerShell

     # Log in first with Connect-AzAccount if you're not using Cloud Shell
     
     # Provider register: Register the Azure Policy provider
     Register-AzResourceProvider -ProviderNamespace 'Microsoft.PolicyInsights'
     

Azure Policy-extensie maken

Notitie

Let op het volgende voor het maken van de Azure Policy-extensie:

• Automatische upgrade is standaard ingeschakeld, waardoor de secundaire versie van de Azure Policy-extensie wordt bijgewerkt als er nieuwe wijzigingen worden geïmplementeerd.
• Proxyvariabelen die als parameters connectedk8s worden doorgegeven, worden doorgegeven aan de Azure Policy-extensie ter ondersteuning van uitgaande proxy.

Als u een extensie-exemplaar wilt maken, voert u voor uw cluster met Arc de volgende opdracht uit, waarbij <> u de waarden vervangt:

az k8s-extension create --cluster-type connectedClusters --cluster-name <CLUSTER_NAME> --resource-group <RESOURCE_GROUP> --extension-type Microsoft.PolicyInsights --name <EXTENSION_INSTANCE_NAME>

Voorbeeld:

az k8s-extension create --cluster-type connectedClusters --cluster-name my-test-cluster --resource-group my-test-rg --extension-type Microsoft.PolicyInsights --name azurepolicy

Voorbeelduitvoer:

{
  "aksAssignedIdentity": null,
  "autoUpgradeMinorVersion": true,
  "configurationProtectedSettings": {},
  "configurationSettings": {},
  "customLocationSettings": null,
  "errorInfo": null,
  "extensionType": "microsoft.policyinsights",
  "id": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/my-test-rg/providers/Microsoft.Kubernetes/connectedClusters/my-test-cluster/providers/Microsoft.KubernetesConfiguration/extensions/azurepolicy",
 "identity": {
    "principalId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
    "tenantId": null,
    "type": "SystemAssigned"
  },
  "location": null,
  "name": "azurepolicy",
  "packageUri": null,
  "provisioningState": "Succeeded",
  "releaseTrain": "Stable",
  "resourceGroup": "my-test-rg",
  "scope": {
    "cluster": {
      "releaseNamespace": "kube-system"
    },
    "namespace": null
  },
  "statuses": [],
  "systemData": {
    "createdAt": "2021-10-27T01:20:06.834236+00:00",
    "createdBy": null,
    "createdByType": null,
    "lastModifiedAt": "2021-10-27T01:20:06.834236+00:00",
    "lastModifiedBy": null,
    "lastModifiedByType": null
  },
  "type": "Microsoft.KubernetesConfiguration/extensions",
  "version": "1.1.0"
}

Azure Policy-extensie weergeven

Als u wilt controleren of het maken van het extensie-exemplaar is geslaagd en de metagegevens van de extensie wilt controleren, voert u de volgende opdracht uit die vervangt <> door uw waarden:

az k8s-extension show --cluster-type connectedClusters --cluster-name <CLUSTER_NAME> --resource-group <RESOURCE_GROUP> --name <EXTENSION_INSTANCE_NAME>

Voorbeeld:

az k8s-extension show --cluster-type connectedClusters --cluster-name my-test-cluster --resource-group my-test-rg --name azurepolicy

Voer de volgende opdracht uit om te controleren of de installatie van de extensie is geslaagd en of de azure-policy- en gatekeeper-pods worden uitgevoerd:

# azure-policy pod is installed in kube-system namespace
kubectl get pods -n kube-system

# gatekeeper pod is installed in gatekeeper-system namespace
kubectl get pods -n gatekeeper-system

Azure Policy-extensie verwijderen

Als u het extensie-exemplaar wilt verwijderen, voert u de volgende opdracht uit die vervangt <> door uw waarden:

az k8s-extension delete --cluster-type connectedClusters --cluster-name <CLUSTER_NAME> --resource-group <RESOURCE_GROUP> --name <EXTENSION_INSTANCE_NAME>

Een beleidsdefinitie maken

De Taalstructuur van Azure Policy voor het beheren van Kubernetes volgt die van bestaande beleidsdefinities. Er zijn voorbeelddefinitiebestanden beschikbaar om toe te wijzen in de ingebouwde beleidsbibliotheek van Azure Policy die kan worden gebruikt om uw clusteronderdelen te beheren.

Azure Policy voor Kubernetes biedt ook ondersteuning voor het maken van aangepaste definities op onderdeelniveau voor zowel Azure Kubernetes Service-clusters als Kubernetes-clusters met Azure Arc. Beperkte sjabloon- en mutatiesjabloonvoorbeelden zijn beschikbaar in de Gatekeeper-communitybibliotheek. De VS Code-extensie van Azure Policy kan worden gebruikt om een bestaande beperkingssjabloon of mutatiesjabloon te vertalen naar een aangepaste Azure Policy-beleidsdefinitie.

Met de resourceprovidermodus van Microsoft.Kubernetes.Dataworden de effectencontrole, weigeren, uitgeschakeld en muteren gebruikt om uw Kubernetes-clusters te beheren.

Controle en weigeren moeten details bevatten die specifiek zijn voor het werken met OPA Constraint Framework en Gatekeeper v3.

Als onderdeel van de eigenschappen details.templateInfo of details.constraintInfo in de beleidsdefinitie geeft Azure Policy de URI of Base64Encoded-waarde van deze CustomResourceDefinitions(CRD) door aan de invoegtoepassing. Rego is de taal die OPA en Gatekeeper ondersteunen om een aanvraag voor het Kubernetes-cluster te valideren. Door ondersteuning te bieden voor een bestaande standaard voor Kubernetes-beheer, maakt Azure Policy het mogelijk om bestaande regels opnieuw te gebruiken en deze te koppelen aan Azure Policy voor een uniforme rapportage-ervaring voor cloudcompatibiliteit. Zie Wat is Rego? voor meer informatie.

Een beleidsdefinitie toewijzen

Als u een beleidsdefinitie wilt toewijzen aan uw Kubernetes-cluster, moet u de juiste azure RBAC-beleidstoewijzingsbewerkingen (op rollen gebaseerd toegangsbeheer) van Azure toewijzen. De ingebouwde Azure-rollen Resource Policy Inzender en Eigenaar hebben deze bewerkingen. Zie Azure RBAC-machtigingen in Azure Policy voor meer informatie.

Zoek de ingebouwde beleidsdefinities voor het beheren van uw cluster met behulp van Azure Portal met de volgende stappen. Als u een aangepaste beleidsdefinitie gebruikt, zoekt u ernaar op naam of de categorie waarmee u deze hebt gemaakt.

1. Start de Azure Policy-service in Azure Portal. Selecteer Alle services in het linkerdeelvenster en zoek en selecteer Beleid.

2. Selecteer Definities in het linkerdeelvenster van de pagina Azure Policy.

3. Gebruik alles selecteren in de vervolgkeuzelijst Categorie om het filter te wissen en selecteer vervolgens Kubernetes.

4. Selecteer de beleidsdefinitie en selecteer vervolgens de knop Toewijzen .

5. Stel het bereik in op de beheergroep, het abonnement of de resourcegroep van het Kubernetes-cluster waarop de beleidstoewijzing van toepassing is.

   Notitie

   Wanneer u de Azure Policy voor Kubernetes-definitie toewijst, moet het bereik de clusterresource bevatten.

6. Geef de beleidstoewijzing een naam en beschrijving die u kunt gebruiken om deze eenvoudig te identificeren.

7. Stel het afdwingen van beleid in op een van de volgende waarden:

   • Ingeschakeld : dwing het beleid op het cluster af. Kubernetes-toegangsaanvragen met schendingen worden geweigerd.

   • Uitgeschakeld : dwing het beleid op het cluster niet af. Kubernetes-toegangsaanvragen met schendingen worden niet geweigerd. De resultaten van de nalevingsevaluatie zijn nog steeds beschikbaar. Wanneer u nieuwe beleidsdefinities implementeert voor het uitvoeren van clusters, is de optie Uitgeschakeld handig voor het testen van de beleidsdefinitie omdat toegangsaanvragen met schendingen niet worden geweigerd.

8. Selecteer Volgende.

9. Parameterwaarden instellen

   • Als u Kubernetes-naamruimten wilt uitsluiten van beleidsevaluatie, geeft u de lijst met naamruimten op in uitsluitingen van parameternaamruimten. Het is raadzaam om het volgende uit te sluiten: kube-system, gatekeeper-system en azure-arc.

10. Selecteer Controleren + maken.

U kunt ook de quickstart Een beleid toewijzen - Portal gebruiken om een Kubernetes-beleid te zoeken en toe te wijzen. Zoek naar een Kubernetes-beleidsdefinitie in plaats van de voorbeeldcontrole-VM's.

Belangrijk

Ingebouwde beleidsdefinities zijn beschikbaar voor Kubernetes-clusters in categorie Kubernetes. Zie Kubernetes-voorbeelden voor een lijst met ingebouwde beleidsdefinities.

Beleidsevaluatie

De invoegtoepassing controleert elke 15 minuten de Azure Policy-service op wijzigingen in beleidstoewijzingen. Tijdens deze vernieuwingscyclus controleert de invoegtoepassing op wijzigingen. Met deze wijzigingentrigger worden de beperkingssjablonen en beperkingen gemaakt, bijgewerkt of verwijderd.

Als in een Kubernetes-cluster een naamruimte het juiste label voor het cluster heeft, worden de toegangsaanvragen met schendingen niet geweigerd. De resultaten van de nalevingsevaluatie zijn nog steeds beschikbaar.

• Kubernetes-cluster met Azure Arc: admission.policy.azure.com/ignore

Notitie

Hoewel een clusterbeheerder mogelijk gemachtigd is om beperkte sjablonen en beperkingen voor resources te maken en bij te werken, worden deze scenario's niet ondersteund omdat handmatige updates worden overschreven. Gatekeeper blijft beleidsregels evalueren die bestonden voordat u de invoegtoepassing installeert en Azure Policy-beleidsdefinities toewijst.

Elke 15 minuten roept de invoegtoepassing een volledige scan van het cluster aan. Na het verzamelen van details van de volledige scan, en eventuele evaluaties in realtime door Gatekeeper van geprobeerde wijzigingen in het cluster, rapporteert de invoegtoepassing de resultaten terug naar Azure Policy voor opname in nalevingsgegevens, zoals elke Azure Policy-toewijzing. Alleen resultaten voor actieve beleidstoewijzingen worden geretourneerd tijdens de controlecyclus. Controleresultaten kunnen ook worden gezien als schendingen die worden vermeld in het statusveld van de mislukte beperking. Zie Onderdeeldetails voor resourceprovidermodi voor meer informatie over niet-compatibele resources.

Notitie

Elk nalevingsrapport in Azure Policy voor uw Kubernetes-clusters omvat alle schendingen in de afgelopen 45 minuten. De tijdstempel geeft aan wanneer er een schending is opgetreden.

Enkele andere overwegingen:

• Als het clusterabonnement is geregistreerd bij Microsoft Defender voor Cloud, worden Microsoft Defender voor Cloud Kubernetes-beleid automatisch toegepast op het cluster.

• Wanneer een beleid voor weigeren wordt toegepast op een cluster met bestaande Kubernetes-resources, blijft een bestaande resource die niet compatibel is met het nieuwe beleid, nog steeds actief. Wanneer de niet-compatibele resource opnieuw wordt gepland op een ander knooppunt, blokkeert Gatekeeper het maken van de resource.

• Wanneer een cluster een beleid voor weigeren heeft waarmee resources worden gevalideerd, krijgt de gebruiker geen afwijzingsbericht bij het maken van een implementatie. Denk bijvoorbeeld aan een Kubernetes-implementatie die replicasets en pods bevat. Wanneer een gebruiker wordt uitgevoerd kubectl describe deployment $MY_DEPLOYMENT, wordt er geen afwijzingsbericht geretourneerd als onderdeel van gebeurtenissen. kubectl describe replicasets.apps $MY_DEPLOYMENT Retourneert echter de gebeurtenissen die zijn gekoppeld aan afwijzing.

Notitie

Init-containers kunnen worden opgenomen tijdens de beleidsevaluatie. Als u wilt zien of init-containers zijn opgenomen, raadpleegt u de CRD voor de volgende of een vergelijkbare declaratie:

input_containers[c] {
   c := input.review.object.spec.initContainers[_]
}

Conflicten met beperkingssjablonen

Als beperkingssjablonen dezelfde naam voor de metagegevens van de resource hebben, maar de beleidsdefinitie verwijst naar de bron op verschillende locaties, worden de beleidsdefinities beschouwd als conflicterend. Voorbeeld: Twee beleidsdefinities verwijzen naar hetzelfde template.yaml bestand dat is opgeslagen op verschillende bronlocaties, zoals het Azure Policy-sjabloonarchief (store.policy.core.windows.net) en GitHub.

Wanneer beleidsdefinities en de bijbehorende beperkingssjablonen zijn toegewezen, maar nog niet op het cluster zijn geïnstalleerd en conflicteren, worden ze gerapporteerd als een conflict en worden ze pas in het cluster geïnstalleerd nadat het conflict is opgelost. Op dezelfde manier blijven bestaande beleidsdefinities en de bijbehorende beperkingssjablonen die zich al in het cluster bevinden die conflicteren met nieuw toegewezen beleidsdefinities normaal functioneren. Als een bestaande toewijzing wordt bijgewerkt en de beperkingssjabloon niet kan worden gesynchroniseerd, wordt het cluster ook gemarkeerd als een conflict. Zie de nalevingsredenen voor de AKS-resourceprovidermodus voor alle conflictberichten

Logboekregistratie

Als Kubernetes-controller/-container bewaren zowel de azure-policy - als gatekeeper-pods logboeken in het Kubernetes-cluster. In het algemeen kunnen azure-policy-logboeken worden gebruikt om problemen met beleidsopname op het cluster en nalevingsrapportage op te lossen. De gatekeeper-controller-manager-podlogboeken kunnen worden gebruikt om problemen met runtime op te lossen. De gatekeeper-audit podlogboeken kunnen worden gebruikt om problemen met controles van bestaande resources op te lossen. De logboeken kunnen worden weergegeven op de pagina Inzichten van het Kubernetes-cluster. Zie De prestaties van uw Kubernetes-cluster bewaken met Azure Monitor voor containers voor meer informatie.

Als u de invoegtoepassingslogboeken wilt weergeven, gebruikt u kubectl:

# Get the azure-policy pod name installed in kube-system namespace
kubectl logs <azure-policy pod name> -n kube-system

# Get the gatekeeper pod name installed in gatekeeper-system namespace
kubectl logs <gatekeeper pod name> -n gatekeeper-system

Als u probeert problemen op te lossen met een bepaalde ComplianceReasonCode die wordt weergegeven in uw nalevingsresultaten, kunt u in de podlogboeken van Azure Policy naar die code zoeken om de volledige bijbehorende fout te zien.

Raadpleeg Foutopsporing voor Gatekeeper in de Gatekeeper-documentatie voor meer informatie.

Gatekeeper-artefacten weergeven

Nadat de invoegtoepassing de beleidstoewijzingen heeft gedownload en de beperkingssjablonen en beperkingen voor het cluster hebt geïnstalleerd, worden er aantekeningen gemaakt bij azure Policy-informatie, zoals de beleidstoewijzings-id en de beleidsdefinitie-id. Voer de volgende stappen uit om uw client te configureren om de gerelateerde artefacten van de invoegtoepassing weer te geven:

1. kubeconfig Instellen voor het cluster.

   Gebruik de volgende Azure CLI voor een Azure Kubernetes Service-cluster:

   # Set context to the subscription
   az account set --subscription <YOUR-SUBSCRIPTION>
   
   # Save credentials for kubeconfig into .kube in your home folder
   az aks get-credentials --resource-group <RESOURCE-GROUP> --name <CLUSTER-NAME>
   

2. Test de clusterverbinding.

   Voer de opdracht kubectl cluster-info uit. Bij een geslaagde uitvoering reageert elke service met een URL van waar deze wordt uitgevoerd.

De sjablonen voor beperkingen voor invoegtoepassingen weergeven

Als u beperkingensjablonen wilt weergeven die zijn gedownload door de invoegtoepassing, voert u de opdracht uit kubectl get constrainttemplates. Beperkingssjablonen die beginnen, k8sazure zijn de sjablonen die door de invoegtoepassing zijn geïnstalleerd.

Bekijk de mutatiesjablonen voor invoegtoepassingen

Als u mutatiesjablonen wilt bekijken die zijn gedownload door de invoegtoepassing, voert u uit kubectl get assignen kubectl get assignmetadatakubectl get modifyset.

Azure Policy-toewijzingen ophalen

Als u de toewijzing wilt identificeren tussen een beperkingssjabloon die is gedownload naar het cluster en de beleidsdefinitie, gebruikt u kubectl get constrainttemplates <TEMPLATE> -o yaml. De resultaten zien er ongeveer als volgt uit:

apiVersion: templates.gatekeeper.sh/v1beta1
kind: ConstraintTemplate
metadata:
    annotations:
    azure-policy-definition-id: /subscriptions/<SUBID>/providers/Microsoft.Authorization/policyDefinitions/<GUID>
    constraint-template-installed-by: azure-policy-addon
    constraint-template: <URL-OF-YAML>
    creationTimestamp: "2021-09-01T13:20:55Z"
    generation: 1
    managedFields:
    - apiVersion: templates.gatekeeper.sh/v1beta1
    fieldsType: FieldsV1
...

<SUBID> is de abonnements-id en <GUID> is de id van de toegewezen beleidsdefinitie. <URL-OF-YAML> is de bronlocatie van de beperkingssjabloon die door de invoegtoepassing is gedownload om op het cluster te installeren.

Beperkingen weergeven met betrekking tot een beperkingssjabloon

Zodra u de namen van de gedownloade beperkingssjablonen voor de invoegtoepassing hebt, kunt u de naam gebruiken om de gerelateerde beperkingen te bekijken. Gebruik kubectl get <constraintTemplateName> dit om de lijst op te halen. Beperkingen die door de invoegtoepassing zijn geïnstalleerd, beginnen met azurepolicy-.

Details van beperking weergeven

De beperking bevat details over schendingen en toewijzingen aan de beleidsdefinitie en toewijzing. Als u de details wilt bekijken, gebruikt u kubectl get <CONSTRAINT-TEMPLATE> <CONSTRAINT> -o yaml. De resultaten zien er ongeveer als volgt uit:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sAzureContainerAllowedImages
metadata:
  annotations:
    azure-policy-assignment-id: /subscriptions/<SUB-ID>/resourceGroups/<RG-NAME>/providers/Microsoft.Authorization/policyAssignments/<ASSIGNMENT-GUID>
    azure-policy-definition-id: /providers/Microsoft.Authorization/policyDefinitions/<DEFINITION-GUID>
    azure-policy-definition-reference-id: ""
    azure-policy-setdefinition-id: ""
    constraint-installed-by: azure-policy-addon
    constraint-url: <URL-OF-YAML>
  creationTimestamp: "2021-09-01T13:20:55Z"
spec:
  enforcementAction: deny
  match:
    excludedNamespaces:
    - kube-system
    - gatekeeper-system
    - azure-arc
  parameters:
    imageRegex: ^.+azurecr.io/.+$
status:
  auditTimestamp: "2021-09-01T13:48:16Z"
  totalViolations: 32
  violations:
  - enforcementAction: deny
    kind: Pod
    message: Container image nginx for container hello-world has not been allowed.
    name: hello-world-78f7bfd5b8-lmc5b
    namespace: default
  - enforcementAction: deny
    kind: Pod
    message: Container image nginx for container hello-world has not been allowed.
    name: hellow-world-89f8bfd6b9-zkggg

Problemen met de invoegtoepassing oplossen

Zie de sectie Kubernetes van het artikel over probleemoplossing voor Azure Policy voor meer informatie over het oplossen van problemen met de invoegtoepassing voor Kubernetes.

Voor problemen met de Azure Policy-extensie voor arc-extensies gaat u naar:

• Problemen met Kubernetes met Azure Arc oplossen

Voor problemen met betrekking tot Azure Policy gaat u naar:

• Azure Policy-logboeken controleren
• Algemene probleemoplossing voor Azure Policy in Kubernetes

Azure Policy-invoegtoepassing voor AKS-wijzigingenlogboek

De invoegtoepassing van Azure Policy voor AKS heeft een versienummer dat de versie van de installatiekopieën van de invoegtoepassing aangeeft. Omdat de functieondersteuning nieuw is geïntroduceerd in de invoegtoepassing, wordt het versienummer verhoogd.

In deze sectie vindt u informatie over welke invoegtoepassingsversie op uw cluster is geïnstalleerd en kunt u ook een historische tabel delen met de versie van de Azure Policy-invoegtoepassing die per AKS-cluster is geïnstalleerd.

Bepalen welke invoegtoepassingsversie op uw cluster is geïnstalleerd

De Azure Policy-invoegtoepassing maakt gebruik van het standaard Semantic Versioning-schema voor elke versie. U kunt de volgende opdracht uitvoeren om de gebruikte Versie van de Azure Policy-invoegtoepassing te identificeren: kubectl get pod azure-policy-<unique-pod-identifier> -n kube-system -o json | jq '.spec.containers[0].image'

Als u de Gatekeeper-versie wilt identificeren die door uw Azure Policy-invoegtoepassing wordt gebruikt, kunt u de volgende opdracht uitvoeren: kubectl get pod gatekeeper-controller-<unique-pod-identifier> -n gatekeeper-system -o json | jq '.spec.containers[0].image'

Als u ten slotte de AKS-clusterversie wilt identificeren die u gebruikt, volgt u de gekoppelde AKS-richtlijnen hiervoor.

Beschikbare invoegtoepassingsversies per AKS-clusterversie

1.3.0

Introduceert foutstatus voor beleidsregels die fouten veroorzaken, zodat ze kunnen worden onderscheiden van beleidsregels in niet-compatibele statussen. Voegt ondersteuning toe voor v1-beperkingssjablonen en het gebruik van de parameter excludedNamespaces in mutatiebeleid. Hiermee wordt een foutstatuscontrole toegevoegd voor beperkingssjablonen na de installatie.

• Uitgebracht in februari 2024
• Kubernetes 1.25+
• Gatekeeper 3.14.0

1.2.1

• Uitgebracht in oktober 2023
• Kubernetes 1.25+
• Gatekeeper 3.13.3

1.1.0

• Uitgebracht in juli 2023
• Kubernetes 1.27+
• Gatekeeper 3.11.1

1.0.1

• Uitgebracht in juni 2023
• Kubernetes 1.24+
• Gatekeeper 3.11.1

1.0.0

Azure Policy voor Kubernetes ondersteunt nu mutatie om AKS-clusters op schaal te herstellen.

De invoegtoepassing verwijderen

De invoegtoepassing verwijderen uit AKS

Als u de Azure Policy-invoegtoepassing wilt verwijderen uit uw AKS-cluster, gebruikt u Azure Portal of Azure CLI:

• Azure Portal

  1. Start de AKS-service in Azure Portal door Alle services te selecteren en vervolgens Kubernetes-services te zoeken en te selecteren.

  2. Selecteer uw AKS-cluster waar u de Azure Policy-invoegtoepassing wilt uitschakelen.

  3. Selecteer Beleidsregels aan de linkerkant van de Kubernetes-servicepagina.

  4. Selecteer op de hoofdpagina de knop Invoegtoepassing uitschakelen.

• Azure-CLI

  # Log in first with az login if you're not using Cloud Shell
  
  az aks disable-addons --addons azure-policy --name MyAKSCluster --resource-group MyResourceGroup
  

De invoegtoepassing verwijderen uit Kubernetes met Azure Arc

Notitie

Het Helm-model van de Azure Policy-invoegtoepassing is nu afgeschaft. Kies in plaats daarvan voor de Azure Policy-extensie voor Kubernetes met Azure Arc.

Als u de Azure Policy-invoegtoepassing en Gatekeeper wilt verwijderen uit uw Kubernetes-cluster met Azure Arc, voert u de volgende Helm-opdracht uit:

helm uninstall azure-policy-addon

De invoegtoepassing verwijderen uit de AKS-engine

Notitie

Het AKS Engine-product is nu afgeschaft voor klanten in de openbare Azure-cloud. Overweeg om Azure Kubernetes Service (AKS) te gebruiken voor beheerde Kubernetes of Cluster API Provider Azure voor zelfbeheerde Kubernetes. Er zijn geen nieuwe functies gepland; dit project wordt alleen bijgewerkt voor CVE's en vergelijkbaar, met Kubernetes 1.24 als de definitieve versie voor het ontvangen van updates.

Als u de Azure Policy-invoegtoepassing en Gatekeeper wilt verwijderen uit uw AKS Engine-cluster, gebruikt u de methode die overeenkomt met de manier waarop de invoegtoepassing is geïnstalleerd:

• Als deze is geïnstalleerd door de eigenschap addons in te stellen in de clusterdefinitie voor AKS Engine:

  Implementeer de clusterdefinitie opnieuw naar AKS Engine nadat u de eigenschap addons voor azure-policy hebt gewijzigd in false:

  "addons": [{
      "name": "azure-policy",
      "enabled": false
  }]
  

  Zie AKS Engine - Azure Policy-invoegtoepassing uitschakelen voor meer informatie.

• Als deze is geïnstalleerd met Helm Charts, voert u de volgende Helm-opdracht uit:

  helm uninstall azure-policy-addon
  

Beperkingen

• Raadpleeg de gedocumenteerde limieten van Azure Policy voor algemene Azure Policy-definities en toewijzingslimieten
• Azure Policy-invoegtoepassing voor Kubernetes kan alleen worden geïmplementeerd in Linux-knooppuntgroepen.
• Maximum aantal pods dat wordt ondersteund door de Azure Policy-invoegtoepassing per cluster: 10.000
• Maximum aantal niet-compatibele records per beleid per cluster: 500
• Maximum aantal niet-compatibele records per abonnement: 1 miljoen
• Installaties van Gatekeeper buiten de Azure Policy-invoegtoepassing worden niet ondersteund. Verwijder alle onderdelen die zijn geïnstalleerd door een eerdere Gatekeeper-installatie voordat u de Azure Policy-invoegtoepassing inschakelt.
• Redenen voor niet-naleving zijn niet beschikbaar voor de modus Microsoft.Kubernetes.Data Resource Provider. Gebruik onderdeeldetails.
• Uitzonderingen op onderdeelniveau worden niet ondersteund voor resourceprovidermodi. Ondersteuning voor parameters is beschikbaar in Azure Policy-definities om bepaalde naamruimten uit te sluiten en op te nemen.
• Het gebruik van de metadata.gatekeeper.sh/requires-sync-data aantekening in een beperkingssjabloon om de replicatie van gegevens van uw cluster in de OPA-cache te configureren, is momenteel alleen toegestaan voor ingebouwd beleid. Dit komt doordat het resourcegebruik van gatekeeper-pods aanzienlijk kan verhogen als ze niet zorgvuldig worden gebruikt.

De volgende beperkingen gelden alleen voor de Azure Policy-invoegtoepassing voor AKS:

• Beveiligingsbeleid voor AKS-pods en de Azure Policy-invoegtoepassing voor AKS kunnen niet beide worden ingeschakeld. Zie AKS-podbeveiligingsbeperking voor meer informatie.
• Naamruimten die automatisch worden uitgesloten door de Azure Policy-invoegtoepassing voor evaluatie: kube-system en gatekeeper-system.

Veelgestelde vragen

Wat implementeert de Azure Policy-invoegtoepassing/Azure Policy-extensie bij de installatie op mijn cluster?

Voor de Azure Policy-invoegtoepassing moeten drie Gatekeeper-onderdelen worden uitgevoerd: één auditpod en twee webhookpodreplica's. Er wordt ook één Azure Policy-pod en één Azure Policy-webhookpod geïnstalleerd.

Hoeveel resourceverbruik moet ik verwachten dat de Azure Policy-invoegtoepassing/-extensie op elk cluster moet worden gebruikt?

De Azure Policy voor Kubernetes-onderdelen die op uw cluster worden uitgevoerd, verbruiken meer resources naarmate het aantal Kubernetes-resources en beleidstoewijzingen toeneemt in het cluster, waarvoor controle- en afdwingingsbewerkingen vereist zijn. Hieronder vindt u schattingen om u te helpen bij het plannen:

• Voor minder dan 500 pods in één cluster met maximaal 20 beperkingen: twee vCPU's en 350 MB geheugen per onderdeel.
• Voor meer dan 500 pods in één cluster met een maximum van 40 beperkingen: drie vCPU's en 600 MB geheugen per onderdeel.

Kunnen Azure Policy voor Kubernetes-definities worden toegepast op Windows-pods?

Windows-pods bieden geen ondersteuning voor beveiligingscontexten. Sommige Azure Policy-definities, zoals het niet toewijzen van basisbevoegdheden, kunnen dus niet worden geëscaleerd in Windows-pods en zijn alleen van toepassing op Linux-pods.

Welk type diagnostische gegevens wordt verzameld door de Azure Policy-invoegtoepassing?

De Azure Policy-invoegtoepassing voor Kubernetes verzamelt beperkte diagnostische gegevens voor clusters. Deze diagnostische gegevens zijn essentiële technische gegevens met betrekking tot software en prestaties. Deze wordt op de volgende manieren gebruikt:

• Azure Policy-invoegtoepassing up-to-date houden
• Azure Policy-invoegtoepassing veilig, betrouwbaar en goed presterend houden
• Azure Policy-invoegtoepassing verbeteren- via de statistische analyse van het gebruik van de invoegtoepassing

De gegevens die door de invoegtoepassing worden verzameld, zijn geen persoonlijke gegevens. De volgende gegevens worden momenteel verzameld:

• Azure Policy-agentversie
• Clustertype
• Clusterregio
• Clusterresourcegroep
• Clusterresource-id
• Clusterabonnement-id
• Cluster-besturingssysteem (voorbeeld: Linux)
• Clusterstad (voorbeeld: Seattle)
• Clusterstatus of provincie (voorbeeld: Washington)
• Clusterland of -regio (voorbeeld: Verenigde Staten)
• Uitzonderingen/fouten die zijn opgetreden door de Azure Policy-invoegtoepassing tijdens de installatie van de agent bij beleidsevaluatie
• Aantal Gatekeeper-beleidsdefinities dat niet is geïnstalleerd door de Azure Policy-invoegtoepassing

Wat zijn algemene aanbevolen procedures om rekening mee te houden bij het installeren van de Azure Policy-invoegtoepassing?

• Gebruik systeemknooppuntgroep met CriticalAddonsOnly taint om Gatekeeper-pods te plannen. Zie Systeemknooppuntgroepen gebruiken voor meer informatie.
• Uitgaand verkeer van uw AKS-clusters beveiligen. Zie Uitgaand verkeer voor clusterknooppunten beheren voor meer informatie.
• Als voor het cluster aad-pod-identity is ingeschakeld, wijzigen NMI-pods (Node Managed Identity) de iptables van de knooppunten om aanroepen te onderscheppen naar het Azure Instance Metadata-eindpunt. Deze configuratie betekent dat elke aanvraag die is ingediend bij het eindpunt metagegevens wordt onderschept door NMI, zelfs als de pod geen aad-pod-identity gebruikt.
• AzurePodIdentityException CRD kan worden geconfigureerd om een aad-pod-identiteit te informeren dat aanvragen naar het metagegevenseindpunt afkomstig zijn van een pod die overeenkomt met labels die zijn gedefinieerd in CRD, moeten worden geproxied zonder enige verwerking in NMI. De systeempods met kubernetes.azure.com/managedby: aks-label in kube-system-naamruimte moet worden uitgesloten in aad-pod-identity door de CRD van AzurePodIdentityException te configureren. Zie Aad-pod-identity uitschakelen voor een specifieke pod of toepassing voor meer informatie. Als u een uitzondering wilt configureren, installeert u de YAML van de microfoon-uitzondering.

Volgende stappen

• Bekijk voorbeelden in Azure Policy-voorbeelden.
• Bekijk de structuur van Azure Policy-definities.
• Lees Informatie over de effecten van het beleid.
• Meer informatie over het programmatisch maken van beleid.
• Meer informatie over het ophalen van nalevingsgegevens.
• Ontdek hoe u niet-compatibele resources kunt herstellen.
• Bekijk wat een beheergroep is met Uw resources organiseren met Azure-beheergroepen.