Azure Kubernetes Service için yerleşik tanımları Azure İlkesi

Bu sayfa, Azure Kubernetes Service için Azure İlkesi yerleşik ilke tanımlarının dizinidir. Diğer hizmetlere yönelik ek Azure İlkesi yerleşikleri için bkz. Azure İlkesi yerleşik tanımlar.

Her yerleşik ilke tanımının adı, Azure portalındaki ilke tanımına bağlanır. kaynağı Azure İlkesi GitHub deposunda görüntülemek için Version sütunundaki bağlantıyı kullanın.

Girişimler

Veri Akışı Adı Açıklama İlkeler Sürüm
[Önizleme]: Yalnızca güvenilen görüntülerin dağıtıldığından emin olmak için Görüntü Bütünlüğünü kullanın AKS kümelerinde Görüntü Bütünlüğünü ve Azure İlkesi Add-Ons etkinleştirerek AKS kümelerinin yalnızca güvenilen görüntüleri dağıtmasını sağlamak için Görüntü Bütünlüğü'nü kullanın. Görüntü Bütünlüğü Add-On ve Azure İlkesi Add-On, görüntünün dağıtımda imzalanıp imzalanmadığını doğrulamak için Görüntü Bütünlüğü'nü kullanmanın önkoşullarıdır. Daha fazla bilgi için adresini ziyaret edin https://aka.ms/aks/image-integrity. 3 1.1.0-önizleme
[Önizleme]: Kubernetes kümesi İnternet Güvenliği Merkezi (CIS) Kubernetes benchmark Bu girişim İnternet Güvenliği Merkezi (CIS) Kubernetes karşılaştırması için güvenlik önerisi ilkelerini içerir. CiS Kubernetes karşılaştırmasıyla uyumlu kalmak için bu girişimi kullanabilirsiniz. CIS uyumluluğu hakkında daha fazla bilgi için şu adresi ziyaret edin: https://aka.ms/aks/cis-kubernetes 7 1.0.0-önizleme
Deployment korumaları geliştiricilerin AKS tarafından önerilen en iyi yöntemler konusunda yol göstermesine yardımcı olmalıdır Azure Kubernetes Service (AKS) tarafından önerilen Kubernetes en iyi deneyimlerinden oluşan bir koleksiyon. En iyi deneyim için dağıtım korumalarını kullanarak şu ilke girişimini atayın: https://aka.ms/aks/deployment-safeguards. AKS için Azure İlkesi Add-On, kümelerinize bu en iyi yöntemleri uygulamak için bir önkoşuldur. Azure İlkesi Eklentisini etkinleştirme yönergeleri için aka.ms/akspolicydoc 27 3.0.0
Linux tabanlı iş yükleri için Kubernetes kümesi pod güvenlik temel standartları Bu girişim, Kubernetes kümesi pod güvenlik temeli standartlarına yönelik ilkeleri içerir. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Bu ilkeyi kullanma yönergeleri için adresini ziyaret edin https://aka.ms/kubepolicydoc. 5 1.4.0
Kubernetes küme pod güvenliği, Linux tabanlı iş yükleri için kısıtlanmış standartlar Bu girişim, Kubernetes kümesi pod güvenliği kısıtlanmış standartlarına yönelik ilkeleri içerir. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Bu ilkeyi kullanma yönergeleri için adresini ziyaret edin https://aka.ms/kubepolicydoc. 8 2.5.0

İlke tanımları

Microsoft. ContainerService

Veri Akışı Adı
(Azure portal)		 Açıklama Etkiler Sürüm
(GitHub)
[Önizleme]: [Görüntü Bütünlüğü] Kubernetes kümeleri yalnızca gösterimle imzalanan görüntüleri kullanmalıdır Görüntülerin güvenilir kaynaklardan geldiğinden ve kötü amaçlı olarak değiştirilmediğinden emin olmak için gösterimi tarafından imzalanan görüntüleri kullanın. Daha fazla bilgi için https://aka.ms/aks/image-integrity Denetim, Devre Dışı 1.1.0-preview
[Önizleme]: Azure Backup Uzantısı AKS kümelerine yüklenmelidir Azure Backup kullanmak için AKS Kümelerinizde yedekleme uzantısının koruma yüklemesini sağlayın. AKS için Azure Backup, AKS kümeleri için güvenli ve bulutta yerel bir veri koruma çözümüdür AuditIfNotExists, Devre Dışı 1.0.0-preview
[Önizleme]: AKS kümeleri için Azure Backup etkinleştirilmelidir Azure Backup etkinleştirerek AKS Kümelerinizin korunmasını sağlayın. AKS için Azure Backup, AKS kümeleri için güvenli ve bulutta yerel bir veri koruma çözümüdür. AuditIfNotExists, Devre Dışı 1.0.0-preview
[Önizleme]: Azure Kubernetes Service Yönetilen Kümeler Alanlar Arası Yedekli Azure Kubernetes Service Yönetilen Kümeler Alanlar Arası Yedekli olacak şekilde yapılandırılabilir veya yapılandırılmaz. İlke, kümedeki düğüm havuzlarını denetler ve kullanılabilirlik alanlarının tüm düğüm havuzları için ayarlandığından emin olur. Denetim, Reddetme, Devre Dışı 1.0.0-preview
[Önizleme]: Azure Kubernetes Service Kubernetes kümelerine hem Görüntü Bütünlüğü hem de İlke Add-Ons Azure dağıtın. Daha fazla bilgi için https://aka.ms/aks/image-integrity DeployIfNotExists, Devre Dışı 1.2.0-preview
[Önizleme]: Belirli bir tag. Azure Backup Uzantısını yüklemek, AKS Kümelerinizi korumak için bir önkoşuldur. Belirli bir etiket içeren tüm AKS kümelerinde yedekleme uzantısının yüklenmesini zorunlu kılma. Bunu yapmak, AKS Kümelerini büyük ölçekte yedeklemeyi yönetmenize yardımcı olabilir. DenetimYoksaDenetle, DağıtımYoksaDağıt, Devre Dışı 1.0.0-preview
[Önizleme]: Belirli bir tag. Azure Backup Uzantısını yüklemek, AKS Kümelerinizi korumak için bir önkoşuldur. Belirli bir etiket değeri olmadan tüm AKS kümelerinde yedekleme uzantısının yüklenmesini zorunlu kılma. Bunu yapmak, AKS Kümelerini büyük ölçekte yedeklemeyi yönetmenize yardımcı olabilir. DenetimYoksaDenetle, DağıtımYoksaDağıt, Devre Dışı 1.0.0-preview
[Önizleme]: Kubernetes küme kapsayıcıları yalnızca izin verilen sysctl arabirimlerini kullanmalıdır Kapsayıcılar bir Kubernetes kümesinde yalnızca izin verilen sysctl arabirimlerini kullanmalıdır. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. Denetim, Reddetme, Devre Dışı 1.0.0-preview
[Önizleme]: Kubernetes kümesi doğru Pod Kesintisi Bütçeleri uygulamalıdır Hatalı Pod Kesintisi Bütçelerini önleyerek en az sayıda işlem podunun olmasını sağlar. Ayrıntılar için resmi Kubernetes belgelerine bakın. Gatekeeper veri çoğaltmasına dayanır ve kapsamı OPA olarak belirlenmiş tüm Deployment, StatefulSet ve PodDisruptionBudget kaynaklarını eşitler. Bu ilkeyi uygulamadan önce, eşitlenen kaynakların bellek kapasitenizi zorlamadığından emin olun. Bu türlerdeki tüm kaynaklar ad alanları arasında eşitlenir. Not: Şu anda Kubernetes Service (AKS) için önizleme aşamasındadır. Denetim, Reddetme, Devre Dışı 1.3.1-preview
[Önizleme]: Kubernetes kümeleri belirli bir kaynak türünün oluşturulmasını kısıtlamalıdır Verilen Kubernetes kaynak türü belirli ad alanında dağıtılmamalıdır. Denetim, Reddetme, Devre Dışı 2.3.0-preview
[Önizleme]: runAsNotRoot değerini true olarak ayarlayarak kapsayıcıların kök olarak çalıştırılmasını engeller. runAsNotRoot değerini true olarak ayarlamak, kapsayıcıların kök olarak çalıştırılmasını engelleyerek güvenliği artırır. Sesi Kapat, Devre Dışı 1.1.0-preview
[Önizleme]: runAsNotRoot değerini true olarak ayarlayarak init kapsayıcılarının kök olarak çalıştırılmasını engeller. runAsNotRoot değerini true olarak ayarlamak, kapsayıcıların kök olarak çalıştırılmasını engelleyerek güvenliği artırır. Sesi Kapat, Devre Dışı 1.1.0-preview
[Önizleme]: Kubernetes küme kapsayıcısı securityContext.runAsUser alanlarını kök olmayan bir kullanıcı kimliği olan 1000 olarak ayarlar Güvenlik açıklarının varlığında kök kullanıcı olarak ayrıcalıkları yükselterek ortaya çıkarılan saldırı yüzeyini azaltır. Sesi Kapat, Devre Dışı 1.1.0-preview
[Önizleme]: Kubernetes küme kapsayıcılarının güvenli bilgi işlem modu profil türünü yoksa RuntimeDefault olarak ayarlar. Kullanıcı alanından çekirdeğe yetkisiz ve zararlı olabilecek sistem çağrılarını önlemek için kapsayıcılar için güvenli bilgi işlem modu profil türü ayarlama. Sesi Kapat, Devre Dışı 1.2.0-preview
[Önizleme]: Kubernetes cluster init containers securityContext.runAsUser alanlarını kök olmayan bir kullanıcı kimliği olan 1000 olarak ayarlar Güvenlik açıklarının varlığında kök kullanıcı olarak ayrıcalıkları yükselterek ortaya çıkarılan saldırı yüzeyini azaltır. Sesi Kapat, Devre Dışı 1.1.0-preview
[Önizleme]: Kubernetes cluster init kapsayıcılarının güvenli bilgi işlem modu profil türünü yoksa RuntimeDefault olarak ayarlar. Kullanıcı alanından çekirdeğe yetkisiz ve zararlı olabilecek sistem çağrılarını önlemek için init kapsayıcıları için güvenli bilgi işlem modu profil türü ayarlama. Sesi Kapat, Devre Dışı 1.2.0-preview
[Önizleme]: Kubernetes kümesi Pod securityContext.runAsUser alanlarını kök olmayan bir kullanıcı kimliği olan 1000 olarak ayarlar Güvenlik açıklarının varlığında kök kullanıcı olarak ayrıcalıkları yükselterek ortaya çıkarılan saldırı yüzeyini azaltır. Sesi Kapat, Devre Dışı 1.1.0-preview
[Önizleme]: Init kapsayıcılarındaki Pod belirtimindeki Ayrıcalık yükseltmesini false olarak ayarlar. Başlatma kapsayıcılarında Ayrıcalık yükseltme özelliğini false olarak ayarlamak, kapsayıcıların set-user-ID veya set-group-ID dosya modu gibi ayrıcalık yükseltmesine izin vermesini engelleyerek güvenliği artırır. Sesi Kapat, Devre Dışı 1.2.0-preview
[Önizleme]: Pod belirtimindeki Ayrıcalık yükseltmesini false olarak ayarlar. Ayrıcalık yükseltmeyi false olarak ayarlamak, kapsayıcıların set-user-ID veya set-group-ID dosya modu gibi ayrıcalık yükseltmesine izin vermesini engelleyerek güvenliği artırır. Sesi Kapat, Devre Dışı 1.2.0-preview
[Önizleme]: UnhealthyPodEvictionPolicy'yi 'AlwaysAllow' olarak ayarlar Küme yönetimi gerçekleştirirken iyi durumda olmayan podların bile çıkarılmasına olanak sağlamak için Pod Kesinti bütçesinin UnalthyPodEvictionPolicy'sini 'AlwaysAllow' olarak ayarlar Sesi Kapat, Devre Dışı 1.1.0-preview
Yetkili IP aralıkları Kubernetes Services üzerinde tanımlanmalıdır API'ye yalnızca belirli aralıklardaki IP adreslerine erişim vererek Kubernetes Service Management API'sine erişimi kısıtlayın. Kümeye yalnızca izin verilen ağlardan uygulamaların erişebildiğinden emin olmak için erişimi yetkili IP aralıklarıyla sınırlamak önerilir. Denetim, Devre Dışı 2.0.1
Azure Kubernetes Kümeleri SSH SSH'yi devre dışı bırakma, kümenizin güvenliğini sağlama ve saldırı yüzeyini azaltma olanağı sağlar. Daha fazla bilgi edinmek için şu adresi ziyaret edin: aka.ms/aks/disablessh Denetim, Devre Dışı 1.0.0
Azure Kubernetes Kümeleri Kapsayıcı Depolama Arabirimi'ni (CSI) Kapsayıcı Depolama Arabirimi (CSI), rastgele blok ve dosya depolama sistemlerini Azure Kubernetes Service üzerinde kapsayıcılı iş yüklerine kullanıma açmak için kullanılan bir standarttır. Daha fazla bilgi edinmek için https://aka.ms/aks-csi-driver Denetim, Devre Dışı 1.0.0
Azure Kubernetes Kümeleri Anahtar Yönetimi Hizmeti(KMS) Kubernetes kümesi güvenliği için etcd'de bekleyen gizli dizi verilerini şifrelemek için Anahtar Yönetim Merkezi (KMS) kullanın. Daha fazla bilgi için: https://aka.ms/aks/kmsetcdencryption. Denetim, Devre Dışı 1.1.0
Azure Kubernetes Kümeleri Azure CNI Azure CNI, Azure ağ ilkeleri, Windows düğüm havuzları ve sanal düğümler eklentisi gibi bazı Azure Kubernetes Service özellikleri için önkoşuldur. Daha fazla bilgi için: https://aka.ms/aks-azure-cni Denetim, Devre Dışı 1.0.1
Azure Kubernetes Service kümeleri Azure Kubernetes Fleet Manager. Azure Kubernetes Fleet Manager üyesi olmayan AKS kümelerini algılayın ve raporlayın. Daha fazla bilgi edinmek için https://aka.ms/kubernetes-fleet/policy AuditIfNotExists, Devre Dışı 1.0.0
Azure Kubernetes Service Kümeleri Command Invoke Komut çağrısını devre dışı bırakmak, kısıtlı ağ erişiminin veya Kubernetes rol tabanlı erişim denetiminin atlanmasından kaçınarak güvenliği artırabilir Denetim, Devre Dışı 1.0.1
Azure Kubernetes Service Kümeleri küme otomatik yükseltmeyi etkinleştirmelidir AKS kümesi otomatik yükseltmesi, kümelerinizin güncel olduğundan ve AKS ve yukarı akış Kubernetes'ten en son özellikleri veya düzeltme eklerini kaçırmadığından emin olabilir. Daha fazla bilgi için: https://learn.microsoft.com/en-us/azure/aks/auto-upgrade-cluster. Denetim, Devre Dışı 1.0.0
Azure Kubernetes Service Kümeleri Görüntü Temizleyici Görüntü Temizleyici, eski görüntü riskini azaltan ve bunları temizlemek için gereken süreyi azaltan otomatik savunmasız, kullanılmayan görüntü tanımlama ve kaldırma işlemlerini gerçekleştirir. Daha fazla bilgi için: https://aka.ms/aks/image-cleaner. Denetim, Devre Dışı 1.0.0
Azure Kubernetes Service Kümeleri Microsoft Entra ID tümleştirmeyi etkinleştirmelidir AKS tarafından yönetilen Microsoft Entra ID tümleştirmesi, kullanıcının kimliğine veya dizin grubu üyeliğine göre Kubernetes rol tabanlı erişim denetimini (Kubernetes RBAC) yapılandırarak kümelere erişimi yönetebilir. Daha fazla bilgi için: https://aka.ms/aks-managed-aad. Denetim, Devre Dışı 1.0.2
Azure Kubernetes Service Kümeleri düğüm otomatik yükseltmeyi etkinleştirmelidir AKS düğüm işletim sistemi otomatik yükseltmesi düğüm düzeyinde işletim sistemi güvenlik güncelleştirmelerini denetler. Daha fazla bilgi için: https://learn.microsoft.com/en-us/azure/aks/auto-upgrade-node-image. Denetim, Devre Dışı 1.0.0
Azure Kubernetes Service Kümeleri iş yükü kimliğini etkinleştirmelidir İş yükü kimliği, her Kubernetes Pod'una benzersiz bir kimlik atamaya ve bunu Azure Key Vault gibi ad korumalı Azure kaynaklarla ilişkilendirmeye olanak tanıyarak pod içinden bu kaynaklara güvenli erişim sağlar. Daha fazla bilgi için: https://aka.ms/aks/wi. Denetim, Devre Dışı 1.0.0
Azure Kubernetes Service kümelerinde Defender profili etkinleştirilmelidir Kapsayıcılar için Microsoft Defender ortam sağlamlaştırma, iş yükü koruması ve çalışma zamanı koruması gibi bulutta yerel Kubernetes güvenlik özellikleri sağlar. Azure Kubernetes Service kümenizde SecurityProfile.AzureDefender'ı etkinleştirdiğinizde, güvenlik olayı verilerini toplamak için kümenize bir aracı dağıtılır. https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks'da Kapsayıcılar için Microsoft Defender hakkında daha fazla bilgi edinin Denetim, Devre Dışı 2.0.1
Azure Kubernetes Service Kümelerinde yerel kimlik doğrulama yöntemleri devre dışı bırakılmalıdır Yerel kimlik doğrulama yöntemlerinin devre dışı bırakılması, Azure Kubernetes Service Kümelerin kimlik doğrulaması için yalnızca Azure Active Directory kimlikler gerektirmesini sağlayarak güvenliği artırır. Daha fazla bilgi için: https://aka.ms/aks-disable-local-accounts. Denetim, Reddetme, Devre Dışı 1.0.1
Azure Kubernetes Service Kümeleri yönetilen kimlikleri kullanmalıdır Hizmet sorumlularını sarmak, küme yönetimini basitleştirmek ve yönetilen hizmet sorumluları için gereken karmaşıklığı önlemek için yönetilen kimlikleri kullanın. Daha fazla bilgi için: https://aka.ms/aks-update-managed-identities Denetim, Devre Dışı 1.0.1
Azure Kubernetes Service Özel Kümeleri etkinleştirilmelidir API sunucunuzla düğüm havuzlarınız arasındaki ağ trafiğinin yalnızca özel ağda kaldığından emin olmak için Azure Kubernetes Service kümeniz için özel küme özelliğini etkinleştirin. Bu, birçok mevzuat ve sektör uyumluluk standardı için yaygın bir gereksinimdir. Denetim, Reddetme, Devre Dışı 1.0.1
Kubernetes hizmeti (AKS) için Azure İlkesi Eklentisi kümelerinize yüklenip etkinleştirilmelidir Kubernetes hizmeti (AKS) için Azure İlkesi Eklentisi, Açık İlke Aracısı (OPA) için bir erişim denetleyicisi web kancası olan Gatekeeper v3'i, kümelerinizde merkezi ve tutarlı bir şekilde büyük ölçekte zorlamalar ve korumalar uygulamak üzere genişletir. Denetim, Devre Dışı 1.0.2
Azure çalışan kapsayıcı görüntülerinin güvenlik açıkları çözümlenmelidir (Microsoft Defender Güvenlik Açığı Yönetimi tarafından desteklenir) Kapsayıcı görüntüsü güvenlik açığı değerlendirmesi, kayıt defterinizde yaygın olarak bilinen güvenlik açıklarını (CVE) tarar ve her görüntü için ayrıntılı bir güvenlik açığı raporu sağlar. Bu öneri, Kubernetes kümelerinizde çalışmakta olan güvenlik açığı olan görüntülere görünürlük sağlar. Şu anda çalışmakta olan kapsayıcı görüntülerindeki güvenlik açıklarını düzeltmek, güvenlik duruşunuzu geliştirmek ve kapsayıcılı iş yüklerinizin saldırı yüzeyini önemli ölçüde azaltmak için önemlidir. AuditIfNotExists, Devre Dışı 1.0.1
Azure Kubernetes Service kümelerindeki işletim sistemleri ve veri diskleri müşteri tarafından yönetilen anahtarlarla şifrelenmelidir Müşteri tarafından yönetilen anahtarları kullanarak işletim sistemi ve veri disklerinin şifrelenmesi, anahtar yönetiminde daha fazla denetim ve daha fazla esneklik sağlar. Bu, birçok mevzuat ve sektör uyumluluk standardı için yaygın bir gereksinimdir. Denetim, Reddetme, Devre Dışı 1.0.1
Tek Tek Düğümler Düzenlenemiyor Tek tek düğümler düzenlenemiyor. Kullanıcılar tek tek düğümleri düzenlememelidir. Lütfen düğüm havuzlarını düzenleyin. Düğümleri tek tek değiştirmek tutarsız ayarlara, işletimsel zorluklara ve olası güvenlik risklerine yol açabilir. Denetim, Reddetme, Devre Dışı 1.3.1
Belirtilen Azure Kubernetes Fleet Manager AKS kümelerinin belirli bir Azure Kubernetes Fleet Manager'a katıldığından emin olun. İsteğe bağlı olarak, hangi filo güncelleştirme grubunun katılacağını belirtmek için bir arama etiketi seçin. Daha fazla bilgi edinmek için https://aka.ms/kubernetes-fleet/policy DeployIfNotExists, Devre Dışı 1.0.0
Defender profilini etkinleştirmek için Azure Kubernetes Service kümelerini yapılandırın Kapsayıcılar için Microsoft Defender ortam sağlamlaştırma, iş yükü koruması ve çalışma zamanı koruması gibi bulutta yerel Kubernetes güvenlik özellikleri sağlar. SecurityProfile'i etkinleştirdiğinizde. Azure Kubernetes Service kümenizde Defender, güvenlik olayı verilerini toplamak için kümenize bir aracı dağıtılır. Kapsayıcılar için Microsoft Defender hakkında daha fazla bilgi edinin: https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks. DeployIfNotExists, Devre Dışı 4.3.0
Kubernetes kümesinde Flux uzantısı yüklemesini yapılandırma Kümede 'fluxconfigurations' dağıtımını etkinleştirmek için Kubernetes kümesine Flux uzantısını yükleyin DeployIfNotExists, Devre Dışı 1.0.0
KeyVault'ta Bucket kaynağı ve gizli dizileri kullanarak Kubernetes kümelerini Flux v2 yapılandırmasıyla yapılandırma Kümelerin tanımlanan Demet'ten iş yükleri ve yapılandırmalar için gerçek kaynaklarını almalarını sağlamak için Kubernetes kümelerine bir 'fluxConfiguration' dağıtın. Bu tanım, Key Vault depolanan bir Bucket SecretKey gerektirir. Yönergeler için adresini ziyaret edin https://aka.ms/GitOpsFlux2Policy. DeployIfNotExists, Devre Dışı 1.1.0
Git deposu ve HTTPS CA Sertifikası kullanarak Kubernetes kümelerini Flux v2 yapılandırmasıyla yapılandırma Kümelerin tanımlanan Git deposundan iş yükleri ve yapılandırmalar için gerçek kaynaklarını almalarını sağlamak için Kubernetes kümelerine bir 'fluxConfiguration' dağıtın. Bu tanım bir HTTPS CA Sertifikası gerektirir. Yönergeler için adresini ziyaret edin https://aka.ms/GitOpsFlux2Policy. DeployIfNotExists, Devre Dışı 1.1.0
Git deposunu ve HTTPS gizli dizilerini kullanarak Kubernetes kümelerini Flux v2 yapılandırmasıyla yapılandırma Kümelerin tanımlanan Git deposundan iş yükleri ve yapılandırmalar için gerçek kaynaklarını almalarını sağlamak için Kubernetes kümelerine bir 'fluxConfiguration' dağıtın. Bu tanım, Key Vault'de depolanan bir HTTPS anahtar gizli dizisi gerektirir. Yönergeler için adresini ziyaret edin https://aka.ms/GitOpsFlux2Policy. DeployIfNotExists, Devre Dışı 1.1.0
Git deposunu ve yerel gizli dizileri kullanarak Kubernetes kümelerini Flux v2 yapılandırmasıyla yapılandırma Kümelerin tanımlanan Git deposundan iş yükleri ve yapılandırmalar için gerçek kaynaklarını almalarını sağlamak için Kubernetes kümelerine bir 'fluxConfiguration' dağıtın. Bu tanım, Kubernetes kümesinde depolanan yerel kimlik doğrulama gizli dizilerini gerektirir. Yönergeler için adresini ziyaret edin https://aka.ms/GitOpsFlux2Policy. DeployIfNotExists, Devre Dışı 1.1.0
Git deposunu ve SSH gizli dizilerini kullanarak Kubernetes kümelerini Flux v2 yapılandırmasıyla yapılandırma Kümelerin tanımlanan Git deposundan iş yükleri ve yapılandırmalar için gerçek kaynaklarını almalarını sağlamak için Kubernetes kümelerine bir 'fluxConfiguration' dağıtın. Bu tanım, Key Vault depolanan bir SSH özel anahtar gizli dizisi gerektirir. Yönergeler için adresini ziyaret edin https://aka.ms/GitOpsFlux2Policy. DeployIfNotExists, Devre Dışı 1.1.0
Genel Git deposunu kullanarak Kubernetes kümelerini Flux v2 yapılandırmasıyla yapılandırma Kümelerin tanımlanan Git deposundan iş yükleri ve yapılandırmalar için gerçek kaynaklarını almalarını sağlamak için Kubernetes kümelerine bir 'fluxConfiguration' dağıtın. Bu tanım gizli dizi gerektirmez. Yönergeler için adresini ziyaret edin https://aka.ms/GitOpsFlux2Policy. DeployIfNotExists, Devre Dışı 1.1.0
Yerel gizli dizileri kullanarak Kubernetes kümelerini belirtilen Flux v2 Demet kaynağıyla yapılandırma Kümelerin tanımlanan Demet'ten iş yükleri ve yapılandırmalar için gerçek kaynaklarını almalarını sağlamak için Kubernetes kümelerine bir 'fluxConfiguration' dağıtın. Bu tanım, Kubernetes kümesinde depolanan yerel kimlik doğrulama gizli dizilerini gerektirir. Yönergeler için adresini ziyaret edin https://aka.ms/GitOpsFlux2Policy. DeployIfNotExists, Devre Dışı 1.1.0
HTTPS gizli dizilerini kullanarak belirtilen GitOps yapılandırmasıyla Kubernetes kümelerini yapılandırma Kümelerin tanımlanan git deposundan iş yükleri ve yapılandırmalar için gerçek kaynaklarını almalarını sağlamak için Kubernetes kümelerine bir 'sourceControlConfiguration' dağıtın. Bu tanım, Key Vault'de depolanan HTTPS kullanıcı ve anahtar gizli dizilerini gerektirir. Yönergeler için adresini ziyaret edin https://aka.ms/K8sGitOpsPolicy. auditIfNotExists, AuditIfNotExists, deployIfNotExists, DeployIfNotExists, devre dışı, Devre Dışı 1.1.0
Gizli dizi kullanmadan belirtilen GitOps yapılandırmasıyla Kubernetes kümelerini yapılandırma Kümelerin tanımlanan git deposundan iş yükleri ve yapılandırmalar için gerçek kaynaklarını almalarını sağlamak için Kubernetes kümelerine bir 'sourceControlConfiguration' dağıtın. Bu tanım gizli dizi gerektirmez. Yönergeler için adresini ziyaret edin https://aka.ms/K8sGitOpsPolicy. auditIfNotExists, AuditIfNotExists, deployIfNotExists, DeployIfNotExists, devre dışı, Devre Dışı 1.1.0
SSH gizli dizilerini kullanarak Kubernetes kümelerini belirtilen GitOps yapılandırmasıyla yapılandırma Kümelerin tanımlanan git deposundan iş yükleri ve yapılandırmalar için gerçek kaynaklarını almalarını sağlamak için Kubernetes kümelerine bir 'sourceControlConfiguration' dağıtın. Bu tanım Key Vault bir SSH özel anahtar gizli dizisi gerektirir. Yönergeler için adresini ziyaret edin https://aka.ms/K8sGitOpsPolicy. auditIfNotExists, AuditIfNotExists, deployIfNotExists, DeployIfNotExists, devre dışı, Devre Dışı 1.1.0
Gerekli Yönetici Grubu Erişimine sahip tümleşik Azure Kubernetes Service Kümelerini Microsoft Entra ID yapılandırın Microsoft Entra ID tümleşik AKS kümelerine Yönetici erişimini merkezi olarak yöneterek küme güvenliğini iyileştirmeyi sağlayın. DeployIfNotExists, Devre Dışı 2.1.0
Azure Kubernetes Kümesinde Düğüm İşletim Sistemi Otomatik yükseltmesini yapılandırma Azure Kubernetes Service (AKS) kümelerinin düğüm düzeyinde işletim sistemi güvenlik güncelleştirmelerini denetlemek için Düğüm İşletim Sistemi otomatik yükseltmesini kullanın. Daha fazla bilgi için adresini ziyaret edin https://learn.microsoft.com/en-us/azure/aks/auto-upgrade-node-image. DeployIfNotExists, Devre Dışı 1.2.0
Deploy - Log Analytics çalışma alanına Azure Kubernetes Service tanılama ayarlarını yapılandırın Kaynak günlüklerini bir Log Analytics çalışma alanına aktarmak için Azure Kubernetes Service tanılama ayarlarını dağıtır. DeployIfNotExists, Devre Dışı 3.0.0
Azure Kubernetes Service kümelerine Deploy Azure İlkesi Eklentisi Azure Kubernetes Service (AKS) kümelerinizin uyumluluk durumunu yönetmek ve raporlamak için Azure İlkesi Eklentisini kullanın. Daha fazla bilgi için bkz. https://aka.ms/akspolicydoc. DeployIfNotExists, Devre Dışı 4.2.0
Deploy Image Cleaner on Azure Kubernetes Service Azure Kubernetes kümelerinde Görüntü Temizleyici'yi dağıtın. Daha fazla bilgi için https://aka.ms/aks/image-cleaner DeployIfNotExists, Devre Dışı 1.2.0
Azure Kubernetes Service (AKS) kümenizin yükseltmelerini zamanlamak ve denetlemek için Planlı Bakım'ı dağıtın Planlı Bakım, güncelleştirmeleri gerçekleştirmek ve iş yükü etkisini en aza indirmek için haftalık bakım pencereleri zamanlamanıza olanak tanır. Zamanlandıktan sonra yükseltmeler yalnızca seçtiğiniz pencere sırasında gerçekleşir. Daha fazla bilgi için: https://aka.ms/aks/planned-maintenance Mevcut Değilse Dağıt, Mevcut Değilse Denetle, Devre Dışı 1.1.0
Azure Kubernetes Service kümelerinde Disable Command Invoke Komut çağrısını devre dışı bırakmak, kümeye invoke-command erişimini reddederek güvenliği artırabilir DeployIfNotExists, Devre Dışı 1.2.0
Küme kapsayıcılarının hazır olma veya canlılık yoklamalarının yapılandırıldığından emin olun Bu ilke, tüm podların hazır olma ve/veya canlılık yoklamalarının yapılandırılmasını zorunlu kılır. Yoklama Türleri tcpSocket, httpGet ve exec'in herhangi biri olabilir. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Bu ilkeyi kullanma yönergeleri için adresini ziyaret edin https://aka.ms/kubepolicydoc. Denetim, Reddetme, Devre Dışı 3.3.0
Kubernetes kümesi kapsayıcı görüntüleri preStop kancasını içermelidir Pod kapatma işlemleri sırasında işlemleri düzgün bir şekilde sonlandırmak için kapsayıcı görüntülerinin bir preStop kancası içermesini gerektirir. Denetim, Reddetme, Devre Dışı 1.1.1
Kubernetes kümesi kapsayıcı görüntüleri en son görüntü etiketini içermemelidir Kapsayıcı görüntülerinin Kubernetes'te en son etiketi kullanmamasını gerektirir; yeniden üretilebilirliği sağlamak, istenmeyen güncelleştirmeleri önlemek ve açık ve sürüme alınmış kapsayıcı görüntülerini kullanarak daha kolay hata ayıklama ve geri alma işlemlerini kolaylaştırmak en iyi yöntemdir. Denetim, Reddetme, Devre Dışı 2.0.1
Kubernetes küme kapsayıcıları CPU ve bellek kaynak sınırları belirtilen sınırları aşmamalıdır Kubernetes kümesinde kaynak tükenmesi saldırılarını önlemek için kapsayıcı CPU ve bellek kaynak sınırlarını zorunlu kılın. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 9.3.0
Kubernetes küme kapsayıcıları CPU ve bellek kaynağı istekleri tanımlanmalıdır Zamanlanmış düğümün gerekli kaynaklara sahip olduğundan emin olmak için kapsayıcı CPU ve bellek kaynağı isteklerini zorunlu kılın. Denetim, Reddetme, Devre Dışı 1.0.0-preview
Kubernetes küme kapsayıcıları konak ad alanlarını paylaşmamalıdır Pod kapsayıcılarının bir Kubernetes kümesinde konak işlem kimliği ad alanını, konak IPC ad alanını ve konak ağ ad alanını paylaşmasını engelleyin. Bu öneri, konak ad alanları için Kubernetes Pod Güvenlik Standartları ile uyumludur ve Kubernetes ortamlarınızın güvenliğini iyileştirmeye yönelik CIS 5.2.1, 5.2.2 ve 5.2.3'ün bir parçasıdır. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. Denetim, Reddetme, Devre Dışı 6.0.0
Kubernetes küme kapsayıcıları yasak sysctl arabirimlerini kullanmamalıdır Kapsayıcılar Kubernetes kümesinde yasak sysctl arabirimleri kullanmamalıdır. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 7.2.0
Kubernetes küme kapsayıcıları yalnızca görüntü çekme gizli dizileri mevcut olduğunda görüntüleri çekmelidir Kapsayıcıların görüntü çekmelerini kısıtlayarak ImagePullSecrets varlığını zorunlu kılma ve Kubernetes kümesi içindeki görüntülere güvenli ve yetkili erişim sağlama Denetim, Reddetme, Devre Dışı 1.3.1
Kubernetes küme kapsayıcıları yalnızca izin verilen AppArmor profillerini kullanmalıdır Kapsayıcılar yalnızca Kubernetes kümesinde izin verilen AppArmor profillerini kullanmalıdır. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 6.2.1
Kubernetes küme kapsayıcıları yalnızca izin verilen özellikleri kullanmalıdır Kubernetes kümesindeki kapsayıcıların saldırı yüzeyini azaltma özelliklerini kısıtlayın. Bu öneri, Kubernetes ortamlarınızın güvenliğini iyileştirmeye yönelik CIS 5.2.8 ve CIS 5.2.9'un bir parçasıdır. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 6.2.0
Kubernetes küme kapsayıcıları yalnızca izin verilen görüntüleri kullanmalıdır Kubernetes kümesinin bilinmeyen güvenlik açıklarına, güvenlik sorunlarına ve kötü amaçlı görüntülere maruz kalma riskini azaltmak için güvenilen kayıt defterlerinden görüntüler kullanın. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 9.3.0
Kubernetes küme kapsayıcıları yalnızca izin verilen ProcMountType kullanmalıdır Pod kapsayıcıları bir Kubernetes kümesinde yalnızca izin verilen ProcMountType'ları kullanabilir. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 8.2.0
Kubernetes küme kapsayıcıları yalnızca izin verilen çekme ilkesini kullanmalıdır Kapsayıcıları dağıtımlarda yalnızca izin verilen görüntüleri kullanacak şekilde zorlamak için kapsayıcıların çekme ilkesini kısıtlayın Denetim, Reddetme, Devre Dışı 3.2.0
Kubernetes küme kapsayıcıları yalnızca izin verilen sekcomp profillerini kullanmalıdır Pod kapsayıcıları bir Kubernetes kümesinde yalnızca izin verilen seccomp profillerini kullanabilir. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 7.2.0
Kubernetes küme kapsayıcıları salt okunur bir kök dosya sistemiyle çalıştırılmalıdır Kubernetes kümesinde PATH'e kötü amaçlı ikili dosyalar eklenerek çalışma zamanındaki değişikliklerden korunmak için kapsayıcıları salt okunur bir kök dosya sistemiyle çalıştırın. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 6.3.0
Kubernetes küme podu FlexVolume birimleri yalnızca izin verilen sürücüleri kullanmalıdır Pod FlexVolume birimleri yalnızca Bir Kubernetes kümesinde izin verilen sürücüleri kullanmalıdır. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 5.2.0
Kubernetes küme pod hostPath birimleri yalnızca izin verilen konak yollarını kullanmalıdır Pod HostPath birimi bağlamalarını Kubernetes Kümesinde izin verilen konak yollarına sınırlayın. Bu ilke genellikle Kubernetes Service (AKS) ve Azure Arc etkin Kubernetes için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 6.3.0
Kubernetes küme podları ve kapsayıcıları SELinux güvenlik standartlarına uygun olmalıdır Bu ilke, SELinux seçenekleri için Kubernetes Pod Güvenlik Standartları'nın uygulanmasını sağlar. PSS modu altında , 'kullanıcı' ve 'rol' alanları boş olmalı ve 'tür' alanı izin verilen değerlerden biri olmalıdır. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. Denetim, Reddetme, Devre Dışı 8.0.0
Kubernetes küme podları ve kapsayıcıları yalnızca onaylanan kullanıcı ve grup kimlikleriyle çalıştırılmalıdır Podların ve kapsayıcıların kubernetes kümesinde çalıştırmak için kullanabileceği kullanıcı, birincil grup, ek grup ve dosya sistemi grubu kimliklerini denetleyin. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 6.2.0
Kubernetes küme podları yalnızca izin verilen birim türlerini kullanmalıdır Podlar yalnızca Kubernetes kümesinde izin verilen birim türlerini kullanabilir. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 5.2.0
Kubernetes küme podları yalnızca onaylı konak ağı ve bağlantı noktası listesi kullanmalıdır Kubernetes kümesindeki konak ağına ve izin verilebilen konak bağlantı noktalarına pod erişimini kısıtlayın. Bu öneri, Kubernetes ortamlarınızın güvenliğini artırmayı amaçlayan ve hostPorts için Pod Güvenlik Standartları (PSS) ile uyumlu olan CIS 5.2.4'ün bir parçasıdır. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. Denetim, Reddetme, Devre Dışı 7.0.0
Kubernetes küme podları belirtilen etiketleri kullanmalıdır Kubernetes kümesindeki podları tanımlamak için belirtilen etiketleri kullanın. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 7.2.0
Kubernetes küme hizmetleri yalnızca izin verilen bağlantı noktalarını dinlemelidir Kubernetes kümesine erişimin güvenliğini sağlamak için hizmetleri yalnızca izin verilen bağlantı noktalarında dinleyecek şekilde kısıtlayın. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 8.2.0
Kubernetes küme hizmetleri yalnızca izin verilen dış IP'leri kullanmalıdır Kubernetes kümesinde olası saldırılardan (CVE-2020-8554) kaçınmak için izin verilen dış IP'leri kullanın. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 5.2.0
Kubernetes küme hizmetleri benzersiz seçiciler kullanmalıdır Ad Alanı içindeki Hizmetlerin Benzersiz Seçicileri Olduğundan Emin Olun. Benzersiz bir hizmet seçici, bir ad alanı içindeki her hizmetin belirli ölçütlere göre benzersiz olarak tanımlanabilir olmasını sağlar. Bu ilke hizmet kaynaklarını Gatekeeper aracılığıyla OPA ile eşitler. Uygulamadan önce Ağ Geçidi Denetleyicisi podlarının bellek kapasitesinin aşılmayacağını doğrulayın. Parametreler belirli ad alanlarına uygulanır, ancak bu türün tüm kaynaklarını tüm ad alanları arasında eşitler. Şu anda Kubernetes Service (AKS) için önizleme aşamasındadır. Denetim, Reddetme, Devre Dışı 1.2.2
Kubernetes kümesi ayrıcalıklı kapsayıcılara izin vermemelidir Kubernetes kümesinde ayrıcalıklı kapsayıcıların oluşturulmasına izin verme. Bu öneri, Kubernetes ortamlarınızın güvenliğini iyileştirmeye yönelik CIS 5.2.1'in bir parçasıdır. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 9.2.0
Kubernetes kümesi çıplak podları kullanmamalıdır Çıplak Pod kullanımını engelleyin. Çıplak Podlar, düğüm hatası durumunda yeniden zamanlanmaz. Podlar Dağıtım, Replicset, Daemonset veya İşler tarafından yönetilmelidir Denetim, Reddetme, Devre Dışı 2.3.1
Kubernetes kümesi Windows kapsayıcıları cpu ve belleği aşırı kullanmamalıdır Windows kapsayıcı kaynak istekleri kaynak sınırına eşit veya daha az olmalıdır ya da aşırı iletişimden kaçınmak için belirtilmemiş olmalıdır. Windows bellek aşırı sağlanmışsa, diskteki sayfalar işlenir ve bu da kapsayıcıyı yetersiz bellekle sonlandırmak yerine performansı yavaşlatabilir Denetim, Reddetme, Devre Dışı 2.2.0
Kubernetes kümesi Windows kapsayıcıları ContainerAdministrator Windows podları veya kapsayıcılar için kapsayıcı işlemlerini yürütmek üzere kullanıcı olarak ContainerAdministrator kullanımını önleyin. Bu öneri, Windows düğümlerin güvenliğini iyileştirmeye yöneliktir. Daha fazla bilgi için bkz. https://kubernetes.io/docs/concepts/windows/intro/ . Denetim, Reddetme, Devre Dışı 1.2.0
Kubernetes kümesi Windows kapsayıcıları yalnızca onaylı kullanıcı ve etki alanı kullanıcı grubuyla çalıştırılmalıdır Windows podların ve kapsayıcıların kubernetes kümesinde çalıştırmak için kullanabileceği kullanıcıyı denetleyin. Bu öneri, Kubernetes ortamlarınızın güvenliğini iyileştirmeye yönelik Windows düğümlerde Pod Güvenlik İlkeleri'nin bir parçasıdır. Denetim, Reddetme, Devre Dışı 2.2.0
Kubernetes kümesi Windows podları HostProcess kapsayıcılarını çalıştırmamalıdır Windows düğümüne prviledged erişimini engelleyin. Bu öneri, Windows düğümlerin güvenliğini iyileştirmeye yöneliktir. Daha fazla bilgi için bkz. https://kubernetes.io/docs/concepts/windows/intro/ . Denetim, Reddetme, Devre Dışı 1.0.0
Kubernetes kümelerine yalnızca HTTPS üzerinden erişilebilir olmalıdır HTTPS kullanımı kimlik doğrulamasını sağlar ve aktarımdaki verileri ağ katmanı dinleme saldırılarından korur. Bu özellik şu anda Kubernetes Service (AKS) için genel kullanıma sunulmuştur ve etkinleştirilmiş Azure Arc Kubernetes için önizleme aşamasındadır. Daha fazla bilgi için https://aka.ms/kubepolicydoc Denetim, Reddetme, Devre Dışı 9.0.0
Kubernetes kümeleri, API kimlik bilgilerini otomatik bağlamayı devre dışı bırakmalıdır Güvenliği aşılmış olabilecek bir Pod kaynağının Kubernetes kümelerinde API komutlarını çalıştırmasını önlemek için API kimlik bilgilerini otomatik bağlamayı devre dışı bırakın. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 4.2.0
Kubernetes kümeleri, küme yöneticisi rolünün yalnızca gerektiğinde kullanıldığından emin olmalıdır 'cluster-admin' rolü ortam üzerinde geniş kapsamlı güçler sağlar ve yalnızca gerektiğinde ve gerektiğinde kullanılmalıdır. Denetim, Devre Dışı 1.1.0
Kubernetes kümeleri rol ve küme rolünde joker karakter kullanımını en aza indirmelidir '*' joker karakterlerini kullanmak, belirli bir rol için gerekli olmayan geniş izinler verdiğinden güvenlik riski oluşturabilir. Bir rolün çok fazla izni varsa, kümedeki kaynaklara yetkisiz erişim elde etmek için bir saldırgan veya güvenliği aşılmış bir kullanıcı tarafından kötüye kullanılabilir. Denetim, Devre Dışı 1.1.0
Kubernetes kümeleri kapsayıcı ayrıcalık yükseltmesine izin vermemelidir Kapsayıcıların Kubernetes kümesinde köke ayrıcalık yükseltmesi ile çalışmasına izin verme. Bu öneri, Kubernetes ortamlarınızın güvenliğini iyileştirmeye yönelik CIS 5.2.5'in bir parçasıdır. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. Denetim, Reddetme, Devre Dışı 8.0.0
Kubernetes kümeleri ClusterRole/system:aggregate-to-edit uç nokta düzenleme izinlerine izin vermemelidir ClusterRole/system:aggregate-to-edit CVE-2021-25740 nedeniyle uç nokta düzenleme izinlerine izin vermemelidir, Endpoint & EndpointSlice izinleri ad alanları arası iletmeye izin verir. https://github.com/kubernetes/kubernetes/issues/103675 Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. Denetim, Devre Dışı 3.2.0
Kubernetes kümeleri CAP_SYS_ADMIN güvenlik özellikleri vermemelidir Kapsayıcılarınızın saldırı yüzeyini azaltmak için CAP_SYS_ADMIN Linux özelliklerini kısıtlayın. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 5.1.0
Kubernetes kümeleri belirli güvenlik özelliklerini kullanmamalıdır Pod kaynağında eklenmemiş ayrıcalıkları önlemek için Kubernetes kümelerindeki belirli güvenlik özelliklerini önleyin. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 5.2.0
Kubernetes kümeleri varsayılan ad alanını kullanmamalıdır ConfigMap, Pod, Gizli Dizi, Hizmet ve ServiceAccount kaynak türlerine yetkisiz erişime karşı korumak için Kubernetes kümelerinde varsayılan ad alanının kullanımını önleyin. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 4.2.0
Kubernetes kümeleri giriş kaynak kurallarında ana bilgisayar belirtmelidir Arka uç hizmetlerinin yetkisiz erişime yanlışlıkla maruz kalmasını önlemek için giriş kaynağı kurallarında ana bilgisayar belirtildiğinden emin olun. Bu ilke, her kuralın belirli bir konak alanına sahip olduğundan emin olmak için Kubernetes Giriş kaynaklarını değerlendirir. Denetim, Reddetme, Devre Dışı 1.1.0-preview
Kubernetes kümeleri Kapsayıcı Depolama Arabirimi (CSI) sürücüsü StorageClass kullanmalıdır Container Storage Interface (CSI), rastgele blok ve dosya depolama sistemlerini Kubernetes üzerindeki kapsayıcılı iş yüklerinde kullanıma sunmaya yönelik bir standarttır. AKS sürüm 1.21'den bu yana ağaç içi sağlama StorageClass kullanım dışı bırakılmalıdır. Daha fazla bilgi edinmek için https://aka.ms/aks-csi-driver Denetim, Reddetme, Devre Dışı 2.3.0
Kubernetes kümeleri iç yük dengeleyicileri kullanmalıdır Kubernetes hizmetini yalnızca Kubernetes kümesiyle aynı sanal ağda çalışan uygulamalar için erişilebilir hale getirmek için iç yük dengeleyicileri kullanın. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. denetim, Denetim, reddetme, Reddetme, devre dışı, Devre Dışı 8.2.0
Kubernetes kaynaklarının gerekli ek açıklamaları olmalıdır Kubernetes kaynaklarınızın gelişmiş kaynak yönetimi için belirli bir Kubernetes kaynak türüne gerekli ek açıklamaların eklendiğine emin olun. Bu ilke genellikle Kubernetes Service (AKS) için ve Azure Arc etkin Kubernetes için önizleme için kullanılabilir. Daha fazla bilgi için bkz. https://aka.ms/kubepolicydoc. Denetim, Reddetme, Devre Dışı 3.2.0
Kubernetes Services, güvenlik açığı olmayan bir Kubernetes sürümüne yükseltilmelidir Geçerli Kubernetes sürümünüzdeki bilinen güvenlik açıklarına karşı koruma sağlamak için Kubernetes hizmet kümenizi daha sonraki bir Kubernetes sürümüne yükseltin. Kubernetes sürüm 1.11.9+, 1.12.7+, 1.13.5+ ve 1.14.0+ sürümlerinde CVE-2019-9946 güvenlik açığına düzeltme eki eklendi Denetim, Devre Dışı 1.0.2
Benzeşim Önleme Kuralları veya Topoloji Yayma Kısıtlamaları Ayarlanmış Olmalıdır Bu ilke, podların küme içindeki farklı düğümlerde zamanlanmasını sağlar. Benzeşim karşıtı kurallar veya pod topolojisi yayma kısıtlamaları zorunlu tutularak, düğümlerden biri kullanılamaz duruma gelse bile kullanılabilirlik korunur. Podlar diğer düğümlerde çalışmaya devam ederek dayanıklılığı artırır. Denetim, Reddetme, Devre Dışı 1.2.2
Tüm özellikleri bırakmak için K8s Kapsayıcısını sessize alma securityContext.capabilities.drop dosyasını "ALL" içine eklemek için sessize alır. Bu, k8s Linux kapsayıcıları için tüm özellikleri bırakır Sesi Kapat, Devre Dışı 1.2.1
Tüm özellikleri bırakmak için K8s Init Kapsayıcısını sessize alma securityContext.capabilities.drop dosyasını "ALL" içine eklemek için sessize alır. Bu, k8s linux init kapsayıcıları için tüm özellikleri bırakır Sesi Kapat, Devre Dışı 1.2.1
AKS'ye Özgü Etiket Yok Müşterilerin AKS'ye özgü etiketler uygulamasını engeller. AKS, AKS'ye ait bileşenleri belirtmek için ön ekli kubernetes.azure.com etiketleri kullanır. Müşteri bu etiketleri kullanmamalıdır. Denetim, Reddetme, Devre Dışı 1.2.1
Mutasyon uygulandığında bir ileti yazdırır Uygulanan mutasyon ek açıklamalarını arar ve ek açıklama varsa bir ileti yazdırır. Denetim, Devre Dışı 1.2.1
Ayrılmış Sistem Havuzu Renk Tonları CriticalAddonsOnly taint'i yalnızca sistem havuzuyla kısıtlar. AKS, müşteri podlarını sistem havuzundan uzak tutmak için CriticalAddonsOnly taint kullanır. AKS bileşenleri ile müşteri podları arasında net bir ayrım sağlar ve CriticalAddonsOnly taint'i tolere etmezlerse müşteri podlarının çıkarılmasını önler. Denetim, Reddetme, Devre Dışı 1.2.1
Azure Kubernetes Service Kaynak günlükleri etkinleştirilmelidir Azure Kubernetes Service kaynak günlükleri, güvenlik olaylarını araştırırken etkinlik izlerini yeniden oluşturmanıza yardımcı olabilir. Gerektiğinde günlüklerin mevcut olduğundan emin olmak için etkinleştirin AuditIfNotExists, Devre Dışı 1.0.0
CriticalAddonsOnly taint'i yalnızca sistem havuzuyla kısıtlar. Kullanıcı uygulamalarının kullanıcı havuzlarından çıkarılmasını önlemek ve kullanıcı ile sistem havuzları arasındaki endişelerin ayrılmasını sağlamak için , 'CriticalAddonsOnly' taint'i kullanıcı havuzlarına uygulanmamalıdır. Sesi Kapat, Devre Dışı 1.3.1
Kubernetes ServicesRole-Based Access Control (RBAC) kullanılmalıdır> Kullanıcıların gerçekleştirebileceği eylemler üzerinde ayrıntılı filtreleme sağlamak için Role-Based Access Control (RBAC) kullanarak Kubernetes Hizmet Kümelerindeki izinleri yönetin ve ilgili yetkilendirme ilkelerini yapılandırın. Denetim, Devre Dışı 1.1.0
Kapsayıcılardaki Pod belirtimindeki automountServiceAccountToken değerini false olarak ayarlar. automountServiceAccountToken değerini false olarak ayarlamak, hizmet hesabı belirteçlerinin varsayılan otomatik bağlamasını önleyerek güvenliği artırır Sesi Kapat, Devre Dışı 1.2.1
Kubernetes küme kapsayıcıları CPU sınırlarını, mevcut olmaması durumunda varsayılan değerlere ayarlar. Kubernetes kümesinde kaynak tükenmesi saldırılarını önlemek için kapsayıcı CPU sınırlarını ayarlama. Sesi Kapat, Devre Dışı 1.3.1
Kubernetes küme kapsayıcıları bellek sınırlarını, mevcut olmaması durumunda varsayılan değerlerle ayarlar. Kubernetes kümesinde kaynak tükenmesi saldırılarını önlemek için kapsayıcı bellek sınırlarını ayarlama. Sesi Kapat, Devre Dışı 1.3.1
PodDisruptionBudget kaynakları için maxUnavailable podlarını 1 olarak ayarlar Kullanılamayan en yüksek pod değerinizi 1 olarak ayarlamak, kesinti sırasında uygulamanızın veya hizmetinizin kullanılabilir olmasını sağlar Sesi Kapat, Devre Dışı 1.3.1
Init kapsayıcılarındaki Pod belirtimindeki readOnlyRootFileSystem değerini ayarlanmadıysa true olarak ayarlar. readOnlyRootFileSystem değerinin true olarak ayarlanması, kapsayıcıların kök dosya sistemine yazmasını engelleyerek güvenliği artırır. Bu yalnızca Linux kapsayıcıları için çalışır. Sesi Kapat, Devre Dışı 1.3.1
Ayarlanmazsa Pod belirtimindeki readOnlyRootFileSystem değerini true olarak ayarlar. readOnlyRootFileSystem değerini true olarak ayarlamak, kapsayıcıların kök dosya sistemine yazmasını engelleyerek güvenliği artırır Sesi Kapat, Devre Dışı 1.3.1
Demp diskleri ve Azure Kubernetes Service kümelerindeki aracı düğümü havuzları önbelleği konakta şifrelenmelidir Veri güvenliğini geliştirmek için, Azure Kubernetes Service düğüm vm'lerinizin sanal makine (VM) ana bilgisayarında depolanan veriler bekleme sırasında şifrelenmelidir. Bu, birçok mevzuat ve sektör uyumluluk standardı için yaygın bir gereksinimdir. Denetim, Reddetme, Devre Dışı 1.0.1

Sonraki adımlar

  • Last updated on