AKS 漏洞資料 API 提供程式化、唯讀存取 AKS 管理平台元件中偵測到的常見漏洞與暴露（CVE）。 其目的是為需要關於 AKS 管理元件中弱點之權威資訊的資安團隊、合規團隊及平台負責人提供資訊，包括哪個 AKS 發行版本包含各個 CVE 的修補程式。 關於這些元件結構與更新的概念概述，請參見 AKS 元件版本管理。
本文概述文章說明 AKS 漏洞資料 API 的目的、它暴露的 CVE 資料類型，以及如何利用它來了解 AKS 管理元件隨時間呈現的安全態勢。
Note
此 API 並未提供針對叢集的漏洞視圖。 它會針對 AKS 發行版本、Kubernetes 版本及節點映像檔追蹤 CVE，並找出包含各個 CVE 修補程式的 AKS 發行版本。 由於計畫中的 維護時段 及 AKS 版本的分階段推出，不同叢集可能同時存在於不同的 AKS 版本。
AKS 漏洞資料 API 結構
API 呈現依三個 AKS 元件類別組織的漏洞資料：
- AKS 平台發行版本：影響特定 AKS 發行版本 的 CVE，以及包含各個 CVE 修補程式的 AKS 發行版本。 這包括 Kubernetes 控制平面元件，以及 AKS 管理的、與該版本相關的 功能、附加元件和延伸模組 的容器映像。
- Kubernetes 版本：影響 Kubernetes 元件映像，以及與特定 Kubernetes 版本相關之 AKS 所管理的功能、附加元件和擴充功能容器映像的 CVE。
- Node 映像（虛擬硬碟或 VHD）：影響特定 AKS 節點映像 中包含的作業系統（OS）套件及快取容器映像的 CVE。
資料由 預先掃描、驗證的報告 產生，反映 AKS 管理元件在特定發布時間點的安全狀態。
Important
AKS 漏洞資料 API 僅提供資訊，報告 AKS 管理產物中識別的漏洞，而非客戶管理工作負載中的漏洞。
API 不支援：
- 掃描客戶叢集
- 分析執行階段暴露
- 判斷 CVE 是否在您的環境中可被利用。 可利用性取決於工作負載行為、網路暴露以及 API 無法察覺的存取控制。
- 說明是否已修補過的 AKS 版本已推送到特定叢集。 特定叢集的補丁可用性取決於叢集目前的 AKS 版本、區域部署階段及 預定維護 時段。
對於執行中的叢集和客戶工作負載進行漏洞評估，可使用像 Microsoft Defender for Containers 或第三方容器安全掃描器等工具。
你可以利用漏洞資料識別哪些 AKS 版本包含特定 CVE 的修補程式，然後檢查這些版本是否因 預定維護時段而尚未在你的叢集上套用。
存取 API
您可以使用以下方法之一存取 AKS 漏洞資料 API：
- REST API 基礎網址： https://cve-api.prod-aks.azure.com
- 互動式檢視器： https://cve-api.prod-aks.azure.com/viewer/index.html
所有端點皆可公開存取，且為唯讀。 他們不會揭露客戶專屬資訊。 使用互動檢視器進行臨時探索與手動檢視。 使用 REST API 進行自動化、報告及大規模分析。
如何解讀 CVE 資料
AKS 漏洞資料 API 會回報在特定時間點於由 AKS 管理的產物中偵測到的 CVE。 報告中的每個 CVE 會被分類 為主動 型或 緩解型：
- 作用中的 CVE表示在產生報告時，於所參照的 AKS 成品版本中偵測到漏洞。
- 已緩解的 CVE 表示在所參照的 AKS 成品先前版本中偵測到、但在目前版本中已不再存在的弱點，通常是因為受影響的元件或作業系統套件已升級。
選擇正確的體驗
AKS 的漏洞資訊可透過多種經驗獲得，視任務範圍而定：
| Scope | 推薦的使用體驗 |
|---|---|
| 單次 CVE 查詢或臨時調查 | 請使用 AKS CVE 狀態 與 安全公告， 或 互動式檢視器。 |
| 叢集專用的 CVE 分析，無需漏洞掃描器 | 將這個 API 的資料與你叢集上運行的 AKS 管理元件版本做關聯。 你可以使用 AKS Component Insights 發現叢集中部署的元件版本。 |
| 大規模 CVE 分析或自動化 | 對於需要處理由安全掃描器回報的數百甚至數千個 CVE 的情境，請直接使用 AKS 漏洞資料 API。 這讓你能程式化地取得你正在執行的 AKS 產物的漏洞報告，比較掃描器回報的 CVE 與這些產物報告中的 CVE，並辨識哪些 CVE 在較新的 AKS 版本、Kubernetes 版本或節點映像中已被修復。 |
關於如何使用 API 進行批量分析、關聯工作流程及自動化情境的指引，請參見 使用 Azure Kubernetes Service (AKS) 漏洞資料 API。
常見使用案例
以下章節概述常見情境，AKS 漏洞資料 API 可用於支援安全與合規活動，包括審核 AKS 版本的 CVE、識別版本間的緩解 CVE、審查 Kubernetes 版本的 CVE，以及評估節點映像漏洞。
對 AKS 發行版本的 CVE 進行稽核
取得特定 AKS 平台版本的漏洞資料，以檢視 AKS 管理系統元件中修正的 CVE。
找出不同 AKS 版本之間已獲緩解的 CVE
AKS 發行版本報告包含差異資訊，指出相較於先前的發行版本，哪些 CVE 已獲得緩解。 請檢視 AKS 發布追蹤器 ，判斷進行中的版本何時抵達你的區域，並確認你的維護時段是否允許升級。
檢閱某個 Kubernetes 版本的 CVE
取得特定 Kubernetes 版本的漏洞資訊，包括影響以下 CVE：
- Kubernetes 元件映像檔。
- AKS 管理的功能、附加元件與擴充功能與該版本相關。
這在評估 Kubernetes 升級或比較支援版本間的漏洞狀態時非常有用。 請檢視 AKS 版本追蹤器 ，確認 Kubernetes 版本何時抵達你的區域，並確認你的維護時段是否允許升級。
檢閱節點映像 (VHD) 漏洞
節點映像檔報告可讓您掌握受下列項目影響的漏洞情況：
- 節點映像中包含的作業系統套件
- 快取在節點映像中的容器映像。
這些資訊在規劃節點映像升級時非常有用。 請檢視 AKS 發布追蹤器 ，判斷 VHD 版本何時抵達你的區域，並確認你的維護時段是否允許升級。
相關內容
- 如需詳細的端點文件、請求格式、回應架構及範例，請參見 Use the Azure Kubernetes Service (AKS) Vulnerability Data API。
- 工作負載與執行時脆弱性評估，請繼續使用 Microsoft Defender 容器或第三方掃描器。