Installare il sensore Defender per Container con Helm

Per controllare la distribuzione e le tempistiche degli aggiornamenti nei tuoi cluster Servizio Azure Kubernetes (AKS), Amazon Elastic Kubernetes Service (EKS) e Google Kubernetes Engine (GKE), installa e configura il sensore Defender for Containers usando Helm. Prima di iniziare, assicurati di soddisfare i requisiti.

Defender per contenitori supporta più modelli di distribuzione del sensore, tra cui provisioning automatico e installazione basata su Helm. La distribuzione basata su Helm offre un maggiore controllo sulla gestione delle versioni e sulle tempistiche degli aggiornamenti, ma devi gestire parte delle attività operative. Quando si utilizza la distribuzione tramite Helm, considerare:

• Aggiornamenti dei sensori: Utilizzando il dispiegamento basato su Helm, gestisci gli aggiornamenti e i tempi dei sensori. Il provisioning automatico segue le pianificazioni di implementazione gestite da Microsoft.

• Flussi di installazione automatica: quando si distribuisce il sensore usando Helm, ignorare le richieste automatiche e le raccomandazioni nel portale di Azure per evitare conflitti con la distribuzione esistente.

Prerequisiti

Prima di installare il sensore usando Helm, completare i prerequisiti seguenti:

• Installa e rendi disponibili helm e curl nel tuo ambiente da riga di comando.

  Per confermare che Helm e curl siano installati e disponibili prima di schierare Defender for Containers, esegui i seguenti comandi:

  helm version
  curl --version
  

• Implementare tutti i requisiti dei prerequisiti per il sensore Defender per contenitori, come descritto nei requisiti di rete dei sensori di Defender.

• Abilitare Defender for Containers nella sottoscrizione di destinazione o nel connettore di sicurezza:

  • Iscrizione Azure: abilita Defender per i container su AKS utilizzando il portale Azure
  • Amazon Web Services (AWS): Abilita Defender for Containers su AWS (EKS) utilizzando il portale Azure
  • Google Cloud Platform (GCP): abilita Defender for Containers su GCP (GKE) utilizzando il portale Azure
  • Kubernetes abilitato ad Arc: abilita Defender per i container su Kubernetes abilitato Arc utilizzando il portale Azure

• Abilitare i componenti seguenti del piano Defender per contenitori:

  • Sensore Defender
  • Accesso all'API di Kubernetes

• Per gli ambienti Amazon Web Services (AWS) e Google Cloud Platform (GCP), libera il sensore di Defender di Auto Provision per Azure Arc.

  Se si vuole mantenere abilitato il provisioning automatico per altri cluster abilitati per Arc nell'account AWS o nel progetto GCP, applicare il ms_defender_e2e_discovery_exclude=true tag ai cluster in cui si intende distribuire il sensore usando Helm.

• Assicurarsi che l'ambiente non disponga di assegnazioni di criteri in conflitto che possono distribuire la versione disponibile a livello generale del sensore.

  Esaminare le assegnazioni di criteri che usano l'ID definizione dei criteri seguente e rimuovere eventuali assegnazioni in conflitto:

  64def556-fbad-4622-930e-72d1d5589bf5

  Per esaminare le definizioni dei criteri, passare a Definizioni di Criteri nel portale di Azure e cercare l'ID delle definizioni dei criteri.

Installare il grafico Helm

Defender per contenitori e i grafici Helm vengono pubblicati su mcr.microsoft.com/azuredefender/microsoft-defender-for-containers.

Il grafico richiede valori di identificatore cluster in global.cloudIdentifiers. È possibile fornire questi valori inline con --set, come illustrato negli esempi seguenti o usando un file di valori.

Per installare l'ultima versione del grafico, usare il comando di installazione di Helm base. Specificare i valori richiesti global.cloudIdentifiers usando un file di valori o in linea con --set, come mostrato negli esempi specifici per l'ambiente:

helm install defender-k8s oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers

È possibile elencare le versioni pubblicate eseguendo il comando seguente:

curl https://mcr.microsoft.com/v2/azuredefender/microsoft-defender-for-containers/tags/list

Per installare una versione specifica, includere il tag di versione:

helm install defender-k8s oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers:<tag>

Per esaminare i valori configurabili del grafico, ad esempio flag di funzionalità o limiti delle risorse dei pod, eseguire il pull del grafico ed esaminare il file values.yaml:

helm pull oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers

Per installare il sensore nel tuo ambiente:

kubectl delete crd/policies.defender.microsoft.com || true
kubectl delete crd/policytemplates.defender.microsoft.com || true
kubectl delete crd/runtimepolicies.defender.microsoft.com || true
kubectl delete crd/securityartifactpolicies.defender.microsoft.com || true
kubectl delete ClusterRole defender-admission-controller-cluster-role || true
kubectl delete ClusterRole defender-admission-controller-resource-cluster-role || true
kubectl delete ClusterRoleBinding defender-admission-controller-cluster-role-binding || true
kubectl delete ClusterRoleBinding defender-admission-controller-cluster-resource-role-binding || true

helm install defender-k8s oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers \
    --create-namespace --namespace <namespace> \
    --set global.cloudIdentifiers.Azure.subscriptionId="<cluster-subscription-id>" \
    --set global.cloudIdentifiers.Azure.resourceGroupName="<cluster-resource-group>" \
    --set global.cloudIdentifiers.Azure.clusterName="<cluster-name>" \
    --set global.cloudIdentifiers.Azure.region="<cluster-region>"

helm install defender-k8s oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers \
    --create-namespace --namespace mdc \
    --set global.cloudIdentifiers.AWS.accountId="<aws-account-id>" \
    --set global.cloudIdentifiers.AWS.region="<cluster-region>" \
    --set global.cloudIdentifiers.AWS.clusterName="<cluster-name>"

helm install defender-k8s oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers \
    --create-namespace --namespace mdc \
    --set global.cloudIdentifiers.GCP.projectId="<gcp-project-id>" \
    --set global.cloudIdentifiers.GCP.location="<cluster-location>" \
    --set global.cloudIdentifiers.GCP.clusterName="<cluster-name>"

Verificare l'installazione

Verifica l'installazione usando lo stesso namespace che hai usato per installare il chart.

helm list --namespace mdc

helm list --namespace kube-system

Se il STATUS campo mostra deployed, l'installazione è stata risolta.

Configurare le regole di sicurezza per la distribuzione controllata

Definire le regole di sicurezza per controllare gli elementi che è possibile distribuire nei cluster Kubernetes. Queste regole possono bloccare o controllare le immagini del contenitore che non soddisfano i criteri di sicurezza.

1. Accedi al portale di Azure.

2. Passare a Defender per il cloud>Impostazioni ambiente.

3. Selezionare Regole di sicurezza.

4. Selezionare Distribuzione controllata>Valutazione della vulnerabilità.

5. Selezionare una regola per modificarla oppure selezionare + Aggiungi regola per crearne una nuova.

Gestire le raccomandazioni esistenti

A seconda del tipo di distribuzione, le raccomandazioni seguenti potrebbero essere ancora visualizzate in Defender per il cloud. Rivedili per confermare che si riferiscano ai flussi di distribuzione automatica, poi ignorali per i cluster in cui hai implementato con Helm.

• Azure: i cluster del servizio Azure Kubernetes devono avere il profilo defender abilitato - Microsoft Azure

  

• cluster Kubernetes abilitati per Arc: i cluster Kubernetes abilitati per Azure Arc devono avere l'estensione Defender installata - Microsoft Azure

  

Aggiornare una distribuzione basata su Helm esistente

Con una distribuzione basata su Helm, gestisci gli aggiornamenti dei sensori. Defender per il cloud non li applica automaticamente.

Esegui il comando seguente per aggiornare una distribuzione esistente basata su Helm. Utilizza lo stesso spazio dei nomi utilizzato durante l'installazione.

helm upgrade defender-k8s \
    oci://mcr.microsoft.com/azuredefender/microsoft-defender-for-containers \
    --namespace <namespace> \
    --reuse-values

Sostituire <namespace> con il namespace utilizzato durante l'installazione.

Il --reuse-values parametro mantiene i valori personalizzati esistenti durante l'aggiornamento.

Per <namespace>, usare:

• mdc per i cluster standard di Azure Kubernetes Service (AKS), Amazon Elastic Kubernetes Service (EKS) e Google Kubernetes Engine (GKE).
• kube-system per i cluster automatici del servizio Azure Kubernetes.

Se l'aggiornamento non riesce a causa di conflitti di risorse, aggiungere le opzioni seguenti al comando di aggiornamento:

--server-side=true --resolve-conflicts

Passo successivo