Programmgesteuertes Bereitstellen von Defender for Containers-Komponenten auf AWS (EKS)

In diesem Artikel wird erläutert, wie Sie Defender for Containers-Komponenten in Ihren Amazon EKS-Clustern mithilfe von Befehlszeilentools und Automatisierungsmethoden bereitstellen.

Voraussetzungen

Netzwerkanforderungen

Überprüfen Sie, ob die folgenden Endpunkte für öffentliche Cloudbereitstellungen für ausgehenden Zugriff konfiguriert sind. Wenn Sie diese konfigurieren, können Sie sicherstellen, dass der Defender-Sensor eine Verbindung mit Microsoft Defender for Cloud herstellen kann, um Sicherheitsdaten und -ereignisse zu senden.

Sie müssen auch die Netzwerkanforderungen für Kubernetes mit Azure Arc-Unterstützung validieren.

Erforderliche Tools:

• Azure CLI (Version 2.40.0 oder höher)
• AWS CLI mit entsprechenden Anmeldeinformationen konfiguriert
• kubectl, konfiguriert für Ihre EKS-Cluster

Aktivieren von Defender für Container

Informationen zum Aktivieren des Defender for Containers-Plans für Ihr Abonnement finden Sie unter "Aktivieren von Microsoft Defender für Cloud". Sie können den Plan über das Azure-Portal, die REST-API oder azure-Richtlinie aktivieren.

Herstellen einer Verbindung mit Ihrem AWS-Konto

Verbinden Sie vor der Bereitstellung des Defender-Sensors Ihr AWS-Konto mit Microsoft Defender für Cloud. Anweisungen finden Sie unter Verbinden Ihres AWS-Kontos.

Verbinden von EKS-Clustern mit Azure Arc

Verbinden Sie Ihre EKS-Cluster mit Azure Arc, um den Defender-Sensor bereitzustellen. Anweisungen finden Sie unter Verbinden eines vorhandenen Kubernetes-Clusters mit Azure Arc.

Bereitstellen des Defender-Sensors

Nachdem Sie Ihr AWS-Konto und EKS-Cluster mit Azure Arc verbunden haben, stellen Sie die Defender-Sensorerweiterung bereit.

Bereitstellen mithilfe des Installationsskripts

Das folgende Skript installiert den Defender for Containers-Sensor und entfernt alle vorhandenen Bereitstellungen, sofern vorhanden:

install_defender_sensor_mc.sh

Legen Sie den Kubeconfig-Kontext auf den Zielcluster fest, und führen Sie das Skript aus:

install_defender_sensor_mc.sh <SECURITY_CONNECTOR_AZURE_RESOURCE_ID> <RELEASE_TRAIN> <VERSION> <DISTRIBUTION> [<ARC_CLUSTER_RESOURCE_ID>]

Ersetzen Sie den Platzhaltertext durch Ihre eigenen Werte. ARC_CLUSTER_RESOURCE_ID ist ein optionaler Parameter für vorhandene Cluster, die die Defender for Containers Arc-Erweiterung verwenden.

Die Ressourcen-ID des Sicherheitsconnectors abrufen

Um das Helm-Chart auf einem EKS-Cluster zu installieren, benötigen Sie die Security-Connector-Ressourcen-ID für das Konto, zu dem Ihr Cluster gehört. Führen Sie den folgenden Azure CLI-Befehl aus, um diesen Wert abzurufen:

az resource show \
  --name <connector-name> \
  --resource-group <resource-group-name> \
  --resource-type "Microsoft.Security/securityConnectors" \
  --subscription <subscription-id> \
  --query id -o tsv

Ersetzen Sie den Platzhaltertext <connector-name>, <resource-group-name> und <subscription-id> durch Ihre Werte.

Parameterwerte

• Für <RELEASE_TRAIN> verwenden Sie public für die öffentliche vorab Vorschauversionen (0.9.x)
• Für <VERSION> verwenden Sie latest oder eine bestimmte semantische Version
• Für <DISTRIBUTION>, verwenden Sie eks

Bereitstellen mittels Azure CLI

Alternativ können Sie die Defender-Sensorerweiterung mit Azure CLI bereitstellen:

az k8s-extension create \
    --name microsoft.azuredefender.kubernetes \
    --extension-type microsoft.azuredefender.kubernetes \
    --cluster-type connectedClusters \
    --cluster-name <cluster-name> \
    --resource-group <resource-group> \
    --configuration-settings \
        logAnalyticsWorkspaceResourceID="/subscriptions/<subscription-id>/resourceGroups/<rg>/providers/Microsoft.OperationalInsights/workspaces/<workspace-name>"

Nach der Bereitstellung des Defender-Sensors können Sie zusätzliche Einstellungen konfigurieren. Weitere Informationen finden Sie unter Konfigurieren Sie den Defender for Containers-Sensor, der mit Helm bereitgestellt wird.

Bereitstellen der Azure-Richtlinienerweiterung

Stellen Sie die Azure-Richtlinienerweiterung bereit, um die Richtlinienerzwingung für Ihre EKS-Cluster zu aktivieren:

az k8s-extension create \
    --name azure-policy \
    --extension-type Microsoft.PolicyInsights \
    --cluster-type connectedClusters \
    --cluster-name <cluster-name> \
    --resource-group <resource-group>

Nächste Schritte

• Überprüfen der Bereitstellung
• Einstellungen für Defender for Containers konfigurieren
• Defender für Container entfernen