Conexión de entornos de DevOps a Defender for Cloud

En esta página, se proporciona una experiencia de incorporación sencilla para conectar entornos de Azure DevOps a Microsoft Defender for Cloud y detectar automáticamente repositorios de Azure DevOps.

Al conectar los entornos de Azure DevOps a Defender for Cloud, amplía las funcionalidades de seguridad de Defender for Cloud a los recursos de Azure DevOps y mejora la posición de seguridad. Más información.

Prerrequisitos

Para completar este inicio rápido necesita instalar:

• Una cuenta de Azure con Defender for Cloud incorporado. Si aún no tiene una cuenta de Azure, cree una de forma gratuita.
• Las llamadas API realizadas por Defender for Cloud cuentan con el límite de consumo global de Azure DevOps.
• Revise las preguntas comunes sobre la seguridad de DevOps en Defender for Cloud.

Disponibilidad

Aspecto	Detalles
Estado de la versión:	Disponibilidad general.
Precios:	Para conocer los precios, consulte la página de precios de Defender for Cloud. También puede calcular los costos con la calculadora de costos de Defender for Cloud.
Permisos necesarios:	- Colaborador para crear un conector en la suscripción de Azure. - Administrador de colecciones de proyectos en la organización de Azure DevOps. - Nivel de acceso básico o Básico + Test Plans en la organización de Azure DevOps. Asegúrese de que tiene tanto permisos de administrador de colecciones de proyectos como nivel de acceso básico para todas las organizaciones de Azure DevOps que desea incorporar. El nivel de acceso de las partes interesadas no es suficiente. Acceso a aplicaciones de terceros a través de OAuth, que debe establecerse en On en la organización de Azure DevOps. Obtenga más información sobre OAuth y cómo habilitarlo en las organizaciones.
Regiones y disponibilidad:	Consulte la sección Compatibilidad y requisitos previos para obtener compatibilidad con regiones y disponibilidad de características.
Nubes:	Comercial Comercial Nacional (Azure Government, Microsoft Azure operado por 21Vianet)

Conexión de la organización de Azure DevOps

Para conectar la organización de Azure DevOps a Defender for Cloud mediante un conector nativo:

1. Inicie sesión en Azure Portal.

2. Vaya a Microsoft Defender for Cloud>Configuración del entorno.

3. Seleccione Agregar entorno.

4. Seleccione Azure DevOps.

   

5. Escriba un nombre, una suscripción, un grupo de recursos y una región.

   La suscripción es la ubicación en la que Microsoft Defender for Cloud crea y almacena la conexión de Azure DevOps.

6. Seleccione Siguiente: Configurar acceso.

7. Seleccione Autorizar. Asegúrese de autorizar el inquilino de Azure correcto mediante el menú desplegable de Azure DevOps y compruebe que está en el inquilino de Azure correcto en Defender for Cloud.

8. En el diálogo emergente, lea la lista de solicitudes de permisos y, a continuación, seleccione Aceptar.

   

9. En Organizaciones, seleccione una de las siguientes opciones:

   • Seleccione todas las organizaciones existentes para detectar automáticamente todos los proyectos y repositorios de las organizaciones en las que actualmente es administrador de colección de proyectos.
   • Seleccione todas las organizaciones existentes y futuras para detectar automáticamente todos los proyectos y repositorios en todas las organizaciones actuales y futuras en las que es administrador de colección de proyectos.

   Nota:

   En Acceso a aplicaciones de terceros a través de OAuthse debe seleccionar On en cada organización de Azure DevOps. Obtenga más información sobre OAuth y cómo habilitarlo en las organizaciones.

   Dado que los repositorios de Azure DevOps se incorporan sin costo adicional, la detección automática se aplica en toda la organización para asegurarse de que Defender for Cloud puede evaluar exhaustivamente la posición de seguridad y responder a las amenazas de seguridad en todo el ecosistema de DevOps. Las organizaciones se pueden agregar y quitar manualmente a través de Microsoft Defender for Cloud>Configuración del entorno.

10. Seleccione Next: Review and generate (Siguiente: Revisar y crear).

11. Examine la información y, a continuación, seleccione Crear.

Tras su correcta incorporación, los recursos de DevOps (por ejemplo, repositorios o compilaciones) estarán presentes en las páginas de seguridad de Inventario y DevOps. Los recursos pueden tardar hasta 8 horas en aparecer. Las recomendaciones del examen de seguridad pueden requerir un paso adicional para configurar las canalizaciones. Los intervalos de actualización de los resultados de seguridad varían en función de la recomendación y los detalles se pueden encontrar en la página Recomendaciones.

Cómo Defender for Cloud usa su identidad

Después de autorizar la conexión, Defender for Cloud usa los permisos de la cuenta que creó el conector para ejecutar operaciones en Azure DevOps.

• Operaciones como el inventario de repositorios, las lecturas de metadatos de compilación, las anotaciones de solicitud de cambios y el análisis de código sin agente se ejecutan en esa identidad. El análisis de código sin agente recupera definiciones de código e infraestructura como código para el análisis, y sus llamadas API también cuentan con las cuotas de uso de la identidad.

• En Azure DevOps, estas operaciones aparecen como si fueran realizadas por esa cuenta y son visibles en los registros de auditoría, los paneles de uso y las escalas de tiempo de solicitud de incorporación de cambios.

• Si la cuenta de autorización se quita o pierde el acceso, las operaciones automatizadas se detendrán hasta que el conector se vuelva a autorizar.

Pasos siguientes

• Obtenga más información sobre Seguridad de DevOps en Defender for Cloud.

• Configurar la tarea de Microsoft Security DevOps en Azure Pipelines.

• Explore el análisis de código sin agente para detectar vulnerabilidades de código e IaC en los repositorios sin cambios de canalización ni agentes, con resultados que se muestran directamente en Defender for Cloud.

• Solucionar problemas del conector de Azure DevOps