Nota
O acesso a esta página requer autorização. Podes tentar iniciar sessão ou mudar de diretório.
O acesso a esta página requer autorização. Podes tentar mudar de diretório.
Importante
Este artigo e as recomendações abaixo aplicam-se apenas ao Azure Linux 2.0. Os status de configuração e as diretrizes refletem o CIS Azure Linux 2.0 Benchmark v1.0 e a imagem do Azure Linux 2.0 Container Host usada pelo AKS. Eles podem não se aplicar a outras versões do Azure Linux, imagens personalizadas ou distribuições de terceiros.
Importante
Desde 30 de novembro de 2025, o Azure Kubernetes Service (AKS) já não suporta nem fornece atualizações de segurança para o Azure Linux 2.0. A imagem da máquina virtual do Azure Linux 2.0 está congelada na versão 202512.06.0. A partir de 31 de março de 2026, as imagens dos nós serão removidas e não conseguirá escalar os seus pools de nós. Migre para uma versão Azure Linux suportada atualizando os seus pools de nós para uma versão Kubernetes suportada ou migrando para o osSku AzureLinux3. Para obter mais informações, consulte [Desativação] Pools de nós do Azure Linux 2.0 no AKS.
A configuração do SO de segurança aplicada à imagem do Azure Linux 2.0 Container Host for AKS baseia-se na linha de base de segurança do Azure Linux, que se alinha com o benchmark CIS. Como um serviço seguro, o AKS está em conformidade com as normas SOC, ISO, PCI DSS e HIPAA. Para obter mais informações sobre a segurança do Host de Contêiner Linux do Azure, consulte Conceitos de segurança para clusters no AKS. Para saber mais sobre o benchmark CIS, consulte Center for Internet Security (CIS) Benchmarks. Para obter mais informações sobre as linhas de base de segurança do Azure para Linux, consulte Linha de base de segurança do Linux.
Visão geral do Azure Linux 2.0
Este sistema operacional Azure Linux 2.0 Container Host é baseado na imagem do Azure Linux 2.0 com configurações de segurança internas aplicadas.
Como parte do sistema operacional com segurança otimizada:
- O AKS e o Azure Linux 2.0 fornecem um sistema operacional host otimizado para segurança por padrão, sem opção para selecionar um sistema operacional alternativo.
- O sistema operacional host otimizado para segurança é construído e mantido especificamente para o AKS e não é suportado fora da plataforma AKS.
- Drivers de módulo do kernel desnecessários foram desativados no sistema operacional para reduzir a superfície de ataque.
Recommendations
A tabela abaixo tem quatro seções:
- ID do SIA: A ID da regra associada a cada uma das regras de linha de base.
- Descrição da recomendação: Uma descrição da recomendação emitida pelo índice de referência do SIA.
- Nível: L1, ou Nível 1, recomenda requisitos básicos essenciais de segurança que podem ser configurados em qualquer sistema e devem causar pouca ou nenhuma interrupção do serviço ou funcionalidade reduzida.
-
Status:
- Passe - A recomendação foi aplicada.
- Reprovado - A recomendação não foi aplicada.
- N/A - A recomendação refere-se aos requisitos de permissão de arquivo de manifesto que não são relevantes para o AKS.
- Depende do ambiente - A recomendação é aplicada no ambiente específico do usuário e não é controlada pelo AKS.
- Controlo equivalente - A recomendação foi implementada de uma forma equivalente diferente.
-
Reason:
- Potencial impacto da operação - A recomendação não foi aplicada porque teria um efeito negativo no serviço.
- Coberto em outro lugar - A recomendação é coberta por outro controle na computação em nuvem do Azure.
Azure Linux 2.0 - Marcos de Referência
A seguir estão os resultados das recomendações do CIS Azure Linux 2.0 Benchmark v1.0 com base nas regras do CIS:
| CIS ID | Descrição da recomendação | Status | Reason |
|---|---|---|---|
| 1.1.4 | Desativar a montagem automática | Pass | |
| 1.1.1.1 | Verifique se a montagem de sistemas de arquivos cramfs está desativada | Pass | |
| 1.1.2.1 | Verifique se /tmp é uma partição separada | Pass | |
| 1.1.2.2 | Verifique se a opção nodev está definida na partição /tmp | Pass | |
| 1.1.2.3 | Certifique-se de que a opção nosuid esteja definida na partição /tmp | Pass | |
| 1.1.8.1 | Garantir que a opção nodev esteja definida na partição /dev/shm | Pass | |
| 1.1.8.2 | Certifique-se de que a opção nosuid esteja definida na partição /dev/shm | Pass | |
| 1.2.1 | Verifique se o DNF gpgcheck está ativado globalmente | Pass | |
| 1.2.2 | Verifique se o TDNF gpgcheck está ativado globalmente | Pass | |
| 1.5.1 | Verifique se o armazenamento de dump principal está desativado | Pass | |
| 1.5.2 | Garantir que os backtraces de despejo principais estejam desativados | Pass | |
| 1.5.3 | Verifique se a ASLR (randomização do layout do espaço de endereço) está habilitada | Pass | |
| 1.7.1 | Verifique se o banner de aviso de login local está configurado corretamente | Pass | |
| 1.7.2 | Verifique se o banner de aviso de login remoto está configurado corretamente | Pass | |
| 1.7.3 | Verifique se as permissões em /etc/motd estão configuradas | Pass | |
| 1.7.4 | Verifique se as permissões em /etc/issue estão configuradas | Pass | |
| 1.7.5 | Verifique se as permissões em /etc/issue.net estão configuradas | Pass | |
| 2.1.1 | Garantir que a sincronização de tempo esteja em uso | Pass | |
| 2.1.2 | Verifique se a cronia está configurada | Pass | |
| 2.2.1 | Verifique se o xinetd não está instalado | Pass | |
| 2.2.2 | Verifique se o xorg-x11-server-common não está instalado | Pass | |
| 2.2.3 | Certifique-se de que o avahi não está instalado | Pass | |
| 2.2.4 | Verifique se um servidor de impressão não está instalado | Pass | |
| 2.2.5 | Verifique se um servidor dhcp não está instalado | Pass | |
| 2.2.6 | Verifique se um servidor dns não está instalado | Pass | |
| 2.2.7 | Verifique se o cliente FTP não está instalado | Pass | |
| 2.2.8 | Verifique se um servidor ftp não está instalado | Pass | |
| 2.2.9 | Verifique se um servidor tftp não está instalado | Pass | |
| 2.2.10 | Verifique se um servidor Web não está instalado | Pass | |
| 2.2.11 | Verifique se o servidor IMAP e POP3 não está instalado | Pass | |
| 2.2.12 | Verifique se o Samba não está instalado | Pass | |
| 2.2.13 | Verifique se o Servidor Proxy HTTP não está instalado | Pass | |
| 2.2.14 | Verifique se o net-snmp não está instalado ou se o serviço snmpd não está habilitado | Pass | |
| 2.2.15 | Verifique se o servidor NIS não está instalado | Pass | |
| 2.2.16 | Verifique se o servidor telnet não está instalado | Pass | |
| 2.2.17 | Verifique se o agente de transferência de email está configurado para o modo somente local | Pass | |
| 2.2.18 | Verifique se o nfs-utils não está instalado ou se o serviço nfs-server está mascarado | Pass | |
| 2.2.19 | Verifique se o rsync-daemon não está instalado ou se o serviço rsyncd está mascarado | Pass | |
| 2.3.1 | Verifique se o NIS Client não está instalado | Pass | |
| 2.3.2 | Verifique se o cliente rsh não está instalado | Pass | |
| 2.3.3 | Verifique se o cliente de conversa não está instalado | Pass | |
| 2.3.4 | Verifique se o cliente telnet não está instalado | Pass | |
| 2.3.5 | Verifique se o cliente LDAP não está instalado | Pass | |
| 2.3.6 | Verifique se o cliente TFTP não está instalado | Pass | |
| 3.1.1 | Verifique se o IPv6 está habilitado | Pass | |
| 3.2.1 | Verifique se o envio de redirecionamento de pacotes está desativado | Pass | |
| 3.3.1 | Verifique se os pacotes roteados de origem não são aceitos | Pass | |
| 3.3.2 | Verifique se os redirecionamentos ICMP não são aceitos | Pass | |
| 3.3.3 | Garantir que redirecionamentos ICMP seguros não sejam aceitos | Pass | |
| 3.3.4 | Garantir que pacotes suspeitos sejam registrados | Pass | |
| 3.3.5 | Verifique se as solicitações ICMP de difusão são ignoradas | Pass | |
| 3.3.6 | Garantir que respostas ICMP falsas sejam ignoradas | Pass | |
| 3.3.7 | Verifique se a Filtragem de Caminho Inverso está ativada | Pass | |
| 3.3.8 | Verifique se os cookies TCP SYN estão ativados | Pass | |
| 3.3.9 | Verifique se os anúncios do roteador IPv6 não são aceitos | Pass | |
| 3.4.3.1.1 | Verifique se o pacote iptables está instalado | Pass | |
| 3.4.3.1.2 | Verifique se o nftables não está instalado com iptables | Pass | |
| 3.4.3.1.3 | Verifique se o firewalld não está instalado ou mascarado com iptables | Pass | |
| 4.2 | Verifique se o logrotate está configurado | Pass | |
| 4.2.2 | Verifique se todos os arquivos de log têm o acesso apropriado configurado | Pass | |
| 4.2.1.1 | Verifique se o rsyslog está instalado | Pass | |
| 4.2.1.2 | Verifique se o serviço rsyslog está ativado | Pass | |
| 4.2.1.3 | Verifique se as permissões de arquivo padrão rsyslog estão configuradas | Pass | |
| 4.2.1.4 | Verifique se o registro em log está configurado | Pass | |
| 4.2.1.5 | Verifique se o rsyslog não está configurado para receber logs de um cliente remoto | Pass | |
| 5.1.1 | Verifique se o daemon cron está ativado | Pass | |
| 5.1.2 | Verifique se as permissões em /etc/crontab estão configuradas | Pass | |
| 5.1.3 | Verifique se as permissões em /etc/cron.hourly estão configuradas | Pass | |
| 5.1.4 | Verifique se as permissões em /etc/cron.daily estão configuradas | Pass | |
| 5.1.5 | Verifique se as permissões em /etc/cron.weekly estão configuradas | Pass | |
| 5.1.6 | Verifique se as permissões em /etc/cron.monthly estão configuradas | Pass | |
| 5.1.7 | Verifique se as permissões em /etc/cron.d estão configuradas | Pass | |
| 5.1.8 | Certifique-se de que o cron é restrito a usuários autorizados | Pass | |
| 5.1.9 | Certifique-se de que é restrito a usuários autorizados | Pass | |
| 5.2.1 | Verifique se as permissões em /etc/ssh/sshd_config estão configuradas | Pass | |
| 5.2.2 | Verifique se as permissões nos arquivos de chave de host privado SSH estão configuradas | Pass | |
| 5.2.3 | Verifique se as permissões nos arquivos de chave de host pública SSH estão configuradas | Pass | |
| 5.2.4 | Garantir que o acesso SSH seja limitado | Pass | |
| 5.2.5 | Verifique se o SSH LogLevel é apropriado | Pass | |
| 5.2.6 | Verifique se o SSH PAM está habilitado | Pass | |
| 5.2.7 | Verifique se o login raiz SSH está desativado | Pass | |
| 5.2.8 | Verifique se a autenticação baseada em host SSH está desabilitada | Pass | |
| 5.2.9 | Verifique se o SSH PermitEmptyPasswords está desativado | Pass | |
| 5.2.10 | Verifique se o SSH PermitUserEnvironment está desativado | Pass | |
| 5.2.11 | Verifique se o SSH IgnoreRhosts está habilitado | Pass | |
| 5.2.12 | Certifique-se de que apenas cifras fortes sejam usadas | Pass | |
| 5.2.13 | Certifique-se de que apenas algoritmos MAC fortes sejam usados | Pass | |
| 5.2.14 | Certifique-se de que apenas algoritmos fortes de troca de chaves sejam usados | Pass | |
| 5.2.15 | Verifique se o banner de aviso SSH está configurado | Pass | |
| 5.2.16 | Verifique se o SSH MaxAuthTries está definido como 4 ou menos | Pass | |
| 5.2.17 | Verifique se o SSH MaxStartups está configurado | Pass | |
| 5.2.18 | Certifique-se de que SSH LoginGraceTime está definido para um minuto ou menos | Pass | |
| 5.2.19 | Verifique se o SSH MaxSessions está definido como 10 ou menos | Pass | |
| 5.2.20 | Verifique se o intervalo de tempo limite ocioso SSH está configurado | Pass | |
| 5.3.1 | Verifique se o sudo está instalado | Pass | |
| 5.3.2 | Garantir que a reautenticação para escalonamento de privilégios não esteja desabilitada globalmente | Pass | |
| 5.3.3 | Verifique se o tempo limite de autenticação sudo está configurado corretamente | Pass | |
| 5.4.1 | Verifique se os requisitos de criação de senha estão configurados | Pass | |
| 5.4.2 | Verifique se o bloqueio para tentativas de senha com falha está configurado | Pass | |
| 5.4.3 | Verifique se o algoritmo de hash de senha é SHA-512 | Pass | |
| 5.4.4 | Verifique se a reutilização da senha é limitada | Pass | |
| 5.5.2 | Garantir que as contas do sistema estejam seguras | Pass | |
| 5.5.3 | Verifique se o grupo padrão para a conta raiz é GID 0 | Pass | |
| 5.5.4 | Verifique se o usuário padrão umask é 027 ou mais restritivo | Pass | |
| 5.5.1.1 | Verifique se a expiração da senha é de 365 dias ou menos | Pass | |
| 5.5.1.2 | Garantir que o número mínimo de dias entre as alterações de senha esteja configurado | Pass | |
| 5.5.1.3 | Verifique se os dias de aviso de expiração da senha são 7 ou mais | Pass | |
| 5.5.1.4 | Verifique se o bloqueio de senha inativo é de 30 dias ou menos | Pass | |
| 5.5.1.5 | Verifique se a data da última alteração de senha de todos os usuários está no passado | Pass | |
| 6.1.1 | Verifique se as permissões em /etc/passwd estão configuradas | Pass | |
| 6.1.2 | Verifique se as permissões em /etc/passwd- estão configuradas | Pass | |
| 6.1.3 | Verifique se as permissões em /etc/group estão configuradas | Pass | |
| 6.1.4 | Verifique se as permissões em /etc/group- estão configuradas | Pass | |
| 6.1.5 | Verifique se as permissões em /etc/shadow estão configuradas | Pass | |
| 6.1.6 | Verifique se as permissões em /etc/shadow- estão configuradas | Pass | |
| 6.1.7 | Verifique se as permissões em /etc/gshadow estão configuradas | Pass | |
| 6.1.8 | Verifique se as permissões em /etc/gshadow- estão configuradas | Pass | |
| 6.1.9 | Certifique-se de que não existem arquivos ou diretórios não pertencentes ou não agrupados | Pass | |
| 6.1.10 | Garantir que os arquivos e diretórios graváveis do mundo estejam protegidos | Pass | |
| 6.2.1 | Verifique se os campos de senha não estão vazios | Pass | |
| 6.2.2 | Certifique-se de que todos os grupos em /etc/passwd existam em /etc/group | Pass | |
| 6.2.3 | Certifique-se de que não existem UIDs duplicados | Pass | |
| 6.2.4 | Certifique-se de que não existem GIDs duplicados | Pass | |
| 6.2.5 | Certifique-se de que não existem nomes de utilizador duplicados | Pass | |
| 6.2.6 | Certifique-se de que não existem nomes de grupo duplicados | Pass | |
| 6.2.7 | Garantir a integridade do PATH raiz | Pass | |
| 6.2.8 | Verifique se root é a única conta UID 0 | Pass | |
| 6.2.9 | Verifique se todos os diretórios base dos usuários existem | Pass | |
| 6.2.10 | Garantir que os usuários possuam seus diretórios base | Pass | |
| 6.2.11 | Verifique se as permissões dos diretórios base dos usuários são 750 ou mais restritivas | Pass | |
| 6.2.12 | Certifique-se de que os arquivos de pontos dos usuários não sejam graváveis em grupo ou no mundo | Pass | |
| 6.2.13 | Verifique se os arquivos .netrc dos usuários não estão acessíveis em grupo ou no mundo | Pass | |
| 6.2.14 | Certifique-se de que nenhum usuário tenha arquivos .forward | Pass | |
| 6.2.15 | Certifique-se de que nenhum usuário tenha arquivos .netrc | Pass | |
| 6.2.16 | Certifique-se de que nenhum usuário tenha arquivos .rhosts | Pass |
Próximos passos
Para obter mais informações sobre a segurança do Azure Linux Container Host, consulte os seguintes artigos: