你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
启用 Defender for Containers 后，请使用本指南验证所有组件是否正常运行。
验证清单
按顺序完成以下验证步骤：
小窍门
如果任何验证步骤失败，请参阅该组件的 “故障排除 ”部分。
验证计划生效
使用 Azure 门户
- 转到 Microsoft Defender for Cloud>环境设置。
- 选择订阅。
- 验证 容器 是否显示为 已开启。
- 选择“容器”旁边的 “设置” ，并验证是否已启用所有扩展。
使用 Azure CLI
az aks show \
--name <cluster-name> \
--resource-group <resource-group> \
--query "securityProfile.defender"
输出应该将securityMonitoring.enabled显示为true。
验证传感器部署
检查 Defender 传感器 Pod 是否正在运行：
kubectl get ds microsoft-defender-collector-ds -n kube-system
所有 Pod 的状态应该显示为 Running。
验证 Azure Policy 插件
az aks show \
--name <cluster-name> \
--resource-group <resource-group> \
--query addonProfiles.azurepolicy
输出应显示 enabled: true。
安全检测测试
若要验证 Defender for Containers 部署是否正常工作，可以模拟安全警报。 这些模拟会触发实际警报，而不会对群集造成损害。
有关生成测试警报和模拟各种威胁方案的详细说明，请参阅 Kubernetes 警报模拟工具。
常见验证问题
传感器 Pod 未运行
如果传感器 Pod 未运行，请按以下步骤操作：
- 检查 Pod 事件：
kubectl get ds microsoft-defender-collector-ds -n kube-system - 验证资源可用性：
kubectl top nodes
常见原因：
- 资源不足：增加节点大小或添加节点
- 网络策略：确保允许出口到 Azure 终结点
- RBAC 问题：验证群集是否具有适当的权限
缺少建议
如果缺少建议：
- 检查是否已启用 Azure Policy 加载项。
- 等待最多 24 小时进行初始评估。
- 验证是否已启用无代理发现。
- 请确保您没有通过标记排除群集。
无漏洞扫描结果
如果缺少漏洞扫描：
- 检查是否已配置 ACR 集成。
- 验证您最近推送的镜像。
- 请确保已启用漏洞评估。
- 等待最多四个小时进行初始扫描。