使用 Azure CLI 将Defender传感器和Azure Policy部署到群集

先决条件

• 已在 Azure 订阅上启用 Defender for Containers。

• Azure CLI 2.40.0 或更高版本。

• 适当的 RBAC 权限（参与者或安全管理员）。

• 由Defender for Containers支持的AKS群集。 请参阅支持矩阵。

• 在您的群集上启用了OpenId Connect (OIDC) 颁发者。

网络要求

Defender 传感器必须连接到 Microsoft Defender for Cloud 才能发送安全数据和事件。 确保所需的终结点已配置为支持出站访问。

连接要求

Defender 传感器需要连接到：

• Microsoft Defender for Cloud（用于发送安全数据和事件）

默认情况下，AKS 群集具有不受限制的出站（出口）Internet 访问权限。

对于具有受限出口的群集，必须允许特定的 FQDN 以便 Microsoft Defender for Containers 能够正常工作。 请参阅 AKS 出站网络文档中有关所需端点的 Microsoft Defender for Containers - 必需的 FQDN/应用程序规则。

部署 Defender 传感器

如果在启动 Defender for Containers 计划时启用了自动预配，Defender 传感器可能已经安装。 在运行此命令之前验证部署。

1. 将Defender传感器部署到特定的AKS集群：

   az aks update \
     --resource-group <resource-group> \
     --name <aks-cluster-name> \
     --enable-defender
   

1. 为 Kubernetes 启用Azure Policy以评估和强制实施配置最佳做法：

   az aks enable-addons \
     --addons azure-policy \
     --name <aks-cluster-name> \
     --resource-group <resource-group>
   

先决条件

• 已在 Azure 订阅上启用 Defender for Containers。

• Azure CLI 2.40.0 或更高版本。

• kubectl 配置为访问已启用 Arc 的 Kubernetes 群集。

• 群集连接到 Azure Arc。

部署 Defender 传感器

对于启用 Arc 的 Kubernetes 群集，Defender 组件作为 Azure Arc Kubernetes 扩展进行部署。

如果在启动 Defender for Containers 计划时启用了自动预配，Defender 传感器可能已经安装。 在运行此命令之前验证部署。

请执行以下命令，在你的 Arc 驱动的 Kubernetes 集群上安装 Defender sensor 扩展：

az k8s-extension create \
  --name microsoft.azuredefender.kubernetes \
  --extension-type microsoft.azuredefender.kubernetes \
  --cluster-type connectedClusters \
  --cluster-name <cluster-name> \
  --resource-group <resource-group> \

部署 Azure Policy 扩展

在您的支持Arc的Kubernetes集群上安装Azure Policy扩展，以启用基于策略的安全建议和合规评估：

az k8s-extension create \
  --name azurepolicy \
  --extension-type Microsoft.PolicyInsights \
  --cluster-type connectedClusters \
  --cluster-name <cluster-name> \
  --resource-group <resource-group>