以编程方式在已启用 Arc 的 Kubernetes 上部署 Defender for Containers

本文介绍如何使用编程方法在已启用 Arc 的 Kubernetes 群集上启用 Microsoft Defender for Containers。

先决条件

此外，还需要：

• 含有 k8s-extension 扩展的 Azure CLI
• kubectl 配置为访问群集

将群集连接到 Azure Arc

在部署 Defender 传感器之前，请确保 Kubernetes 群集已连接到 Azure Arc。有关说明，请参阅 将现有 Kubernetes 群集连接到 Azure Arc。

启用 Defender for Containers

若要在订阅上启用 Defender for Containers 计划，请参阅 “启用 Microsoft Defender for Cloud”。 可以通过 Azure 门户、REST API 或 Azure Policy 启用计划。

部署 Defender 传感器

启用计划并将群集连接到 Azure Arc 后，部署 Defender 传感器扩展：

az k8s-extension create \
    --name microsoft.azuredefender.kubernetes \
    --cluster-type connectedClusters \
    --cluster-name <cluster-name> \
    --resource-group <resource-group> \
    --extension-type microsoft.azuredefender.kubernetes \
    --configuration-settings \
        logAnalyticsWorkspaceResourceID="/subscriptions/<subscription-id>/resourceGroups/<rg>/providers/Microsoft.OperationalInsights/workspaces/<workspace-name>" \
        auditLogPath="/var/log/kube-apiserver/audit.log"

部署 Azure Policy 扩展

若要在已启用 Arc 的群集上为 Kubernetes 启用 Azure Policy，请执行以下作：

az k8s-extension create \
    --name azure-policy \
    --cluster-type connectedClusters \
    --cluster-name <cluster-name> \
    --resource-group <resource-group> \
    --extension-type Microsoft.PolicyInsights

后续步骤

• 验证部署
• 通过门户进行部署