配置 Microsoft Defender for Containers 组件

使用 Defender for Cloud 建议中的修复按钮

借助一个简化、无冲突的过程，你可以使用 Azure 门户页来启用 Defender for Cloud 计划，并设置自动预配所有必要的组件，以大规模保护 Kubernetes 群集。

专用 Defender for Cloud 建议提供：

• 有关哪些群集上部署了 Defender 传感器的直观信息
• “修复”选项，用于在没有传感器的情况下将此扩展部署到这些群集中

1. 在 Microsoft Defender for Cloud 的建议页中，打开“启用增强的安全性”安全控制。

2. 使用筛选器找到名为“Azure Kubernetes 服务群集应启用 Defender 配置文件”的建议。

   提示

   请注意“操作”列中的“修复”图标

3. 选择这些群集以查看正常和不正常资源的详细信息 - 有和没有该传感器的群集。

4. 在“不正常的资源”列表中选择一个群集，然后选择“修正”打开包含修正确认的窗格。

5. 选择“修复 X 资源”。

使用 REST API 部署 Defender 传感器

若要使用 REST API 在现有群集上安装“SecurityProfile”，请运行以下 PUT 命令：

PUT https://management.chinacloudapi.cn/subscriptions/{{Subscription Id}}/resourcegroups/{{Resource Group}}/providers/Microsoft.Kubernetes/connectedClusters/{{Cluster Name}}/providers/Microsoft.KubernetesConfiguration/extensions/microsoft.azuredefender.kubernetes?api-version=2020-07-01-preview

请求 URI：https://management.chinacloudapi.cn/subscriptions/{{SubscriptionId}}/resourcegroups/{{ResourceGroup}}/providers/Microsoft.ContainerService/managedClusters/{{ClusterName}}?api-version={{ApiVersion}}

请求查询参数：

请求正文：

{
  "location": "{{Location}}",
  "properties": {
    "securityProfile": {
            "defender": {
                "logAnalyticsWorkspaceResourceId": "{{LAWorkspaceResourceId}}",
                "securityMonitoring": {
                    "enabled": true,
                }
            }
        }
    }
}

请求正文参数：

使用 Azure CLI 部署 Defender 传感器

1. 登录 Azure：

   az cloud set -n AzureChinaCloud
   az login
   az account set --subscription <your-subscription-id>
   

   重要

   确保为 <your-subscription-id> 使用的订阅 ID 与你的 AKS 群集关联的订阅 ID 相同。

2. 在容器上启用 Defender 传感器：

   • 运行以下命令以创建启用了 Defender 传感器的新群集：

     az aks create --enable-defender --resource-group <your-resource-group> --name <your-cluster-name>
     

   • 运行以下命令以在现有群集上启用 Defender 传感器：

     az aks update --enable-defender --resource-group <your-resource-group> --name <your-cluster-name>
     

   下面提供了 Defender 传感器类型支持的所有配置设置的说明：

   properties	说明
   logAnalyticsWorkspaceResourceId	可选。 你自己的 Log Analytics 工作区的完整资源 ID。 如果未提供，将使用区域的默认工作区。 若要获取完整资源 ID，请运行以下命令，以默认 JSON 格式显示订阅中的工作区列表： az resource list --resource-type Microsoft.OperationalInsights/workspaces -o json Log Analytics 工作区资源 ID 采用以下语法： /subscriptions/{your-subscription-id}/resourceGroups/{your-resource-group}/providers/Microsoft.OperationalInsights/workspaces/{your-workspace-name}. 在 Log Analytics 工作区中了解详细信息

   可将这些设置包含在 JSON 文件中，并在 az aks create 和 az aks update 命令中使用以下参数指定该 JSON 文件：--defender-config <path-to-JSON-file>。 该 JSON 文件的格式必须为：

   {"logAnalyticsWorkspaceResourceId": "<workspace-id>"}
   

   在 az aks 中详细了解 AKS CLI 命令。

3. 若要验证传感器是否已成功添加，请在计算机上运行以下命令，并将 kubeconfig 文件指向群集：

   kubectl get pods -n kube-system
   

   添加传感器后，你应该会看到一个名为 microsoft-defender-XXXXX 且处于“Running”状态的 Pod。 添加 pod 可能需要几分钟时间。

使用 Azure 资源管理器部署 Defender 传感器

若要使用 Azure 资源管理器部署 Defender 传感器，你的订阅中需有一个 Log Analytics 工作区。 在 Log Analytics 工作区中了解详细信息。

若要使用资源管理器在现有群集上安装“SecurityProfile”：

{ 
    "type": "Microsoft.ContainerService/managedClusters", 
    "apiVersion": "2022-06-01", 
    "name": "string", 
    "location": "string",
    "properties": {
        …
        "securityProfile": { 
            "defender": { 
                "logAnalyticsWorkspaceResourceId": “logAnalyticsWorkspaceResourceId",
                "securityMonitoring": {
                    "enabled": true
                }
            }
        }
    }
}

使用 Defender for Cloud 建议中的修复按钮

专用 Defender for Cloud 建议提供：

• 有关哪些群集上部署了 Defender 传感器的直观信息
• “修复”选项，用于在没有传感器的情况下将此扩展部署到这些群集中

1. 在 Microsoft Defender for Cloud 的建议页中，打开“启用增强的安全性”安全控制。

2. 使用筛选器找到名为“已启用 Azure Arc 的 Kubernetes 群集应安装 Defender for Cloud 扩展”的建议。

   

   提示

   请注意“操作”列中的“修复”图标

3. 选择该传感器以查看正常和不正常资源的详细信息 - 有和没有该传感器的群集。

4. 在“不正常的资源”列表中选择一个群集，然后选择“修正”打开包含修正选项的窗格。

5. 选择相关的 Log Analytics 工作区，然后选择“修正 x 资源”。

   

使用 Azure CLI 部署 Defender 传感器

1. 登录 Azure：

   az cloud set -n AzureChinaCloud
   az login
   az account set --subscription <your-subscription-id>
   

   重要

   确保为 <your-subscription-id> 使用的订阅 ID 与将群集连接到 Azure Arc 时所用的 ID 相同。

2. 运行以下命令，在已启用 Azure Arc 的 Kubernetes 群集上部署该传感器：

   az k8s-extension create --name microsoft.azuredefender.kubernetes --cluster-type connectedClusters --cluster-name <cluster-name> --resource-group <resource-group> --extension-type microsoft.azuredefender.kubernetes
   

   下面提供了 Defender 传感器类型支持的所有配置设置的说明：

   properties	说明
   logAnalyticsWorkspaceResourceID	可选。 你自己的 Log Analytics 工作区的完整资源 ID。 如果未提供，将使用区域的默认工作区。 若要获取完整资源 ID，请运行以下命令，以默认 JSON 格式显示订阅中的工作区列表： az resource list --resource-type Microsoft.OperationalInsights/workspaces -o json Log Analytics 工作区资源 ID 采用以下语法： /subscriptions/{your-subscription-id}/resourceGroups/{your-resource-group}/providers/Microsoft.OperationalInsights/workspaces/{your-workspace-name}. 在 Log Analytics 工作区中了解详细信息
   auditLogPath	可选。 审核日志文件的完整路径。 如果未提供，将使用默认路径 /var/log/kube-apiserver/audit.log。 对于 AKS 引擎，标准路径为 /var/log/kubeaudit/audit.log

   以下命令显示所有可选字段的示例用法：

   az k8s-extension create --name microsoft.azuredefender.kubernetes --cluster-type connectedClusters --cluster-name <your-connected-cluster-name> --resource-group <your-rg> --extension-type microsoft.azuredefender.kubernetes --configuration-settings logAnalyticsWorkspaceResourceID=<log-analytics-workspace-resource-id> auditLogPath=<your-auditlog-path>
   

使用 Azure 资源管理器部署 Defender 传感器

若要使用 Azure 资源管理器部署 Defender 传感器，你的订阅中需有一个 Log Analytics 工作区。 在 Log Analytics 工作区中了解详细信息。

可以使用 Defender for Cloud 安装示例中的 azure-defender-extension-arm-template.json 资源管理器模板。

使用 REST API 部署 Defender 传感器

若要使用 REST API 部署 Defender 传感器，你的订阅中需有一个 Log Analytics 工作区。 在 Log Analytics 工作区中了解详细信息。

• 若要修改 Postman 集合 JSON 或要使用 REST API 手动部署传感器，请运行以下 PUT 命令：

  PUT https://management.chinacloudapi.cn/subscriptions/{{Subscription Id}}/resourcegroups/{{Resource Group}}/providers/Microsoft.Kubernetes/connectedClusters/{{Cluster Name}}/providers/Microsoft.KubernetesConfiguration/extensions/microsoft.azuredefender.kubernetes?api-version=2020-07-01-preview
  

  其中：

  名称	在	必需	类型​​	说明
  订阅 ID	路径	正确	字符串	已启用 Azure Arc 的 Kubernetes 资源的订阅 ID
  资源组	路径	正确	字符串	包含已启用 Azure Arc 的 Kubernetes 资源的资源组的名称
  群集名称	路径	正确	字符串	已启用 Azure Arc 的 Kubernetes 资源的名称

  对于 Authentication，头中必须包含一个持有者令牌（与使用其他 Azure API 时一样）。 若要获取持有者令牌，请运行以下命令：

  az account get-access-token --subscription <your-subscription-id> 对消息正文使用以下结构：

  { 
  "properties": { 
      "extensionType": "microsoft.azuredefender.kubernetes",
  "con    figurationSettings": { 
          "logAnalytics.workspaceId":"YOUR-WORKSPACE-ID"
      // ,    "auditLogPath":"PATH/TO/AUDITLOG"
      },
      "configurationProtectedSettings": {
          "logAnalytics.key":"YOUR-WORKSPACE-KEY"
      }
      }
  } 
  

  下面提供了属性说明：

  属性	说明
  logAnalytics.workspaceId	Log Analytics 资源的工作区 ID
  logAnalytics.key	Log Analytics 资源的密钥
  auditLogPath	可选。 审核日志文件的完整路径。 默认值为 /var/log/kube-apiserver/audit.log

使用 Defender for Cloud 建议来验证传感器的状态

1. 在 Microsoft Defender for Cloud 的建议页中，打开“启用 Microsoft Defender for Cloud”安全控制。

2. 选择名为“已启用 Azure Arc 的 Kubernetes 群集应安装 Microsoft Defender for Cloud 扩展”的建议。

   

3. 检查在其上部署了该传感器的群集是否以“正常”状态列出。

使用 Azure Arc 页验证传感器的状态

1. 在 Azure 门户中打开“Azure Arc”。

2. 在基础结构列表中选择“Kubernetes 群集”，然后选择特定的群集。

3. 打开“扩展”页。 其中列出了群集上的扩展。 若要确认 Defender 传感器是否已安装正确，请检查“安装状态”列。

   

4. 如需更多详细信息，请选择扩展。

   

使用 Azure CLI 验证是否已部署传感器

1. 在 Azure CLI 中运行以下命令：

   az k8s-extension show --cluster-type connectedClusters --cluster-name <your-connected-cluster-name> --resource-group <your-rg> --name microsoft.azuredefender.kubernetes
   

2. 在响应中，查看 "extensionType": "microsoft.azuredefender.kubernetes" 和 "installState": "Installed"。

   注意

   在前几分钟，响应中可能会显示 "installState": "Pending"。

3. 如果状态显示“已安装”，请在计算机上运行以下命令，将 kubeconfig 文件指向你的群集，检查 mdc 命名空间下的所有 Pod 是否都处于“正在运行”状态：

   kubectl get pods -n mdc
   

使用 REST API 验证是否已部署传感器

若要确认部署是否成功或随时验证传感器的状态，请执行以下操作：

1. 运行以下 GET 命令：

   GET https://management.chinacloudapi.cn/subscriptions/{{Subscription Id}}/resourcegroups/{{Resource Group}}/providers/Microsoft.Kubernetes/connectedClusters/{{Cluster Name}}/providers/Microsoft.KubernetesConfiguration/extensions/microsoft.azuredefender.kubernetes?api-version=2020-07-01-preview
   

2. 在响应中的 "extensionType": "microsoft.azuredefender.kubernetes" 内查看 "installState": "Installed"。

   提示

   在前几分钟，响应中可能会显示 "installState": "Pending"。

3. 如果状态显示“已安装”，请在计算机上运行以下命令，将 kubeconfig 文件指向你的群集，检查 mdc 命名空间下的所有 Pod 是否都处于“正在运行”状态：

   kubectl get pods -n mdc
   

使用 Azure 门户删除扩展

1. 在 Azure 门户中打开“Azure Arc”。

2. 在基础结构列表中选择“Kubernetes 群集”，然后选择特定的群集。

3. 打开“扩展”页。 其中列出了群集上的扩展。

4. 选择群集，然后选择“卸载”。

   

使用 Azure CLI 移除 Defender 传感器

1. 使用以下命令删除 Microsoft Defender for Kubernetes Arc 扩展：

   az cloud set -n AzureChinaCloud
   az login
   az account set --subscription <subscription-id>
   az k8s-extension delete --cluster-type connectedClusters --cluster-name <your-connected-cluster-name> --resource-group <your-rg> --name microsoft.azuredefender.kubernetes --yes
   

   删除扩展可能需要几分钟时间。 建议先等待一段时间，然后再尝试验证删除操作是否成功。

2. 若要验证是否已成功删除扩展，请运行以下命令：

   az k8s-extension show --cluster-type connectedClusters --cluster-name <your-connected-cluster-name> --resource-group <your-rg> --name microsoft.azuredefender.kubernetes
   

   之后，运行以下命令，将 kubeconfig 文件指向你的群集，验证群集上 mdc 命名空间下是否没有 Pod：

   kubectl get pods -n mdc
   

   删除 Pod 可能需要几分钟时间。

使用 REST API 移除 Defender 传感器

若要使用 REST API 删除扩展，请运行以下 DELETE 命令：

DELETE https://management.chinacloudapi.cn/subscriptions/{{Subscription Id}}/resourcegroups/{{Resource Group}}/providers/Microsoft.Kubernetes/connectedClusters/{{Cluster Name}}/providers/Microsoft.KubernetesConfiguration/extensions/microsoft.azuredefender.kubernetes?api-version=2020-07-01-preview

对于 Authentication，头中必须包含一个持有者令牌（与使用其他 Azure API 时一样）。 若要获取持有者令牌，请运行以下命令：

az account get-access-token --subscription <your-subscription-id>

可能需要几分钟时间才能完成该请求。

使用 REST API 从 AKS 移除 Defender 传感器

要使用 REST API 移除扩展，请运行以下 PUT 命令：

https://management.chinacloudapi.cn/subscriptions/{{SubscriptionId}}/resourcegroups/{{ResourceGroup}}/providers/Microsoft.ContainerService/managedClusters/{{ClusterName}}?api-version={{ApiVersion}}

请求正文：

{
  "location": "{{Location}}",
  "properties": {
    "securityProfile": {
            "defender": {
                "securityMonitoring": {
                    "enabled": false
                }
            }
        }
    }
}

请求正文参数：

使用 Azure CLI 移除 Defender 传感器

1. 使用以下命令删除 Microsoft Defender：

   az cloud set -n AzureChinaCloud
   az login
   az account set --subscription <subscription-id>
   az aks update --disable-defender --resource-group <your-resource-group> --name <your-cluster-name>
   

   删除扩展可能需要几分钟时间。

2. 要验证是否已成功移除扩展，请运行以下命令：

   kubectl get pods -n kube-system | grep microsoft-defender
   

   移除扩展后，你会发现 get pods 命令中未返回任何 pod。 删除 Pod 可能需要几分钟时间。

使用 Azure 资源管理器从 AKS 移除 Defender 传感器

若要使用 Azure 资源管理器移除 Defender 传感器，你的订阅中需有一个 Log Analytics 工作区。 在 Log Analytics 工作区中了解详细信息。

用于从 AKS 中移除 Defender 传感器的相关模板和参数为：

{ 
    "type": "Microsoft.ContainerService/managedClusters", 
    "apiVersion": "2022-06-01", 
    "name": "string", 
    "location": "string",
    "properties": {
        …
        "securityProfile": { 
            "defender": { 
                "securityMonitoring": {
                    "enabled": false
                }
            }
        }
    }
}