Configurez les composants de Microsoft Defender pour les conteneurs

Configuration requise pour le réseau

Vérifiez que les points de terminaison suivants sont configurés pour l’accès sortant afin que le capteur Defender puisse se connecter à Microsoft Defender pour le cloud et ainsi envoyer des données et des événements de sécurité.

Le capteur Defender doit se connecter à l’espace de travail Azure Monitor Log Analytics configuré. Par défaut, les clusters AKS ont un accès illimité sortant à Internet. Si le trafic de sortie du cluster nécessite l’utilisation d’une étendue Private Link Azure Monitor (AMPLS), vous devez :

• Définissez le cluster avec Container Insights et un espace de travail Log Analytics.
• Configurez l’AMPLS avec le mode d’accès aux requêtes et le mode d’accès aux ingestions définis sur Ouvert.
• Définissez l’espace de travail Log Analytics du cluster comme ressource dans l’AMPLS.
• Créer dans l’AMPLS un point de terminaison privé de réseau virtuel entre le réseau virtuel du cluster et la ressource Log Analytics. Le point de terminaison privé du réseau virtuel s’intègre à une zone DNS privée.

Pour obtenir des instructions, veuillez consulter la section Créer une étendue de liaison privée Azure Monitor.

Configuration requise pour le réseau

Vérifiez que les points de terminaison suivants pour les déploiements de cloud public sont configurés pour l’accès sortant. La configuration de ces derniers pour l’accès sortant permet de s’assurer que le capteur Defender peut se connecter à Microsoft Defender pour le cloud afin d’envoyer des données et des événements de sécurité.

Vous devez également valider la configuration réseau nécessaire pour le réseau Kubernetes avec Azure Arc.

Activer le plan

1. Dans Defender pour le cloud, sélectionnez Paramètres, puis l’abonnement approprié.

2. Dans la page Plans de Defender, sélectionnez Conteneurs>Paramètres.

   

   Conseil

   Si Defender pour Kubernetes ou Defender pour les registres de conteneurs sont déjà activés pour l’abonnement, une notification de mise à jour apparaît. Sinon, la seule option est Conteneurs.

   

3. Activez le composant approprié.

   

   Remarque

   • Les clients Defender pour les conteneurs qui ont adhéré avant août 2023 et qui n’ont pas activé Découverte sans agent pour Kubernetes dans le cadre de Defender CSPM (gestion de la posture de sécurité cloud) lorsqu’ils ont activé le plan, doivent activer manuellement l’extension Découverte sans agent pour Kubernetes dans le plan Defender pour les conteneurs.
   • Lorsque vous désactivez Defender pour les conteneurs, les composants sont définis sur Désactivé. Ils ne sont pas déployés sur d’autres conteneurs, mais ils ne sont pas supprimés des conteneurs où ils sont déjà installés.

Méthode d’activation par fonctionnalité

Par défaut, lorsque vous activez le plan via le portail Azure, Microsoft Defender pour les conteneurs est configuré pour activer automatiquement toutes les fonctionnalités et installer tous les composants requis pour fournir les protections offertes par le plan. Cette configuration inclut l’attribution d’un espace de travail par défaut.

Si vous ne souhaitez pas activer toutes les fonctionnalités des plans, vous pouvez sélectionner manuellement les fonctionnalités spécifiques à activer en sélectionnant Modifier la configuration pour le plan Conteneurs. Ensuite, dans la page Paramètres et surveillance, sélectionnez les fonctionnalités que vous souhaitez activer. Vous pouvez également modifier cette configuration à partir de la page Plans Defender après la configuration initiale du plan.

Pour plus d’informations sur la méthode d’activation pour chacune des fonctionnalités, consultez la matrice de prise en charge.

Rôles et autorisations

Découvrez-en davantage sur les rôles pour l’approvisionnement d’extensions Defender pour les conteneurs.

Attribution d’un espace de travail personnalisé pour le capteur Defender

Vous pouvez affecter un espace de travail personnalisé via Azure Policy.

Déploiement manuel du capteur Defender ou de l’agent de stratégie Azure sans approvisionnement automatique à l’aide des recommandations

Les fonctionnalités qui nécessitent une installation du capteur peuvent également être déployées sur un ou plusieurs clusters Kubernetes. Utilisez la recommandation appropriée :

Pour déployer le capteur Defender sur des clusters spécifiques :

1. Dans la page des recommandations de Microsoft Defender pour le cloud, ouvrez le contrôle de sécurité Activer la sécurité améliorée ou recherchez l’une des recommandations précédentes. (Vous pouvez également utiliser les liens précédents pour ouvrir directement la recommandation.)

2. Affichez tous les clusters sans capteur en ouvrant l’onglet Non sain.

3. Sélectionnez les clusters dans lesquels vous souhaitez déployer le capteur, puis Corriger.

4. Sélectionnez Corriger X ressources.

Déployer le capteur Defender : toutes les options

Vous pouvez activer le plan Defender pour les conteneurs et déployer tous les composants appropriés à l’aide du portail Azure, de l’API REST ou d’un modèle Azure Resource Manager. Pour obtenir des instructions détaillées, sélectionnez l’onglet approprié.

Une fois le capteur Defender déployé, un espace de travail par défaut est automatiquement attribué. Vous pouvez affecter un espace de travail personnalisé à la place de l’espace de travail par défaut via Azure Policy.

PUT https://management.azure.com/subscriptions/{{Subscription ID}}/resourcegroups/{{Resource Group}}/providers/Microsoft.Kubernetes/connectedClusters/{{Cluster Name}}/providers/Microsoft.KubernetesConfiguration/extensions/microsoft.azuredefender.kubernetes?api-version=2020-07-01-preview

{
  "location": "{{Location}}",
  "properties": {
    "securityProfile": {
            "defender": {
                "logAnalyticsWorkspaceResourceId": "{{LAWorkspaceResourceId}}",
                "securityMonitoring": {
                    "enabled": true,
                }
            }
        }
    }
}

{ 
    "type": "Microsoft.ContainerService/managedClusters", 
    "apiVersion": "2022-06-01", 
    "name": "string", 
    "location": "string",
    "properties": {
        …
        "securityProfile": { 
            "defender": { 
                "logAnalyticsWorkspaceResourceId": "logAnalyticsWorkspaceResourceId",
                "securityMonitoring": {
                    "enabled": true
                }
            }
        }
    }
}

Activer le plan

1. Dans Defender pour le cloud, sélectionnez Paramètres, puis l’abonnement approprié.

2. Dans la page Plans de Defender, sélectionnez Conteneurs>Paramètres.

   

   Conseil

   Si Defender pour Kubernetes ou Defender pour les registres de conteneurs sont déjà activés pour l’abonnement, une notification de mise à jour apparaît. Sinon, la seule option est Conteneurs.

   

3. Activez le composant approprié.

   

   Remarque

   Lorsque vous désactivez Defender pour les conteneurs, les composants sont définis sur Désactivé. Ils ne sont pas déployés sur d’autres conteneurs, mais ils ne sont pas supprimés des conteneurs où ils sont déjà installés.

Par défaut, lorsque vous activez le plan via le portail Azure, Microsoft Defender pour les conteneurs est configuré pour installer automatiquement tous les composants requis pour fournir les protections offertes par le plan. Cette configuration inclut l’attribution d’un espace de travail par défaut.

Si vous voulez désactiver l’installation automatique des composants pendant le processus d’intégration, sélectionnez Modifier la configuration pour le plan Conteneurs. Les options avancées s’affichent et vous permettent de désactiver l’installation automatique pour chaque composant.

Vous pouvez aussi modifier cette configuration à partir de la page Plans Defender.

Vous pouvez affecter un espace de travail personnalisé via Azure Policy.

Si vous désactivez l’installation automatique d’un composant, vous pouvez facilement déployer le composant sur un ou plusieurs clusters à l’aide de la recommandation appropriée :

• Module complémentaire Azure Policy pour Kubernetes : Le module complémentaire Azure Policy pour Kubernetes doit être installé sur les clusters Azure Kubernetes Service
• Profil Azure Kubernetes Service : Le profil Defender doit être activé pour les clusters Azure Kubernetes Service
• Extension Defender pour Kubernetes avec Azure Arc : L’extension Defender doit être installée sur les clusters Kubernetes avec Azure Arc
• Extension Azure Policy pour Kubernetes avec Azure Arc : L’extension Azure Policy doit être installée sur les clusters Kubernetes avec Azure Arc

Découvrez-en davantage sur les rôles pour l’approvisionnement d’extensions Defender pour les conteneurs.

Prérequis

Avant de déployer le capteur, vérifiez que vous :

• Connectez le cluster Kubernetes à Azure Arc.
• Suivez les conditions préalables répertoriées dans la documentation relative aux extensions de cluster génériques.

Déployer le capteur Defender

Vous pouvez déployer le capteur Defender à l’aide de différentes méthodes. Pour obtenir des instructions détaillées, sélectionnez l’onglet approprié.

PUT https://management.azure.com/subscriptions/{{Subscription ID}}/resourcegroups/{{Resource Group}}/providers/Microsoft.Kubernetes/connectedClusters/{{Cluster Name}}/providers/Microsoft.KubernetesConfiguration/extensions/microsoft.azuredefender.kubernetes?api-version=2020-07-01-preview

{ 
"properties": { 
    "extensionType": "microsoft.azuredefender.kubernetes",
"con    figurationSettings": { 
        "logAnalytics.workspaceId":"YOUR-WORKSPACE-ID"
    // ,    "auditLogPath":"PATH/TO/AUDITLOG"
    },
    "configurationProtectedSettings": {
        "logAnalytics.key":"YOUR-WORKSPACE-KEY"
    }
    }
} 

Vérifier le déploiement

Pour vérifier que le capteur Defender est installé sur votre cluster, suivez les étapes sous l’un des onglets ci-dessous.

Activer le plan

Pour vous aider protéger vos clusters EKS, activez le plan Defender pour les conteneurs sur le connecteur de compte approprié :

1. Dans Microsoft Defender pour le cloud, ouvrez Paramètres d’environnement.

2. Sélectionnez le connecteur AWS.

   

3. Vérifiez que le bouton bascule du plan Conteneurs est défini sur Activé.

   

4. Pour modifier les configurations facultatives du plan, sélectionnez Paramètres.

   

   • Defender pour les conteneurs nécessite des journaux d’audit du plan de contrôle pour fournir une protection contre les menaces au moment de l’exécution. Pour envoyer les journaux d’audit Kubernetes à Microsoft Defender, définissez le bouton bascule de cette fonctionnalité sur Activé. Pour modifier la période de rétention de vos journaux d’audit, entrez le délai d’exécution souhaité.

     Remarque

     Si vous désactivez cette configuration, la fonctionnalité Détection des menaces (plan de contrôle) est également désactivée. En savoir plus sur la disponibilité de la fonctionnalité.

   • La fonctionnalité Découverte sans agent pour Kubernetes fournit une découverte basée sur l’API de vos clusters Kubernetes. Pour activer la fonctionnalité, définissez son bouton bascule sur Activé.

   • La fonctionnalité Évaluation de la vulnérabilité des conteneurs sans agent assure la gestion de la vulnérabilité des images stockées dans ECR et des images en cours d’exécution sur vos clusters EKS. Pour activer la fonctionnalité, définissez son bouton bascule sur Activé.

5. Passez en revue les pages restantes de l’Assistant Connecteur.

6. Si vous activez la fonctionnalité Découverte sans agent pour Kubernetes, vous devez accorder des autorisations de plan de contrôle sur le cluster. Vous pouvez accorder des autorisations de l’une des manières suivantes :

   • Exécutez ce script Python. Le script ajoute le rôle Defender pour le cloud MDCContainersAgentlessDiscoveryK8sRole à aws-auth ConfigMap pour les clusters EKS que vous souhaitez intégrer.

   • Accordez à chaque cluster Amazon EKS le rôle MDCContainersAgentlessDiscoveryK8sRole avec la possibilité d’interagir avec le cluster. Connectez-vous à tous les clusters existants et nouvellement créés à l’aide d’eksctl et exécutez le script suivant :

         eksctl create iamidentitymapping \ 
         --cluster my-cluster \ 
         --region region-code \ 
         --arn arn:aws:iam::account:role/MDCContainersAgentlessDiscoveryK8sRole \ 
         --group system:masters\ 
         --no-duplicate-arns
     

     Pour plus d’informations, consultez Accorder aux utilisateurs IAM l’accès à Kubernetes avec des entrées d’accès EKS dans le guide de l’utilisateur Amazon EKS.

7. Kubernetes avec Azure Arc, le capteur Defender et Azure Policy pour Kubernetes doivent être installés et en cours d’exécution sur vos clusters EKS. Il existe une recommandation Defender pour le cloud dédiée à l’installation de ces extensions (et Azure Arc, si nécessaire) : L’extension Microsoft Defender pour Azure Arc doit être installée sur les clusters EKS.

   Pour installer les extensions nécessaires, procédez de la manière suivante :

   1. Dans la page Recommandations de Defender pour le cloud, recherchez et sélectionnez L’extension Microsoft Defender pour Azure Arc doit être installée sur les clusters EKS.

   2. Sélectionnez un cluster non sain.

      Important

      Vous devez sélectionner les clusters un par un.

      Ne sélectionnez pas les clusters selon leurs noms hypertexte. Sélectionnez n’importe où ailleurs dans la ligne appropriée.

   3. Sélectionnez Corriger.

   4. Defender pour le cloud génère un script dans le langage de votre choix : sélectionnez Bash (pour Linux) ou PowerShell (pour Windows).

   5. Sélectionnez Télécharger la logique de correction.

   6. Exécutez le script généré sur votre cluster.

   

Afficher les recommandations et les alertes pour vos clusters EKS

Pour afficher les alertes et les recommandations pour vos clusters EKS, utilisez les filtres sur les pages d’alertes, de recommandations et d’inventaire pour filtrer par type de ressource Cluster AWS EKS.

Déployer le capteur Defender

Pour déployer le capteur Defender sur vos clusters AWS :

1. Accédez à Microsoft Defender pour le cloud>Paramètres d’environnement>Ajouter un environnement>Amazon Web Services.

   

2. Renseignez les détails du compte.

   

3. Accédez à Sélectionner des plans, ouvrez le plan Conteneurs et vérifiez que l’option Approvisionner automatiquement le capteur Defender pour Azure Arc est activée.

   

4. Accédez à Configurer l’accès et suivez les étapes ci-dessous.

   

5. Une fois le modèle Cloud Formation déployé avec succès, sélectionnez Créer.

Activer le plan

Pour protéger vos clusters GKE, activez le plan Defender pour les conteneurs sur le projet GCP approprié de la manière suivante.

1. Connectez-vous au portail Azure.

2. Accédez à Microsoft Defender pour le cloud>Paramètres d’environnement.

3. Sélectionnez le connecteur GCP approprié.

   

4. Sélectionnez le bouton Suivant : Sélectionner des plans>.

5. Assurez-vous que le bouton bascule du plan Conteneurs est défini sur Activé.

   

6. Pour modifier les configurations facultatives du plan, sélectionnez Paramètres.

   

   • Journaux d’audit Kubernetes vers Defender pour le cloud : activés par défaut. Cette configuration est disponible au niveau du projet GCP uniquement. Elle fournit une collection sans agent des données du journal d’audit à travers GCP Cloud Logging vers le back-end de Microsoft Defender pour le cloud pour approfondir l’analyse. Defender pour les conteneurs nécessite des journaux d’audit du plan de contrôle pour fournir une protection contre les menaces au moment de l’exécution. Pour envoyer les journaux d’audit Kubernetes à Microsoft Defender, définissez le bouton bascule sur Activé.

     Remarque

     Si vous désactivez cette configuration, la fonctionnalité Détection des menaces (plan de contrôle) est également désactivée. En savoir plus sur la disponibilité de la fonctionnalité.

   • Approvisionnement automatique du capteur Defender pour Azure Arc et Approvisionnement automatique de l’extension Azure Policy pour Azure Arc : activés par défaut. Vous pouvez installer Kubernetes avec Azure Arc et ses extensions sur vos clusters GKE de trois façons différentes :

     • Activez l’approvisionnement automatique de Defender pour les conteneurs au niveau du projet, comme expliqué dans les instructions dans cette section. Nous recommandons cette méthode.
     • Utilisez les recommandations de Defender pour le cloud pour l’installation par cluster. Elles s’affichent sur la page des recommandations de Microsoft Defender pour le cloud. Découvrez comment déployer la solution sur des clusters spécifiques.
     • Installez manuellement Kubernetes avec Azure Arcet les extensions.

   • La fonctionnalité Découverte sans agent pour Kubernetes fournit une découverte basée sur l’API de vos clusters Kubernetes. Pour activer la fonctionnalité, définissez son bouton bascule sur Activé.

   • La fonctionnalité Évaluation des vulnérabilités de conteneur sans agent fournit une gestion des vulnérabilités pour les images stockées dans les registres Google (Google Artifact Registry et Google Container Registry) et l’exécution d’images sur vos clusters GKE. Pour activer la fonctionnalité, définissez son bouton bascule sur Activé.

7. Sélectionnez le bouton Copier.

   

8. Sélectionnez le bouton GCP Cloud Shell >.

9. Collez le script dans le terminal Cloud Shell et exécutez-le.

Le connecteur est mis à jour après l’exécution du script. Ce processus peut prendre jusqu’à 8 heures avant d’être complété.

Déployer la solution sur des clusters spécifiques

Si vous définissez l’une des configurations d’approvisionnement automatique par défaut sur Désactivé pendant le processus d’intégration du connecteur GCP ou après, vous devez installer manuellement Kubernetes avec Azure Arc, le capteur Defender et Azure Policy pour Kubernetes dans chacun de vos clusters GKE. L’installation de ces éléments vous permet de vous assurer que vous obtenez la valeur de sécurité complète de Defender pour les conteneurs.

Vous pouvez utiliser deux recommandations Defender pour le cloud dédiées à l’installation des extensions (et Azure Arc si nécessaire) :

• L’extension Microsoft Defender pour Azure Arc doit être installée sur les clusters GKE
• L’extension Azure Policy doit être installée sur les clusters GKE

Pour déployer la solution sur des clusters spécifiques :

1. Connectez-vous au portail Azure.

2. Accédez à Microsoft Defender pour le cloud>Recommandations.

3. Dans la page Recommandations de Defender pour le cloud, recherchez l’une des recommandations selon son nom.

   

4. Sélectionnez un cluster GKE non sain.

   Important

   Vous devez sélectionner les clusters un par un.

   Ne sélectionnez pas les clusters selon leurs noms hypertexte. Sélectionnez n’importe où ailleurs dans la ligne appropriée.

5. Sélectionnez le nom de la ressource non saine.

6. Sélectionnez Corriger.

   

7. Defender pour le cloud génère un script dans le langage de votre choix :

   • Pour Linux, sélectionnez Bash.
   • Pour Windows, sélectionnez PowerShell.

8. Sélectionnez Télécharger la logique de correction.

9. Exécutez le script généré sur votre cluster.

10. Répétez les étapes 3 à 8 pour l’autre recommandation.

Afficher les alertes de votre cluster GKE

1. Connectez-vous au portail Azure.

2. Accédez à Microsoft Defender pour le cloud>Alertes de sécurité.

3. Sélectionnez le bouton .

4. Dans le menu déroulant Filtre, sélectionnez Type de ressource.

5. Dans le menu déroulant Valeur, sélectionnez Cluster GCP GKE.

6. Sélectionnez OK.

Déployer le capteur Defender

Pour déployer le capteur Defender sur vos clusters GCP :

1. Accédez à Microsoft Defender pour le cloud>Paramètres d’environnement>Ajouter un environnement>Google Cloud Platform.

   

2. Renseignez les détails du compte.

   

3. Accédez à Sélectionner des plans, ouvrez le plan Conteneurs et vérifiez que l’option Approvisionner automatiquement le capteur Defender pour Azure Arc est activée.

   

4. Accédez à Configurer l’accès et suivez les étapes ci-dessous.

   

5. Une fois que le script gcloud s’exécute correctement, sélectionnez Créer.

Supprimer le capteur Defender

Vous pouvez supprimer l’extension des machines en cours d’exécution à l’aide du portail Azure, d’Azure CLI ou de l’API REST, comme expliqué dans les onglets suivants.

DELETE https://management.azure.com/subscriptions/{{Subscription ID}}/resourcegroups/{{Resource Group}}/providers/Microsoft.Kubernetes/connectedClusters/{{Cluster Name}}/providers/Microsoft.KubernetesConfiguration/extensions/microsoft.azuredefender.kubernetes?api-version=2020-07-01-preview

az account get-access-token --subscription <your-subscription-id>

Définir un espace de travail Log Analytics par défaut pour AKS

Le capteur Defender utilise l’espace de travail Log Analytics en tant que pipeline de données pour envoyer des données du cluster à Defender pour le cloud. L’espace de travail ne conserve aucune des données. Par conséquent, les utilisateurs ne sont pas facturés dans ce cas d’utilisation.

Le capteur Defender utilise un espace de travail Log Analytics par défaut. Si vous n’avez pas d’espace de travail Log Analytics par défaut, Defender pour le cloud crée un groupe de ressources et un espace de travail par défaut lorsque vous installez le capteur Defender. L’espace de travail par défaut est basé sur votre région.

La convention d’affectation de noms de l’espace de travail et du groupe de ressources Log Analytics par défaut est la suivante :

• Espace de travail : DefaultWorkspace-[ID d’abonnement]-[zone géographique]
• Groupe de ressources : DefaultResourceGroup-[geo]

Attribuer un espace de travail personnalisé

Lorsque vous activez l’approvisionnement automatique, un espace de travail par défaut est automatiquement attribué. Vous pouvez affecter un espace de travail personnalisé via Azure Policy.

Pour vérifier si vous avez un espace de travail attribué :

1. Connectez-vous au portail Azure.

2. Recherchez et sélectionnez Stratégie.

   

3. Sélectionnez Définitions.

4. Recherchez l’ID de stratégie 64def556-fbad-4622-930e-72d1d5589bf5.

   

5. Sélectionnez Configurer les clusters Azure Kubernetes Service pour activer le profil Defender.

6. Sélectionnez Affectations.

   

7. Utilisez l’une des prochaines sections de cet article selon les conditions :

   • Si la stratégie n’a pas encore été attribuée à l’étendue appropriée, suivez les étapes de Créer une attribution avec un espace de travail personnalisé.
   • Si la stratégie est déjà attribuée et que vous souhaitez la modifier pour utiliser un espace de travail personnalisé, suivez les étapes de la section Mettre à jour une attribution avec l’espace de travail personnalisé.

Créer une attribution avec un espace de travail personnalisé

Si la stratégie n’est pas encore attribuée, l’onglet Attributions affiche le nombre 0.

Pour attribuer un espace de travail personnalisé :

1. Sélectionnez Attribuer.

2. Sous l’onglet Paramètres, effacez l’option Afficher uniquement les paramètres qui ont besoin d’une entrée ou d’une évaluation.

3. Sélectionnez une valeur LogAnalyticsWorkspaceResourceId dans le menu déroulant.

   

4. Sélectionnez Revoir + créer.

5. Sélectionnez Créer.

Mettre à jour une attribution avec un espace de travail personnalisé

Si la stratégie est attribuée à un espace de travail, l’onglet Attributions affiche le nombre 1.

Pour attribuer un espace de travail personnalisé :

1. Sélectionnez l’assignation correspondante.

   

2. Sélectionnez Modifier l’attribution.

3. Sous l’onglet Paramètres, effacez l’option Afficher uniquement les paramètres qui ont besoin d’une entrée ou d’une évaluation.

4. Sélectionnez une valeur LogAnalyticsWorkspaceResourceId dans le menu déroulant.

   

5. Sélectionnez Vérifier + enregistrer.

6. Cliquez sur Enregistrer.

Espace de travail Log Analytics par défaut pour Azure Arc

Le capteur Defender utilise l’espace de travail Log Analytics en tant que pipeline de données pour envoyer des données du cluster à Defender pour le cloud. L’espace de travail ne conserve aucune des données. Par conséquent, les utilisateurs ne sont pas facturés dans ce cas d’utilisation.

Le capteur Defender utilise un espace de travail Log Analytics par défaut. Si vous n’avez pas d’espace de travail Log Analytics par défaut, Defender pour le cloud crée un groupe de ressources et un espace de travail par défaut lorsque vous installez le capteur Defender. L’espace de travail par défaut est basé sur votre région.

La convention d’affectation de noms de l’espace de travail et du groupe de ressources Log Analytics par défaut est la suivante :

• Espace de travail : DefaultWorkspace-[ID d’abonnement]-[zone géographique]
• Groupe de ressources : DefaultResourceGroup-[geo]

Attribuer un espace de travail personnalisé

Lorsque vous activez l’approvisionnement automatique, un espace de travail par défaut est automatiquement attribué. Vous pouvez affecter un espace de travail personnalisé via Azure Policy.

Pour vérifier si vous avez un espace de travail attribué :

1. Connectez-vous au portail Azure.

2. Recherchez et sélectionnez Stratégie.

   

3. Sélectionnez Définitions.

4. Recherchez l’ID de stratégie 708b60a6-d253-4fe0-9114-4be4c00f012c.

   

5. Sélectionnez Configurez les clusters Kubernetes compatibles avec Azure Arc pour installer l’extension Microsoft Defender pour le cloud.

6. Sélectionnez Affectations.

   

7. Utilisez l’une des prochaines sections de cet article selon les conditions :

   • Si la stratégie n’a pas encore été attribuée à l’étendue appropriée, suivez les étapes de Créer une attribution avec un espace de travail personnalisé.
   • Si la stratégie est déjà attribuée et que vous souhaitez la modifier pour utiliser un espace de travail personnalisé, suivez les étapes de la section Mettre à jour une attribution avec l’espace de travail personnalisé.

Créer une attribution avec un espace de travail personnalisé

Si la stratégie n’est pas encore attribuée, l’onglet Attributions affiche le nombre 0.

Pour attribuer un espace de travail personnalisé :

1. Sélectionnez Attribuer.

2. Sous l’onglet Paramètres, effacez l’option Afficher uniquement les paramètres qui ont besoin d’une entrée ou d’une évaluation.

3. Sélectionnez une valeur LogAnalyticsWorkspaceResourceId dans le menu déroulant.

   

4. Sélectionnez Revoir + créer.

5. Sélectionnez Créer.

Mettre à jour une attribution avec un espace de travail personnalisé

Si la stratégie est attribuée à un espace de travail, l’onglet Attributions affiche le nombre 1.

Pour attribuer un espace de travail personnalisé :

1. Sélectionnez l’assignation correspondante.

   

2. Sélectionnez Modifier l’attribution.

3. Sous l’onglet Paramètres, effacez l’option Afficher uniquement les paramètres qui ont besoin d’une entrée ou d’une évaluation.

4. Sélectionnez une valeur LogAnalyticsWorkspaceResourceId dans le menu déroulant.

   

5. Sélectionnez Vérifier + enregistrer.

6. Sélectionnez Enregistrer.

Supprimer le capteur Defender

Pour supprimer cette extension Defender pour le cloud (ou une autre), désactiver l’approvisionnement automatique ne suffit pas :

• Activer l’approvisionnement automatique affecte potentiellement les machines existantes et futures.
• Désactiver l’approvisionnement automatique pour une extension affecte uniquement les futures machines. Rien n’est désinstallé lorsque vous désactivez l’approvisionnement automatique.

Néanmoins, pour vous assurer que les composants Defender pour les conteneurs ne sont pas automatiquement approvisionnés sur vos ressources dès maintenant, désactivez l’approvisionnement automatique des extensions.

Vous pouvez supprimer l’extension des machines en cours d’exécution à l’aide de l’API REST, de l’interface de ligne de commande Azure ou d’un modèle Resource Manager, comme expliqué dans les onglets suivants.

https://management.azure.com/subscriptions/{{SubscriptionId}}/resourcegroups/{{ResourceGroup}}/providers/Microsoft.ContainerService/managedClusters/{{ClusterName}}?api-version={{ApiVersion}}

{
  "location": "{{Location}}",
  "properties": {
    "securityProfile": {
            "defender": {
                "securityMonitoring": {
                    "enabled": false
                }
            }
        }
    }
}

{ 
    "type": "Microsoft.ContainerService/managedClusters", 
    "apiVersion": "2022-06-01", 
    "name": "string", 
    "location": "string",
    "properties": {
        …
        "securityProfile": { 
            "defender": { 
                "securityMonitoring": {
                    "enabled": false
                }
            }
        }
    }
}