Kubernetes データ プレーンのセキュリティ強化を保護する

このページでは、Kubernetes データ プレーンのセキュリティ強化に特化した、Microsoft Defender for Cloud のセキュリティの推奨事項を使用する方法について説明します。

ワークロード保護を設定する

Microsoft Defender for Cloud には、Kubernetes 用の Azure Policy のインストールを完了すると使用可能になる推奨事項のバンドルが含まれています。

前提条件

• Azure policy に必要な FQDN/アプリケーション ルールを追加します。
• (非 AKS クラスターの場合) 既存の Kubernetes クラスターを Azure Arc に接続します。

Kubernetes データ プレーンのセキュリティ強化を有効にする

Kubernetes 用の Azure Policy は、次の 2 つの方法のいずれかで有効にすることができます:

• プラン/コネクタ設定を使用して、現在および将来のすべてのクラスターに対して有効にする
  • Azure サブスクリプションまたはオンプレミスに対する有効化
  • GCP プロジェクトに対する有効化
• 既存のクラスターに Azure Policy for Kubernetes をデプロイする

プラン/コネクタ設定を使用し、現在および将来のすべてのクラスターに対して Azure Policy for Kubernetes を有効にする

Azure サブスクリプションまたはオンプレミスに対する有効化

Microsoft Defender for Containers を有効にすると、Azure Kubernetes Service と、関連するサブスクリプション内の Azure Arc 対応 Kubernetes クラスターに対して、既定で "Kubernetes 用の Azure Policy" 設定が有効になります。 初期構成で設定を無効にした場合でも、後で手動で有効にすることができます。

コンテナー プランで "Azure Policy for Kubernetes" 設定を無効にした場合は、以下の手順に従って、サブスクリプション内のすべてのクラスターで有効にすることができます。

1. Azure portal にサインインします。

2. [Microsoft Defender for Cloud]>[Environment settings](環境設定) に移動します。

3. 関連するサブスクリプションを選択します。

4. [Defender プラン] ページで、[コンテナー] が [オン] に切り替えられていることを確認します。

5. [設定] を選択します。

   

6. [設定と監視] ページで、''Azure Policy for Kubernetes'' を [オン] に切り替えます。

   

GCP プロジェクトに対する有効化

GCP コネクタで Microsoft Defender for Containers を有効にすると、関連するプロジェクトの Google Compute Engine に対して "Azure Policy Extension for Azure Arc" 設定が既定で有効になります。 初期構成で設定を無効にした場合でも、後で手動で有効にすることができます。

GCP コネクタで "Azure Policy Extension for Azure Arc" 設定を無効にした場合は、以下の手順に従って GCP コネクタで有効にすることができます。

既存のクラスターに Azure Policy for Kubernetes をデプロイする

[推奨事項] ページから、既存の Kubernetes クラスターで Azure Policy for Kubernetes を手動構成できます。 有効にすると、堅牢化に関する推奨事項が使用可能になります (一部の推奨事項では、堅牢化に別の構成が必要です)。

Azure Policy for Kubernetes を指定したクラスターにデプロイするには:

1. 推奨事項ページで、次の関連する推奨事項を検索します。

   • Azure - "Azure Kubernetes Service clusters should have the Azure Policy add-on for Kubernetes installed"

   • GCP - "GKE clusters should have the Azure Policy extension".

   • AWS とオンプレミス - "Azure Arc-enabled Kubernetes clusters should have the Azure policy extension for Kubernetes extension installed".

     ヒント

     この推奨事項は異なるセキュリティ コントロールに含まれていますが、次の手順ではどれを選択してもかまいません。

2. いずれかのセキュリティ コントロールから、推奨事項を選択して、アドオンをインストールできるリソースを確認します。

3. 関連するクラスターを選択し、[修復] を選択します。

   

推奨事項のバンドルを表示して構成する

Azure Policy for Kubernetes のインストールが完了してから約 30 分後、Defender for Cloud は、図に示すように関連するセキュリティ コントロールで、それぞれ以下の推奨事項に関するクラスターの正常性状態を表示します：

カスタマイズする必要があるパラメーターが含まれた推奨事項では、次のようにパラメーターを設定する必要があります。

パラメーターを設定するには:

1. Azure portal にサインインします。

2. [Microsoft Defender for Cloud]>[Environment settings](環境設定) に移動します。

3. 関連するサブスクリプションを選択します。

4. Defender for Cloud のメニューから、[セキュリティ ポリシー] を選択します。

5. 関連する割り当てを選択します。 既定の割り当ては ASC default です。

6. [パラメーター] タブを開き、必要に応じて値を変更します。

   

7. [確認と保存] を選択します。

8. [保存] を選択します。

推奨事項を適用するには:

1. 推奨事項の詳細ページを開き、 [拒否] を選択します。

   

   スコープを設定するペインが開きます。

2. スコープを設定して [拒否に変更] を選択します。

クラスターに適用される推奨事項を確認するには:

1. Defender for Cloud の資産インベントリ ページを開き、リソースの種類フィルターを [Kubernetes サービス] に設定します。

2. 調査するクラスターを選択し、クラスターで利用可能な推奨事項を確認します。

ワークロード保護セットからの推奨事項を表示すると、影響を受けるポッド ("Kubernetes components") の数がクラスターの横に表示されます。 特定のポッドの一覧を表示するには、クラスターを選択し、 [アクションの実行] を選択します。

適用をテストするには、次の 2 つの Kubernetes デプロイを使用します。

• 1 つは、ワークロード保護の推奨事項のバンドルに準拠した正常なデプロイ用です。

• もう 1 つは、推奨事項の "いずれか" に準拠していない異常なデプロイ用です。

例の .yaml ファイルをそのままデプロイするか、これらを参照として使用して自分のワークロードを修復します。

正常なデプロイのサンプル.yaml ファイル

apiVersion: apps/v1
kind: Deployment
metadata:
  name: redis-healthy-deployment
  labels:
    app: redis
spec:
  replicas: 3
  selector:
    matchLabels:
      app: redis
  template:
    metadata:
      labels:
        app: redis
      annotations:
        container.apparmor.security.beta.kubernetes.io/redis: runtime/default
    spec:
      containers:
      - name: redis
        image: <customer-registry>.azurecr.io/redis:latest
        ports:
        - containerPort: 80
        resources:
          limits:
            cpu: 100m
            memory: 250Mi
        securityContext:
          privileged: false
          readOnlyRootFilesystem: true
          allowPrivilegeEscalation: false
          runAsNonRoot: true
          runAsUser: 1000
---
apiVersion: v1
kind: Service
metadata:
  name: redis-healthy-service
spec:
  type: LoadBalancer
  selector:
    app: redis
  ports:
  - port: 80
    targetPort: 80

異常なデプロイのサンプル.yaml ファイル

apiVersion: apps/v1
kind: Deployment
metadata:
  name: redis-unhealthy-deployment
  labels:
    app: redis
spec:
  replicas: 3
  selector:
    matchLabels:
      app: redis
  template:
    metadata:      
      labels:
        app: redis
    spec:
      hostNetwork: true
      hostPID: true 
      hostIPC: true
      containers:
      - name: redis
        image: redis:latest
        ports:
        - containerPort: 9001
          hostPort: 9001
        securityContext:
          privileged: true
          readOnlyRootFilesystem: false
          allowPrivilegeEscalation: true
          runAsUser: 0
          capabilities:
            add:
              - NET_ADMIN
        volumeMounts:
        - mountPath: /test-pd
          name: test-volume
          readOnly: true
      volumes:
      - name: test-volume
        hostPath:
          # directory location on host
          path: /tmp
---
apiVersion: v1
kind: Service
metadata:
  name: redis-unhealthy-service
spec:
  type: LoadBalancer
  selector:
    app: redis
  ports:
  - port: 6001
    targetPort: 9001

次の手順

この記事では、Kubernetes データ プレーンのセキュリティ強化を構成する方法について説明しました。

関連資料については、次のページを参照してください。

• コンピューティングに関する Defender for Cloud の推奨事項
• AKS クラスター レベルのアラート