Azure-säkerhetsbaslinje för Azure Arc-aktiverade Kubernetes

Den här säkerhetsbaslinjen tillämpar vägledning från Microsoft Cloud Security Benchmark version 1.0 på Azure Arc-aktiverade Kubernetes. Microsofts benchmark för molnsäkerhet ger rekommendationer om hur du kan skydda dina molnlösningar i Azure. Innehållet grupperas efter de säkerhetskontroller som definieras av Microsofts molnsäkerhetsmått och den relaterade vägledning som gäller för Azure Arc-aktiverade Kubernetes.

Du kan övervaka den här säkerhetsbaslinjen och dess rekommendationer med hjälp av Microsoft Defender för molnet. Azure Policy definitioner visas i avsnittet Regelefterlevnad på portalsidan Microsoft Defender för molnet.

När en funktion har relevanta Azure Policy definitioner visas de i den här baslinjen för att hjälpa dig att mäta efterlevnaden av Microsofts prestandamått för molnsäkerhet och rekommendationer. Vissa rekommendationer kan kräva en betald Microsoft Defender plan för att aktivera vissa säkerhetsscenarier.

Säkerhetsprofil

Säkerhetsprofilen sammanfattar beteendet för Azure Arc-aktiverade Kubernetes, vilket kan leda till ökade säkerhetsöverväganden.

Nätverkssäkerhet

Mer information finns i Microsoft Cloud Security Benchmark: Nätverkssäkerhet.

NS-1: Upprätta gränser för nätverkssegmentering

Funktioner

Integrering med virtuellt nätverk

Beskrivning: Tjänsten stöder distribution till kundens privata Virtual Network (VNet). Läs mer.

Funktionsanteckningar: Det Arc-aktiverade Kubernetes-målet är att utöka Azures kontrollplan till kundmiljön. Tjänsterna fungerar inom kundens nätverk.

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

Referens: Översikt över Azure Arc-aktiverad Kubernetes-agent

Stöd för nätverkssäkerhetsgrupp

Beskrivning: Tjänstnätverkstrafik respekterar regeltilldelningen för nätverkssäkerhetsgrupper i dess undernät. Läs mer.

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

NS-2: Skydda molntjänster med nätverkskontroller

Funktioner

Azure Private Link

Beskrivning: Tjänstens interna IP-filtreringsfunktion för filtrering av nätverkstrafik (får inte förväxlas med NSG eller Azure Firewall). Läs mer.

Funktionsanteckningar: Kunden måste konfigurera privat länksupport. Den här funktionen är på väg att bli en offentlig förhandsversion.

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Inaktivera åtkomst till offentligt nätverk

Beskrivning: Tjänsten stöder inaktivering av åtkomst till offentliga nätverk antingen med hjälp av ip-ACL-filtreringsregel på tjänstnivå (inte NSG eller Azure Firewall) eller med växlingsknappen Inaktivera åtkomst till offentligt nätverk. Läs mer.

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Identitetshantering

Mer information finns i Microsoft Cloud Security Benchmark: Identitetshantering.

IM-1: Använd centraliserat identitets- och autentiseringssystem

Funktioner

Azure AD autentisering krävs för dataplansåtkomst

Beskrivning: Tjänsten stöder användning av Azure AD autentisering för dataplansåtkomst. Läs mer.

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

Referens: Använd Cluster Connect för att ansluta till Azure Arc-aktiverade Kubernetes-kluster

Lokala autentiseringsmetoder för dataplansåtkomst

Beskrivning: Lokala autentiseringsmetoder som stöds för åtkomst till dataplanet, till exempel ett lokalt användarnamn och lösenord. Läs mer.

Funktionsanteckningar: Undvik användning av lokala autentiseringsmetoder eller konton. Dessa bör inaktiveras när det är möjligt. Använd i stället Azure AD för att autentisera där det är möjligt.

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

IM-3: Hantera programidentiteter på ett säkert och automatiskt sätt

Funktioner

Hanterade identiteter

Beskrivning: Dataplansåtgärder stöder autentisering med hanterade identiteter. Läs mer.

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Tjänstens huvudnamn

Beskrivning: Dataplanet stöder autentisering med hjälp av tjänstens huvudnamn. Läs mer.

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

Referens: Autentiseringsalternativ för Azure Active Directory

SNABBMEDDELANDE 7: Begränsa resursåtkomst baserat på villkor

Funktioner

Villkorsstyrd åtkomst för dataplan

Beskrivning: Dataplansåtkomst kan styras med hjälp av Azure AD principer för villkorsstyrd åtkomst. Läs mer.

Konfigurationsvägledning: Genom att använda Azure RBAC-funktionen kan du använda Azure Active Directory (Azure AD) och rolltilldelningar i Azure för att kontrollera auktoriseringskontroller i klustret. Detta innebär att du nu kan använda Azure-rolltilldelningar för att detaljerat styra vem som kan läsa, skriva och ta bort Kubernetes-objekt som distribution, podd och tjänst.

Du kan lägga till ytterligare konfiguration för att aktivera villkorlig åtkomst. Se referenslänken nedan.

Referens: Använd villkorlig åtkomst med Azure AD

IM-8: Begränsa exponeringen av autentiseringsuppgifter och hemligheter

Funktioner

Stöd för integrering och lagring av tjänstautentiseringsuppgifter och hemligheter i Azure Key Vault

Beskrivning: Dataplanet stöder intern användning av Azure Key Vault för lagring av autentiseringsuppgifter och hemligheter. Läs mer.

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Privilegierad åtkomst

Mer information finns i Microsofts benchmark för molnsäkerhet: Privilegierad åtkomst.

PA-1: Avgränsa och begränsa högprivilegierade/administrativa användare

Funktioner

Lokala Admin-konton

Beskrivning: Tjänsten har begreppet lokalt administrativt konto. Läs mer.

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

PA-7: Följ principen för precis tillräcklig administration (lägsta behörighet)

Funktioner

Azure RBAC för dataplan

Beskrivning: Azure Role-Based Access Control (Azure RBAC) kan användas för hanterad åtkomst till tjänstens dataplansåtgärder. Läs mer.

Konfigurationsvägledning: Azure Arc-aktiverade Kubernetes stöder lokala och andra molnmiljöer som är integrerade med olika identitets- och åtkomsthanteringssystem. Förutom befintlig rollbaserad åtkomstkontroll för Kubernetes-kluster (RBAC) stöder Azure Arc-aktiverade Kubernetes Azure RBAC för att förena åtkomsthantering i Kubernetes-kluster och minimera driftskostnaderna.

Se följande artikel för vägledning om Azure RBAC för dataplansåtgärder: Identitets- och åtkomsthantering för Azure Arc-aktiverade Kubernetes

Obs! Azure RBAC-funktionen för dataplansåtgärder kan bara konfigureras på Kubernetes-kluster som tillåter konfiguration av deras API-servrar. Den här funktionen stöds inte för hanterade kluster som EKS och GKE.

Referens: Integrera Azure Active Directory med Azure Arc-aktiverade Kubernetes-kluster

Dataskydd

Mer information finns i Microsoft Cloud Security Benchmark: Dataskydd.

DP-1: Identifiera, klassificera och märka känsliga data

Funktioner

Identifiering och klassificering av känsliga data

Beskrivning: Verktyg (till exempel Azure Purview eller Azure Information Protection) kan användas för identifiering och klassificering av data i tjänsten. Läs mer.

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

DP-3: Kryptera känsliga data under överföring

Funktioner

Data under överföringskryptering

Beskrivning: Tjänsten stöder datakryptering under överföring för dataplanet. Läs mer.

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

DP-4: Aktivera vilande datakryptering som standard

Funktioner

Vilande datakryptering med plattformsnycklar

Beskrivning: Vilande datakryptering med plattformsnycklar stöds, allt kundinnehåll i vila krypteras med dessa Microsoft-hanterade nycklar. Läs mer.

Funktionsanteckningar: Vi använder Cosmos DB för att lagra tjänstdata, som krypteras i vila som standard.

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

DP-5: Använd alternativet kundhanterad nyckel i vilodatakryptering vid behov

Funktioner

Vilande datakryptering med CMK

Beskrivning: Vilande datakryptering med kundhanterade nycklar stöds för kundinnehåll som lagras av tjänsten. Läs mer.

Funktionsanteckningar: Eftersom vi inte lagrar kunddata i vila på mer än 48 timmar har vi inte lagt till stöd för CMK.

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

DP-6: Använd en säker nyckelhanteringsprocess

Funktioner

Nyckelhantering i Azure Key Vault

Beskrivning: Tjänsten stöder Azure Key Vault integrering för kundnycklar, hemligheter eller certifikat. Läs mer.

Funktionsanteckningar: Även om den här funktionen inte behöver vara "aktiverad" behöver kunden konfigurera AKV-klustertillägget för att utnyttja den här funktionen.

Den här funktionen finns också som förhandsversion.

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

DP-7: Använd en säker certifikathanteringsprocess

Funktioner

Certifikathantering i Azure Key Vault

Beskrivning: Tjänsten stöder Azure Key Vault integrering för alla kundcertifikat. Läs mer.

Funktionsanteckningar: Även om funktionen inte behöver vara "aktiverad" behöver kunden konfigurera AKV-klustertillägget för att utnyttja den här funktionen.

Den här funktionen finns också som förhandsversion.

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Tillgångshantering

Mer information finns i Microsoft Cloud Security Benchmark: Tillgångshantering.

AM-2: Använd endast godkända tjänster

Funktioner

Azure Policy-stöd

Beskrivning: Tjänstkonfigurationer kan övervakas och framtvingas via Azure Policy. Läs mer.

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

Referens: Använd konfigurationer i stor skala med Azure Policy

Loggning och hotidentifiering

Mer information finns i Microsoft Cloud Security Benchmark: Loggning och hotidentifiering.

LT-1: Aktivera funktioner för hotidentifiering

Funktioner

Microsoft Defender för tjänst/produkterbjudande

Beskrivning: Tjänsten har en erbjudandespecifik Microsoft Defender lösning för övervakning och avisering om säkerhetsproblem. Läs mer.

Funktionsanteckningar: Även om den här funktionen inte behöver vara "aktiverad" behöver kunden konfigurera Defender-klustertillägget för att utnyttja den här funktionen.

Konfigurationsvägledning: Microsoft Defender för molnet är ett molnbaserat verktyg som möjliggör implementering av skyddsräcken, kontroller, rapporter, aviseringar och reparationsuppgifter på ett automatiserat sätt i stor skala. Genom att kombinera den med Azure Arc-aktiverade Kubernetes kan du utöka säkerhetskontrollerna till alla Kubernetes-kluster i din lokala miljö och/eller i en miljö med flera moln.

Läs den här artikeln: Styrning, säkerhet och efterlevnadsbaslinje för Azure Arc-aktiverade Kubernetes

Referens: Aktivera Microsoft Defender för containrar

LT-4: Aktivera loggning för säkerhetsundersökning

Funktioner

Azure-resursloggar

Beskrivning: Tjänsten skapar resursloggar som kan ge förbättrade tjänstspecifika mått och loggning. Kunden kan konfigurera dessa resursloggar och skicka dem till sin egen datamottagare som ett lagringskonto eller en Log Analytics-arbetsyta. Läs mer.

Funktionsanteckningar: Vi har inte stöd för push-tjänstloggar (Arc-agentry) och mått till en kundägd LA/datamottagare; En kund kan dock konfigurera Container Insights-klustertillägget för att skicka kundens arbetsbelastningsloggar och mått till LA.

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Säkerhetskopiering och återställning

Mer information finns i Microsoft Cloud Security Benchmark: Säkerhetskopiering och återställning.

BR-1: Säkerställ regelbundna automatiserade säkerhetskopieringar

Funktioner

Azure Backup

Beskrivning: Tjänsten kan säkerhetskopieras av Azure Backup-tjänsten. Läs mer.

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Funktion för inbyggd säkerhetskopiering av tjänsten

Beskrivning: Tjänsten stöder sin egen inbyggda säkerhetskopieringsfunktion (om den inte använder Azure Backup). Läs mer.

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Nästa steg

• Se Översikt över Microsoft Cloud Security Benchmark
• Läs mer om säkerhetsbaslinjer för Azure