Compartilhar via

Linha de base de segurança do Azure para Kubernetes habilitado para Azure Arc

  • Artigo

Essa linha de base de segurança aplica diretrizes do Microsoft Cloud Security Benchmark versão 1.0 ao Kubernetes habilitado para Azure Arc. O Microsoft Cloud Security Benchmark fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis ao Kubernetes habilitado para Azure Arc.

Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. Azure Policy definições serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.

Quando um recurso tem definições de Azure Policy relevantes, eles são listados nesta linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de parâmetros de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para habilitar determinados cenários de segurança.

Observação

Os recursos não aplicáveis ao Kubernetes habilitado para Azure Arc foram excluídos. Para ver como o Kubernetes habilitado para Azure Arc é mapeado completamente para o parâmetro de comparação de segurança de nuvem da Microsoft, consulte o arquivo de mapeamento de linha de base de segurança do Kubernetes habilitado para Azure Arc completo.

Perfil de segurança

O perfil de segurança resume os comportamentos de alto impacto do Kubernetes habilitado para Azure Arc, o que pode resultar em maiores considerações de segurança.

Atributo de comportamento do serviço Valor
Categoria do Produto Contêineres, híbridos/multinuvem
O cliente pode acessar HOST/SO Sem Acesso
O serviço pode ser implantado na rede virtual do cliente Falso
Armazena o conteúdo do cliente em repouso Falso

Segurança de rede

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.

NS-1: estabelecer limites de segmentação de rede

Recursos

Integração de rede virtual

Descrição: o serviço dá suporte à implantação na VNet (Rede Virtual privada) do cliente. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Notas do recurso: a meta do Kubernetes habilitado para Arc é estender o plano de controle do Azure para o ambiente do cliente. Os serviços operam dentro da rede do cliente.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: Visão geral do agente do Kubernetes habilitado para Azure Arc

Suporte ao Grupo de Segurança de Rede

Descrição: o tráfego de rede de serviço respeita a atribuição de regra de Grupos de Segurança de Rede em suas sub-redes. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

NS-2: proteger serviços de nuvem com controles de rede

Recursos

Descrição: funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não deve ser confundida com NSG ou Firewall do Azure). Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Notas sobre o recurso: o cliente precisa configurar o suporte a link privado. Esse recurso está prestes a ser visualizado publicamente.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Desabilitar o acesso à rede pública

Descrição: o serviço dá suporte à desabilitação do acesso à rede pública usando a regra de filtragem de ACL de IP no nível de serviço (não NSG ou Firewall do Azure) ou usando um comutador de alternância "Desabilitar Acesso à Rede Pública". Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Gerenciamento de identidades

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.

IM-1: usar um sistema centralizado de identidade e autenticação

Recursos

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: o serviço dá suporte ao uso Azure AD autenticação para acesso ao plano de dados. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: usar o Cluster Connect para se conectar aos clusters do Kubernetes habilitados para Azure Arc

Métodos de autenticação local para acesso ao plano de dados

Descrição: métodos de autenticações locais com suporte para acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Notas de recurso: evite o uso de métodos ou contas de autenticação local, elas devem ser desabilitadas sempre que possível. Em vez disso, use Azure AD para autenticar sempre que possível.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

IM-3: gerenciar identidades de aplicativos de maneira segura e automática

Recursos

Identidades gerenciadas

Descrição: as ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Entidades de Serviço

Descrição: o plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: opção de autenticação do Azure Active Directory

IM-7: restringir o acesso aos recursos com base nas condições

Recursos

Acesso condicional para o plano de dados

Descrição: o acesso ao plano de dados pode ser controlado usando Azure AD Políticas de Acesso Condicional. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: usando o recurso RBAC do Azure, você pode usar o Azure Active Directory (Azure AD) e atribuições de função no Azure para controlar as verificações de autorização no cluster. Isso significa que agora você pode usar as atribuições de função do Azure para controlar de modo granular quem pode ler, gravar e excluir objetos do Kubernetes, como implantação, pod e serviço.

Você pode adicionar mais configurações para habilitar o acesso condicional. Veja o link de referência abaixo.

Referência: usar o acesso condicional com Azure AD

IM-8: restringir a exposição de credenciais e segredos

Recursos

Armazenamento e integração de suporte a segredos e credenciais de serviço no Azure Key Vault

Descrição: o plano de dados dá suporte ao uso nativo de Key Vault do Azure para armazenamento de credenciais e segredos. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.

PA-1: separar e limitar usuários administrativos/altamente privilegiados

Recursos

Contas de Administração locais

Descrição: o serviço tem o conceito de uma conta administrativa local. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

PA-7: Siga apenas o princípio da administração Just Enough ( privilégios mínimos)

Recursos

RBAC do Azure para Plano de Dados

Descrição: o RBAC do Azure (Azure Role-Based Controle de Acesso) pode ser usado para acesso gerenciado às ações do plano de dados do serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: o Kubernetes habilitado para Azure Arc dá suporte ao local e a outros ambientes de nuvem integrados a diferentes sistemas de gerenciamento de identidade e acesso. Além do RBAC (controle de acesso baseado em função) do cluster do Kubernetes existente, o Kubernetes habilitado para Azure Arc dá suporte ao RBAC do Azure para unificar o gerenciamento de acesso entre clusters do Kubernetes e minimizar a sobrecarga operacional.

Consulte o seguinte artigo para obter diretrizes sobre o RBAC do Azure para ações do plano de dados: Gerenciamento de identidades e acesso para Kubernetes habilitado para Azure Arc

Observação: o recurso RBAC do Azure para operações de plano de dados só pode ser configurado em clusters do Kubernetes que permitem a configuração de seus servidores de API. Não há suporte para esse recurso em clusters gerenciados, como EKS e GKE.

Referência: integrar o Azure Active Directory a clusters do Kubernetes habilitados para Azure Arc

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.

DP-1: Descobrir, classificar e rotular dados confidenciais

Recursos

Descoberta e classificação de dados confidenciais

Descrição: ferramentas (como o Azure Purview ou o Azure Proteção de Informações) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

DP-3: criptografar dados confidenciais ativos

Recursos

Criptografia de dados em trânsito

Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

DP-4: habilitar a criptografia de dados inativos por padrão

Recursos

Criptografia de dados em repouso usando chaves de plataforma

Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Notas de recursos: usamos o Cosmos DB para armazenar dados de serviço, que são criptografados em repouso por padrão.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário

Recursos

Criptografia de dados inativos usando a CMK

Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente tem suporte para o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Notas sobre o recurso: como não armazenamos dados do cliente inativos por mais de 48 horas, não adicionamos suporte para CMK.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

DP-6: usar um processo de gerenciamento de chaves seguro

Recursos

Gerenciamento de chaves no Azure Key Vault

Descrição: o serviço dá suporte à integração de Key Vault do Azure para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Notas sobre o recurso: embora esse recurso não precise ser "habilitado", o cliente precisa configurar a extensão de cluster do AKV para aproveitar esse recurso.

Esse recurso também está em versão prévia.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

DP-7: usar um processo seguro de gerenciamento de certificados

Recursos

Gerenciamento de certificados no Azure Key Vault

Descrição: o serviço dá suporte à integração de Key Vault do Azure para todos os certificados de cliente. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Notas do recurso: embora o recurso não precise ser "habilitado", o cliente precisa configurar a extensão de cluster do AKV para aproveitar esse recurso.

Esse recurso também está em versão prévia.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Gerenciamento de ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Recursos

Suporte ao Azure Policy

Descrição: as configurações de serviço podem ser monitoradas e impostas por meio de Azure Policy. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: aplicar configurações em escala usando Azure Policy

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Registro em log e detecção de ameaças.

LT-1: habilitar funcionalidades de detecção de ameaças

Recursos

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Notas do recurso: embora esse recurso não precise ser "habilitado", o cliente precisa configurar a extensão de cluster do Defender para aproveitar esse recurso.

Diretrizes de configuração: Microsoft Defender para Nuvem é uma ferramenta nativa de nuvem que permite a implementação de proteções, controles, relatórios, alertas e tarefas de correção de forma automatizada em escala. Ao combiná-lo com o Kubernetes habilitado para Azure Arc, você pode estender as verificações de segurança para qualquer cluster do Kubernetes em seu ambiente local e/ou de várias nuvens.

Consulte este artigo: Linha de base de governança, segurança e conformidade para Kubernetes habilitado para Azure Arc

Referência: habilitar Microsoft Defender para contêineres

LT-4: habilitar o registro em log para investigação de segurança

Recursos

Azure Resource Logs

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Notas de recurso: não temos suporte para enviar por push logs e métricas de serviço (agente arc) para um la/coletor de dados de propriedade do cliente; no entanto, um cliente pode configurar a extensão de cluster do Container Insights para efetuar push de logs e métricas de carga de trabalho do cliente para LA.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Backup e recuperação

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: backup e recuperação.

BR-1: garantir backups automatizados regulares

Recursos

Serviço de Backup do Azure

Descrição: o serviço pode ser copiado em backup pelo serviço Backup do Azure. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Funcionalidade de backup nativo do serviço

Descrição: o serviço dá suporte à sua própria funcionalidade de backup nativo (se não estiver usando Backup do Azure). Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Próximas etapas