通过

你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

Defender for Cloud 中的容器支持矩阵

  • 项目

注意

本文引用了 CentOS，它是一个 Linux 发行版，自 2024 年 6 月 30 日起已终止服务。 请相应地考虑您的使用情况和进行规划。 有关详细信息，请参阅 CentOS 生命周期结束指南。

本文总结了 Microsoft Defender for Cloud 中的容器功能的支持信息。

注意

  • 具体功能正在预览中。 Azure 预览版补充条款包含适用于 beta 版本、预览版或其他尚未正式发布的 Azure 功能的其他法律条款。
  • 只有云供应商支持的 AKS、EKS 和 GKE 版本才得到 Defender for Cloud 的正式支持。

以下是 Defender for Containers 为支持的云环境和容器注册表提供的功能。

漏洞评估 （VA） 功能

功能 说明 支持的资源 Linux 版本状态 Windows 版本状态 赋能方法 计划 云可用性
容器注册表 VA 容器注册表中映像的漏洞评估 ACR 正式版 正式版 需要注册表访问权限1 Defender for Containers 或 Defender CSPM 商业云

国家云：Azure 政府、世纪互联运营的 Azure
运行时容器 VA 正在运行的容器映像的漏洞评估 与容器注册表源无关 预览
（包含 ACR 映像的容器为正式版）		 正式版 需要为计算机配置无代理扫描，以及 K8S API 访问权限或 Defender 传感器 1 Defender for Containers 或 Defender CSPM 商业云

国家云：Azure 政府、世纪互联运营的 Azure

1国家/地区云会自动启用，无法禁用。

注册表和映像对漏洞评估的支持

方面 详细信息
注册表和映像 支持
* Docker V2 格式的容器映像
* 包含开放容器计划 (OCI) 映像格式规范的映像
不支持
* 超级简单的映像（例如 Docker 暂存映像）目前不受支持
* 公共存储库
* 清单列表
操作系统 支持
* Alpine Linux 3.12-3.21
* Red Hat Enterprise Linux 6-9
* CentOS 6-9（自 2024 年 6 月 30 日起，CentOS 已终止服务）。有关详细信息，请参阅 CentOS 终止服务指导。）
* Oracle Linux 6-9
* Amazon Linux 1、2
* openSUSE Leap、openSUSE Tumbleweed
* SUSE Enterprise Linux 11-15
* Debian GNU/Linux 7-12
* Google Distroless（基于 Debian GNU/Linux 7-12）
* Ubuntu 12.04-22.04
* Fedora 31-37
* Azure Linux 1-2
* Windows Server 2016、2019、2022
特定于语言的包

 支持
* Python
* Node.js
* PHP
* Ruby
* Rust
* .NET
* Java
* Go

运行时保护功能

功能 说明 支持的资源 Linux 版本状态 Windows 版本状态 启用方法 计划 云可用性
控制平面检测 基于 Kubernetes 审核线索检测 Kubernetes 的可疑活动 AKS GA GA 使用计划启用 Defender for Containers 或 Defender CSPM 商业云/国家云：Azure 政府云、由世纪互联运营的 Azure
工作负荷检测 监视容器化工作负载是否存在威胁，并向可疑活动发出警报 AKS 正式版 - 需要 Defender 传感器 容器防护 商业云和国家云：Azure 政府版、世纪互联运营的 Azure
二进制偏移检测 从容器映像检测运行时容器的二进制文件 AKS GA 正式版 需要 Defender 传感器 Defender for Containers 商业云
XDR 中的高级搜寻 在 Microsoft XDR 中查看群集事件和警报 AKS 预览版 - 目前支持审核日志和进程事件 预览版 - 目前支持审核日志和进程事件 需要 Defender 传感器 容器防御者 (Defender for Containers) 商业云和国家云：Azure 政府版、世纪互联运营的 Azure
XDR 中的响应动作 在 Microsoft XDR 中提供自动和手动的修复措施 AKS 预览 预览 需要 Defender 传感器 和 K8S 访问 API 容器防护 商业云和国家云：Azure 政府版、世纪互联运营的 Azure
恶意软件检测 检测恶意软件 AKS 节点 预览 预览 需要为计算机配置无代理扫描 Defender for Containers 或 Defender for Servers 计划 2 商业云

Azure 中用于运行时威胁防护的 Kubernetes 发行版及配置

方面 详细信息
Kubernetes 发行版和配置 支持
* Azure Kubernetes 服务 (AKS) 与 Kubernetes RBAC

通过已启用 Arc 的 Kubernetes 支持12
* Azure Kubernetes 服务混合模式
* Kubernetes
* AKS 引擎
* Azure Red Hat OpenShift

1 应支持任何经云原生计算基金会 (CNCF) 认证的 Kubernetes 群集，但仅在 Azure 上测试了指定的群集。

2 若要为你的环境获得 Microsoft Defender for Containers 保护，你需要加入已启用 Azure Arc 的 Kubernetes，并启用 Defender for Containers 作为 Arc 扩展。

注意

有关 Kubernetes 工作负荷保护的其他要求，请参阅现有限制。

安全态势管理功能

功能 说明 支持的资源 Linux 版本状态 Windows 版本状态 启用方法 计划 云可用性
Kubernetes 的无代理发现1 提供对 Kubernetes 群集及其配置和部署的零占用空间、基于 API 的发现。 AKS GA 正式版 需要 K8S API 访问权限 Defender for Containers 或 Defender CSPM Azure 商业云
全面的清单功能 使你能够通过安全资源管理器浏览资源、Pod、服务、存储库、映像和配置，从而轻松监视和管理资产。 ACR、AKS 正式版 正式版 需要 K8S API 访问权限 Defender for Containers 或 Defender CSPM Azure 商业云
攻击路径分析 基于图的算法，用于扫描云安全图。 扫描会暴露可攻击路径，这些路径可能会被攻击者用来侵入你的环境。 ACR、AKS 正式版 正式版 需要 K8S API 访问权限 Defender CSPM Azure 商业云
增强的风险搜寻 使安全管理员能够通过查询（内置和自定义）以及安全资源管理器中的安全见解主动搜寻容器化资产中的状况问题。 ACR、AKS 正式发布 正式版 需要 K8S API 访问权限 Defender for Containers 或 Defender CSPM Azure 商业云
控制平面强化1 持续评估群集的配置，并将其与应用于订阅的举措进行比较。 当发现错误配置时，Defender for Cloud 会生成安全建议，可以在 Defender for Cloud 的建议页上查看这些建议。 可以根据这些建议调查并修正问题。 ACR、AKS 正式版 GA 使用计划启用 免费 商业云

国家云：Azure 政府、世纪互联运营的 Azure
工作负荷强化1 使用最佳做法建议保护 Kubernetes 容器的工作负荷。 AKS 正式版 - 需要 Azure Policy 免费 商业云

国家云：Azure 政府云，Azure（由世纪互联运营）
CIS Azure Kubernetes Service CIS Azure Kubernetes 服务基准 AKS GA - 被指定为安全标准 Defender for Containers 或 Defender CSPM 商业云

1 在群集资源级别启用 Defender for Containers 时，可以为单个群集启用此功能。

容器软件供应链保护功能

功能 说明 支持的资源 Linux 版本状态 Windows 版本状态 启用方法 计划 云可用性
封闭式部署 以受控方式将容器映像部署到 Kubernetes 环境 AKS 1.32 或更高版本 预览 预览 使用计划启用 Defender for Containers 或 Defender CSPM 商业云、国家云：Azure 政府版、由世纪互联运营的 Azure

网络限制

方面 详细信息
出站代理支持 支持无身份验证的出站代理和有基本身份验证的出站代理。 目前不支持需要受信任证书的出站代理。
具有 IP 限制的群集 如果 AWS 中的 Kubernetes 群集启用了控制平面 IP 限制（请参阅 Amazon EKS 群集终结点访问控制 - Amazon EKS），则控制平面的 IP 限制配置会更新为包含 Microsoft Defender for Cloud 的 CIDR 块。

支持的主机操作系统

Defender for Containers 依赖于 Defender 传感器来实现多项功能。 在以下主机操作系统上，仅在 Linux 内核 5.4 及以上版本支持 Defender 传感器：

  • Amazon Linux 2
  • CentOS 8（自 2024 年 6 月 30 日起，CentOS 已终止服务）。有关详细信息，请参阅 CentOS 终止服务指导。）
  • Debian 10
  • Debian 11
  • Google 容器优化 OS
  • Azure Linux 1.0
  • Azure Linux 2.0
  • Red Hat Enterprise Linux 8
  • Ubuntu 16.04
  • Ubuntu 18.04
  • Ubuntu 20.04
  • Ubuntu 22.04

确保 Kubernetes 节点在经过验证的操作系统之一上运行。 具有不受支持的主机操作系统的群集无法从依赖于 Defender 传感器的功能中获益。

Defender 传感器限制

Arm64 节点上不支持 AKS V1.28 及更低版本中的 Defender 传感器。

后续步骤