Kubernetes コンテナー イメージのゲートデプロイ規則を構成する

この記事では、コンテナーのMicrosoft Defenderでゲート配置規則を構成する方法について説明します。

ゲートデプロイでは、Kubernetes クラスターに許可される前に、アドミッション コントローラーを使用してコンテナー イメージを評価します。 サポートされているコンテナー レジストリからの脆弱性スキャン結果を使用して、イメージが組織の脆弱性ポリシーを満たしていない場合にデプロイを監査または拒否します。

前提条件

開始する前に次の点を確認します。

• Microsoft Azure のサブスクリプションを所有しています。 Azure サブスクリプションをお持ちでない場合は、無料サブスクリプションにサインアップすることができます。

• Azure サブスクリプションでDefender for Cloudが有効になっています。

• コンテナーのDefenderは、Kubernetes クラスターとコンテナー レジストリを含む環境で有効になり、次のコンポーネントが有効になります。

  • セキュリティ ゲーティングを使用したDefender センサー
  • セキュリティの結果を使用したレジストリ アクセス

  注

  Kubernetes クラスターとコンテナー レジストリが異なる環境にある場合は、コンテナーと両方の環境に必要なコンポーネントのDefenderを有効にします。

• AKS クラスター: クラスターで OpenID Connect (OIDC) 発行者が 有効になっています。

• Kubernetes 環境とコンテナー レジストリは、ゲートデプロイでサポートされています。 Defender for Containers のサポート マトリックスを参照してください。

• 脆弱性スキャンの結果は、評価するコンテナー イメージで使用できます。 ゲートデプロイでは、サポートされているレジストリからの脆弱性評価の結果が使用されます。

• 必要なアクセス許可があります。

  • ゲート付き展開規則を作成または変更するには、 セキュリティ管理者 以上のアクセス許可が必要です。
  • ゲート付き展開規則を表示するには、 セキュリティ閲覧者 以上のアクセス許可が必要です。

ゲート付きデプロイ規則を構成する

1. Azure portal にサインインする

2. Microsoft Defender for Cloud>Environment settings に移動します。

3. [セキュリティ規則] を選択します。

   

4. [Gated deployment]>[Vulnerability assessment] を選択します。

   

   注

   既定では、必要な前提条件が満たされると、Defender for Containers は、高い脆弱性または重大な脆弱性を持つイメージのデプロイにフラグを設定する監査規則を作成します。

5. [規則の追加] を選択します。

6. ルール名を入力します。

7. アクションを選択します。

   • 監査: デプロイを許可し、レビュー用のアドミッション イベントを作成します。
   • 拒否: ルールの条件に一致するデプロイをブロックします。

   ヒント

   展開をブロックするために拒否モードを使用する前に、監査から始めてルールの効果を理解します。

   注

   イメージはクラスターにワークロードを許可する前に評価されるため、拒否モードではデプロイ中に 1 秒または 2 秒の遅延が発生する可能性があります。

8. 必要に応じて、 ルールの説明を入力します。

9. スコープ名を入力します。

10. クラウド スコープを選択します。

11. [ リソース スコープ] で、既定のスコープをそのまま使用するか、[ 条件の追加] を選択してルールスコープを絞り込みます。

    ヒント

    より広範な適用を適用する前に、名前空間やデプロイなどの狭いスコープから始めます。

    

12. 次へを選択します。

13. 脆弱性の検出アーティファクトが利用できない場合にデプロイをブロックする場合は、[アーティファクト が見つからないすべての デプロイをブロックする] をオンに切り替えます。

14. [ 条件の追加] を選択し、ルールに少なくとも 1 つの条件を定義します。

    

15. 次へを選択します。

16. 特定の脆弱性を除外するには、[ 許可された脆弱性の追加] を選択し、除外する CVE ID を入力します。

17. 脆弱性の除外を一時的に行うには、[ 期限] を切り替え、[ 有効な終了日] を選択します。

18. 特定のリソースを除外するには、[ 除外の追加] を選択し、リソースベースの除外を定義します。

    

19. [規則の追加] を選択します。

ゲート付きデプロイ イベントを監視する

ゲート配置イベントを監視して、ルールの評価、トリガーされたアクション、影響を受けるリソースを確認できます。 これらのイベントを使用して、ルールの範囲、条件、および除外を絞り込むことができます。

特定の受付イベントを調査するには:

1. Azure portal にサインインする

2. Microsoft Defender for Cloud>Environment settings に移動します。

3. [セキュリティ規則] を選択します。

4. Gated deployment>Admission Monitoring を選択します。

   

5. リストからイベントを選択します。

   詳細ウィンドウには、次の情報が表示されます。

   • イベントのタイムスタンプとアドミッション アクション。
   • コンテナー イメージのダイジェスト、検出された違反、トリガーされたルール。
   • 評価に使用される脆弱性評価ポリシーと条件。
   • 適用されたルールの条件と除外。

   

ゲート配置規則を無効または削除する

ゲート配置規則を無効または削除するには:

1. Azure portal にサインインする

2. Microsoft Defender for Cloud>Environment settings に移動します。

3. [ セキュリティ規則] を選択します。

4. [ 脆弱性評価 ] タブを選択します。

5. ルールを選択します。

6. [ルールの無効化] または [削除] を選択します。

関連するコンテンツ

• Kubernetes コンテナー イメージのゲートデプロイ
• Kubernetes でのゲートデプロイのトラブルシューティング
• サポートされている環境の脆弱性評価