Defender for Containers のアーキテクチャ

Defender for Cloud と AKS クラスターのアーキテクチャ ダイアグラム

Defender for Cloud が Azure Kubernetes Service でホストされているクラスターを保護する場合、監査ログ データの収集はエージェントレスで行われ、追加のコストや構成を考慮することなく、Azure インフラストラクチャを通じて自動的に収集されます。 Microsoft Defender for Containers が提供する完全な保護を受けるには、以下のコンポーネントが必要です。

• Defender センサー: 各ノードにデプロイされ、eBPF テクノロジを使用してホストからのシグナルを収集し、実行時の保護を提供する DaemonSet。 このセンサーは Log Analytics ワークスペースに登録され、データ パイプラインとして使用されます。 ただし、監査ログ データは Log Analytics ワークスペースに保存されません。 Defender センサーは AKS セキュリティ プロファイルとしてデプロイされます。

• Kubernetes 用の Azure Policy: オープンソースの Gatekeeper v3 を拡張し、Kubernetes アドミッション コントロールに Webhook として登録するポッド。これにより、クラスターに対して大規模な実施とセーフガードを一元的かつ一貫性のある方法で適用できます。 Kubernetes 用の Azure Policy ポッドは、AKS アドオンとしてデプロイされます。 クラスター内の 1 つのノードにのみインストールされます。 詳細については、「Kubernetes ワークロードを保護する」および「Kubernetes クラスター用の Azure Policy について理解する」を参照してください。

Defender センサー コンポーネントの詳細

* リソースの制限は構成できません。Kubernetes リソースの制限の詳細を確認してください。

Azure での Kubernetes のエージェントレス検出のしくみ

検出プロセスは、間隔をおいて取得したスナップショットに基づいています。

Kubernetes のエージェントレス検出拡張機能を有効にすると、次のプロセスが発生します。

• 作成:

  • 拡張機能が Defender CSPM から有効になっている場合、Defender for Cloud では CloudPosture/securityOperator/DefenderCSPMSecurityOperator という顧客環境で ID が作成されます。
  • 拡張機能が Defender for Containers から有効になっている場合、Defender for Cloud では CloudPosture/securityOperator/DefenderForContainersSecurityOperator という顧客環境で ID が作成されます。

• 割り当て: Defender for Cloud では、Kubernetes エージェントレス オペレーターという組み込みロールが、サブスクリプション スコープでその ID に割り当てられます。 このロールには、次のアクセス許可が含まれています。

  • AKS 読み取り (Microsoft.ContainerService/managedClusters/read)
  • 次のアクセス許可を使用する AKS の信頼されたアクセス。
  • Microsoft.ContainerService/managedClusters/trustedAccessRoleBindings/write
  • Microsoft.ContainerService/managedClusters/trustedAccessRoleBindings/read
  • Microsoft.ContainerService/managedClusters/trustedAccessRoleBindings/delete

  AKS の信頼されたアクセスの詳細を確認してください。

• 検出: システム割り当て ID を使用して、Defender for Cloud では AKS の API サーバーへの API 呼び出しにより、環境内の AKS クラスターの検出が実行されます。

• バインド: AKS クラスターが検出されると、Defender for Cloud は、作成された ID と Kubernetes の ClusterRoleaks:trustedaccessrole:defender-containers:microsoft-defender-operator の間に ClusterRoleBinding を作成して、AKS のバインド操作を実行します。 ClusterRole は、API を使って表示することができ、Defender for Cloud のデータ プレーンにクラスター内での読み取りアクセス許可を付与します。

Defender for Cloud と Arc 対応 Kubernetes クラスターのアーキテクチャ図

これらのコンポーネントは、Microsoft Defender for Containers によって提供される完全な保護を受けるために必要です。

• Azure Arc 対応 Kubernetes - Azure Arc 対応 Kubernetes - クラスター内の 1 つのノードにインストールされ、クラスターを Defender for Cloud に接続するセンサーベースのソリューションです。 その後、Defender for Cloud は、次の 2 つのエージェントを Arc 拡張機能 としてデプロイできます:

• Defender センサー: 各ノードにデプロイされ、eBPF テクノロジと Kubernetes 監査ログを使用してホスト シグナルを収集し、実行時の保護を提供する DaemonSet。 このセンサーは Log Analytics ワークスペースに登録され、データ パイプラインとして使用されます。 ただし、監査ログ データは Log Analytics ワークスペースに保存されません。 Defender センサーは、Arc 対応 Kubernetes 拡張機能としてデプロイされます。

• Kubernetes 用の Azure Policy: オープンソースの Gatekeeper v3 を拡張し、Kubernetes アドミッション コントロールに Webhook として登録するポッド。これにより、クラスターに対して大規模な実施とセーフガードを一元的かつ一貫性のある方法で適用できます。 クラスター内の 1 つのノードにのみインストールされます。 詳細については、「Kubernetes ワークロードを保護する」および「Kubernetes クラスター用の Azure Policy について理解する」を参照してください。

Defender for Cloud と EKS クラスターのアーキテクチャ図

Defender for Cloud が Elastic Kubernetes Service でホストされているクラスターを保護する場合、監査ログ データの収集はエージェントレスで行われます。 Microsoft Defender for Containers が提供する完全な保護を受けるには、以下のコンポーネントが必要です。

• Kubernetes 監査ログ – AWS アカウントの CloudWatch では、エージェントレス コレクターを使用して監査ログ データを有効にして収集し、詳細な分析のために、収集した情報を Microsoft Defender for Cloud バックエンドに送信します。
• Azure Arc 対応 Kubernetes - Azure Arc 対応 Kubernetes - クラスター内の 1 つのノードにインストールされ、クラスターを Defender for Cloud に接続するセンサーベースのソリューションです。 その後、Defender for Cloud は、次の 2 つのエージェントを Arc 拡張機能 としてデプロイできます:
• Defender センサー: 各ノードにデプロイされ、eBPF テクノロジを使用してホストからのシグナルを収集し、実行時の保護を提供する DaemonSet。 このセンサーは Log Analytics ワークスペースに登録され、データ パイプラインとして使用されます。 ただし、監査ログ データは Log Analytics ワークスペースに保存されません。 Defender センサーは、Arc 対応 Kubernetes 拡張機能としてデプロイされます。
• Kubernetes 用の Azure Policy: オープンソースの Gatekeeper v3 を拡張し、Kubernetes アドミッション コントロールに Webhook として登録するポッド。これにより、クラスターに対して大規模な実施とセーフガードを一元的かつ一貫性のある方法で適用できます。 Kubernetes 用の Azure Policy ポッドは、対応 Kubernetes 拡張機能としてデプロイされます。 クラスター内の 1 つのノードにのみインストールされます。 詳細については、「Kubernetes ワークロードを保護する」および「Kubernetes クラスター用の Azure Policy について理解する」を参照してください。

AWS での Kubernetes のエージェントレス検出のしくみ

検出プロセスは、間隔をおいて取得したスナップショットに基づいています。

Kubernetes のエージェントレス検出拡張機能を有効にすると、次のプロセスが発生します。

• 作成:

  • Defender for Cloud ロール MDCContainersAgentlessDiscoveryK8sRole を EKS クラスターの aws-auth ConfigMap に追加する必要があります。 名前はカスタマイズできます。

• 割り当て: Defender for Cloud では、MDCContainersAgentlessDiscoveryK8sRole ロールに次のアクセス許可が割り当てられます。

  • eks:UpdateClusterConfig
  • eks:DescribeCluster

• 検出: システム割り当て ID を使用して、Defender for Cloud では EKS の API サーバーへの API 呼び出しにより、環境内の EKS クラスターの検出が実行されます。

Defender for Cloud と GKE クラスターのアーキテクチャ ダイアグラム

Defender for Cloud が Google Kubernetes Engine でホストされているクラスターを保護する場合、監査ログ データの収集はエージェントレスで行われます。 Microsoft Defender for Containers が提供する完全な保護を受けるには、以下のコンポーネントが必要です。

• Kubernetes 監査ログ – GCP Cloud Logging では、エージェントレス コレクターを使用して監査ログ データを有効にして収集し、詳細な分析のために、収集した情報を Microsoft Defender for Cloud バックエンドに送信します。

• Azure Arc 対応 Kubernetes - Azure Arc 対応 Kubernetes - クラスター内の 1 つのノードにインストールされ、クラスターの Defender for Cloud への接続を有効にするセンサー ベースのソリューションです。 その後、Defender for Cloud は、次の 2 つのエージェントを Arc 拡張機能 としてデプロイできます:

• Defender センサー: 各ノードにデプロイされ、eBPF テクノロジを使用してホストからのシグナルを収集し、実行時の保護を提供する DaemonSet。 このセンサーは Log Analytics ワークスペースに登録され、データ パイプラインとして使用されます。 ただし、監査ログ データは Log Analytics ワークスペースに保存されません。

• Kubernetes 用の Azure Policy: オープンソースの Gatekeeper v3 を拡張し、Kubernetes アドミッション コントロールに Webhook として登録するポッド。これにより、クラスターに対して大規模な実施とセーフガードを一元的かつ一貫性のある方法で適用できます。 Kubernetes 用の Azure Policy ポッドは、対応 Kubernetes 拡張機能としてデプロイされます。 クラスター内の 1 つのノードにのみインストールされる必要があります。 詳細については、「Kubernetes ワークロードを保護する」および「Kubernetes クラスター用の Azure Policy について理解する」を参照してください。

GCP での Kubernetes のエージェントレス検出のしくみ

検出プロセスは、間隔をおいて取得したスナップショットに基づいています。

Kubernetes のエージェントレス検出拡張機能を有効にすると、次のプロセスが発生します。

• 作成:

  • サービス アカウント mdc-containers-k8s-operator が作成されます。 名前はカスタマイズできます。

• 割り当て: Defender for Cloud では、サービス アカウント mdc-containers-k8s-operator に次のロールがアタッチされます。

  • container.clusters.update アクセス許可を持つカスタム ロール MDCGkeClusterWriteRole
  • 組み込みロール container.viewer

• 検出: システム割り当て ID を使用して、Defender for Cloud では GKE の API サーバーへの API 呼び出しにより、環境内の GKE クラスターの検出が実行されます。