Permisos de IAM en la nube para Defender para contenedores en AWS y GCP

En este artículo se describen los roles y permisos de IAM en la nube necesarios para incorporar y operar Microsoft Defender para contenedores en entornos de Amazon Elastic Kubernetes Service (EKS) y Google Kubernetes Engine (GKE).

Estos permisos se aplican a conectores en la nube, Azure Arc aprovisionamiento, protección contra amenazas sin agente y características de integración del registro.

Permisos requeridos por la característica

Rol de aprovisionamiento de Azure Arc para EKS y GKE

El rol integrado de Azure Arc Operador del agente de Kubernetes de Defender para aprovisionar el agente de Defender y el agente de directiva de Azure tiene los permisos siguientes:

• Microsoft.Authorization/*/read
• Microsoft.Insights/alertRules/*
• Microsoft.Resources/deployments/*
• Microsoft.Resources/subscriptions/resourceGroups/read
• Microsoft.Resources/subscriptions/resourceGroups/write
• Microsoft.Resources/subscriptions/operationresults/read
• Microsoft.Resources/subscriptions/read
• Microsoft.KubernetesConfiguration/extensions/write
• Microsoft.KubernetesConfiguration/extensions/read
• Microsoft.KubernetesConfiguration/extensions/delete
• Microsoft.KubernetesConfiguration/extensions/operations/read
• Microsoft.Kubernetes/connectedClusters/Write
• Microsoft.Kubernetes/connectedClusters/read
• Microsoft.OperationalInsights/workspaces/write
• Microsoft.OperationalInsights/workspaces/read
• Microsoft.OperationalInsights/workspaces/listKeys/action
• Microsoft.OperationalInsights/workspaces/sharedkeys/action
• Microsoft.Kubernetes/register/action
• Microsoft.KubernetesConfiguration/register/action

Permisos de protección contra amenazas sin agente de AWS

• AzureDefenderKubernetesRole (nombre de rol predeterminado: MDCContainersK8sRole):

• sts:AssumeRole

• sts:AssumeRoleWithWebIdentity

• logs:PutSubscriptionFilter

• logs:DescribeSubscriptionFilters

• logs:DescribeLogGroups

• logs:PutRetentionPolicy

• firehose:*

• iam:PassRole

• eks:UpdateClusterConfig

• eks:DescribeCluster

• eks:CreateAccessEntry

• eks:ListAccessEntries

• eks:AssociateAccessPolicy

• eks:ListAssociatedAccessPolicies

• sqs:*

• s3:*

• AzureDefenderKubernetesScubaReaderRole (nombre de rol predeterminado: MDCContainersK8sDataCollectionRole):

  • sts:AssumeRole
  • sts:AssumeRoleWithWebIdentity
  • sqs:ReceiveMessage
  • sqs:DeleteMessage
  • s3:GetObject
  • s3:GetBucketLocation

• AzureDefenderCloudWatchToKinesisRole (nombre de rol predeterminado: MDCContainersK8sCloudWatchToKinesisRole):

  • sts:AssumeRole
  • firehose:*

• AzureDefenderKinesisToS3Role (nombre de rol predeterminado: MDCContainersK8sKinesisToS3Role):

• MDCContainersAgentlessDiscoveryK8sRole

  • sts:AssumeRoleWithWebIdentity
  • eks:UpdateClusterConfig
  • eks:DescribeCluster
  • eks:CreateAccessEntry
  • eks:ListAccessEntries
  • eks:AssociateAccessPolicy
  • eks:ListAssociatedAccessPolicies

• MDCContainersImageAssessmentRole

  • sts:AssumeRoleWithWebIdentity
  • Los permisos de estos roles asumidos: AmazonEC2ContainerRegistryPowerUser y AmazonElasticContainerRegistryPublicPowerUser

Permisos de protección contra amenazas sin agente de GCP

• MicrosoftDefenderContainersDataCollectionRole

  • pubsub.subscriptions.consume
  • pubsub.subscriptions.get

• MicrosoftDefenderContainersRole

  • logging.sinks.list
  • logging.sinks.get
  • logging.sinks.create
  • logging.sinks.update
  • logging.sinks.delete
  • resourcemanager.projects.getIamPolicy
  • resourcemanager.organizations.getIamPolicy
  • iam.serviceAccounts.get
  • iam.workloadIdentityPoolProviders.get (todos los registros que van a Pub/Sub)

• MDCCustomRole

  • resourcemanager.folders.get
  • resourcemanager.folders.list
  • resourcemanager.projects.get
  • resourcemanager.projects.list
  • serviceusage.services.enable
  • iam.roles.create
  • iam.roles.list
  • compute.projects.get
  • compute.projects.setCommonInstanceMetadata

• MDCCspmCustomRole

  • resourcemanager.folders.getIamPolicy
  • resourcemanager.folders.list
  • resourcemanager.organizations.get
  • resourcemanager.organizations.getIamPolicy
  • storage.buckets.getIamPolicy

• MDCGkeContainerInventoryCollectionRole

  • container.nodes.proxy
  • container.secrets.list

Permisos concedidos en entornos de nube

Al incorporar entornos de AWS o GCP a Microsoft Defender para la nube, se genera un script de implementación para crear los roles de IAM necesarios en función del modelo de acceso seleccionado:

• Acceso predeterminado admite todas las extensiones actuales y futuras de los planes de Defender seleccionados.
• Acceso con privilegios mínimos concede solo los permisos necesarios para admitir las extensiones actualmente habilitadas.

En las tablas siguientes se muestran los permisos concedidos a Defender para los roles contenedores, en función del modelo de acceso seleccionado.

Acceso predeterminado de AWS

Acceso con privilegios mínimos de AWS

Acceso predeterminado de GCP

Acceso con privilegios mínimos de GCP

Pasos siguientes

• Matriz de compatibilidad de contenedores en Defender for Cloud