Security Center:Container image signing

Sürüm Sınırlamaları

• Abonelik: Ultimate (Mevcut sürümünüz bu özelliği desteklemiyorsa yükseltme yapın).

  Not

  Sunucunun koruma sürümü, satın aldığınız sürüm olarak ayarlanmalıdır. Daha fazla bilgi için bkz. Sunucu koruma sürümü bağlama.

• Kullandıkça öde: Host and Container Security kullandıkça öde hizmeti etkinleştirilmiş olmalıdır (Etkinleştirilmemişse satın alın).

  Not

  Sunucu koruma düzeyi Full Protection for Hosts and Containers olarak ayarlanmalıdır. Daha fazla bilgi için bkz. Sunucu koruma düzeyi bağlama.

Ön Koşullar

• Asimetrik anahtar algoritması kullanılarak oluşturulmuş bir KMS anahtarı. Daha fazla bilgi için bkz. Anahtarları yönetme.

  Not

  Konteyner görüntüsü imzalama asimetrik anahtar algoritmaları gerektirir. Bir KMS anahtarı oluştururken Select Certificate seçeneğini RSA_2048 olarak, Purpose seçeneğini ise SIGN/VERIFY olarak ayarlayın. KMS anahtar algoritmaları hakkında daha fazla bilgi için bkz. KMS tarafından desteklenen algoritma teknik özellikleri.

• Bir Kubernetes kümesi oluşturulmuş ve kritis-validation-hook bileşeni kümeye yüklenmiş olmalıdır.

  Not

  Daha fazla bilgi için bkz. ACK özel kümesi oluşturma (kullanımdan kaldırıldı), kritis-validation-hook'a giriş.

• Konteyner görüntüsü imzalamayı ilk kez kullanıyorsanız cloud varlık erişim yetkilendirmesini tamamlayın. Security Center konsolunda Container Signature seçeneğini belirleyin ve Authorize düğmesine tıklayın.

Yordam

1. Security Center konsoluna giriş yapın.

2. Sol gezinme bölmesinde Protection Configuration > Container Protection > Container Signature yolunu izleyin.

3. İsteğe bağlı:Witness sekmesinde bir witness oluşturun.

   Zaten bir witness oluşturduysanız bu adımı atlayın.

   Witness sekmesinde Create Witness düğmesine tıklayın. Ayarları yapılandırın ve OK düğmesine tıklayın.

   Parametre	Açıklama
   Witness	Hedef konteynerlerin güvenilir yetkilendirmesi için bir konteyner görüntüsü imzalama güvenlik ilkesi yapılandırırken seçilecek witness adıdır. Açıklayıcı bir ad kullanın.
   Select Certificate	Sertifika listesinden oluşturduğunuz bir KMS anahtarı seçin.
   Description	Witness için bir açıklama girin.

4. Security Policy sekmesinde Create Policy düğmesine tıklayın. Parametreleri yapılandırın ve OK düğmesine tıklayın.

   Parametre	Açıklama
   Policy Name	İmzalama güvenlik ilkesini yapılandırırken hedef kümenizin güvenilir yetkilendirmesi için bir witness seçin. Açıklayıcı bir ad kullanın.
   Witness	Witness listesinden oluşturduğunuz bir witness seçin.
   Application Cluster	Konteyner görüntüsü imzalama gerektiren küme grubuna tıklayın ve ardından hedef Cluster Namespace öğesini seçin.
   Policy Status	İlkeyi oluşturulduktan hemen sonra etkinleştirmek için anahtarı açın. Not İlke varsayılan olarak devre dışıdır. Devre dışı bırakılan bir ilke etkili olmaz.
   Remarks	Güvenlik ilkesi için bir açıklama girin.

   Bir konteyner görüntüsü imzalama güvenlik ilkesi oluşturup etkinleştirdikten sonra, ilkenin etkin olduğu konteyner görüntüleri Container Registry konsolunda Signed olarak etiketlenir.

Referanslar

Container Registry (ACR), Key Management Service (KMS), kritis-validation-hook bileşeni ve Security Center hizmetlerini birlikte kullanarak konteyner görüntüsü imzalarını otomatik olarak doğrulayabilirsiniz. Bu sayede yalnızca güvenilir taraflar tarafından imzalanan görüntüler dağıtılır ve ortamınızda beklenmeyen veya kötü amaçlı kod bulunma riski azaltılır. Daha fazla bilgi için bkz. kritis-validation-hook ile konteyner görüntüsü imzalarını doğrulama.