AKS의 MDC 권장사항 완화 테스트

❓MDC(Microsoft Defender for Cloud)

CSPM

• 기본 CSPM은 무료(규정준수에서도 조회 가능)

• Defender CSPM(유료) 활성화할 경우 위험 경로 반영된 평가 결과 조회 가능.
하단과 같은 페이지에서 리소스 수량을 파악할 수 있다. 참고로, 적용하고자 하는 리소스를 한정할 수는 없다. 구독 단위로 활성화하는 플랜이기 때문에, 구독에 있는 평가 대상 리소스가 모두 평가된다.

❓CIS Benchmark

CIS Benchmarks

Center for Internet Security Benchmarks Download Form

https://learn.cisecurity.org/benchmarks

세부 항목

MDC에서 CIS 벤치마크를 활성화

1. Azure Portal의 클라우드용 Microsoft Defender > 관리 > 환경설정 에서 구독 목록 중 CIS를 활성화하고자 하는 구독 행의 오른쪽 … 을 클릭하면 나오는 ‘설정 편집’을 클릭한다.

2. 좌측 네비게이션 메뉴에서 설정 > 보안 정책을 클릭한 후, 표준에서 ‘AKS’를 검색하여 1.5.0 버전의 벤치마크을 찾는다.



우측 상태 토글을 클릭하여 활성화한다.

3. 활성화 즉시 평가가 되진 않고, 모든 항목이 평가되기까지는 하루 정도는 기다려야 한다..

4. 평가가 완료되면, 클라우드용 Microsoft Defender > 클라우드 보안 > 규정 준수에서 해당 벤치마크를 클릭하여 확인할 수 있다.

컴플라이언스 표준, 권장사항 커스텀

• 사용자 지정 표준
: 권장사항을 조합하여 커스텀 컴플라이언스 표준을 만들 수 있다.

• 사용자 지정 권장 사항
: Azure Graph 쿼리를 작성해서 생성할 수 있고, 사용자 지정 표준에만 등록 가능하다.

1. Azure Graph 쿼리 실행
그런데 권장사항 별로 고유한 키가 있어, 키 값을 검색해서 결과를 확인하는 방식. 즉, 평가된 결과를 Azure Graph 쿼리로 검색하는 것 뿐.

2. Azure Policy 정책 평가

권장사항 완화

1️⃣ AKS(Azure Kubernetes Service) 클러스터에서 클러스터 관리자 역할을 사용해서는 안 됩니다.

• 수정 방안
1. Azure CLI에서 클러스터의 모든 클러스터 역할을 나열하려면 다음 명령을 실행합니다.

kubectl get clusterrolebindings -o=custom-columns=NAME:.metadata.name,ROLE:.roleRef.name,SUBJECT:.subjects[*].name



2. 주체가 Kubernetes 클러스터에 대한 관리자 액세스 권한이 필요하지 않으면 ClusterRoleBinding YAML 파일을 업데이트하여 역할 바인딩을 비관리자 역할로 다운그레이드 합니다.
3. 다음 명령을 실행하여 설정을 적용합니다.

kubectl apply -f [YAML FILE]

2️⃣ AKS(Azure Kubernetes Service) 클러스터에서 비밀 개체에 대한 액세스를 제한해야 합니다.

• 수정 방안
AKS 클러스터에서 비밀 개체에 대한 권한을 제거합니다.
• AKS 인증/인가 방식 확인 방법
Azure RBAC를 사용하여 AKS의 비밀에 액세스하는 경우 다음 단계를 따릅니다.

1. Azure CLI에 로그인합니다.

2. 다음 명령을 실행하여 roledefinitionId에서 비밀에 대한 액세스를 허용하는 역할 할당을 식별합니다.

az role definition list --scope /subscriptions/{subscription-id}/resourceGroups/{resource-group-name}/providers/Microsoft.ContainerService/managedClusters/{aks-cluster-name}

3. 역할 작업

Microsoft.ContainerService/managedCluster/*/read

또는

Microsoft.ContainerService/managedClusters/secrets/read

를 사용하여 역할 정의를 검토합니다.

4. 다음 명령을 실행하여 불필요한 역할, 할당된 사용자, 그룹 또는 Microsoft Entra ID 서비스 주체를 제거합니다.

az role assignment delete --assignee {account-id} --scope /subscriptions/{subscription-id}/resourceGroups/{resource-group-name}/providers/Microsoft.ContainerService/managedClusters/{aks-cluster-name}

Kubernetes RBAC를 사용하여 AKS에서 역할을 정의하는 경우

1. Kubernetes 클러스터에 로그인합니다.

2. 다음 명령을 실행하여 비밀에 액세스할 수 있는 역할을 식별합니다.

kubectl get rolebindings --all-namespaces -o wide

및

kubectl get clusterrolebindings -o wide

3. 불필요한 rolebinding 및 clusterrolebindings를 제거하려면 다음 명령을 실행합니다.

kubectl delete rolebinding {rolebinding-name} --namespace {namespace}

및

kubectl delete clusterrolebinding {clusterrolebinding-name}

---

수정 방안이 도움이 안된다..~!
GPT로 Secret에 접근 가능한 ClusterRoleBinding, RoleBinding을 찾는 파워쉘 스크립트를 뽑았다.

$clusterRoleBindings = kubectl get clusterrolebinding -o json | ConvertFrom-Json

$clusterRoleBindings.items | Where-Object {
    $_.roleRef.kind -eq "ClusterRole"
} | ForEach-Object {
    $roleName = $_.roleRef.name
    $clusterRole = kubectl get clusterrole $roleName -o json 2>$null | ConvertFrom-Json
    if ($clusterRole.rules.resources -contains "secrets") {
        Write-Output "ClusterRoleBinding: $($_.metadata.name) → ClusterRole: $roleName"
        Write-Output "Subjects: $($_.subjects | ConvertTo-Json -Compress)"
    }
}

$namespace = "<NAMESPACE>"
$roleBindings = kubectl get rolebinding -n $namespace -o json | ConvertFrom-Json

$roleBindings.items | Where-Object { 
    $_.roleRef.kind -eq "Role" -or $_.roleRef.kind -eq "ClusterRole"
} | ForEach-Object {
    $roleName = $_.roleRef.name
    $role = kubectl get role $roleName -n $namespace -o json 2>$null | ConvertFrom-Json
    if ($role.rules.resources -contains "secrets") {
        Write-Output "RoleBinding: $($_.metadata.name) → Role: $roleName"
        Write-Output "Subjects: $($_.subjects | ConvertTo-Json -Compress)"
    }
}



리소스에 *도 포함된 바인딩이 있는지 확인해야할 듯

3️⃣서비스 계정 토큰은 AKS(Azure Kubernetes Service) 클러스터 Pod에 자동으로 탑재되어서는 안 됩니다.

• 수정 방안
AKS Pod 및 서비스 계정에서 서비스 계정 토큰의 자동 탑재를 사용하지 않도록 설정하려면:
1. 명령 셸에서 다음 명령을 실행하여 automountServiceAccountToken을 사용하도록 설정한 서비스 계정을 식별합니다.

kubectl get sa --all-namespaces -o yaml

더 찾기 쉽게 GPT에 질의한 명령어
• Powershell

kubectl get serviceaccount -A -o json | ConvertFrom-Json | Select-Object -ExpandProperty items | 
Where-Object { -not $_.PSObject.Properties["automountServiceAccountToken"] -or $_.automountServiceAccountToken -eq $true } | 
ForEach-Object { "$($_.metadata.namespace) $($_.metadata.name)" }

2. automountServiceAccountToken 값을 false로 설정하여 서비스 계정을 편집합니다. 변경 내용을 적용하려면 다음을 실행합니다.

kubectl apply -f [YOUR_SA_YAML_FILE_PATH]

3. 다음을 실행하여 automountServiceAccountToken을 사용하도록 설정한 Pod를 식별합니다.

kubectl get pods --all-namespaces -o yaml

• Powershell

kubectl get pods -A -o json | ConvertFrom-Json | ForEach-Object {
  $_.items | ForEach-Object {
    if (-not $_.spec.automountServiceAccountToken -or $_.spec.automountServiceAccountToken -eq $true) {
      Write-Host "$($_.metadata.namespace) $($_.metadata.name)"
    }
  }
}

4. automountServiceAccountToken 값을 false로 설정하여 Pod를 편집합니다. 변경 내용을 적용하려면 다음을 실행합니다.

kubectl apply -f [YOUR_POD_YAML_FILE_PATH]

kubernetes 시스템이 작동하는 데 필요한 네임스페이스를 제외하고 업데이트가 필요한 각 서비스 계정 및 Pod에 대해 이 단계를 반복합니다.

마무리