如何通过Azure Bicep配置Defender for Cloud容器无代理相关设置？

这两项容器相关的无代理功能可以通过Bicep配置，对应的ARM资源类型是Microsoft.Security/defenderForContainersSettings，使用预览版API版本2023-05-01-preview。

配置步骤 #

1. 先启用Defender for Containers的标准（P2）定价层
   要使用这些无代理功能，必须先将Defender for Containers升级到标准层：

resource defenderForContainersPlan 'Microsoft.Security/pricings@2022-03-01' = {
  name: 'Containers'
  properties: {
    pricingTier: 'Standard'
    subPlan: 'P2'
  }
}

2. 启用/禁用目标无代理功能
   通过defenderForContainersSettings资源可以同时配置两项功能：

resource defenderForContainersSettings 'Microsoft.Security/defenderForContainersSettings@2023-05-01-preview' = {
  name: 'current'
  dependsOn: [
    defenderForContainersPlan
  ]
  properties: {
    // 配置Agentless discovery for Kubernetes
    agentlessDiscoveryKubernetes: {
      enabled: true // 设置为false即可禁用该功能
    }
    // 配置Agentless container vulnerability assessment
    agentlessContainerVulnerabilityAssessment: {
      enabled: true // 设置为false即可禁用该功能
    }
  }
}

补充说明 #

• 该资源类型处于预览阶段，API版本可能会随功能迭代发生变更，你可以通过Azure CLI命令查看最新的资源定义：

  az provider show --namespace Microsoft.Security --query "resourceTypes[?name=='defenderForContainersSettings']"
  

• 部署时需确保账号拥有Security Admin或Contributor级别的权限，以修改Defender for Cloud的配置。

内容的提问来源于stack exchange，提问作者Fred