Azure Defender for Cloud已修复安全建议仍显示问题咨询

问题现象 #

已完成AKS集群安全问题修复后，Azure Defender for Cloud风险列表仍持续展示3条待修复安全建议：

• Container images should be deployed from trusted registries only
• Azure Kubernetes Service clusters should have Defender profile enabled
• Kubernetes clusters should disable automounting API credentials

以「Kubernetes clusters should disable automounting API credentials」建议为例核查发现：

• 点击建议详情选择View policy definition，可确认对应策略已正确分配至目标集群
• 进入该策略分配页选择View compliance时页面抛出错误，提示Please provide below info when asking for support: timestamp xxx，页面未展示任何关联资源
• 从集群详情页通过Policies > go to Azure Policy路径核查，可见该策略状态正常，关联资源为目标AKS集群，配置已满足合规要求
  其余两条建议存在完全相同的异常：Azure Policy侧显示资源合规，但Defender for Cloud侧始终标记为待修复风险。

产生原因 #

• 跨服务同步延迟：Azure Policy的合规扫描结果与Defender for Cloud的安全建议分属两套独立数据链路，AKS相关策略的合规数据同步到Defender侧默认最长需要24小时，跨区域部署、资源组权限配置不一致的场景下，同步延迟会进一步增加。
• 本地缓存失效：如果在策略分配完成后短时间内完成了问题修复，Defender侧会缓存首次扫描生成的不合规结果；当策略合规页出现timestamp类报错时，基本可以判定是Defender侧拉取Policy合规数据的接口缓存异常，无法获取最新扫描结果。
• 策略分配范围冲突：若Defender侧内置策略的分配范围、排除规则，和AKS侧可见的策略分配配置不一致，会导致合规数据无法正确映射到目标集群，出现状态不同步的问题。

解决方法 #

按操作优先级依次尝试：

1. 手动触发即时策略扫描
   打开Azure Cloud Shell，执行以下命令针对目标AKS集群触发按需扫描，跳过默认扫描等待周期：

   az policy state trigger-scan --resource-id <替换为你的AKS集群完整资源ID> --no-wait
   

   注意：该操作不会产生额外费用，扫描过程不会对集群正常运行造成影响，执行后等待1-2小时刷新Defender页面查看建议状态。
2. 强制刷新Defender缓存
   • 进入Defender for Cloud「环境设置」页面，找到目标AKS集群所属的订阅/资源组
   • 临时关闭容器相关工作负载保护计划，等待5分钟后重新开启，强制后台重新拉取所有关联资源的最新合规状态
3. 核对策略分配一致性
   分别从两个入口核查三条问题策略的分配范围、排除规则配置是否完全匹配：
   • Defender for Cloud对应建议详情页的策略分配入口
   • AKS集群详情页Policies板块的策略列表入口
     如果存在重复分配、范围不一致的情况，删除冗余的策略分配，统一从Defender for Cloud侧启用内置默认策略，避免多份策略导致数据映射错误。
4. 后台刷新处理
   若以上操作完成24小时后状态仍未更新，收集合规页报错中的timestamp值、AKS集群资源ID、三条对应策略的ID，提交Azure支持工单，由后台手动刷新对应租户下的Defender合规数据缓存即可修复。

内容的提问来源于stack exchange，提问作者Martin Melka