AKS集群启用Defender配置文件操作失败问题咨询

根据安全合规要求，Azure Kubernetes Service集群需启用Defender配置文件，修复该高危安全问题时常见两类操作异常：

• 门户操作异常：通过Azure门户执行修复操作时，页面持续加载数小时无响应，配置流程无法推进
• CLI命令报错：执行如下命令尝试配置时

az aks update --enable-defender --resource-group <your-resource-group> --name <your-cluster-name>

返回错误提示：unrecognized arguments: --enable-defender az

根因说明 #

1. CLI参数报错核心原因是本地Azure CLI版本过旧、AKS扩展版本不匹配，且--enable-defender是早期预览版参数，正式版已调整参数名
2. 门户加载无响应通常由资源提供程序未注册、账号权限不足、浏览器缓存异常导致

具体修复步骤 #

修复CLI执行报错 #

1. 先将本地Azure CLI升级到最新正式版

az upgrade --all --yes

2. 安装/更新AKS预览扩展，保证支持Defender相关配置能力

# 已安装过扩展则执行更新
az extension update --name aks-preview
# 未安装过则执行安装
az extension add --name aks-preview

3. 注册订阅下所需的资源提供程序，避免后端服务未开通导致操作失败

az provider register --namespace Microsoft.ContainerService
az provider register --namespace Microsoft.Security

4. 使用正式版正确参数执行启用操作，注意旧参数--enable-defender已废弃，替换为对应正式参数：

az aks update \
  --resource-group <替换为你的资源组名> \
  --name <替换为你的AKS集群名> \
  --enable-defender-for-containers

如果需要关联指定的Log Analytics工作区存储安全日志，可以追加参数--defender-config log-analytics-workspace-resource-id="<替换为你的日志分析工作区资源ID>"

修复门户加载无响应问题 #

1. 打开浏览器无痕模式，清除站点缓存后重新登录Azure门户，排除本地缓存导致的页面渲染挂起问题
2. 校验当前操作账号权限：需要同时拥有AKS集群的参与者权限、订阅级别安全管理员/参与者权限，权限不足时门户不会直接抛出权限错误，容易出现长时间加载的假死状态
3. 若上述操作无效，直接使用修复后的CLI命令执行配置即可，CLI操作不受门户前端故障影响，执行成功后等待5-10分钟刷新门户页面即可看到配置生效状态

配置结果验证 #

执行如下命令查询集群安全配置，确认Defender状态：

az aks show --resource-group <替换为你的资源组名> --name <替换为你的AKS集群名> --query securityProfile.defenderForContainers

返回结果中enabled字段值为true即代表配置符合合规要求。

内容的提问来源于stack exchange，提问作者megha