Azure DevOps-omgevingen verbinden met Defender voor Cloud

Deze pagina biedt een eenvoudige onboarding-ervaring om Azure DevOps-omgevingen te verbinden met Microsoft Defender voor Cloud en automatisch Azure DevOps-opslagplaatsen te detecteren.

Door uw Azure DevOps-omgevingen te verbinden met Defender voor Cloud, breidt u de beveiligingsmogelijkheden van Defender voor Cloud uit naar uw Azure DevOps-resources en verbetert u de beveiligingspostuur. Meer informatie.

Prerequisites

U hebt het volgende nodig om deze quickstart te voltooien:

Belangrijk

Defender voor Cloud voert bewerkingen uit in Azure DevOps met behulp van de identiteit die de connector autoriseert (een gebruikers- of serviceaccount dat u kiest). Activiteiten zoals leesbewerkingen van opslagplaatsen, aantekeningen bij pull-aanvragen en query's voor buildmetagegevens worden toegeschreven aan die identiteit in Azure DevOps-auditlogboeken, gebruiksdashboards en pr-tijdlijnen. Om verwarring te voorkomen en continuïteit te garanderen, raden we u aan een speciaal serviceaccount (bijvoorbeeld MDC-DevOps-Connector) te gebruiken met de minimaal vereiste machtigingen in plaats van een persoonlijk account.

Availability

Aspect Details
Status van de release: Algemene beschikbaarheid.
Prijzen: Zie de prijspagina van Defender voor Cloud. U kunt ook kosten inschatten met de kostencalculator van Defender voor Cloud.
Vereiste machtigingen: - Inzender om een connector te maken voor het Azure-abonnement.
- Beheerder van projectverzamelingen in de Azure DevOps-organisatie.
- Toegangsniveau Basic of Basic + Test Plans in de Azure DevOps-organisatie.

Zorg ervoor dat u zowel beheerdersmachtigingen voor projectverzamelingen als basistoegangsniveau hebt voor alle Azure DevOps-organisaties die u wilt onboarden. Het toegangsniveau van belanghebbenden is niet voldoende.

Externe toepassingstoegang via OAuth, die moet worden ingesteld On op de Azure DevOps-organisatie. Meer informatie over OAuth en het inschakelen ervan in uw organisaties.
Regio's en beschikbaarheid: Raadpleeg de sectie ondersteuning en vereisten voor regioondersteuning en beschikbaarheid van functies.
Wolken: Commercieel
Commercieel
National (Azure Government, Microsoft Azure beheerd door 21Vianet)

Note

De rol Beveiligingslezer kan worden toegewezen op het bereik van de resourcegroep of Azure DevOps-connector om te voorkomen dat op abonnementsniveau zeer uitgebreide machtigingen worden ingesteld voor leestoegang tot beveiligingspostuurbeoordelingen van DevOps.

Note

De Azure DevOps-connector wordt gemaakt onder het Microsoft.Security/securityConnectors resourcetype.

Defender voor DevOps maakt ook gebruik van extra resources onder de Microsoft.Security resourceprovider (bijvoorbeeld beveiligingsevaluaties).

Voor governancescenario's die gebruikmaken van beleidsvrijstellingen op tenantniveau, moet u de vrijstellingen beperken tot Microsoft.Security/* om de volledige functionaliteit van Defender voor DevOps te garanderen.

Uw Azure DevOps-organisatie verbinden

Note

Nadat u Azure DevOps hebt verbonden met Defender voor Cloud, wordt de extensie microsoft Defender voor DevOps-containertoewijzing automatisch gedeeld en geïnstalleerd op alle verbonden Azure DevOps-organisaties. Met deze extensie kunnen Defender voor Cloud metagegevens extraheren uit pijplijnen, zoals de digest-id en naam van een container. Deze metagegevens worden gebruikt om DevOps-entiteiten te verbinden met hun gerelateerde cloudresources. Meer informatie over containerkoppeling.

Uw Azure DevOps-organisatie verbinden met Defender voor Cloud met behulp van een systeemeigen connector:

  1. Meld u aan bij het Azure-portaal.

  2. Ga naar Microsoft Defender voor Cloud>Omgevingsinstellingen.

  3. Selecteer Omgeving toevoegen.

  4. Selecteer Azure DevOps.

    Schermopname van selecties voor het toevoegen van Azure DevOps als connector.

  5. Voer een naam, abonnement, resourcegroep en regio in.

    Het abonnement is de locatie waar Microsoft Defender voor Cloud de Azure DevOps-verbinding maakt en opslaat.

  6. Selecteer Volgende: Toegang configureren.

  7. Selecteer Autoriseren. Zorg ervoor dat u de juiste Azure-tenant autoriseert met behulp van de vervolgkeuzelijst in Azure DevOps en controleer of u zich in de juiste Azure-tenant in Defender voor Cloud bevindt.

  8. Lees in het pop-upvenster de lijst met machtigingsaanvragen en selecteer Accepteren.

    Schermopname van de knop voor het accepteren van machtigingen.

  9. Selecteer voor organisaties een van de volgende opties:

    • Selecteer alle bestaande organisaties om alle projecten en opslagplaatsen automatisch te detecteren in organisaties waarin u momenteel projectverzamelingsbeheerder bent.
    • Selecteer alle bestaande en toekomstige organisaties om alle projecten en opslagplaatsen automatisch te detecteren in alle huidige en toekomstige organisaties waarin u een projectverzamelingsbeheerder bent.

    Note

    Toegang tot toepassingen van derden via OAuth moet zijn ingesteld op On aan voor elke Azure DevOps-organisatie. Meer informatie over OAuth en het inschakelen ervan in uw organisaties.

    Omdat Azure DevOps-opslagplaatsen zonder extra kosten worden toegevoegd, wordt autodiscover toegepast in de hele organisatie om ervoor te zorgen dat Defender voor Cloud de beveiligingspostuur uitgebreid kan beoordelen en kan reageren op beveiligingsrisico's in uw hele DevOps-ecosysteem. Organisaties kunnen later handmatig worden toegevoegd en verwijderd via Microsoft Defender voor Cloud> Omgevingsinstellingen.

  10. Selecteer Volgende: Controleren en genereren.

  11. Controleer de informatie en selecteer daarna Maken.

Note

Om de juiste functionaliteit van geavanceerde DevOps-houdingsmogelijkheden in Defender voor Cloud te garanderen, kan slechts één exemplaar van een Azure DevOps-organisatie worden toegevoegd aan de Azure-tenant waarin u een connector maakt.

Na een geslaagde onboarding zijn DevOps-resources (bijvoorbeeld opslagplaatsen, builds) aanwezig op de beveiligingspagina's Inventory en DevOps. Het kan tot 8 uur duren voordat resources worden weergegeven. Aanbevelingen voor beveiligingsscans vereisen mogelijk een extra stap om uw pijplijnen te configureren. Vernieuwingsintervallen voor beveiligingsresultaten variëren per aanbeveling en details vindt u op de pagina Aanbevelingen.

Hoe Defender voor Cloud uw identiteit gebruikt

Nadat u de verbinding hebt geautoriseerd, gebruikt Defender voor Cloud de machtigingen van het account dat de connector heeft gemaakt voor het uitvoeren van bewerkingen in Azure DevOps.

  • Bewerkingen zoals opslagplaatsinventarisatie, leesbewerkingen voor metagegevens maken, aantekeningen bij pull-aanvragen en scannen van code zonder agent, worden allemaal uitgevoerd onder die identiteit. Agentloos codescannen haalt code en infrastructure-as-code-definities op voor analyse, en de bijbehorende API-aanroepen tellen ook mee voor de gebruiksquota van de identiteit.

  • In Azure DevOps worden deze bewerkingen weergegeven alsof ze door dat account zijn uitgevoerd en zichtbaar zijn in auditlogboeken, gebruiksdashboards en pr-tijdlijnen.

  • Als het autoriserende account wordt verwijderd of geen toegang meer krijgt, worden geautomatiseerde bewerkingen gestopt totdat de connector opnieuw wordt geautoriseerd.

Note

Defender voor Cloud-API-aanroepen worden opgenomen in de globale verbruikslimiet van Azure DevOps voor de identiteit die de connector heeft geautoriseerd. Defender voor Cloud beheert het API-gebruik zorgvuldig om te voorkomen dat limieten worden overschreden, en de meeste klanten krijgen nooit te maken met snelheidsbeperkingen.

Volgende stappen 

  • Last updated on