用途：保护 Kubernetes 集群及其镜像来源的容器注册表，适用于方案落地、传感器与无代理模式取舍、注册表扫描、准入策略设计与运行时告警响应。不适用于 VM/主机加固、集群网络设计或通用 AKS 运维。
主要能力：无代理发现（基于 API 的集群清单、控制面错误配置、K8s API 审计日志分析，覆盖 AKS、EKS、GKE、Arc）；无代理漏洞评估（快照节点磁盘，扫描注册表镜像与运行中容器）；注册表扫描（拉取时、推送时与持续扫描，覆盖 ACR、ECR、GAR）；运行时威胁检测（Defender 传感器以 DaemonSet 部署，Linux 上使用 eBPF，检测无文件攻击、横向移动、挖矿行为）；Kubernetes 数据面加固（Azure Policy 加载项 OPA/Gatekeeper）；攻击路径分析（结合态势、漏洞与运行时，呈现互联网→Pod→云 IAM 路径）。
使用方式：在订阅范围启用，自动预配会安装 Defender 传感器（DaemonSet）与 Azure Policy for Kubernetes 加载项，并自动连接 ACR 扫描。可用 kubectl get ds -n kube-system 查看 microsoft-defender-collector-ds 验证。非 Azure 集群通过 Arc 接入；EKS/GKE 需在 AWS/GCP 云账户级连接器加 Arc 接入才能获得运行时传感器（无代理功能无需传感器）。建议开启持续扫描以覆盖新披露 CVE，并设置保留期。可在 CI 中集成 MDVM API，对严重可利用 CVE 使构建失败，并配合镜像签名与准入控制。准入策略先以审计模式运行 14 天再改为拒绝。告警可通过 Defender for Cloud 连接器流式发送到 Sentinel。
限制与注意：运行时检测必须依赖传感器，仅无代理无法捕获反向 shell 或挖矿；Windows 容器传感器覆盖有限，需以更严格准入与镜像扫描补偿；避免同时运行多个挂接内核的特权 DaemonSet 以免 eBPF 冲突；ACR 加私有终结点与扫描需仔细设计网络；方案应作用于订阅范围而非单个资源组；镜像漏洞需按可利用性/KEV 过滤后再处置。
官方文档：https://learn.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction