Kubernetes Governance Met Azure Arc

<# .SYNOPSIS Controleert governance- en compliance-aspecten voor Azure Arc-enabled Kubernetes-clusters. .DESCRIPTION Dit script inventariseert Arc-verbonden Kubernetes-clusters en beoordeelt in hoeverre governance-afspraken en beveiligingsmaatregelen zijn geïmplementeerd. Het controleert onder meer: - Aanwezigheid van Azure Policy-toewijzingen voor Kubernetes - Gebruik van consistente tagging voor eigenaarschap, classificatie en bedrijfsproces - Aanwezige GitOps-configuraties via Azure Arc (Flux v2) In monitoringmodus wordt een rapport gegenereerd met de governance- en compliance-status per cluster. In remediatiemodus wordt een overzicht gemaakt van clusters met governance-hiaten, inclusief aanbevelingen voor vervolgstappen. .NOTES Filename: kubernetes-governance.ps1 Author: Nederlandse Baseline voor Veilige Cloud Created: 2025-11-26 Last Modified: 2025-11-26 Version: 1.0 Related JSON: content/azure/arc/kubernetes-governance.json .LINK https://github.com/[org]/m365-tenant-best-practise .EXAMPLE .\kubernetes-governance.ps1 -Monitoring Voert een controle uit op alle Arc-verbonden Kubernetes-clusters en toont de governance-status. .EXAMPLE .\kubernetes-governance.ps1 -Remediation Genereert een overzicht van clusters met governance-hiaten en aanbevelingen voor verbetering. .EXAMPLE .\kubernetes-governance.ps1 -Monitoring -LocalDebug Draait een lokale debug-run met gesimuleerde data zonder Azure-verbinding of Azure-API-calls. #> #Requires -Version 5.1 [CmdletBinding()] param( [Parameter()] [switch]$WhatIf, [Parameter()] [switch]$Monitoring, [Parameter()] [switch]$Remediation, [Parameter()] [string[]]$SubscriptionId, [Parameter()] [switch]$LocalDebug ) $ErrorActionPreference = 'Stop' $VerbosePreference = 'Continue' $PolicyName = "Kubernetes governance met Azure Arc" $PolicyDescription = "Controleert of Arc-verbonden Kubernetes-clusters zijn opgenomen in centrale governance, inclusief tagging, Azure Policy en GitOps-configuraties." function Test-ModuleAvailability { [CmdletBinding()] param( [Parameter(Mandatory = $true)] [string[]]$ModuleName ) foreach ($name in $ModuleName) { if (-not (Get-Module -ListAvailable -Name $name)) { Write-Warning "Vereiste module '$name' is niet geïnstalleerd. Installeer deze module voor volledige functionaliteit." } } } function Connect-RequiredServices { <# .SYNOPSIS Maakt verbinding met Azure als dat nog niet is gebeurd. #> [CmdletBinding()] param() if ($LocalDebug) { Write-Verbose "LocalDebug is ingeschakeld; er wordt geen Azure-verbinding opgezet." return } Test-ModuleAvailability -ModuleName @('Az.Accounts', 'Az.Resources', 'Az.ResourceGraph', 'Az.PolicyInsights') try { $context = Get-AzContext -ErrorAction SilentlyContinue if (-not $context) { Write-Host "Verbinding maken met Azure..." -ForegroundColor Yellow Connect-AzAccount -ErrorAction Stop | Out-Null } else { Write-Verbose "Reeds verbonden met Azure: $($context.Subscription.Name)" } } catch { Write-Error "Kon geen verbinding maken met Azure: $_" throw } } function Get-DebugGovernanceData { [CmdletBinding()] param() return @( [PSCustomObject]@{ SubscriptionId = "00000000-0000-0000-0000-000000000010" SubscriptionName = "DBG-Overheid-NonProd" ResourceGroupName = "rg-arc-k8s-nonprod" ClusterName = "arc-k8s-nonprod-01" Location = "westeurope" Distribution = "AKS on Azure Stack HCI" HasRequiredTags = $true ClassificationTag = "Confidential" OwnerTag = "Team Digitale Diensten" BusinessProcessTag = "Burgerportaal" HasKubernetesPolicies = $true NonCompliantPolicyCount = 0 HasGitOpsConfig = $true GitOpsDriftDetected = $false HasGovernanceIssues = $false GovernanceIssues = @() }, [PSCustomObject]@{ SubscriptionId = "00000000-0000-0000-0000-000000000020" SubscriptionName = "DBG-Overheid-Prod" ResourceGroupName = "rg-arc-k8s-prod" ClusterName = "arc-k8s-prod-01" Location = "northeurope" Distribution = "On-premises Kubernetes" HasRequiredTags = $false ClassificationTag = "" OwnerTag = "" BusinessProcessTag = "" HasKubernetesPolicies = $true NonCompliantPolicyCount = 5 HasGitOpsConfig = $false GitOpsDriftDetected = $false HasGovernanceIssues = $true GovernanceIssues = @( "Ontbrekende kern-tags (Owner, BusinessProcess, DataClassification)", "Azure Policy rapporteert 5 niet-conforme Kubernetes-beleidsregels", "Geen GitOps-configuratie voor platformcomponenten geconfigureerd" ) } ) } function Get-KubernetesGovernanceStatus { <# .SYNOPSIS Haalt Arc-verbonden Kubernetes-clusters op en bepaalt de governance-status. .OUTPUTS PSCustomObject met cluster- en governance-informatie. #> [CmdletBinding()] param() if ($LocalDebug) { Write-Verbose "Gebruik van gesimuleerde Kubernetes-governancedata (LocalDebug)." return Get-DebugGovernanceData } Write-Verbose "Ophalen van Arc-enabled Kubernetes-clusters via Azure Resource Graph..." $query = @' resources | where type =~ "microsoft.kubernetes/connectedclusters" | project id, name, location, subscriptionId, resourceGroup, tags, properties '@ $argParams = @{ Query = $query } if ($SubscriptionId) { $argParams['Subscription'] = $SubscriptionId } $clusters = Search-AzGraph @argParams $results = @() foreach ($cluster in $clusters) { $props = $cluster.properties $tags = $cluster.tags $classification = $tags["DataClassification"] $owner = $tags["Owner"] $businessProc = $tags["BusinessProcess"] $hasRequiredTags = -not [string]::IsNullOrWhiteSpace($classification) -and ` -not [string]::IsNullOrWhiteSpace($owner) -and ` -not [string]::IsNullOrWhiteSpace($businessProc) $distribution = $props["distribution"] $governanceIssues = @() $hasIssues = $false if (-not $hasRequiredTags) { $hasIssues = $true $governanceIssues += "Ontbrekende kern-tags (Owner, BusinessProcess of DataClassification)." } # Vereenvoudigde policy-check: tel aantal niet-conforme policyresultaten voor dit cluster $nonCompliantCount = 0 $hasK8sPolicies = $false try { $policyResults = Get-AzPolicyState -Filter "resourceId eq '$($cluster.id)'" -ErrorAction SilentlyContinue if ($policyResults) { $hasK8sPolicies = $true $nonCompliantCount = ($policyResults | Where-Object { $_.ComplianceState -eq 'NonCompliant' }).Count if ($nonCompliantCount -gt 0) { $hasIssues = $true $governanceIssues += "Azure Policy rapporteert $nonCompliantCount niet-conforme beleidsregels." } } } catch { Write-Verbose "Kon policy-status niet bepalen voor cluster $($cluster.name): $_" } # GitOps-configuraties (Flux v2) via gerelateerde resources (vereenvoudigde check) $hasGitOps = $false $gitOpsDrift = $false try { $kustomizations = Get-AzResource -ResourceType "Microsoft.KubernetesConfiguration/fluxConfigurations" -ErrorAction SilentlyContinue | Where-Object { $_.Properties.clusterResourceId -eq $cluster.id } if ($kustomizations) { $hasGitOps = $true # In een echte implementatie zou hier op drift-status worden gecontroleerd } else { $hasGitOps = $false $hasIssues = $true $governanceIssues += "Geen GitOps-configuratie (Flux) gevonden voor dit Arc-enabled Kubernetes-cluster." } } catch { Write-Verbose "Kon GitOps-configuraties niet ophalen voor cluster $($cluster.name): $_" } $results += [PSCustomObject]@{ SubscriptionId = $cluster.subscriptionId SubscriptionName = (Get-AzSubscription -SubscriptionId $cluster.subscriptionId -ErrorAction SilentlyContinue).Name ResourceGroupName = $cluster.resourceGroup ClusterName = $cluster.name Location = $cluster.location Distribution = $distribution HasRequiredTags = $hasRequiredTags ClassificationTag = $classification OwnerTag = $owner BusinessProcessTag = $businessProc HasKubernetesPolicies = $hasK8sPolicies NonCompliantPolicyCount = $nonCompliantCount HasGitOpsConfig = $hasGitOps GitOpsDriftDetected = $gitOpsDrift HasGovernanceIssues = $hasIssues GovernanceIssues = $governanceIssues } } return $results } function Test-Compliance { <# .SYNOPSIS Bepaalt de compliancestatus voor Kubernetes governance op Arc-enabled clusters. .OUTPUTS PSCustomObject met samenvatting van de resultaten. #> [CmdletBinding()] param() $clusters = Get-KubernetesGovernanceStatus if (-not $clusters -or $clusters.Count -eq 0) { Write-Verbose "Geen Arc-enabled Kubernetes-clusters gevonden in de geselecteerde scope." return [PSCustomObject]@{ ScriptName = "kubernetes-governance" IsCompliant = $true Timestamp = Get-Date Details = "Er zijn geen Arc-enabled Kubernetes-clusters gevonden in de huidige scope." Recommendations = @() Clusters = @() } } $nonCompliant = $clusters | Where-Object { $_.HasGovernanceIssues } $isCompliant = ($nonCompliant.Count -eq 0) $details = if ($isCompliant) { "Alle gevonden Arc-enabled Kubernetes-clusters voldoen aan de basis governance-vereisten." } else { "Een of meer Arc-enabled Kubernetes-clusters hebben governance-hiaten die aandacht vereisen." } $recommendations = @() if (-not $isCompliant) { $recommendations += "Zorg dat alle Arc-enabled Kubernetes-clusters kern-tags bevatten: Owner, BusinessProcess en DataClassification." $recommendations += "Los niet-conforme Azure Policy-regels op voor Kubernetes-resources of pas het beleid aan waar nodig." $recommendations += "Implementeer GitOps-configuraties (Flux) voor platformcomponenten en kritieke workloads." $recommendations += "Documenteer governance-afspraken, runbooks en escalatiepaden voor Arc-enabled Kubernetes." $recommendations += "Neem Kubernetes governance op in periodieke risicobeoordelingen en auditplannen." } return [PSCustomObject]@{ ScriptName = "kubernetes-governance" IsCompliant = $isCompliant Timestamp = Get-Date Details = $details Recommendations = $recommendations Clusters = $clusters } } function Invoke-Monitoring { <# .SYNOPSIS Voert een monitoring-run uit en toont de governance-status per Arc-enabled Kubernetes-cluster. #> [CmdletBinding()] param() Write-Host "`nMonitoring: $PolicyName" -ForegroundColor Yellow Write-Host "Beschrijving: $PolicyDescription" -ForegroundColor Yellow Write-Host "==============================================================" -ForegroundColor Yellow $result = Test-Compliance $clusters = $result.Clusters if ($clusters.Count -gt 0) { Write-Host "`nGevonden Arc-enabled Kubernetes-clusters:" -ForegroundColor Cyan foreach ($cluster in $clusters) { $statusColor = if (-not $cluster.HasGovernanceIssues) { "Green" } else { "Red" } $statusText = if (-not $cluster.HasGovernanceIssues) { "Governance: COMPLIANT" } else { "Governance: NON-COMPLIANT - $($cluster.GovernanceIssues.Count) issue(s)" } Write-Host ("- {0}/{1} ({2})" -f $cluster.SubscriptionName, $cluster.ClusterName, $cluster.Location) -ForegroundColor $statusColor Write-Host (" Distributie: {0}" -f $cluster.Distribution) -ForegroundColor Gray Write-Host (" Kern-tags aanwezig: {0}" -f $(if ($cluster.HasRequiredTags) { "Ja" } else { "Nee" })) -ForegroundColor Gray Write-Host (" Azure Policy: {0} niet-conforme regels" -f $cluster.NonCompliantPolicyCount) -ForegroundColor Gray Write-Host (" GitOps-configuratie: {0}" -f $(if ($cluster.HasGitOpsConfig) { "Aanwezig" } else { "Afwezig" })) -ForegroundColor Gray Write-Host (" Status: {0}" -f $statusText) -ForegroundColor $statusColor if ($cluster.GovernanceIssues.Count -gt 0) { foreach ($issue in $cluster.GovernanceIssues) { Write-Host (" - {0}" -f $issue) -ForegroundColor Yellow } } Write-Host "" } } else { Write-Host "`nGeen Arc-enabled Kubernetes-clusters gevonden in de huidige scope." -ForegroundColor Cyan } if ($result.IsCompliant) { Write-Host "✅ COMPLIANT - Alle Arc-enabled Kubernetes-clusters voldoen aan de basis governance-vereisten." -ForegroundColor Green } else { Write-Host "❌ NON-COMPLIANT - Eén of meer Arc-enabled Kubernetes-clusters hebben governance-hiaten." -ForegroundColor Red Write-Host "Aanbevolen acties:" -ForegroundColor Yellow foreach ($rec in $result.Recommendations) { Write-Host (" - {0}" -f $rec) -ForegroundColor Yellow } } return $result } function Invoke-Remediation { <# .SYNOPSIS Geeft een remediatie-overzicht voor Arc-enabled Kubernetes-clusters met governance-hiaten. #> [CmdletBinding()] param() Write-Host "`nRemediatie: $PolicyName" -ForegroundColor Yellow Write-Host "==============================================================" -ForegroundColor Yellow $result = Test-Compliance $clusters = $result.Clusters | Where-Object { $_.HasGovernanceIssues } if (-not $clusters -or $clusters.Count -eq 0) { Write-Host "Alle Arc-enabled Kubernetes-clusters voldoen aan de basis governance-vereisten. Geen remediatie nodig." -ForegroundColor Green return $result } Write-Host "`nNiet-conforme Arc-enabled Kubernetes-clusters (met governance-hiaten):" -ForegroundColor Red foreach ($cluster in $clusters) { Write-Host ("- Subscription: {0}" -f $cluster.SubscriptionName) -ForegroundColor Red Write-Host (" ResourceGroup: {0}" -f $cluster.ResourceGroupName) -ForegroundColor Red Write-Host (" Cluster: {0}" -f $cluster.ClusterName) -ForegroundColor Red Write-Host (" Locatie: {0}" -f $cluster.Location) -ForegroundColor Red Write-Host (" Distributie: {0}" -f $cluster.Distribution) -ForegroundColor Red Write-Host " Geïdentificeerde issues:" -ForegroundColor Yellow foreach ($issue in $cluster.GovernanceIssues) { Write-Host (" - {0}" -f $issue) -ForegroundColor Yellow } Write-Host "" } Write-Host "Aanbevolen vervolgstappen:" -ForegroundColor Yellow Write-Host "1. Vul ontbrekende kern-tags in (Owner, BusinessProcess, DataClassification) voor alle Arc-enabled Kubernetes-clusters." -ForegroundColor Yellow Write-Host "2. Analyseer niet-conforme Azure Policy-resultaten en herstel configuratie-afwijkingen per cluster." -ForegroundColor Yellow Write-Host "3. Implementeer GitOps (Flux) voor platformcomponenten en kritieke workloads, zodat configuraties centraal worden beheerd." -ForegroundColor Yellow Write-Host "4. Documenteer governance-afspraken en runbooks en neem Arc-enabled Kubernetes op in incidentresponsprocedures." -ForegroundColor Yellow Write-Host "5. Plan periodieke evaluaties van Kubernetes governance en veranker verbeteracties in de security- en cloudroadmap." -ForegroundColor Yellow if ($WhatIf) { Write-Host "`nWhatIf is ingeschakeld: er worden geen wijzigingen doorgevoerd; alleen een rapport is gegenereerd." -ForegroundColor Cyan } return $result } try { Write-Host "`n========================================" -ForegroundColor Cyan Write-Host "Script: kubernetes-governance" -ForegroundColor Cyan Write-Host "Nederlandse Baseline voor Veilige Cloud" -ForegroundColor Cyan Write-Host "========================================`n" -ForegroundColor Cyan Connect-RequiredServices if ($Monitoring) { Invoke-Monitoring } elseif ($Remediation) { Invoke-Remediation } else { $result = Test-Compliance if ($result.IsCompliant) { Write-Host "`n✅ COMPLIANT" -ForegroundColor Green } else { Write-Host "`n❌ NON-COMPLIANT" -ForegroundColor Red Write-Host "Voer het script uit met -Monitoring of -Remediation voor meer details." -ForegroundColor Yellow } return $result } } catch { Write-Error "Er is een fout opgetreden in kubernetes-governance.ps1: $_" throw } finally { Write-Host "`n========================================`n" -ForegroundColor Cyan }