Voraussetzung — Einen VPC Amazon-Endpunkt erstellen

Um einen VPC Endpunkt zu erstellen

1. Öffnen Sie die VPC Amazon-Konsole unter https://console.aws.amazon.com/vpc/.

2. Wählen Sie im Navigationsmenü unter Virtual Private Cloud die Option Endpunkte.

3. Klicken Sie auf Endpunkt erstellen.

4. Wählen Sie auf der Seite Endpunkt erstellen für Servicekategorie die Option Andere Endpunkt-Services.

5. Geben Sie unter Servicename com.amazonaws.us-east-1.guardduty-data ein.

   Stellen Sie sicher, dass Sie es austauschen us-east-1 mit der richtigen Region. Dies muss dieselbe Region sein wie der EKS Cluster, der zu Ihrer AWS-Konto ID gehört.

6. Wählen Sie Service verifizieren.

7. Nachdem der Dienstname erfolgreich verifiziert wurde, wählen Sie den VPCOrt aus, an dem sich Ihr Cluster befindet. Fügen Sie die folgende Richtlinie hinzu, um die VPC Endpunktnutzung nur auf das angegebene Konto zu beschränken. Unter Angabe der unter dieser Richtlinie angegebenen Organisations-Condition können Sie die folgende Richtlinie aktualisieren, um den Zugriff auf Ihren Endpunkt einzuschränken. Informationen zur Bereitstellung von VPC Endpunktunterstützung für ein bestimmtes Konto IDs in Ihrer Organisation finden Sie unterOrganization condition to restrict access to your endpoint.

   {
   	"Version": "2012-10-17",
   	"Statement": [
   		{
   			"Action": "*",
   			"Resource": "*",
   			"Effect": "Allow",
   			"Principal": "*"
   		},
   		{
   			"Condition": {
   				"StringNotEquals": {
   					"aws:PrincipalAccount": "111122223333" 
   				}
   			},
   			"Action": "*",
   			"Resource": "*",
   			"Effect": "Deny",
   			"Principal": "*"
   		}
   	]
   }

   Die aws:PrincipalAccount Konto-ID muss mit dem Konto übereinstimmen, das den VPC Endpunkt VPC und enthält. Die folgende Liste zeigt, wie Sie den VPC Endpunkt mit anderen teilen können AWS-Konto IDs:

   Organisationsbedingung

   , um den Zugriff auf Ihren Endpunkt einzuschränken

   • Wenn Sie mehrere Konten für den Zugriff auf den VPC Endpunkt angeben möchten, "aws:PrincipalAccount": "111122223333" ersetzen Sie ihn durch Folgendes:

     "aws:PrincipalAccount": [
               "666666666666",
               "555555555555"
         ]

   • Um allen Mitgliedern einer Organisation den Zugriff auf den VPC Endpunkt zu ermöglichen, "aws:PrincipalAccount": "111122223333" ersetzen Sie ihn durch folgenden Wortlaut:

     "aws:PrincipalOrgID": "o-abcdef0123"

   • Um den Zugriff auf eine Ressource auf eine Organisations-ID zu beschränken, fügen Sie Ihre ResourceOrgID zur Richtlinie hinzu.

     Weitere Informationen finden Sie unter ResourceOrgID.

     "aws:ResourceOrgID": "o-abcdef0123"

8. Wählen Sie unter Zusätzliche Einstellungen die Option DNSNamen aktivieren aus.

9. Wählen Sie unter Subnetze die Subnetze aus, in denen sich Ihr Cluster befindet.

10. Wählen Sie unter Sicherheitsgruppen eine Sicherheitsgruppe aus, für die der eingehende Port 443 von Ihrem VPC (oder Ihrem EKS Cluster) aus aktiviert ist. Wenn Sie noch keine Sicherheitsgruppe haben, für die der eingehende Port 443 aktiviert ist, Erstellen Sie eine Sicherheitsgruppe.

    Wenn bei der Beschränkung der eingehenden Zugriffsrechte auf Ihre VPC (oder Ihre Instance) ein Problem auftritt, können Sie den Port 443 für eingehende Verbindungen von einer beliebigen IP-Adresse aus verwenden. (0.0.0.0/0) GuardDuty Empfiehlt jedoch, IP-Adressen zu verwenden, die dem CIDR Block für Ihre entsprechen. VPC Weitere Informationen finden Sie unter VPCCIDRBlöcke im VPCAmazon-Benutzerhandbuch.