Runtime-Abdeckung und Fehlerbehebung für ECS Amazon-Cluster

Die Laufzeitabdeckung für ECS Amazon-Cluster umfasst die Aufgaben, die auf AWS Fargate ECS Amazon-Container-Instances ausgeführt werden ¹.

Für einen ECS Amazon-Cluster, der auf Fargate läuft, wird die Laufzeitabdeckung auf Aufgabenebene bewertet. Die Runtime-Abdeckung des ECS Clusters umfasst die Fargate-Aufgaben, die gestartet wurden, nachdem Sie Runtime Monitoring und automatisierte Agentenkonfiguration für Fargate aktiviert haben (ECSnur). Standardmäßig ist eine Fargate-Aufgabe unveränderlich. GuardDuty kann den Security Agent nicht installieren, um Container bei bereits laufenden Aufgaben zu überwachen. Um eine solche Fargate-Aufgabe einzubeziehen, müssen Sie die Aufgabe beenden und erneut starten. Stellen Sie sicher, dass Sie überprüfen, ob der zugehörige Dienst unterstützt wird.

Informationen zu ECS Amazon-Containern finden Sie unter Kapazitätserstellung.

Überprüfen der Abdeckungsstatistiken

Die Deckungsstatistik für die ECS Amazon-Ressourcen, die mit Ihrem eigenen Konto oder Ihren Mitgliedskonten verknüpft sind, ist der Prozentsatz der fehlerfreien ECS Amazon-Cluster im Vergleich zu allen ECS Amazon-Clustern in den ausgewählten AWS-Region. Dies beinhaltet die Abdeckung für ECS Amazon-Cluster, die sowohl mit Fargate- als auch mit EC2 Amazon-Instances verknüpft sind. Die folgende Gleichung stellt dies wie folgt dar:

(Fehlerfreie Cluster/Alle Cluster)*100

Überlegungen

Wählen Sie eine der Zugriffsmethoden, um die Abdeckungsstatistiken für Ihre Konten einzusehen.

Weitere Informationen zu Problemen mit der Netzabdeckung finden Sie unterBehebung von Problemen mit der Runtime-Abdeckung von Amazon ECS — Fargate.

Änderung des Deckungsstatus mit EventBridge Benachrichtigungen

Der Abdeckungsstatus Ihres ECS Amazon-Clusters wird möglicherweise als Ungesund angezeigt. Um zu wissen, wann sich der Deckungsstatus ändert, empfehlen wir Ihnen, den Deckungsstatus regelmäßig zu überprüfen und Fehler zu beheben, falls der Status auf Ungesund umgestellt wird. Alternativ können Sie eine EventBridge Amazon-Regel erstellen, um eine Benachrichtigung zu erhalten, wenn sich der Versicherungsstatus von „Ungesund“ in „Fehlerfrei“ oder anderweitig ändert. GuardDuty Veröffentlicht dies standardmäßig im EventBridge Bus für Ihr Konto.

Beispiel für ein Benachrichtigungsschema

In einer EventBridge Regel können Sie die vordefinierten Beispielereignisse und Ereignismuster verwenden, um eine Benachrichtigung über den Versicherungsstatus zu erhalten. Weitere Informationen zum Erstellen einer EventBridge Regel finden Sie unter Regel erstellen im EventBridge Amazon-Benutzerhandbuch.

Darüber hinaus können Sie mithilfe des folgenden Beispiel-Benachrichtigungsschemas ein benutzerdefiniertes Ereignismuster erstellen. Achten Sie darauf, die Werte für Ihr Konto zu ersetzen. Um benachrichtigt zu werden, wenn sich der Abdeckungsstatus Ihres ECS Amazon-Clusters von Healthy zu ändertUnhealthy, detail-type sollte GuardDuty Runtime Protection Unhealthy. Um benachrichtigt zu werden, wenn sich der Versicherungsstatus von Unhealthy zu ändertHealthy, ersetzen Sie den Wert von detail-type durch GuardDuty Runtime Protection Healthy.

{
  "version": "0",
  "id": "event ID",
  "detail-type": "GuardDuty Runtime Protection Unhealthy",
  "source": "aws.guardduty",
  "account": "AWS-Konto ID",
  "time": "event timestamp (string)",
  "region": "AWS-Region",
  "resources": [
       ],
  "detail": {
    "schemaVersion": "1.0",
    "resourceAccountId": "string",
    "currentStatus": "string",
    "previousStatus": "string",
    "resourceDetails": {
        "resourceType": "ECS",
        "ecsClusterDetails": {
          "clusterName":"",
          "fargateDetails":{
            "issues":[],
            "managementType":""
          },
          "containerInstanceDetails":{
            "coveredContainerInstances":int,
            "compatibleContainerInstances":int
          }
        }
    },
    "issue": "string",
    "lastUpdatedAt": "timestamp"
  }
}

Behebung von Problemen mit der Runtime-Abdeckung von Amazon ECS — Fargate

Wenn der Abdeckungsstatus Ihres ECS Amazon-Clusters fehlerhaft ist, können Sie den Grund in der Spalte Problem einsehen.

Die folgende Tabelle enthält die empfohlenen Schritte zur Fehlerbehebung bei Problemen mit Fargate (ECSnur Amazon). Informationen zu Problemen mit der Abdeckung von EC2 Amazon-Instances finden Sie unter Behebung von Problemen mit der Amazon EC2 Runtime Coverage Für EC2 Amazon-Instances.

...
      "ecr:GetAuthorizationToken",
      "ecr:BatchCheckLayerAvailability",
      "ecr:GetDownloadUrlForLayer",
      "ecr:BatchGetImage",
...