Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Voraussetzungen für den Support AWS Fargate (ECSnur Amazon)

Dieser Abschnitt enthält die Voraussetzungen für die Überwachung des Laufzeitverhaltens Ihrer ECS Fargate-Amazon-Ressourcen. Wenn diese Voraussetzungen erfüllt sind, finden Sie weitere Informationen unter. GuardDuty Runtime Monitoring aktivieren

Validierung der architektonischen Anforderungen

Die von Ihnen verwendete Plattform kann sich darauf auswirken, wie der GuardDuty Security Agent den Empfang der Runtime-Ereignisse von Ihren ECS Amazon-Clustern unterstützt GuardDuty . Sie müssen bestätigen, dass Sie eine der verifizierten Plattformen verwenden.

Verifizierte Plattformen

Die Verteilung und CPU Architektur des Betriebssystems wirken sich auf die Unterstützung durch den GuardDuty Security Agent aus. Die folgende Tabelle zeigt die verifizierte Konfiguration für die Installation des GuardDuty Security Agents und die Konfiguration von Runtime Monitoring.

¹ Support für verschiedene Betriebssysteme — GuardDuty hat die Unterstützung für die Verwendung von Runtime Monitoring auf den in der obigen Tabelle aufgeführten Betriebssystemen überprüft. Wenn Sie ein anderes Betriebssystem verwenden und den Security Agent erfolgreich installieren können, erhalten Sie möglicherweise alle erwarteten Sicherheitswerte, die mit der aufgelisteten Betriebssystemdistribution verifiziert wurden. GuardDuty

Geben Sie die ECR Berechtigungen und Subnetzdetails an

Bevor Sie Runtime Monitoring aktivieren, müssen Sie die folgenden Details angeben:

Validierung der Service-Control-Richtlinie Ihres Unternehmens

Dieser Schritt ist erforderlich, um Runtime Monitoring GuardDuty zu unterstützen und die Abdeckung verschiedener Ressourcentypen zu bewerten.

Wenn Sie eine Dienststeuerungsrichtlinie (SCP) zur Verwaltung von Berechtigungen in Ihrer Organisation eingerichtet haben, stellen Sie sicher, dass in Ihrer Richtlinie TaskExecutionRole und guardduty:SendSecurityTelemetry in der zugehörigen Richtlinie keine Einschränkungen durch die Berechtigungsgrenzen bestehen.

Die folgende Richtlinie ist ein Beispiel für die Zulassung der guardduty:SendSecurityTelemetry Richtlinie:

{
    "Version": "2012-10-17",
    "Statement": [
        {
    "Effect": "Allow",
            "Action": [
                ...,
                ...,               
                "guardduty:SendSecurityTelemetry"
            ],
            "Resource": "*"
        }
    ]
}

Informationen zu Richtlinien und Berechtigungen finden Sie im IAMBenutzerhandbuch unter Grenzen von Berechtigungen.

Wenn Sie ein Mitgliedskonto sind, stellen Sie eine Verbindung mit dem zugehörigen delegierten Administrator her. Informationen zur Verwaltung SCPs für Ihre Organisation finden Sie unter Richtlinien zur Servicesteuerung (SCPs).

CPUund Speicherlimits

In der Fargate-Aufgabendefinition müssen Sie den Wert CPU und den Speicherwert auf Aufgabenebene angeben. Die folgende Tabelle zeigt die gültigen Kombinationen von Werten auf Taskebene CPU und Speicher sowie die entsprechende maximale Speicherbegrenzung des GuardDuty Security Agents für den Container. GuardDuty

Nachdem Sie Runtime Monitoring aktiviert und festgestellt haben, dass der Abdeckungsstatus Ihres Clusters fehlerfrei ist, können Sie die Container Insight-Metriken einrichten und anzeigen. Weitere Informationen finden Sie unter Überwachung auf ECS Amazon-Cluster einrichten.

Der nächste Schritt besteht darin, Runtime Monitoring und auch den Security Agent zu konfigurieren.