Configurar la Supervisión en tiempo de ejecución de EKS para entornos con varias cuentas (API) - Amazon GuardDuty

Configurar la Supervisión en tiempo de ejecución de EKS para entornos con varias cuentas (API)

En entornos con varias cuentas, solo la cuenta de administrador delegado de GuardDuty puede habilitar o deshabilitar la Supervisión en tiempo de ejecución de EKS para las cuentas de miembro, así como manejar la administración de agentes de GuardDuty para los clústeres de EKS que pertenecen a las cuentas de miembro de la organización. Las cuentas de miembros de GuardDuty no pueden modificar esta configuración desde sus cuentas. La cuenta de administrador delegado de GuardDuty administra las cuentas de miembro a través de AWS Organizations. Para más información sobre los entornos con varias cuentas, consulte Managing multiple accounts.

En esta sección se indican los pasos a seguir para configurar la Supervisión de tiempo de ejecución de EKS y administrar el agente de seguridad de GuardDuty para los clústeres de EKS que pertenecen a la cuenta de administrador delegado de GuardDuty.

Según los Enfoques para administrar el agente de seguridad de GuardDuty en clústeres de Amazon EKS, puede elegir el enfoque que prefiera y seguir los pasos que se indican en la siguiente tabla.

Enfoque preferido para administrar el agente de seguridad de GuardDuty

Pasos

Administración del agente de seguridad a través de GuardDuty (supervisión de todos los clústeres de EKS)

Ejecute la API updateDetector con su propio ID de detector regional y pase el nombre del objeto featurescomo EKS_RUNTIME_MONITORING y el estado como ENABLED.

Establezca el estado de EKS_ADDON_MANAGEMENT como ENABLED.

GuardDuty administrará la implementación y las actualizaciones del agente de seguridad para todos los clústeres de Amazon EKS de su cuenta.

También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

En el ejemplo siguiente se habilita EKS_RUNTIME_MONITORING y EKS_ADDON_MANAGEMENT:

aws guardduty update-detector --detector-id 12abc34d567e8fa901bc2d34e56789f0 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] ]'

Supervisión de todos los clústeres de EKS con exclusión de algunos de ellos (mediante una etiqueta de exclusión)

  1. Agregue una etiqueta al clúster de EKS que desee excluir de la supervisión. El par de clave-valor es GuardDutyManaged-false. Para obtener más información sobre cómo agregar la etiqueta, consulte Uso de etiquetas mediante la CLI, la API o eksctl en la Guía del usuario de Amazon EKS.

  2. Para evitar la modificación de las etiquetas, excepto por parte de entidades de confianza, utilice la política que se proporciona en Impedir que las etiquetas se modifiquen excepto por entidades autorizadas en la Guía del usuario de AWS Organizations. En esta política, sustituya los detalles siguientes:

    • Sustituya ec2:CreateTags por eks:TagResource.

    • Sustituya ec2:DeleteTags por eks:UntagResource.

    • Sustituya access-project por GuardDutyManaged.

    • Sustituya 123456789012 por el ID de la Cuenta de AWS de la entidad de confianza.

      Si tiene más de una entidad de confianza, utilice el siguiente ejemplo para agregar varios valores de PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
  3. nota

    Agregue siempre la etiqueta de exclusión a su clúster de EKS antes de establecer el valor de STATUS de EKS_RUNTIME_MONITORING en ENABLED; de lo contrario, el agente de seguridad de GuardDuty se implementará en todos los clústeres de EKS de su cuenta.

    Ejecute la API updateDetector con su propio ID de detector regional y pase el nombre del objeto featurescomo EKS_RUNTIME_MONITORING y el estado como ENABLED.

    Establezca el estado de EKS_ADDON_MANAGEMENT como ENABLED.

    GuardDuty administrará la implementación y las actualizaciones del agente de seguridad para todos los clústeres de Amazon EKS que no se hayan excluido de la supervisión.

    También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    En el ejemplo siguiente se habilita EKS_RUNTIME_MONITORING y EKS_ADDON_MANAGEMENT:

    aws guardduty update-detector --detector-id 12abc34d567e8fa901bc2d34e56789f0 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] ]'

Supervisión de determinados clústeres de EKS (mediante una etiqueta de inclusión)

  1. Agregue una etiqueta al clúster de EKS que desee excluir de la supervisión. El par de clave-valor es GuardDutyManaged-true. Para obtener más información sobre cómo agregar la etiqueta, consulte Uso de etiquetas mediante la CLI, la API o eksctl en la Guía del usuario de Amazon EKS.

  2. Para evitar la modificación de las etiquetas, excepto por parte de entidades de confianza, utilice la política que se proporciona en Impedir que las etiquetas se modifiquen excepto por entidades autorizadas en la Guía del usuario de AWS Organizations. En esta política, sustituya los detalles siguientes:

    • Sustituya ec2:CreateTags por eks:TagResource.

    • Sustituya ec2:DeleteTags por eks:UntagResource.

    • Sustituya access-project por GuardDutyManaged.

    • Sustituya 123456789012 por el ID de la Cuenta de AWS de la entidad de confianza.

      Si tiene más de una entidad de confianza, utilice el siguiente ejemplo para agregar varios valores de PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]

  3. Ejecute la API updateDetector con su propio ID de detector regional y pase el nombre del objeto featurescomo EKS_RUNTIME_MONITORING y el estado como ENABLED.

    Establezca el estado de EKS_ADDON_MANAGEMENT como DISABLED.

    GuardDuty administrará la implementación y las actualizaciones del agente de seguridad para todos los clústeres de Amazon EKS que se hayan etiquetado con el par GuardDutyManaged-true.

    También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    En el siguiente ejemplo se habilita EKS_RUNTIME_MONITORING y se deshabilita EKS_ADDON_MANAGEMENT:

    aws guardduty update-detector --detector-id 12abc34d567e8fa901bc2d34e56789f0 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "DISABLED"}] ]'

Administración manual del agente de seguridad

  1. Ejecute la API updateDetector con su propio ID de detector regional y pase el nombre del objeto featurescomo EKS_RUNTIME_MONITORING y el estado como ENABLED.

    Establezca el estado de EKS_ADDON_MANAGEMENT como DISABLED.

    También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    En el siguiente ejemplo se habilita EKS_RUNTIME_MONITORING y se deshabilita EKS_ADDON_MANAGEMENT:

    aws guardduty update-detector --detector-id 12abc34d567e8fa901bc2d34e56789f0 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] }]'

  2. Para administrar el agente de seguridad, consulte Administrar manualmente el agente de seguridad para el clúster de Amazon EKS.

En esta sección se incluyen los pasos para habilitar la Supervisión en tiempo de ejecución de EKS y administrar el agente de seguridad para todas las cuentas de miembro. Esto incluye la cuenta de administrador delegado de GuardDuty, las cuentas de miembro existentes y las nuevas cuentas que se unan a la organización.

Según los Enfoques para administrar el agente de seguridad de GuardDuty en clústeres de Amazon EKS, puede elegir el enfoque que prefiera y seguir los pasos que se indican en la siguiente tabla.

Enfoque preferido para administrar el agente de seguridad de GuardDuty

Pasos

Administración del agente de seguridad a través de GuardDuty (supervisión de todos los clústeres de EKS)

Para habilitar o deshabilitar la supervisión en tiempo de ejecución de EKS de forma selectiva para sus cuentas de miembros, ejecute la operación de la API updateMemberDetectors con su propio ID de detector.

Establezca el estado de EKS_ADDON_MANAGEMENT como ENABLED.

GuardDuty administrará la implementación y las actualizaciones del agente de seguridad para todos los clústeres de Amazon EKS de su cuenta.

También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

En el ejemplo siguiente se habilita EKS_RUNTIME_MONITORING y EKS_ADDON_MANAGEMENT:

aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] ]'
nota

También puede pasar una lista de ID de cuentas separadas por un espacio.

Cuando el código se haya ejecutado correctamente, devolverá una lista de UnprocessedAccounts vacía. Si se ha producido algún problema al cambiar la configuración del detector de una cuenta, se muestra el ID de la cuenta junto con un resumen del problema.

Supervisión de todos los clústeres de EKS con exclusión de algunos de ellos (mediante una etiqueta de exclusión)

  1. Agregue una etiqueta al clúster de EKS que desee excluir de la supervisión. El par de clave-valor es GuardDutyManaged-false. Para obtener más información sobre cómo agregar la etiqueta, consulte Uso de etiquetas mediante la CLI, la API o eksctl en la Guía del usuario de Amazon EKS.

  2. Para evitar la modificación de las etiquetas, excepto por parte de entidades de confianza, utilice la política que se proporciona en Impedir que las etiquetas se modifiquen excepto por entidades autorizadas en la Guía del usuario de AWS Organizations. En esta política, sustituya los detalles siguientes:

    • Sustituya ec2:CreateTags por eks:TagResource.

    • Sustituya ec2:DeleteTags por eks:UntagResource.

    • Sustituya access-project por GuardDutyManaged.

    • Sustituya 123456789012 por el ID de la Cuenta de AWS de la entidad de confianza.

      Si tiene más de una entidad de confianza, utilice el siguiente ejemplo para agregar varios valores de PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
  3. nota

    Agregue siempre la etiqueta de exclusión a su clúster de EKS antes de establecer el valor de STATUS de EKS_RUNTIME_MONITORING en ENABLED; de lo contrario, el agente de seguridad de GuardDuty se implementará en todos los clústeres de EKS de su cuenta.

    Ejecute la API updateDetector con su propio ID de detector regional y pase el nombre del objeto featurescomo EKS_RUNTIME_MONITORING y el estado como ENABLED.

    Establezca el estado de EKS_ADDON_MANAGEMENT como ENABLED.

    GuardDuty administrará la implementación y las actualizaciones del agente de seguridad para todos los clústeres de Amazon EKS que no se hayan excluido de la supervisión.

    También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    En el ejemplo siguiente se habilita EKS_RUNTIME_MONITORING y EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] ]'
    nota

    También puede pasar una lista de ID de cuentas separadas por un espacio.

    Cuando el código se haya ejecutado correctamente, devolverá una lista de UnprocessedAccounts vacía. Si se ha producido algún problema al cambiar la configuración del detector de una cuenta, se muestra el ID de la cuenta junto con un resumen del problema.

Supervisión de determinados clústeres de EKS (mediante una etiqueta de inclusión)

  1. Agregue una etiqueta al clúster de EKS que desee excluir de la supervisión. El par de clave-valor es GuardDutyManaged-true. Para obtener más información sobre cómo agregar la etiqueta, consulte Uso de etiquetas mediante la CLI, la API o eksctl en la Guía del usuario de Amazon EKS.

  2. Para evitar la modificación de las etiquetas, excepto por parte de entidades de confianza, utilice la política que se proporciona en Impedir que las etiquetas se modifiquen excepto por entidades autorizadas en la Guía del usuario de AWS Organizations. En esta política, sustituya los detalles siguientes:

    • Sustituya ec2:CreateTags por eks:TagResource.

    • Sustituya ec2:DeleteTags por eks:UntagResource.

    • Sustituya access-project por GuardDutyManaged.

    • Sustituya 123456789012 por el ID de la Cuenta de AWS de la entidad de confianza.

      Si tiene más de una entidad de confianza, utilice el siguiente ejemplo para agregar varios valores de PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]

  3. Ejecute la API updateDetector con su propio ID de detector regional y pase el nombre del objeto featurescomo EKS_RUNTIME_MONITORING y el estado como ENABLED.

    Establezca el estado de EKS_ADDON_MANAGEMENT como DISABLED.

    GuardDuty administrará la implementación y las actualizaciones del agente de seguridad para todos los clústeres de Amazon EKS que se hayan etiquetado con el par GuardDutyManaged-true.

    También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    En el siguiente ejemplo se habilita EKS_RUNTIME_MONITORING y se deshabilita EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "DISABLED"}] ]'
    nota

    También puede pasar una lista de ID de cuentas separadas por un espacio.

    Cuando el código se haya ejecutado correctamente, devolverá una lista de UnprocessedAccounts vacía. Si se ha producido algún problema al cambiar la configuración del detector de una cuenta, se muestra el ID de la cuenta junto con un resumen del problema.

Administración manual del agente de seguridad

  1. Ejecute la API updateDetector con su propio ID de detector regional y pase el nombre del objeto featurescomo EKS_RUNTIME_MONITORING y el estado como ENABLED.

    Establezca el estado de EKS_ADDON_MANAGEMENT como DISABLED.

    También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    En el siguiente ejemplo se habilita EKS_RUNTIME_MONITORING y se deshabilita EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 555555555555 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] } ]'

  2. Para administrar el agente de seguridad, consulte Administrar manualmente el agente de seguridad para el clúster de Amazon EKS.

Esta sección incluye los pasos para habilitar la Supervisión en tiempo de ejecución de EKS y administrar el agente de seguridad GuardDuty para las cuentas de miembro activas existentes en la organización.

Según los Enfoques para administrar el agente de seguridad de GuardDuty en clústeres de Amazon EKS, puede elegir el enfoque que prefiera y seguir los pasos que se indican en la siguiente tabla.

Enfoque preferido para administrar el agente de seguridad de GuardDuty

Pasos

Administración del agente de seguridad a través de GuardDuty (supervisión de todos los clústeres de EKS)

Para habilitar o deshabilitar la supervisión en tiempo de ejecución de EKS de forma selectiva para sus cuentas de miembros, ejecute la operación de la API updateMemberDetectors con su propio ID de detector.

Establezca el estado de EKS_ADDON_MANAGEMENT como ENABLED.

GuardDuty administrará la implementación y las actualizaciones del agente de seguridad para todos los clústeres de Amazon EKS de su cuenta.

También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

En el ejemplo siguiente se habilita EKS_RUNTIME_MONITORING y EKS_ADDON_MANAGEMENT:

aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] ]'
nota

También puede pasar una lista de ID de cuentas separadas por un espacio.

Cuando el código se haya ejecutado correctamente, devolverá una lista de UnprocessedAccounts vacía. Si se ha producido algún problema al cambiar la configuración del detector de una cuenta, se muestra el ID de la cuenta junto con un resumen del problema.

Supervisión de todos los clústeres de EKS con exclusión de algunos de ellos (mediante una etiqueta de exclusión)

  1. Agregue una etiqueta al clúster de EKS que desee excluir de la supervisión. El par de clave-valor es GuardDutyManaged-false. Para obtener más información sobre cómo agregar la etiqueta, consulte Uso de etiquetas mediante la CLI, la API o eksctl en la Guía del usuario de Amazon EKS.

  2. Para evitar la modificación de las etiquetas, excepto por parte de entidades de confianza, utilice la política que se proporciona en Impedir que las etiquetas se modifiquen excepto por entidades autorizadas en la Guía del usuario de AWS Organizations. En esta política, sustituya los detalles siguientes:

    • Sustituya ec2:CreateTags por eks:TagResource.

    • Sustituya ec2:DeleteTags por eks:UntagResource.

    • Sustituya access-project por GuardDutyManaged.

    • Sustituya 123456789012 por el ID de la Cuenta de AWS de la entidad de confianza.

      Si tiene más de una entidad de confianza, utilice el siguiente ejemplo para agregar varios valores de PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
  3. nota

    Agregue siempre la etiqueta de exclusión a su clúster de EKS antes de establecer el valor de STATUS de EKS_RUNTIME_MONITORING en ENABLED; de lo contrario, el agente de seguridad de GuardDuty se implementará en todos los clústeres de EKS de su cuenta.

    Para habilitar o deshabilitar la supervisión en tiempo de ejecución de EKS de forma selectiva para sus cuentas de miembros, ejecute la operación de la API updateMemberDetectors con su propio ID de detector.

    Establezca el estado de EKS_ADDON_MANAGEMENT como ENABLED.

    GuardDuty administrará la implementación y las actualizaciones del agente de seguridad para todos los clústeres de Amazon EKS que no se hayan excluido de la supervisión.

    También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    En el ejemplo siguiente se habilita EKS_RUNTIME_MONITORING y EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] ]'
    nota

    También puede pasar una lista de ID de cuentas separadas por un espacio.

    Cuando el código se haya ejecutado correctamente, devolverá una lista de UnprocessedAccounts vacía. Si se ha producido algún problema al cambiar la configuración del detector de una cuenta, se muestra el ID de la cuenta junto con un resumen del problema.

Supervisión de determinados clústeres de EKS (mediante una etiqueta de inclusión)

  1. Agregue una etiqueta al clúster de EKS que desee excluir de la supervisión. El par de clave-valor es GuardDutyManaged-true. Para obtener más información sobre cómo agregar la etiqueta, consulte Uso de etiquetas mediante la CLI, la API o eksctl en la Guía del usuario de Amazon EKS.

  2. Para evitar la modificación de las etiquetas, excepto por parte de entidades de confianza, utilice la política que se proporciona en Impedir que las etiquetas se modifiquen excepto por entidades autorizadas en la Guía del usuario de AWS Organizations. En esta política, sustituya los detalles siguientes:

    • Sustituya ec2:CreateTags por eks:TagResource.

    • Sustituya ec2:DeleteTags por eks:UntagResource.

    • Sustituya access-project por GuardDutyManaged.

    • Sustituya 123456789012 por el ID de la Cuenta de AWS de la entidad de confianza.

      Si tiene más de una entidad de confianza, utilice el siguiente ejemplo para agregar varios valores de PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]

  3. Para habilitar o deshabilitar la supervisión en tiempo de ejecución de EKS de forma selectiva para sus cuentas de miembros, ejecute la operación de la API updateMemberDetectors con su propio ID de detector.

    Establezca el estado de EKS_ADDON_MANAGEMENT como DISABLED.

    GuardDuty administrará la implementación y las actualizaciones del agente de seguridad para todos los clústeres de Amazon EKS que se hayan etiquetado con el par GuardDutyManaged-true.

    También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    En el siguiente ejemplo se habilita EKS_RUNTIME_MONITORING y se deshabilita EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "DISABLED"}] ]'
    nota

    También puede pasar una lista de ID de cuentas separadas por un espacio.

    Cuando el código se haya ejecutado correctamente, devolverá una lista de UnprocessedAccounts vacía. Si se ha producido algún problema al cambiar la configuración del detector de una cuenta, se muestra el ID de la cuenta junto con un resumen del problema.

Administración manual del agente de seguridad

  1. Para habilitar o deshabilitar la supervisión en tiempo de ejecución de EKS de forma selectiva para sus cuentas de miembros, ejecute la operación de la API updateMemberDetectors con su propio ID de detector.

    Establezca el estado de EKS_ADDON_MANAGEMENT como DISABLED.

    También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    En el siguiente ejemplo se habilita EKS_RUNTIME_MONITORING y se deshabilita EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 555555555555 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] } ]'

  2. Para administrar el agente de seguridad, consulte Administrar manualmente el agente de seguridad para el clúster de Amazon EKS.

La cuenta de administrador delegado de GuardDuty puede habilitar automáticamente la Supervisión en tiempo de ejecución de EKS y elegir un enfoque para administrar el agente de seguridad de GuardDuty para las nuevas cuentas que se unan a su organización.

Según los Enfoques para administrar el agente de seguridad de GuardDuty en clústeres de Amazon EKS, puede elegir el enfoque que prefiera y seguir los pasos que se indican en la siguiente tabla.

Enfoque preferido para administrar el agente de seguridad de GuardDuty

Pasos

Administración del agente de seguridad a través de GuardDuty (supervisión de todos los clústeres de EKS)

Para habilitar o deshabilitar la supervisión en tiempo de ejecución de EKS de forma selectiva para las nuevas cuentas, invoque la operación de la API UpdateOrganizationConfiguration con su propio ID de detector.

Establezca el estado de EKS_ADDON_MANAGEMENT como ENABLED.

GuardDuty administrará la implementación y las actualizaciones del agente de seguridad para todos los clústeres de Amazon EKS de su cuenta.

También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

En el siguiente ejemplo se habilitan EKS_RUNTIME_MONITORING y EKS_ADDON_MANAGEMENT para una sola cuenta. También puede pasar una lista de ID de cuentas separadas por un espacio.

Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

aws guardduty update-organization-configuration --detector-id 12abc34d567e8fa901bc2d34e56789f0 --autoEnable  --features '[{"Name" : "EKS_RUNTIME_MONITORING", "AutoEnable": "NEW", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "AutoEnable": "NEW"}] ]'

Cuando el código se haya ejecutado correctamente, devolverá una lista de UnprocessedAccounts vacía. Si se ha producido algún problema al cambiar la configuración del detector de una cuenta, se muestra el ID de la cuenta junto con un resumen del problema.

Supervisión de todos los clústeres de EKS con exclusión de algunos de ellos (mediante una etiqueta de exclusión)

  1. Agregue una etiqueta al clúster de EKS que desee excluir de la supervisión. El par de clave-valor es GuardDutyManaged-false. Para obtener más información sobre cómo agregar la etiqueta, consulte Uso de etiquetas mediante la CLI, la API o eksctl en la Guía del usuario de Amazon EKS.

  2. Para evitar la modificación de las etiquetas, excepto por parte de entidades de confianza, utilice la política que se proporciona en Impedir que las etiquetas se modifiquen excepto por entidades autorizadas en la Guía del usuario de AWS Organizations. En esta política, sustituya los detalles siguientes:

    • Sustituya ec2:CreateTags por eks:TagResource.

    • Sustituya ec2:DeleteTags por eks:UntagResource.

    • Sustituya access-project por GuardDutyManaged.

    • Sustituya 123456789012 por el ID de la Cuenta de AWS de la entidad de confianza.

      Si tiene más de una entidad de confianza, utilice el siguiente ejemplo para agregar varios valores de PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
  3. nota

    Agregue siempre la etiqueta de exclusión a su clúster de EKS antes de establecer el valor de STATUS de EKS_RUNTIME_MONITORING en ENABLED; de lo contrario, el agente de seguridad de GuardDuty se implementará en todos los clústeres de EKS de su cuenta.

    Para habilitar o deshabilitar la supervisión en tiempo de ejecución de EKS de forma selectiva para las nuevas cuentas, invoque la operación de la API UpdateOrganizationConfiguration con su propio ID de detector.

    Establezca el estado de EKS_ADDON_MANAGEMENT como ENABLED.

    GuardDuty administrará la implementación y las actualizaciones del agente de seguridad para todos los clústeres de Amazon EKS que no se hayan excluido de la supervisión.

    También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    En el siguiente ejemplo se habilitan EKS_RUNTIME_MONITORING y EKS_ADDON_MANAGEMENT para una sola cuenta. También puede pasar una lista de ID de cuentas separadas por un espacio.

    Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    aws guardduty update-organization-configuration --detector-id 12abc34d567e8fa901bc2d34e56789f0 --autoEnable  --features '[{"Name" : "EKS_RUNTIME_MONITORING", "AutoEnable": "NEW", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "AutoEnable": "NEW"}] ]'

    Cuando el código se haya ejecutado correctamente, devolverá una lista de UnprocessedAccounts vacía. Si se ha producido algún problema al cambiar la configuración del detector de una cuenta, se muestra el ID de la cuenta junto con un resumen del problema.

Supervisión de determinados clústeres de EKS (mediante una etiqueta de inclusión)

  1. Agregue una etiqueta al clúster de EKS que desee excluir de la supervisión. El par de clave-valor es GuardDutyManaged-true. Para obtener más información sobre cómo agregar la etiqueta, consulte Uso de etiquetas mediante la CLI, la API o eksctl en la Guía del usuario de Amazon EKS.

  2. Para evitar la modificación de las etiquetas, excepto por parte de entidades de confianza, utilice la política que se proporciona en Impedir que las etiquetas se modifiquen excepto por entidades autorizadas en la Guía del usuario de AWS Organizations. En esta política, sustituya los detalles siguientes:

    • Sustituya ec2:CreateTags por eks:TagResource.

    • Sustituya ec2:DeleteTags por eks:UntagResource.

    • Sustituya access-project por GuardDutyManaged.

    • Sustituya 123456789012 por el ID de la Cuenta de AWS de la entidad de confianza.

      Si tiene más de una entidad de confianza, utilice el siguiente ejemplo para agregar varios valores de PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]

  3. Para habilitar o deshabilitar la supervisión en tiempo de ejecución de EKS de forma selectiva para las nuevas cuentas, invoque la operación de la API UpdateOrganizationConfiguration con su propio ID de detector.

    Establezca el estado de EKS_ADDON_MANAGEMENT como DISABLED.

    GuardDuty administrará la implementación y las actualizaciones del agente de seguridad para todos los clústeres de Amazon EKS que se hayan etiquetado con el par GuardDutyManaged-true.

    También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    En el siguiente ejemplo se habilita EKS_RUNTIME_MONITORING y se deshabilita EKS_ADDON_MANAGEMENT para una sola cuenta. También puede pasar una lista de ID de cuentas separadas por un espacio.

    Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    aws guardduty update-organization-configuration --detector-id 12abc34d567e8fa901bc2d34e56789f0 --autoEnable  --features '[{"Name" : "EKS_RUNTIME_MONITORING", "AutoEnable": "NEW", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "AutoEnable": "NEW"}] ]'

    Cuando el código se haya ejecutado correctamente, devolverá una lista de UnprocessedAccounts vacía. Si se ha producido algún problema al cambiar la configuración del detector de una cuenta, se muestra el ID de la cuenta junto con un resumen del problema.

Administración manual del agente de seguridad

  1. Para habilitar o deshabilitar la supervisión en tiempo de ejecución de EKS de forma selectiva para las nuevas cuentas, invoque la operación de la API UpdateOrganizationConfiguration con su propio ID de detector.

    Establezca el estado de EKS_ADDON_MANAGEMENT como DISABLED.

    También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    En el siguiente ejemplo se habilita EKS_RUNTIME_MONITORING y se deshabilita EKS_ADDON_MANAGEMENT para una sola cuenta. También puede pasar una lista de ID de cuentas separadas por un espacio.

    Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    aws guardduty update-organization-configuration --detector-id 12abc34d567e8fa901bc2d34e56789f0 --autoEnable  --features '[{"Name" : "EKS_RUNTIME_MONITORING", "AutoEnable": "NEW", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "AutoEnable": "NEW"}] ]'

    Cuando el código se haya ejecutado correctamente, devolverá una lista de UnprocessedAccounts vacía. Si se ha producido algún problema al cambiar la configuración del detector de una cuenta, se muestra el ID de la cuenta junto con un resumen del problema.

  2. Para administrar el agente de seguridad, consulte Administrar manualmente el agente de seguridad para el clúster de Amazon EKS.

En esta sección se incluyen los pasos para configurar la Supervisión en tiempo de ejecución de EKS y administrar el agente de seguridad para cuentas de miembro activas individuales.

Según los Enfoques para administrar el agente de seguridad de GuardDuty en clústeres de Amazon EKS, puede elegir el enfoque que prefiera y seguir los pasos que se indican en la siguiente tabla.

Enfoque preferido para administrar el agente de seguridad de GuardDuty

Pasos

Administración del agente de seguridad a través de GuardDuty (supervisión de todos los clústeres de EKS)

Para habilitar o deshabilitar la supervisión en tiempo de ejecución de EKS de forma selectiva para sus cuentas de miembros, ejecute la operación de la API updateMemberDetectors con su propio ID de detector.

Establezca el estado de EKS_ADDON_MANAGEMENT como ENABLED.

GuardDuty administrará la implementación y las actualizaciones del agente de seguridad para todos los clústeres de Amazon EKS de su cuenta.

También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

En el ejemplo siguiente se habilita EKS_RUNTIME_MONITORING y EKS_ADDON_MANAGEMENT:

aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] ]'
nota

También puede pasar una lista de ID de cuentas separadas por un espacio.

Cuando el código se haya ejecutado correctamente, devolverá una lista de UnprocessedAccounts vacía. Si se ha producido algún problema al cambiar la configuración del detector de una cuenta, se muestra el ID de la cuenta junto con un resumen del problema.

Supervisión de todos los clústeres de EKS con exclusión de algunos de ellos (mediante una etiqueta de exclusión)

  1. Agregue una etiqueta al clúster de EKS que desee excluir de la supervisión. El par de clave-valor es GuardDutyManaged-false. Para obtener más información sobre cómo agregar la etiqueta, consulte Uso de etiquetas mediante la CLI, la API o eksctl en la Guía del usuario de Amazon EKS.

  2. Para evitar la modificación de las etiquetas, excepto por parte de entidades de confianza, utilice la política que se proporciona en Impedir que las etiquetas se modifiquen excepto por entidades autorizadas en la Guía del usuario de AWS Organizations. En esta política, sustituya los detalles siguientes:

    • Sustituya ec2:CreateTags por eks:TagResource.

    • Sustituya ec2:DeleteTags por eks:UntagResource.

    • Sustituya access-project por GuardDutyManaged.

    • Sustituya 123456789012 por el ID de la Cuenta de AWS de la entidad de confianza.

      Si tiene más de una entidad de confianza, utilice el siguiente ejemplo para agregar varios valores de PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
  3. nota

    Agregue siempre la etiqueta de exclusión a su clúster de EKS antes de establecer el valor de STATUS de EKS_RUNTIME_MONITORING en ENABLED; de lo contrario, el agente de seguridad de GuardDuty se implementará en todos los clústeres de EKS de su cuenta.

    Para habilitar o deshabilitar la supervisión en tiempo de ejecución de EKS de forma selectiva para sus cuentas de miembros, ejecute la operación de la API updateMemberDetectors con su propio ID de detector.

    Establezca el estado de EKS_ADDON_MANAGEMENT como ENABLED.

    GuardDuty administrará la implementación y las actualizaciones del agente de seguridad para todos los clústeres de Amazon EKS que no se hayan excluido de la supervisión.

    También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    En el ejemplo siguiente se habilita EKS_RUNTIME_MONITORING y EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] ]'
    nota

    También puede pasar una lista de ID de cuentas separadas por un espacio.

    Cuando el código se haya ejecutado correctamente, devolverá una lista de UnprocessedAccounts vacía. Si se ha producido algún problema al cambiar la configuración del detector de una cuenta, se muestra el ID de la cuenta junto con un resumen del problema.

Supervisión de determinados clústeres de EKS (mediante una etiqueta de inclusión)

  1. Agregue una etiqueta al clúster de EKS que desee excluir de la supervisión. El par de clave-valor es GuardDutyManaged-true. Para obtener más información sobre cómo agregar la etiqueta, consulte Uso de etiquetas mediante la CLI, la API o eksctl en la Guía del usuario de Amazon EKS.

  2. Para evitar la modificación de las etiquetas, excepto por parte de entidades de confianza, utilice la política que se proporciona en Impedir que las etiquetas se modifiquen excepto por entidades autorizadas en la Guía del usuario de AWS Organizations. En esta política, sustituya los detalles siguientes:

    • Sustituya ec2:CreateTags por eks:TagResource.

    • Sustituya ec2:DeleteTags por eks:UntagResource.

    • Sustituya access-project por GuardDutyManaged.

    • Sustituya 123456789012 por el ID de la Cuenta de AWS de la entidad de confianza.

      Si tiene más de una entidad de confianza, utilice el siguiente ejemplo para agregar varios valores de PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]

  3. Para habilitar o deshabilitar la supervisión en tiempo de ejecución de EKS de forma selectiva para sus cuentas de miembros, ejecute la operación de la API updateMemberDetectors con su propio ID de detector.

    Establezca el estado de EKS_ADDON_MANAGEMENT como DISABLED.

    GuardDuty administrará la implementación y las actualizaciones del agente de seguridad para todos los clústeres de Amazon EKS que se hayan etiquetado con el par GuardDutyManaged-true.

    También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    En el siguiente ejemplo se habilita EKS_RUNTIME_MONITORING y se deshabilita EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "DISABLED"}] ]'
    nota

    También puede pasar una lista de ID de cuentas separadas por un espacio.

    Cuando el código se haya ejecutado correctamente, devolverá una lista de UnprocessedAccounts vacía. Si se ha producido algún problema al cambiar la configuración del detector de una cuenta, se muestra el ID de la cuenta junto con un resumen del problema.

Administración manual del agente de seguridad

  1. Para habilitar o deshabilitar la supervisión en tiempo de ejecución de EKS de forma selectiva para sus cuentas de miembros, ejecute la operación de la API updateMemberDetectors con su propio ID de detector.

    Establezca el estado de EKS_ADDON_MANAGEMENT como DISABLED.

    También puede utilizar el comando de la AWS CLI con su ID de detector regional. Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

    En el siguiente ejemplo se habilita EKS_RUNTIME_MONITORING y se deshabilita EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 555555555555 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] } ]'

  2. Para administrar el agente de seguridad, consulte Administrar manualmente el agente de seguridad para el clúster de Amazon EKS.