Cobertura del tiempo de ejecución y solución de problemas para los ECS clústeres de Amazon

La cobertura del tiempo de ejecución de ECS los clústeres de Amazon incluye las tareas que se ejecutan en AWS Fargate las instancias de ECS contenedores de Amazon ¹.

En el caso de un ECS clúster de Amazon que se ejecuta en Fargate, la cobertura del tiempo de ejecución se evalúa a nivel de tarea. La cobertura del tiempo de ejecución del ECS clúster incluye las tareas de Fargate que comenzaron a ejecutarse después de habilitar la supervisión del tiempo de ejecución y la configuración automática de los agentes para Fargate (solo). ECS De forma predeterminada, las tareas de Fargate son inmutables. GuardDuty no podrá instalar el agente de seguridad para supervisar los contenedores en las tareas que ya estén en ejecución. Para incluir una tarea de Fargate de este tipo, debe detener e iniciar de nuevo la tarea. Asegúrese de verificar si el servicio asociado es compatible.

Para obtener información sobre Amazon ECS Container, consulta Creación de capacidad.

Revisión de las estadísticas de cobertura

Las estadísticas de cobertura de ECS los recursos de Amazon asociados a tu propia cuenta o a las cuentas de tus miembros representan el porcentaje de clústeres de Amazon en buen estado entre todos los ECS ECS clústeres de Amazon de los seleccionados Región de AWS. Esto incluye la cobertura de los ECS clústeres de Amazon asociados a las instancias de Fargate y AmazonEC2. La siguiente ecuación lo representa de la siguiente manera:

(Clústeres en buen estado/Todos los clústeres)*100

Consideraciones

Elija uno de los métodos de acceso para revisar las estadísticas de cobertura de sus cuentas.

Para obtener más información sobre los problemas de cobertura, consulte Solución de problemas de cobertura ECS de tiempo de ejecución de Amazon -Fargate.

El estado de la cobertura cambia con EventBridge las notificaciones

El estado de cobertura de tu ECS clúster de Amazon puede aparecer como Insalubre. Para mantenerse informado sobre los cambios en el estado de la cobertura, recomendamos supervisar periódicamente su estado y solucionar cualquier problema si esta se encuentra en mal estado. Como alternativa, puedes crear una EventBridge regla de Amazon para recibir una notificación cuando el estado de la cobertura cambie de Insalubre a Saludable o no. De forma predeterminada, la GuardDuty publica en el EventBridge bus de tu cuenta.

Ejemplo de esquema de notificaciones

Como EventBridge regla general, puede utilizar los ejemplos de eventos y patrones de eventos predefinidos para recibir la notificación del estado de la cobertura. Para obtener más información sobre cómo crear una EventBridge regla, consulta Crear regla en la Guía del EventBridge usuario de Amazon.

Además, puede crear un patrón de eventos personalizado mediante el siguiente ejemplo de esquema de notificaciones. Asegúrese de sustituir los valores de su cuenta. Para recibir una notificación cuando el estado de cobertura de tu ECS clúster de Amazon cambie de Healthy aUnhealthy, detail-type deberías hacerloGuardDuty Runtime Protection Unhealthy. Para recibir una notificación cuando el estado de la cobertura cambie de Unhealthy aHealthy, sustituye el valor detail-type de porGuardDuty Runtime Protection Healthy.

{
  "version": "0",
  "id": "event ID",
  "detail-type": "GuardDuty Runtime Protection Unhealthy",
  "source": "aws.guardduty",
  "account": "Cuenta de AWS ID",
  "time": "event timestamp (string)",
  "region": "Región de AWS",
  "resources": [
       ],
  "detail": {
    "schemaVersion": "1.0",
    "resourceAccountId": "string",
    "currentStatus": "string",
    "previousStatus": "string",
    "resourceDetails": {
        "resourceType": "ECS",
        "ecsClusterDetails": {
          "clusterName":"",
          "fargateDetails":{
            "issues":[],
            "managementType":""
          },
          "containerInstanceDetails":{
            "coveredContainerInstances":int,
            "compatibleContainerInstances":int
          }
        }
    },
    "issue": "string",
    "lastUpdatedAt": "timestamp"
  }
}

Solución de problemas de cobertura ECS de tiempo de ejecución de Amazon -Fargate

Si el estado de la cobertura de tu ECS clúster de Amazon es Incorrecto, puedes ver el motivo en la columna Problema.

La siguiente tabla proporciona los pasos de solución de problemas recomendados para los problemas de Fargate (ECSsolo en Amazon). Para obtener información sobre los problemas de cobertura de las EC2 instancias de Amazon, consulta Solución de problemas de cobertura en EC2 tiempo de ejecución de Amazon las EC2 instancias de Amazon.

...
      "ecr:GetAuthorizationToken",
      "ecr:BatchCheckLayerAvailability",
      "ecr:GetDownloadUrlForLayer",
      "ecr:BatchGetImage",
...