Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Requisitos previos para el AWS Fargate soporte (ECSsolo para Amazon)

Esta sección incluye los requisitos previos para monitorear el comportamiento en tiempo de ejecución de sus recursos de Fargate-AmazonECS. Una vez cumplidos estos requisitos previos, consulte ¿Habilitar la GuardDuty supervisión del tiempo.

Validación de los requisitos de arquitectura

La plataforma que utilices puede afectar a la forma GuardDuty en que el agente de GuardDuty seguridad admite la recepción de los eventos de tiempo de ejecución de tus ECS clústeres de Amazon. Debe validar que esté utilizando una de las plataformas verificadas.

Plataformas verificadas

La distribución y la CPU arquitectura del sistema operativo afectan al soporte que proporciona el agente GuardDuty de seguridad. En la siguiente tabla se muestra la configuración verificada para implementar el agente GuardDuty de seguridad y configurar Runtime Monitoring.

¹ Soporte para varios sistemas operativos: GuardDuty ha verificado la compatibilidad con el uso de Runtime Monitoring en los sistemas operativos que se enumeran en la tabla anterior. Si utiliza un sistema operativo diferente y puede instalar el agente de seguridad correctamente, es posible que obtenga todo el valor de seguridad esperado que se GuardDuty ha verificado para la distribución del sistema operativo indicada.

Proporcione ECR los permisos y los detalles de la subred

Antes de habilitar la Supervisión en tiempo de ejecución, debe proporcionar los siguientes detalles:

Validar la política de control de servicios de la organización

Este paso es necesario GuardDuty para respaldar el monitoreo del tiempo de ejecución y evaluar la cobertura en los diferentes tipos de recursos.

Si ha configurado una política de control de servicios (SCP) para administrar los permisos en su organización, valide que el límite de permisos no sea restrictivo guardduty:SendSecurityTelemetry en su política TaskExecutionRole ni en la suya.

La siguiente política es un ejemplo de cómo permitir la política de guardduty:SendSecurityTelemetry:

{
    "Version": "2012-10-17",
    "Statement": [
        {
    "Effect": "Allow",
            "Action": [
                ...,
                ...,               
                "guardduty:SendSecurityTelemetry"
            ],
            "Resource": "*"
        }
    ]
}

Para obtener información sobre las políticas y los permisos, consulte los límites de los permisos en la Guía del IAM usuario.

Si es una cuenta de miembro, contacte al administrador delegado asociado. Para obtener información sobre la administración SCPs de su organización, consulte Políticas de control de servicios (SCPs).

CPUy límites de memoria

En la definición de tarea de Fargate, debe especificar el valor CPU y el valor de memoria a nivel de tarea. La siguiente tabla muestra las combinaciones válidas de valores de memoria CPU y nivel de tarea, así como el límite máximo de memoria del agente de GuardDuty seguridad correspondiente para el contenedor. GuardDuty

Después de habilitar la Supervisión en tiempo de ejecución y evaluar que la cobertura del clúster esté en buen estado, podrá configurar y ver las métricas de Información de contenedores. Para obtener más información, Configuración de la supervisión en el ECS clúster de Amazon.

El siguiente paso consiste en configurar la Supervisión en tiempo de ejecución, así como el agente de seguridad.