Uso compartido VPC con agentes de seguridad automatizados

Si opta por GuardDuty administrar el agente de seguridad automáticamente, Runtime Monitoring admite el uso de uno compartido VPC para los Cuentas de AWS que pertenezcan a la misma organización AWS Organizations. En tu nombre, GuardDuty puedes establecer la política de VPC puntos de conexión de Amazon en función de los detalles asociados a los puntos compartidos VPC de tu organización.

Funcionamiento

Cuando la cuenta propietaria del recurso compartido VPC habilita la monitorización del tiempo de ejecución y la configuración automática de agentes para cualquiera de los recursos AWS Fargate (Amazon EKS o (ECSsolo Amazon)), todos los recursos compartidos VPCs pueden instalarse automáticamente en la cuenta de VPC propietario compartida del VPC punto de conexión de Amazon compartido y del grupo de seguridad asociado. GuardDuty recupera el identificador de la organización que está asociado al Amazon VPC compartido.

Ahora, las Cuentas de AWS que pertenezcan a la misma organización que la cuenta de VPC propietario de Amazon compartida también pueden compartir el mismo VPC punto de conexión de Amazon. GuardDuty crea un VPC punto de conexión de Amazon cuando la cuenta de VPC propietario compartida o la cuenta participante lo necesitan. Algunos ejemplos de cómo se necesita un VPC punto de conexión de Amazon son la activación GuardDuty, el monitoreo del tiempo de EKS ejecución, el monitoreo del tiempo de ejecución o el lanzamiento de una nueva tarea de Amazon ECS -Fargate. Cuando estas cuentas habilitan Runtime Monitoring y la configuración automática de agentes para cualquier tipo de recurso, GuardDuty crea un VPC punto de conexión de Amazon y establece la política de puntos de enlace con el mismo ID de organización que el de la cuenta de VPC propietario compartida. GuardDuty añade una GuardDutyManaged etiqueta y la establece true para el VPC punto de conexión de Amazon que la GuardDuty crea. Si la cuenta de VPC propietario compartida de Amazon no ha habilitado Runtime Monitoring o la configuración automática de agentes para ninguno de los recursos, no GuardDuty establecerá la política de VPC puntos finales de Amazon. Para obtener información sobre la configuración de Runtime Monitoring y la administración automática del agente de seguridad en la cuenta de VPC propietario compartida, consulte¿Habilitar la GuardDuty supervisión del tiempo.

Cada una de las cuentas que utilizan la misma política VPC de puntos de conexión de Amazon se denomina AWS cuenta participante de la Amazon compartida asociadaVPC.

El siguiente ejemplo muestra la política de VPC puntos finales predeterminada de la cuenta de VPC propietario compartida y la cuenta de participante. aws:PrincipalOrgIDMostrará el ID de la organización asociado al VPC recurso compartido. El uso de esta política se limita a las cuentas participantes presentes en la organización de la cuenta de propietario.

{
    "Version": "2012-10-17",
    "Statement": [{
            "Action": "*",
            "Resource": "*",
            "Effect": "Allow",
            "Principal": "*"
        },
        {
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalOrgID": "o-abcdef0123"
                }
            },
            "Action": "*",
            "Resource": "*",
            "Effect": "Deny",
            "Principal": "*"
        }
    ]
}

Requisitos previos para usar el recurso compartido VPC

Runtime Monitoring admite el uso de un agente compartido VPC cuando se usa un agente GuardDuty automatizado. Como parte de la configuración inicial, lleve a cabo los siguientes pasos cuando desee Cuenta de AWS que sea el propietario del recurso compartidoVPC:

Requisitos previos específicos de la supervisión del GuardDuty tiempo de ejecución

La siguiente lista proporciona los requisitos previos específicos de: GuardDuty