Gestion de l'agent de sécurité automatisé pour Fargate (Amazon ECS uniquement) - Amazon GuardDuty

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Gestion de l'agent de sécurité automatisé pour Fargate (Amazon ECS uniquement)

Runtime Monitoring prend en charge la gestion de l'agent de sécurité pour vos clusters Amazon ECS (AWS Fargate) uniquement via GuardDuty. La gestion manuelle de l'agent de sécurité sur les clusters Amazon ECS n'est pas prise en charge.

Avant de suivre les étapes décrites dans cette section, assurez-vous de les suivreConditions requises pour le AWS Fargate support (Amazon ECS uniquement).

Sur la base de Approches pour gérer les agents GuardDuty de sécurité dans les ressources Amazon ECS-Fargate, choisissez une méthode préférée pour activer l'agent GuardDuty automatisé pour vos ressources.

Table des matières

    Dans un environnement à comptes multiples, seul le compte d' GuardDuty administrateur délégué peut activer ou désactiver la configuration automatique des agents pour les comptes membres, et gérer la configuration automatique des agents pour les clusters Amazon ECS qui appartiennent aux comptes membres de leur organisation. Un compte GuardDuty membre ne peut pas modifier cette configuration. Le compte d' GuardDuty administrateur délégué gère les comptes de ses membres à l'aide de AWS Organizations. Pour plus d'informations sur les environnements multicomptes, consultez la section Gestion de plusieurs comptes dans GuardDuty.

    Activation de la configuration automatique des agents pour le compte GuardDuty administrateur délégué

    Manage for all Amazon ECS clusters (account level)

    Si vous avez choisi Activer pour tous les comptes pour la surveillance du temps d'exécution, les options suivantes s'offrent à vous :

    • Choisissez Activer pour tous les comptes dans la section Configuration automatique de l'agent. GuardDuty déploiera et gérera l'agent de sécurité pour toutes les tâches Amazon ECS lancées.

    • Choisissez Configurer les comptes manuellement.

    Si vous avez choisi Configurer les comptes manuellement dans la section Surveillance du temps d'exécution, procédez comme suit :

    1. Choisissez Configurer les comptes manuellement dans la section Configuration automatique de l'agent.

    2. Choisissez Activer dans la section compte GuardDuty administrateur délégué (ce compte).

    Choisissez Save (Enregistrer).

    Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un service ECS spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

    Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Ajoutez une balise à ce cluster Amazon ECS avec la paire clé-valeur sous GuardDutyManaged la forme -. false

    2. Empêchez la modification des balises, sauf par les entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

    4. Dans le volet de navigation, choisissez Runtime Monitoring.

    5. Note

      Ajoutez toujours la balise d'exclusion à vos clusters Amazon ECS avant d'activer la configuration automatique des agents pour votre compte ; sinon GuardDuty , le conteneur annexe sera attaché à tous les conteneurs des tâches Amazon ECS lancées.

      Dans l'onglet Configuration, choisissez Activer dans la configuration de l'agent automatisé.

      Pour les clusters Amazon ECS qui n'ont pas été exclus, il GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur annexe.

    6. Choisissez Save (Enregistrer).

    7. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un service ECS spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Ajoutez une balise à un cluster Amazon ECS pour lequel vous souhaitez inclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. true

    2. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      Note

      Lorsque vous utilisez des balises d'inclusion pour vos clusters Amazon ECS, vous n'avez pas besoin d'activer explicitement l' GuardDuty agent par le biais de la configuration automatique de l'agent.

    3. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un service ECS spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Activation automatique pour tous les comptes membres

    Manage for all Amazon ECS clusters (account level)

    Les étapes suivantes supposent que vous avez choisi Activer pour tous les comptes dans la section Runtime Monitoring.

    1. Choisissez Activer pour tous les comptes dans la section Configuration automatique de l'agent. GuardDuty déploiera et gérera l'agent de sécurité pour toutes les tâches Amazon ECS lancées.

    2. Choisissez Save (Enregistrer).

    3. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un service ECS spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Ajoutez une balise à ce cluster Amazon ECS avec la paire clé-valeur sous GuardDutyManaged la forme -. false

    2. Empêchez la modification des balises, sauf par les entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

    4. Dans le volet de navigation, choisissez Runtime Monitoring.

    5. Note

      Ajoutez toujours la balise d'exclusion à vos clusters Amazon ECS avant d'activer la configuration automatique des agents pour votre compte ; sinon GuardDuty , le conteneur annexe sera attaché à tous les conteneurs des tâches Amazon ECS lancées.

      Dans l'onglet Configuration, choisissez Modifier.

    6. Choisissez Activer pour tous les comptes dans la section Configuration automatique de l'agent

      Pour les clusters Amazon ECS qui n'ont pas été exclus, il GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur annexe.

    7. Choisissez Save (Enregistrer).

    8. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un service ECS spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for selective (inclusion-only) Amazon ECS clusters (cluster level)

    Quelle que soit la manière dont vous choisissez d'activer la surveillance du temps d'exécution, les étapes suivantes vous aideront à surveiller certaines tâches Amazon ECS Fargate pour tous les comptes membres de votre organisation.

    1. N'activez aucune configuration dans la section Configuration automatique de l'agent. Conservez la configuration de surveillance du temps d'exécution identique à celle que vous avez sélectionnée à l'étape précédente.

    2. Choisissez Save (Enregistrer).

    3. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      Note

      Lorsque vous utilisez des balises d'inclusion pour vos clusters Amazon ECS, vous n'avez pas besoin d'activer explicitement la gestion automatique des GuardDuty agents.

    4. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un service ECS spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Activation de la configuration automatique des agents pour les comptes de membres actifs existants

    Manage for all Amazon ECS clusters (account level)

    1. Sur la page Runtime Monitoring, sous l'onglet Configuration, vous pouvez consulter l'état actuel de la configuration automatique des agents.

    2. Dans le volet Configuration automatique de l'agent, dans la section Comptes membres actifs, sélectionnez Actions.

    3. Dans Actions, choisissez Activer pour tous les comptes membres actifs existants.

    4. Choisissez Confirmer.

    5. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un service ECS spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Ajoutez une balise à ce cluster Amazon ECS avec la paire clé-valeur sous GuardDutyManaged la forme -. false

    2. Empêchez la modification des balises, sauf par les entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

    4. Dans le volet de navigation, choisissez Runtime Monitoring.

    5. Note

      Ajoutez toujours la balise d'exclusion à vos clusters Amazon ECS avant d'activer la configuration automatique des agents pour votre compte ; sinon GuardDuty , le conteneur annexe sera attaché à tous les conteneurs des tâches Amazon ECS lancées.

      Sous l'onglet Configuration, dans la section Configuration automatique de l'agent, sous Comptes membres actifs, sélectionnez Actions.

    6. Dans Actions, choisissez Activer pour tous les comptes membres actifs.

      Pour les clusters Amazon ECS qui n'ont pas été exclus, il GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur annexe.

    7. Choisissez Confirmer.

    8. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un service ECS spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Ajoutez une balise à un cluster Amazon ECS pour lequel vous souhaitez inclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. true

    2. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      Note

      Lorsque vous utilisez des balises d'inclusion pour vos clusters Amazon ECS, vous n'avez pas besoin d'activer explicitement la configuration automatisée des agents.

    3. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un service ECS spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Activation automatique Configuration automatique des agents pour les nouveaux membres

    Manage for all Amazon ECS clusters (account level)

    1. Sur la page Runtime Monitoring, choisissez Modifier pour mettre à jour la configuration existante.

    2. Dans la section Configuration automatique de l'agent, sélectionnez Activer automatiquement pour les nouveaux comptes membres.

    3. Choisissez Save (Enregistrer).

    4. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un service ECS spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Ajoutez une balise à ce cluster Amazon ECS avec la paire clé-valeur sous GuardDutyManaged la forme -. false

    2. Empêchez la modification des balises, sauf par les entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

    4. Dans le volet de navigation, choisissez Runtime Monitoring.

    5. Note

      Ajoutez toujours la balise d'exclusion à vos clusters Amazon ECS avant d'activer la configuration automatique des agents pour votre compte ; sinon GuardDuty , le conteneur annexe sera attaché à tous les conteneurs des tâches Amazon ECS lancées.

      Dans l'onglet Configuration, sélectionnez Activer automatiquement pour les nouveaux comptes membres dans la section Configuration automatique de l'agent.

      Pour les clusters Amazon ECS qui n'ont pas été exclus, il GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur annexe.

    6. Choisissez Save (Enregistrer).

    7. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un service ECS spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Ajoutez une balise à un cluster Amazon ECS pour lequel vous souhaitez inclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. true

    2. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      Note

      Lorsque vous utilisez des balises d'inclusion pour vos clusters Amazon ECS, vous n'avez pas besoin d'activer explicitement la configuration automatisée des agents.

    3. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un service ECS spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Activation sélective de la configuration automatique des agents pour les comptes de membres actifs

    Manage for all Amazon ECS (account level)

    1. Sur la page Comptes, sélectionnez les comptes pour lesquels vous souhaitez activer la configuration automatique de l'agent Runtime Monitoring-Automated (ECS-Fargate). Vous pouvez sélectionner plusieurs comptes. Assurez-vous que les comptes que vous sélectionnez à cette étape sont déjà activés avec Runtime Monitoring.

    2. Dans Modifier les plans de protection, choisissez l'option appropriée pour activer la configuration automatique de l'agent Runtime Monitoring-Automated (ECS-Fargate).

    3. Choisissez Confirmer.

    4. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un service ECS spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Ajoutez une balise à ce cluster Amazon ECS avec la paire clé-valeur sous GuardDutyManaged la forme -. false

    2. Empêchez la modification des balises, sauf par les entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

    4. Dans le volet de navigation, choisissez Runtime Monitoring.

    5. Note

      Ajoutez toujours la balise d'exclusion à vos clusters Amazon ECS avant d'activer la gestion automatique des GuardDuty agents pour votre compte ; sinon GuardDuty , le conteneur annexe sera attaché à tous les conteneurs des tâches Amazon ECS lancées.

      Sur la page Comptes, sélectionnez les comptes pour lesquels vous souhaitez activer la configuration automatique de l'agent Runtime Monitoring-Automated (ECS-Fargate). Vous pouvez sélectionner plusieurs comptes. Assurez-vous que les comptes que vous sélectionnez à cette étape sont déjà activés avec Runtime Monitoring.

      Pour les clusters Amazon ECS qui n'ont pas été exclus, il GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur annexe.

    6. Dans Modifier les plans de protection, choisissez l'option appropriée pour activer la configuration automatique de l'agent Runtime Monitoring-Automated (ECS-Fargate).

    7. Choisissez Save (Enregistrer).

    8. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un service ECS spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Assurez-vous de ne pas activer la configuration d'agent automatisée (ou la configuration d'agent automatisée de surveillance du temps d'exécution (ECS-Fargate)) pour les comptes sélectionnés dotés des clusters Amazon ECS que vous souhaitez surveiller.

    2. Ajoutez une balise à un cluster Amazon ECS pour lequel vous souhaitez inclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. true

    3. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      Note

      Lorsque vous utilisez des balises d'inclusion pour vos clusters Amazon ECS, vous n'avez pas besoin d'activer explicitement la configuration automatisée des agents.

    4. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un service ECS spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    1. Connectez-vous à la GuardDuty console AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/guardduty/.

    2. Dans le volet de navigation, choisissez Runtime Monitoring.

    3. Sous l'onglet Configuration :

      1. Pour gérer la configuration automatisée des agents pour tous les clusters Amazon ECS (au niveau du compte)

        Choisissez Activer dans la section Configuration automatique de l'agent pour AWS Fargate (ECS uniquement). Lorsqu'une nouvelle tâche Fargate Amazon ECS est GuardDuty lancée, il gère le déploiement de l'agent de sécurité.

        1. Choisissez Save (Enregistrer).

      2. Pour gérer la configuration automatisée des agents en excluant certains clusters Amazon ECS (au niveau du cluster)

        1. Ajoutez une balise au cluster Amazon ECS pour lequel vous souhaitez exclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. false

        2. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

          {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

        3. Sous l'onglet Configuration, choisissez Activer dans la section Configuration automatique de l'agent.

          Note

          Ajoutez toujours la balise d'exclusion à votre cluster Amazon ECS avant d'activer la gestion automatique des GuardDuty agents pour votre compte ; sinon, l'agent de sécurité sera déployé dans toutes les tâches lancées au sein du cluster Amazon ECS correspondant.

          Pour les clusters Amazon ECS qui n'ont pas été exclus, il GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur annexe.

        4. Choisissez Save (Enregistrer).

      3. Pour gérer la configuration automatisée des agents en incluant certains clusters Amazon ECS (au niveau du cluster)

        1. Ajoutez une balise à un cluster Amazon ECS pour lequel vous souhaitez inclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. true

        2. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

          {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    4. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un service ECS spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :