Gestion de l'agent de sécurité automatisé pour Fargate (Amazon uniquement) ECS - Amazon GuardDuty

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Gestion de l'agent de sécurité automatisé pour Fargate (Amazon uniquement) ECS

Runtime Monitoring prend en charge la gestion de l'agent de sécurité pour vos ECS clusters Amazon (AWS Fargate) uniquement via GuardDuty. La gestion manuelle de l'agent de sécurité sur les ECS clusters Amazon n'est pas prise en charge.

Avant de suivre les étapes décrites dans cette section, assurez-vous de les suivreConditions préalables à l' AWS Fargate assistance (Amazon ECS uniquement).

Sur la base de Approches pour gérer les agents GuardDuty de sécurité dans Amazon ECS -Fargate Resources, choisissez une méthode préférée pour activer l'agent GuardDuty automatisé pour vos ressources.

Table des matières

    Dans un environnement à comptes multiples, seul le compte d' GuardDuty administrateur délégué peut activer ou désactiver la configuration automatique des agents pour les comptes des membres, et gérer la configuration automatique des agents pour les ECS clusters Amazon appartenant aux comptes membres de leur organisation. Un compte GuardDuty membre ne peut pas modifier cette configuration. Le compte d' GuardDuty administrateur délégué gère les comptes de ses membres à l'aide de AWS Organizations. Pour plus d'informations sur les environnements multicomptes, consultez la section Gestion de plusieurs comptes dans GuardDuty.

    Activation de la configuration automatique des agents pour le compte GuardDuty d'administrateur délégué

    Manage for all Amazon ECS clusters (account level)

    Si vous avez choisi Activer pour tous les comptes pour la surveillance du temps d'exécution, les options suivantes s'offrent à vous :

    • Choisissez Activer pour tous les comptes dans la section Configuration automatique de l'agent. GuardDuty déploiera et gérera l'agent de sécurité pour toutes les ECS tâches Amazon lancées.

    • Choisissez Configurer les comptes manuellement.

    Si vous avez choisi Configurer les comptes manuellement dans la section Surveillance du temps d'exécution, procédez comme suit :

    1. Choisissez Configurer les comptes manuellement dans la section Configuration automatique de l'agent.

    2. Choisissez Activer dans la section compte GuardDuty administrateur délégué (ce compte).

    Choisissez Save (Enregistrer).

    Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un ECS service spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

    Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Ajoutez une balise à ce ECS cluster Amazon avec la paire clé-valeur sous GuardDutyManaged la forme -. false

    2. Empêchez la modification des balises, sauf par les entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

    4. Dans le volet de navigation, choisissez Runtime Monitoring.

    5. Note

      Ajoutez toujours la balise d'exclusion à vos ECS clusters Amazon avant d'activer la configuration automatique des agents pour votre compte ; sinon GuardDuty , le conteneur annexe sera attaché à tous les conteneurs des ECS tâches Amazon lancées.

      Dans l'onglet Configuration, choisissez Activer dans la configuration de l'agent automatisé.

      Pour les ECS clusters Amazon qui n'ont pas été exclus, GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur annexe.

    6. Choisissez Save (Enregistrer).

    7. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un ECS service spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Ajoutez une balise à un ECS cluster Amazon pour lequel vous souhaitez inclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. true

    2. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      Note

      Lorsque vous utilisez des balises d'inclusion pour vos ECS clusters Amazon, vous n'avez pas besoin d'activer explicitement GuardDuty l'agent via la configuration automatique des agents.

    3. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un ECS service spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Activation automatique pour tous les comptes membres

    Manage for all Amazon ECS clusters (account level)

    Les étapes suivantes supposent que vous avez choisi Activer pour tous les comptes dans la section Runtime Monitoring.

    1. Choisissez Activer pour tous les comptes dans la section Configuration automatique de l'agent. GuardDuty déploiera et gérera l'agent de sécurité pour toutes les ECS tâches Amazon lancées.

    2. Choisissez Save (Enregistrer).

    3. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un ECS service spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Ajoutez une balise à ce ECS cluster Amazon avec la paire clé-valeur sous GuardDutyManaged la forme -. false

    2. Empêchez la modification des balises, sauf par les entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

    4. Dans le volet de navigation, choisissez Runtime Monitoring.

    5. Note

      Ajoutez toujours la balise d'exclusion à vos ECS clusters Amazon avant d'activer la configuration automatique des agents pour votre compte ; sinon GuardDuty , le conteneur annexe sera attaché à tous les conteneurs des ECS tâches Amazon lancées.

      Dans l'onglet Configuration, choisissez Modifier.

    6. Choisissez Activer pour tous les comptes dans la section Configuration automatique de l'agent

      Pour les ECS clusters Amazon qui n'ont pas été exclus, GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur annexe.

    7. Choisissez Save (Enregistrer).

    8. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un ECS service spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for selective (inclusion-only) Amazon ECS clusters (cluster level)

    Quelle que soit la manière dont vous choisissez d'activer la surveillance du temps d'exécution, les étapes suivantes vous aideront à surveiller certaines tâches Amazon ECS Fargate pour tous les comptes membres de votre organisation.

    1. N'activez aucune configuration dans la section Configuration automatique de l'agent. Conservez la configuration de surveillance du temps d'exécution identique à celle que vous avez sélectionnée à l'étape précédente.

    2. Choisissez Save (Enregistrer).

    3. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      Note

      Lorsque vous utilisez des balises d'inclusion pour vos ECS clusters Amazon, vous n'avez pas besoin d'activer explicitement la gestion automatique des GuardDuty agents.

    4. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un ECS service spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Activation de la configuration automatique des agents pour les comptes de membres actifs existants

    Manage for all Amazon ECS clusters (account level)

    1. Sur la page Runtime Monitoring, sous l'onglet Configuration, vous pouvez consulter l'état actuel de la configuration automatique des agents.

    2. Dans le volet de configuration de l'agent automatisé, dans la section Comptes membres actifs, sélectionnez Actions.

    3. Dans Actions, choisissez Activer pour tous les comptes membres actifs existants.

    4. Choisissez Confirmer.

    5. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un ECS service spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Ajoutez une balise à ce ECS cluster Amazon avec la paire clé-valeur sous GuardDutyManaged la forme -. false

    2. Empêchez la modification des balises, sauf par les entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

    4. Dans le volet de navigation, choisissez Runtime Monitoring.

    5. Note

      Ajoutez toujours la balise d'exclusion à vos ECS clusters Amazon avant d'activer la configuration automatique des agents pour votre compte ; sinon GuardDuty , le conteneur annexe sera attaché à tous les conteneurs des ECS tâches Amazon lancées.

      Sous l'onglet Configuration, dans la section Configuration automatique de l'agent, sous Comptes membres actifs, sélectionnez Actions.

    6. Dans Actions, choisissez Activer pour tous les comptes membres actifs.

      Pour les ECS clusters Amazon qui n'ont pas été exclus, GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur annexe.

    7. Choisissez Confirmer.

    8. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un ECS service spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Ajoutez une balise à un ECS cluster Amazon pour lequel vous souhaitez inclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. true

    2. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      Note

      Lorsque vous utilisez des balises d'inclusion pour vos ECS clusters Amazon, vous n'avez pas besoin d'activer explicitement la configuration automatisée des agents.

    3. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un ECS service spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Activation automatique Configuration automatique des agents pour les nouveaux membres

    Manage for all Amazon ECS clusters (account level)

    1. Sur la page Runtime Monitoring, choisissez Modifier pour mettre à jour la configuration existante.

    2. Dans la section Configuration automatique de l'agent, sélectionnez Activer automatiquement pour les nouveaux comptes membres.

    3. Choisissez Save (Enregistrer).

    4. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un ECS service spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Ajoutez une balise à ce ECS cluster Amazon avec la paire clé-valeur sous GuardDutyManaged la forme -. false

    2. Empêchez la modification des balises, sauf par les entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

    4. Dans le volet de navigation, choisissez Runtime Monitoring.

    5. Note

      Ajoutez toujours la balise d'exclusion à vos ECS clusters Amazon avant d'activer la configuration automatique des agents pour votre compte ; sinon GuardDuty , le conteneur annexe sera attaché à tous les conteneurs des ECS tâches Amazon lancées.

      Dans l'onglet Configuration, sélectionnez Activer automatiquement pour les nouveaux comptes membres dans la section Configuration automatique de l'agent.

      Pour les ECS clusters Amazon qui n'ont pas été exclus, GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur annexe.

    6. Choisissez Save (Enregistrer).

    7. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un ECS service spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Ajoutez une balise à un ECS cluster Amazon pour lequel vous souhaitez inclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. true

    2. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      Note

      Lorsque vous utilisez des balises d'inclusion pour vos ECS clusters Amazon, vous n'avez pas besoin d'activer explicitement la configuration automatisée des agents.

    3. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un ECS service spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Activation sélective de la configuration automatique des agents pour les comptes de membres actifs

    Manage for all Amazon ECS (account level)

    1. Sur la page Comptes, sélectionnez les comptes pour lesquels vous souhaitez activer la configuration automatique de l'agent Runtime Monitoring (-Fargate)ECS. Vous pouvez sélectionner plusieurs comptes. Assurez-vous que les comptes que vous sélectionnez à cette étape sont déjà activés avec Runtime Monitoring.

    2. Dans Modifier les plans de protection, choisissez l'option appropriée pour activer la configuration automatisée de l'agent Runtime Monitoring-Automated (ECS-Fargate).

    3. Choisissez Confirmer.

    4. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un ECS service spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Ajoutez une balise à ce ECS cluster Amazon avec la paire clé-valeur sous GuardDutyManaged la forme -. false

    2. Empêchez la modification des balises, sauf par les entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

    4. Dans le volet de navigation, choisissez Runtime Monitoring.

    5. Note

      Ajoutez toujours la balise d'exclusion à vos ECS clusters Amazon avant d'activer la gestion automatique des GuardDuty agents pour votre compte ; sinon GuardDuty , le conteneur annexe sera attaché à tous les conteneurs des ECS tâches Amazon lancées.

      Sur la page Comptes, sélectionnez les comptes pour lesquels vous souhaitez activer la configuration automatique de l'agent Runtime Monitoring (-Fargate)ECS. Vous pouvez sélectionner plusieurs comptes. Assurez-vous que les comptes que vous sélectionnez à cette étape sont déjà activés avec Runtime Monitoring.

      Pour les ECS clusters Amazon qui n'ont pas été exclus, GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur annexe.

    6. Dans Modifier les plans de protection, choisissez l'option appropriée pour activer la configuration automatisée de l'agent Runtime Monitoring-Automated (ECS-Fargate).

    7. Choisissez Save (Enregistrer).

    8. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un ECS service spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Assurez-vous de ne pas activer la configuration d'agent automatisée (ou la configuration d'agent automatisée de surveillance du temps d'exécution (ECS-Fargate)) pour les comptes sélectionnés dotés des ECS clusters Amazon que vous souhaitez surveiller.

    2. Ajoutez une balise à un ECS cluster Amazon pour lequel vous souhaitez inclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. true

    3. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      Note

      Lorsque vous utilisez des balises d'inclusion pour vos ECS clusters Amazon, vous n'avez pas besoin d'activer explicitement la configuration automatisée des agents.

    4. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un ECS service spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    1. Connectez-vous à la GuardDuty console AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/guardduty/.

    2. Dans le volet de navigation, choisissez Runtime Monitoring.

    3. Sous l'onglet Configuration :

      1. Pour gérer la configuration automatisée des agents pour tous les ECS clusters Amazon (au niveau du compte)

        Choisissez Activer dans la section Configuration automatique de l'agent pour AWS Fargate (ECSuniquement). Lorsqu'une nouvelle tâche Fargate est GuardDuty lancée, ECS Amazon gère le déploiement de l'agent de sécurité.

        1. Choisissez Save (Enregistrer).

      2. Pour gérer la configuration automatisée des agents en excluant certains ECS clusters Amazon (au niveau du cluster)

        1. Ajoutez une balise au ECS cluster Amazon pour lequel vous souhaitez exclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. false

        2. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

          {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

        3. Sous l'onglet Configuration, choisissez Activer dans la section Configuration automatique de l'agent.

          Note

          Ajoutez toujours la balise d'exclusion à votre ECS cluster Amazon avant d'activer la gestion automatique des GuardDuty agents pour votre compte ; sinon, l'agent de sécurité sera déployé dans toutes les tâches lancées au sein du ECS cluster Amazon correspondant.

          Pour les ECS clusters Amazon qui n'ont pas été exclus, GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur annexe.

        4. Choisissez Save (Enregistrer).

      3. Pour gérer la configuration automatisée des agents en incluant certains ECS clusters Amazon (au niveau du cluster)

        1. Ajoutez une balise à un ECS cluster Amazon pour lequel vous souhaitez inclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. true

        2. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique décrite dans Empêcher la modification des balises, sauf selon les principes autorisés dans le Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

          {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    4. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé la surveillance du temps d'exécution. Si le dernier déploiement d'un ECS service spécifique a été lancé avant que vous n'activiez la surveillance du temps d'exécution, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :