Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Conditions préalables à l' AWS Fargate assistance (Amazon ECS uniquement)

Cette section inclut les conditions préalables à la surveillance du comportement d'exécution de vos ressources Fargate-AmazonECS. Une fois ces conditions préalables remplies, voirActiver la surveillance du GuardDuty temps d'exécution.

Validation des exigences architecturales

La plate-forme que vous utilisez peut avoir un impact sur GuardDuty la manière dont l'agent de sécurité prend GuardDuty en charge la réception des événements d'exécution de vos ECS clusters Amazon. Vous devez confirmer que vous utilisez l'une des plateformes vérifiées.

Plateformes vérifiées

La distribution et l'CPUarchitecture du système d'exploitation ont un impact sur le support fourni par l'agent GuardDuty de sécurité. Le tableau suivant présente la configuration vérifiée pour le déploiement de l'agent de GuardDuty sécurité et la configuration de la surveillance du temps d'exécution.

¹ Support pour différents systèmes d'exploitation : GuardDuty a vérifié la prise en charge de l'utilisation de Runtime Monitoring sur les systèmes d'exploitation répertoriés dans le tableau précédent. Si vous utilisez un autre système d'exploitation et que vous parvenez à installer correctement l'agent de sécurité, vous obtiendrez peut-être toutes les valeurs de sécurité attendues dont l' GuardDuty exactitude a été vérifiée pour la distribution du système d'exploitation répertoriée.

Fournir ECR les autorisations et les détails du sous-réseau

Avant d'activer la surveillance du temps d'exécution, vous devez fournir les informations suivantes :

Validation de la politique de contrôle des services de votre organisation

Cette étape est nécessaire pour GuardDuty prendre en charge la surveillance du temps d'exécution et évaluer la couverture des différents types de ressources.

Si vous avez défini une politique de contrôle des services (SCP) pour gérer les autorisations au sein de votre organisation, vérifiez que la limite des autorisations n'est pas restrictive guardduty:SendSecurityTelemetry dans votre politique TaskExecutionRole et dans la vôtre.

La politique suivante est un exemple d'autorisation de la guardduty:SendSecurityTelemetry stratégie :

{
    "Version": "2012-10-17",
    "Statement": [
        {
    "Effect": "Allow",
            "Action": [
                ...,
                ...,               
                "guardduty:SendSecurityTelemetry"
            ],
            "Resource": "*"
        }
    ]
}

Pour plus d'informations sur les politiques et les autorisations, consultez la section Limites des autorisations dans le guide de IAM l'utilisateur.

Si vous êtes un compte membre, connectez-vous à l'administrateur délégué associé. Pour plus d'informations sur la gestion SCPs de votre organisation, voir Politiques de contrôle des services (SCPs).

CPUet limites de mémoire

Dans la définition de la tâche Fargate, vous devez spécifier la valeur et CPU la valeur de mémoire au niveau de la tâche. Le tableau suivant indique les combinaisons valides de valeurs de niveau de tâche CPU et de mémoire, ainsi que la limite de mémoire maximale de l'agent de GuardDuty sécurité correspondant pour le GuardDuty conteneur.

Après avoir activé la surveillance du temps d'exécution et vérifié que l'état de couverture de votre cluster est sain, vous pouvez configurer et consulter les métriques Container Insight. Pour plus d’informations, consultez Configuration de la surveillance sur le ECS cluster Amazon.

L'étape suivante consiste à configurer la surveillance du temps d'exécution ainsi que l'agent de sécurité.