Cakupan runtime dan pemecahan masalah untuk klaster Amazon ECS

Cakupan runtime untuk ECS klaster Amazon mencakup tugas yang sedang berjalan dan instans ECS penampung AWS Fargate Amazon. ¹

Untuk ECS klaster Amazon yang berjalan di Fargate, cakupan runtime dinilai pada tingkat tugas. Cakupan runtime ECS cluster mencakup tugas-tugas Fargate yang sudah mulai berjalan setelah Anda mengaktifkan Runtime Monitoring dan konfigurasi agen otomatis untuk Fargate (hanya). ECS Secara default, tugas Fargate tidak dapat diubah. GuardDuty tidak akan dapat menginstal agen keamanan untuk memantau kontainer pada tugas yang sudah berjalan. Untuk memasukkan tugas Fargate seperti itu, Anda harus berhenti dan memulai tugas lagi. Pastikan untuk memeriksa apakah layanan terkait didukung.

Untuk informasi tentang ECS wadah Amazon, lihat Pembuatan kapasitas.

Meninjau statistik cakupan

Statistik cakupan untuk ECS sumber daya Amazon yang terkait dengan akun Anda sendiri atau akun anggota Anda adalah persentase ECS klaster Amazon yang sehat di semua ECS cluster Amazon yang dipilih. Wilayah AWS Ini termasuk cakupan untuk ECS cluster Amazon yang terkait dengan instance Fargate dan AmazonEC2. Persamaan berikut mewakili ini sebagai:

(Cluster sehat/Semua cluster) * 100

Pertimbangan

Pilih salah satu metode akses untuk meninjau statistik cakupan akun Anda.

Untuk informasi selengkapnya tentang masalah cakupan, lihatMemecahkan masalah cakupan runtime Amazon ECS -Fargate.

Perubahan status cakupan dengan EventBridge notifikasi

Status cakupan ECS klaster Amazon Anda mungkin tampak tidak sehat. Untuk mengetahui kapan status pertanggungan berubah, kami sarankan Anda untuk memantau status pertanggungan secara berkala, dan memecahkan masalah jika status menjadi tidak sehat. Atau, Anda dapat membuat EventBridge aturan Amazon untuk menerima pemberitahuan saat status cakupan berubah dari Tidak Sehat menjadi Sehat atau lainnya. Secara default, GuardDuty publikasikan ini di EventBridge bus untuk akun Anda.

Skema pemberitahuan sampel

Dalam EventBridge aturan, Anda dapat menggunakan contoh peristiwa dan pola peristiwa yang telah ditentukan sebelumnya untuk menerima pemberitahuan status cakupan. Untuk informasi selengkapnya tentang membuat EventBridge aturan, lihat Membuat aturan di Panduan EventBridge Pengguna Amazon.

Selain itu, Anda dapat membuat pola acara khusus dengan menggunakan skema pemberitahuan contoh berikut. Pastikan untuk mengganti nilai untuk akun Anda. Untuk mendapatkan pemberitahuan saat status cakupan ECS klaster Amazon Anda berubah dari Healthy keUnhealthy, detail-type seharusnya GuardDuty Runtime Protection Unhealthy. Untuk mendapatkan pemberitahuan ketika status cakupan berubah dari Unhealthy keHealthy, ganti nilai dengan detail-type GuardDuty Runtime Protection Healthy.

{
  "version": "0",
  "id": "event ID",
  "detail-type": "GuardDuty Runtime Protection Unhealthy",
  "source": "aws.guardduty",
  "account": "Akun AWS ID",
  "time": "event timestamp (string)",
  "region": "Wilayah AWS",
  "resources": [
       ],
  "detail": {
    "schemaVersion": "1.0",
    "resourceAccountId": "string",
    "currentStatus": "string",
    "previousStatus": "string",
    "resourceDetails": {
        "resourceType": "ECS",
        "ecsClusterDetails": {
          "clusterName":"",
          "fargateDetails":{
            "issues":[],
            "managementType":""
          },
          "containerInstanceDetails":{
            "coveredContainerInstances":int,
            "compatibleContainerInstances":int
          }
        }
    },
    "issue": "string",
    "lastUpdatedAt": "timestamp"
  }
}

Memecahkan masalah cakupan runtime Amazon ECS -Fargate

Jika status cakupan ECS klaster Amazon Anda tidak sehat, Anda dapat melihat alasannya di bawah kolom Masalah.

Tabel berikut menyediakan langkah-langkah pemecahan masalah yang disarankan untuk masalah Fargate (khusus ECS Amazon). Untuk informasi tentang masalah cakupan EC2 instans Amazon, lihat Memecahkan masalah cakupan EC2 runtime Amazon EC2 instans Amazon.

...
      "ecr:GetAuthorizationToken",
      "ecr:BatchCheckLayerAvailability",
      "ecr:GetDownloadUrlForLayer",
      "ecr:BatchGetImage",
...