Mengelola agen keamanan otomatis untuk Fargate (hanya AmazonECS) - Amazon GuardDuty

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengelola agen keamanan otomatis untuk Fargate (hanya AmazonECS)

Runtime Monitoring mendukung pengelolaan agen keamanan untuk ECS klaster Amazon Anda (AWS Fargate) hanya melalui. GuardDuty Tidak ada dukungan untuk mengelola agen keamanan secara manual di ECS cluster Amazon.

Sebelum melanjutkan dengan langkah-langkah di bagian ini, pastikan untuk mengikutiPrasyarat untuk dukungan (khusus AWS Fargate Amazon) ECS.

Berdasarkan Pendekatan untuk mengelola agen GuardDuty keamanan di sumber daya Amazon ECS -Fargate, pilih metode yang disukai untuk mengaktifkan agen GuardDuty otomatis untuk sumber daya Anda.

Daftar Isi

    Dalam lingkungan beberapa akun, hanya akun GuardDuty administrator yang didelegasikan yang dapat mengaktifkan atau menonaktifkan konfigurasi agen otomatis untuk akun anggota, dan mengelola konfigurasi agen otomatis untuk ECS klaster Amazon milik akun anggota di organisasinya. Akun GuardDuty anggota tidak dapat mengubah konfigurasi ini. Akun GuardDuty administrator yang didelegasikan mengelola akun anggota mereka menggunakan AWS Organizations. Untuk informasi selengkapnya tentang lingkungan multi-akun, lihat Mengelola beberapa akun di GuardDuty.

    Mengaktifkan konfigurasi agen otomatis untuk akun administrator yang didelegasikan GuardDuty

    Manage for all Amazon ECS clusters (account level)

    Jika Anda memilih Aktifkan untuk semua akun untuk Runtime Monitoring, maka Anda memiliki opsi berikut:

    • Pilih Aktifkan untuk semua akun di bagian Konfigurasi agen otomatis. GuardDuty akan menyebarkan dan mengelola agen keamanan untuk semua ECS tugas Amazon yang diluncurkan.

    • Pilih Konfigurasikan akun secara manual.

    Jika Anda memilih Konfigurasi akun secara manual di bagian Runtime Monitoring, lakukan hal berikut:

    1. Pilih Konfigurasi akun secara manual di bagian Konfigurasi agen otomatis.

    2. Pilih Aktifkan di bagian akun GuardDuty administrator yang didelegasikan (akun ini).

    Pilih Simpan.

    Ketika Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, itu memerlukan penerapan layanan baru setelah Anda mengaktifkan Runtime Monitoring. Jika penerapan terakhir untuk ECS layanan tertentu dimulai sebelum Anda mengaktifkan Runtime Monitoring, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakan. forceNewDeployment

    Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Tambahkan tag ke ECS cluster Amazon ini dengan pasangan nilai kunci sebagai GuardDutyManaged -. false

    2. Mencegah modifikasi tag, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam Mencegah tag diubah kecuali oleh prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Buka GuardDuty konsol di https://console.aws.amazon.com/guardduty/.

    4. Di panel navigasi, pilih Runtime Monitoring.

    5. catatan

      Selalu tambahkan tag pengecualian ke ECS kluster Amazon Anda sebelum mengaktifkan konfigurasi agen otomatis untuk akun Anda; jika tidak, wadah GuardDuty sespan akan dilampirkan ke semua kontainer dalam tugas Amazon ECS yang diluncurkan.

      Di bawah tab Konfigurasi, pilih Aktifkan dalam konfigurasi agen otomatis.

      Untuk ECS cluster Amazon yang belum dikecualikan, GuardDuty akan mengelola penyebaran agen keamanan di wadah sespan.

    6. Pilih Simpan.

    7. Ketika Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, itu memerlukan penerapan layanan baru setelah Anda mengaktifkan Runtime Monitoring. Jika penerapan terakhir untuk ECS layanan tertentu dimulai sebelum Anda mengaktifkan Runtime Monitoring, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakan. forceNewDeployment

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Tambahkan tag ke ECS cluster Amazon yang ingin Anda sertakan semua tugasnya. Pasangan kunci-nilai harus GuardDutyManaged -. true

    2. Mencegah modifikasi tag ini, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam Mencegah tag diubah kecuali oleh prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      catatan

      Saat menggunakan tag inklusi untuk ECS kluster Amazon, Anda tidak perlu mengaktifkan GuardDuty agen melalui kongifurasi agen otomatis secara eksplisit.

    3. Ketika Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, itu memerlukan penerapan layanan baru setelah Anda mengaktifkan Runtime Monitoring. Jika penerapan terakhir untuk ECS layanan tertentu dimulai sebelum Anda mengaktifkan Runtime Monitoring, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakan. forceNewDeployment

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Aktifkan otomatis untuk semua akun anggota

    Manage for all Amazon ECS clusters (account level)

    Langkah-langkah berikut mengasumsikan bahwa Anda memilih Aktifkan untuk semua akun di bagian Runtime Monitoring.

    1. Pilih Aktifkan untuk semua akun di bagian Konfigurasi agen otomatis. GuardDuty akan menyebarkan dan mengelola agen keamanan untuk semua ECS tugas Amazon yang diluncurkan.

    2. Pilih Simpan.

    3. Ketika Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, itu memerlukan penerapan layanan baru setelah Anda mengaktifkan Runtime Monitoring. Jika penerapan terakhir untuk ECS layanan tertentu dimulai sebelum Anda mengaktifkan Runtime Monitoring, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakan. forceNewDeployment

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Tambahkan tag ke ECS cluster Amazon ini dengan pasangan nilai kunci sebagai GuardDutyManaged -. false

    2. Mencegah modifikasi tag, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam Mencegah tag diubah kecuali oleh prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Buka GuardDuty konsol di https://console.aws.amazon.com/guardduty/.

    4. Di panel navigasi, pilih Runtime Monitoring.

    5. catatan

      Selalu tambahkan tag pengecualian ke ECS kluster Amazon Anda sebelum mengaktifkan konfigurasi agen otomatis untuk akun Anda; jika tidak, wadah GuardDuty sespan akan dilampirkan ke semua kontainer dalam tugas Amazon ECS yang diluncurkan.

      Di bawah tab Konfigurasi, pilih Edit.

    6. Pilih Aktifkan untuk semua akun di bagian Konfigurasi agen otomatis

      Untuk ECS cluster Amazon yang belum dikecualikan, GuardDuty akan mengelola penyebaran agen keamanan di wadah sespan.

    7. Pilih Simpan.

    8. Ketika Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, itu memerlukan penerapan layanan baru setelah Anda mengaktifkan Runtime Monitoring. Jika penerapan terakhir untuk ECS layanan tertentu dimulai sebelum Anda mengaktifkan Runtime Monitoring, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakan. forceNewDeployment

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for selective (inclusion-only) Amazon ECS clusters (cluster level)

    Terlepas dari cara Anda memilih untuk mengaktifkan Runtime Monitoring, langkah-langkah berikut akan membantu Anda memantau tugas Amazon ECS Fargate selektif untuk semua akun anggota di organisasi Anda.

    1. Jangan aktifkan konfigurasi apa pun di bagian Konfigurasi agen otomatis. Pertahankan konfigurasi Runtime Monitoring sama seperti yang Anda pilih pada langkah sebelumnya.

    2. Pilih Simpan.

    3. Mencegah modifikasi tag ini, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam Mencegah tag diubah kecuali oleh prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      catatan

      Saat menggunakan tag inklusi untuk ECS kluster Amazon, Anda tidak perlu mengaktifkan manajemen otomatis GuardDuty agen secara eksplisit.

    4. Ketika Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, itu memerlukan penerapan layanan baru setelah Anda mengaktifkan Runtime Monitoring. Jika penerapan terakhir untuk ECS layanan tertentu dimulai sebelum Anda mengaktifkan Runtime Monitoring, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakan. forceNewDeployment

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Mengaktifkan konfigurasi agen otomatis untuk akun anggota aktif yang ada

    Manage for all Amazon ECS clusters (account level)

    1. Pada halaman Runtime Monitoring, di bawah tab Konfigurasi, Anda dapat melihat status konfigurasi agen Otomatis saat ini.

    2. Dalam panel konfigurasi agen otomatis, di bawah bagian Akun anggota aktif, pilih Tindakan.

    3. Dari Tindakan, pilih Aktifkan untuk semua akun anggota aktif yang ada.

    4. Pilih Konfirmasi.

    5. Ketika Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, itu memerlukan penerapan layanan baru setelah Anda mengaktifkan Runtime Monitoring. Jika penerapan terakhir untuk ECS layanan tertentu dimulai sebelum Anda mengaktifkan Runtime Monitoring, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakan. forceNewDeployment

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Tambahkan tag ke ECS cluster Amazon ini dengan pasangan nilai kunci sebagai GuardDutyManaged -. false

    2. Mencegah modifikasi tag, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam Mencegah tag diubah kecuali oleh prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Buka GuardDuty konsol di https://console.aws.amazon.com/guardduty/.

    4. Di panel navigasi, pilih Runtime Monitoring.

    5. catatan

      Selalu tambahkan tag pengecualian ke ECS kluster Amazon Anda sebelum mengaktifkan konfigurasi agen otomatis untuk akun Anda; jika tidak, wadah GuardDuty sespan akan dilampirkan ke semua kontainer dalam tugas Amazon ECS yang diluncurkan.

      Di bawah tab Konfigurasi, di bagian Konfigurasi agen otomatis, di bawah Akun anggota aktif, pilih Tindakan.

    6. Dari Tindakan, pilih Aktifkan untuk semua akun anggota aktif.

      Untuk ECS cluster Amazon yang belum dikecualikan, GuardDuty akan mengelola penyebaran agen keamanan di wadah sespan.

    7. Pilih Konfirmasi.

    8. Ketika Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, itu memerlukan penerapan layanan baru setelah Anda mengaktifkan Runtime Monitoring. Jika penerapan terakhir untuk ECS layanan tertentu dimulai sebelum Anda mengaktifkan Runtime Monitoring, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakan. forceNewDeployment

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Tambahkan tag ke ECS cluster Amazon yang ingin Anda sertakan semua tugasnya. Pasangan kunci-nilai harus GuardDutyManaged -. true

    2. Mencegah modifikasi tag ini, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam Mencegah tag diubah kecuali oleh prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      catatan

      Saat menggunakan tag inklusi untuk ECS kluster Amazon, Anda tidak perlu mengaktifkan konfigurasi agen otomatis secara eksplisit.

    3. Ketika Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, itu memerlukan penerapan layanan baru setelah Anda mengaktifkan Runtime Monitoring. Jika penerapan terakhir untuk ECS layanan tertentu dimulai sebelum Anda mengaktifkan Runtime Monitoring, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakan. forceNewDeployment

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Aktifkan otomatis konfigurasi agen otomatis untuk anggota baru

    Manage for all Amazon ECS clusters (account level)

    1. Pada halaman Runtime Monitoring, pilih Edit untuk memperbarui konfigurasi yang ada.

    2. Di bagian Konfigurasi agen otomatis, pilih Aktifkan secara otomatis untuk akun anggota baru.

    3. Pilih Simpan.

    4. Ketika Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, itu memerlukan penerapan layanan baru setelah Anda mengaktifkan Runtime Monitoring. Jika penerapan terakhir untuk ECS layanan tertentu dimulai sebelum Anda mengaktifkan Runtime Monitoring, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakan. forceNewDeployment

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Tambahkan tag ke ECS cluster Amazon ini dengan pasangan nilai kunci sebagai GuardDutyManaged -. false

    2. Mencegah modifikasi tag, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam Mencegah tag diubah kecuali oleh prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Buka GuardDuty konsol di https://console.aws.amazon.com/guardduty/.

    4. Di panel navigasi, pilih Runtime Monitoring.

    5. catatan

      Selalu tambahkan tag pengecualian ke ECS kluster Amazon Anda sebelum mengaktifkan konfigurasi agen otomatis untuk akun Anda; jika tidak, wadah GuardDuty sespan akan dilampirkan ke semua kontainer dalam tugas Amazon ECS yang diluncurkan.

      Di bawah tab Konfigurasi, pilih Aktifkan secara otomatis untuk akun anggota baru di bagian Konfigurasi agen otomatis.

      Untuk ECS cluster Amazon yang belum dikecualikan, GuardDuty akan mengelola penyebaran agen keamanan di wadah sespan.

    6. Pilih Simpan.

    7. Ketika Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, itu memerlukan penerapan layanan baru setelah Anda mengaktifkan Runtime Monitoring. Jika penerapan terakhir untuk ECS layanan tertentu dimulai sebelum Anda mengaktifkan Runtime Monitoring, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakan. forceNewDeployment

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Tambahkan tag ke ECS cluster Amazon yang ingin Anda sertakan semua tugasnya. Pasangan kunci-nilai harus GuardDutyManaged -. true

    2. Mencegah modifikasi tag ini, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam Mencegah tag diubah kecuali oleh prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      catatan

      Saat menggunakan tag inklusi untuk ECS kluster Amazon, Anda tidak perlu mengaktifkan konfigurasi agen otomatis secara eksplisit.

    3. Ketika Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, itu memerlukan penerapan layanan baru setelah Anda mengaktifkan Runtime Monitoring. Jika penerapan terakhir untuk ECS layanan tertentu dimulai sebelum Anda mengaktifkan Runtime Monitoring, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakan. forceNewDeployment

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Mengaktifkan konfigurasi agen otomatis untuk akun anggota aktif secara selektif

    Manage for all Amazon ECS (account level)

    1. Pada halaman Akun, pilih akun yang ingin Anda aktifkan Runtime Monitoring-Automated agent configuration (-Fargate). ECS Anda dapat memilih beberapa akun. Pastikan akun yang Anda pilih pada langkah ini sudah diaktifkan dengan Runtime Monitoring.

    2. Dari Edit paket perlindungan, pilih opsi yang sesuai untuk mengaktifkan konfigurasi agen Runtime Monitoring-Automated (-Fargate). ECS

    3. Pilih Konfirmasi.

    4. Ketika Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, itu memerlukan penerapan layanan baru setelah Anda mengaktifkan Runtime Monitoring. Jika penerapan terakhir untuk ECS layanan tertentu dimulai sebelum Anda mengaktifkan Runtime Monitoring, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakan. forceNewDeployment

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Tambahkan tag ke ECS cluster Amazon ini dengan pasangan nilai kunci sebagai GuardDutyManaged -. false

    2. Mencegah modifikasi tag, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam Mencegah tag diubah kecuali oleh prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Buka GuardDuty konsol di https://console.aws.amazon.com/guardduty/.

    4. Di panel navigasi, pilih Runtime Monitoring.

    5. catatan

      Selalu tambahkan tag pengecualian ke ECS kluster Amazon Anda sebelum mengaktifkan manajemen otomatis GuardDuty agen untuk akun Anda; jika tidak, wadah GuardDuty sespan akan dilampirkan ke semua kontainer dalam tugas Amazon yang diluncurkan. ECS

      Pada halaman Akun, pilih akun yang ingin Anda aktifkan Runtime Monitoring-Automated agent configuration (-Fargate). ECS Anda dapat memilih beberapa akun. Pastikan akun yang Anda pilih pada langkah ini sudah diaktifkan dengan Runtime Monitoring.

      Untuk ECS cluster Amazon yang belum dikecualikan, GuardDuty akan mengelola penyebaran agen keamanan di wadah sespan.

    6. Dari Edit paket perlindungan, pilih opsi yang sesuai untuk mengaktifkan konfigurasi agen Runtime Monitoring-Automated (-Fargate). ECS

    7. Pilih Simpan.

    8. Ketika Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, itu memerlukan penerapan layanan baru setelah Anda mengaktifkan Runtime Monitoring. Jika penerapan terakhir untuk ECS layanan tertentu dimulai sebelum Anda mengaktifkan Runtime Monitoring, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakan. forceNewDeployment

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Pastikan Anda tidak mengaktifkan konfigurasi agen Otomatis (atau Runtime Monitoring-Automated agent configuration (ECS-Fargate)) untuk akun yang dipilih yang memiliki ECS kluster Amazon yang ingin Anda pantau.

    2. Tambahkan tag ke ECS cluster Amazon yang ingin Anda sertakan semua tugasnya. Pasangan kunci-nilai harus GuardDutyManaged -. true

    3. Mencegah modifikasi tag ini, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam Mencegah tag diubah kecuali oleh prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      catatan

      Saat menggunakan tag inklusi untuk ECS kluster Amazon, Anda tidak perlu mengaktifkan konfigurasi agen otomatis secara eksplisit.

    4. Ketika Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, itu memerlukan penerapan layanan baru setelah Anda mengaktifkan Runtime Monitoring. Jika penerapan terakhir untuk ECS layanan tertentu dimulai sebelum Anda mengaktifkan Runtime Monitoring, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakan. forceNewDeployment

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    1. Masuk ke AWS Management Console dan buka GuardDuty konsol di https://console.aws.amazon.com/guardduty/.

    2. Di panel navigasi, pilih Runtime Monitoring.

    3. Di bawah tab Konfigurasi:

      1. Untuk mengelola konfigurasi agen otomatis untuk semua ECS klaster Amazon (tingkat akun)

        Pilih Aktifkan di bagian Konfigurasi agen otomatis untuk AWS Fargate (ECShanya). Ketika ECS tugas Fargate Amazon baru diluncurkan, GuardDuty akan mengelola penyebaran agen keamanan.

        1. Pilih Simpan.

      2. Untuk mengelola konfigurasi agen otomatis dengan mengecualikan beberapa klaster Amazon (tingkat ECS klaster)

        1. Tambahkan tag ke ECS cluster Amazon yang ingin Anda kecualikan semua tugasnya. Pasangan kunci-nilai harus GuardDutyManaged -. false

        2. Mencegah modifikasi tag ini, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam Mencegah tag diubah kecuali oleh prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

          {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

        3. Di bawah tab Konfigurasi, pilih Aktifkan di bagian Konfigurasi agen otomatis.

          catatan

          Selalu tambahkan tag pengecualian ke ECS klaster Amazon Anda sebelum mengaktifkan manajemen otomatis GuardDuty agen untuk akun Anda; jika tidak, agen keamanan akan digunakan di semua tugas yang diluncurkan dalam klaster Amazon yang sesuai. ECS

          Untuk ECS cluster Amazon yang belum dikecualikan, GuardDuty akan mengelola penyebaran agen keamanan di wadah sespan.

        4. Pilih Simpan.

      3. Untuk mengelola konfigurasi agen Otomatis dengan menyertakan beberapa ECS klaster Amazon (tingkat klaster)

        1. Tambahkan tag ke ECS cluster Amazon yang ingin Anda sertakan semua tugasnya. Pasangan kunci-nilai harus GuardDutyManaged -. true

        2. Mencegah modifikasi tag ini, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam Mencegah tag diubah kecuali oleh prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

          {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    4. Ketika Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, itu memerlukan penerapan layanan baru setelah Anda mengaktifkan Runtime Monitoring. Jika penerapan terakhir untuk ECS layanan tertentu dimulai sebelum Anda mengaktifkan Runtime Monitoring, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakan. forceNewDeployment

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut: