Configurazione del monitoraggio del EKS runtime per ambienti con più account () API - Amazon GuardDuty

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione del monitoraggio del EKS runtime per ambienti con più account () API

In ambienti con più account, solo l'account GuardDuty amministratore delegato può abilitare o disabilitare il monitoraggio del EKS runtime per gli account membro e gestire la gestione degli GuardDuty agenti per i EKS cluster appartenenti agli account membro della propria organizzazione. GuardDuty Gli account membri non possono modificare questa configurazione dai propri account. L'account GuardDuty amministratore delegato gestisce gli account dei membri utilizzando AWS Organizations. Per ulteriori informazioni sugli ambienti multi-account, consulta Gestione di più account.

Questa sezione fornisce i passaggi per configurare il EKS Runtime Monitoring e gestire il GuardDuty security agent per EKS i cluster che appartengono all'account amministratore delegato GuardDuty .

In base a Approcci per gestire gli agenti GuardDuty di sicurezza nei EKS cluster Amazon, puoi scegliere l'approccio che preferisci e seguire le fasi indicate nella tabella seguente.

Approccio preferito per gestire l'agente di sicurezza GuardDuty

Fasi

Gestisci l'agente di sicurezza tramite GuardDuty (monitora tutti i EKS cluster)

Eseguire updateDetectorAPIutilizzando il proprio ID regionale del rilevatore e passando il nome dell'featuresoggetto as EKS_RUNTIME_MONITORING e lo status as. ENABLED

Imposta lo stato di EKS_ADDON_MANAGEMENT su ENABLED.

GuardDuty gestirà la distribuzione e gli aggiornamenti del security agent per tutti i EKS cluster Amazon del tuo account.

In alternativa, puoi utilizzare il AWS CLI comando utilizzando il tuo ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

Nell'esempio seguente vengono abilitati sia EKS_RUNTIME_MONITORING che EKS_ADDON_MANAGEMENT:

aws guardduty update-detector --detector-id 12abc34d567e8fa901bc2d34e56789f0 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] ]'

Monitora tutti EKS i cluster ma escludi alcuni di essi (utilizzando il tag di esclusione)

  1. Aggiungi un tag al EKS cluster che desideri escludere dal monitoraggio. La coppia chiave-valore è GuardDutyManaged-false. Per ulteriori informazioni sull'aggiunta del tag, consulta Lavorare con i tag usando CLIAPI, o eksctl nella Amazon EKS User Guide.

  2. Per consentire la modifica dei tag solo alle entità attendibili, utilizza la policy fornita in Impedire la modifica dei tag se non da parte dei principali autorizzati nella Guida per l'utente di AWS Organizations . Sostituisci i seguenti dettagli nella policy:

    • Replace (Sostituisci) ec2:CreateTags con. eks:TagResource

    • Replace (Sostituisci) ec2:DeleteTags coneks:UntagResource.

    • Replace (Sostituisci) access-project con GuardDutyManaged

    • Replace (Sostituisci) 123456789012 con l' Account AWS ID dell'entità affidabile.

      Se hai diverse entità attendibili, utilizza l'esempio seguente per aggiungere più PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
  3. Nota

    Aggiungi sempre il tag di esclusione al EKS cluster prima di impostare STATUS of EKS_RUNTIME_MONITORING toENABLED; in caso contrario, il GuardDuty security agent verrà distribuito su tutti i EKS cluster del tuo account.

    Eseguire updateDetectorAPIutilizzando l'ID del rilevatore regionale e passando il nome dell'featuresoggetto as e lo status asEKS_RUNTIME_MONITORING. ENABLED

    Imposta lo stato di EKS_ADDON_MANAGEMENT su ENABLED.

    GuardDuty gestirà la distribuzione e gli aggiornamenti del security agent per tutti i EKS cluster Amazon che non sono stati esclusi dal monitoraggio.

    In alternativa, puoi utilizzare il AWS CLI comando utilizzando il tuo ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    Nell'esempio seguente vengono abilitati sia EKS_RUNTIME_MONITORING che EKS_ADDON_MANAGEMENT:

    aws guardduty update-detector --detector-id 12abc34d567e8fa901bc2d34e56789f0 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] ]'

Monitora EKS i cluster selettivi (utilizzando il tag di inclusione)

  1. Aggiungi un tag al EKS cluster che desideri escludere dal monitoraggio. La coppia chiave-valore è GuardDutyManaged-true. Per ulteriori informazioni sull'aggiunta del tag, consulta Lavorare con i tag usando CLIAPI, o eksctl nella Amazon EKS User Guide.

  2. Per consentire la modifica dei tag solo alle entità attendibili, utilizza la policy fornita in Impedire la modifica dei tag se non da parte dei principali autorizzati nella Guida per l'utente di AWS Organizations . Sostituisci i seguenti dettagli nella policy:

    • Replace (Sostituisci) ec2:CreateTags con. eks:TagResource

    • Replace (Sostituisci) ec2:DeleteTags coneks:UntagResource.

    • Replace (Sostituisci) access-project con GuardDutyManaged

    • Replace (Sostituisci) 123456789012 con l' Account AWS ID dell'entità affidabile.

      Se hai diverse entità attendibili, utilizza l'esempio seguente per aggiungere più PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]

  3. Eseguire updateDetectorAPIutilizzando il proprio ID regionale del rilevatore e passando il nome features dell'oggetto EKS_RUNTIME_MONITORING e lo status asENABLED.

    Imposta lo stato di EKS_ADDON_MANAGEMENT su DISABLED.

    GuardDuty gestirà la distribuzione e gli aggiornamenti del security agent per tutti i EKS cluster Amazon etichettati con la true coppia GuardDutyManaged -.

    In alternativa, puoi utilizzare il AWS CLI comando utilizzando il tuo ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    L'esempio seguente abilita EKS_RUNTIME_MONITORING e disabilita EKS_ADDON_MANAGEMENT:

    aws guardduty update-detector --detector-id 12abc34d567e8fa901bc2d34e56789f0 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "DISABLED"}] ]'

Gestire l'agente di sicurezza manualmente

  1. Eseguire updateDetectorAPIutilizzando il proprio ID regionale del rilevatore e passando il nome features dell'oggetto EKS_RUNTIME_MONITORING e lo status asENABLED.

    Imposta lo stato di EKS_ADDON_MANAGEMENT su DISABLED.

    In alternativa, è possibile utilizzare il AWS CLI comando utilizzando il proprio ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    L'esempio seguente abilita EKS_RUNTIME_MONITORING e disabilita EKS_ADDON_MANAGEMENT:

    aws guardduty update-detector --detector-id 12abc34d567e8fa901bc2d34e56789f0 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] }]'

  2. Per gestire l'agente di sicurezza, consulta Gestione manuale dell'agente di sicurezza per il EKS cluster Amazon.

Questa sezione include i passaggi per abilitare il monitoraggio del EKS runtime e gestire l'agente di sicurezza per tutti gli account membri. Ciò include l'account GuardDuty amministratore delegato, gli account dei membri esistenti e i nuovi account che entrano a far parte dell'organizzazione.

In base a Approcci per gestire gli agenti GuardDuty di sicurezza nei EKS cluster Amazon, puoi scegliere l'approccio che preferisci e seguire le fasi indicate nella tabella seguente.

Approccio preferito per gestire l'agente GuardDuty di sicurezza

Fasi

Gestisci l'agente di sicurezza tramite GuardDuty (monitora tutti i EKS cluster)

Per abilitare selettivamente il monitoraggio del EKS runtime per i tuoi account membro, esegui il updateMemberDetectorsAPIoperazione utilizzando la propria detector ID.

Imposta lo stato di EKS_ADDON_MANAGEMENT su ENABLED.

GuardDuty gestirà la distribuzione e gli aggiornamenti del security agent per tutti i EKS cluster Amazon del tuo account.

In alternativa, puoi utilizzare il AWS CLI comando utilizzando il tuo ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

Nell'esempio seguente vengono abilitati sia EKS_RUNTIME_MONITORING che EKS_ADDON_MANAGEMENT:

aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] ]'
Nota

Puoi anche passare un elenco di account IDs separati da uno spazio.

Se il codice viene eseguito correttamente, restituisce un elenco vuoto di UnprocessedAccounts. Se si verifica qualsiasi problema durante la modifica delle impostazioni del rilevatore di un account, l'ID dell'account viene elencato insieme a un riepilogo del problema.

Monitora tutti EKS i cluster ma escludi alcuni di essi (usando il tag di esclusione)

  1. Aggiungi un tag al EKS cluster che desideri escludere dal monitoraggio. La coppia chiave-valore è GuardDutyManaged-false. Per ulteriori informazioni sull'aggiunta del tag, consulta Lavorare con i tag usando CLIAPI, o eksctl nella Amazon EKS User Guide.

  2. Per consentire la modifica dei tag solo alle entità attendibili, utilizza la policy fornita in Impedire la modifica dei tag se non da parte dei principali autorizzati nella Guida per l'utente di AWS Organizations . Sostituisci i seguenti dettagli nella policy:

    • Replace (Sostituisci) ec2:CreateTags con. eks:TagResource

    • Replace (Sostituisci) ec2:DeleteTags coneks:UntagResource.

    • Replace (Sostituisci) access-project con GuardDutyManaged

    • Replace (Sostituisci) 123456789012 con l' Account AWS ID dell'entità affidabile.

      Se hai diverse entità attendibili, utilizza l'esempio seguente per aggiungere più PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
  3. Nota

    Aggiungi sempre il tag di esclusione al EKS cluster prima di impostare STATUS of EKS_RUNTIME_MONITORING toENABLED; in caso contrario, il GuardDuty security agent verrà distribuito su tutti i EKS cluster del tuo account.

    Eseguire updateDetectorAPIutilizzando l'ID del rilevatore regionale e passando il nome dell'featuresoggetto as e lo status asEKS_RUNTIME_MONITORING. ENABLED

    Imposta lo stato di EKS_ADDON_MANAGEMENT su ENABLED.

    GuardDuty gestirà la distribuzione e gli aggiornamenti del security agent per tutti i EKS cluster Amazon che non sono stati esclusi dal monitoraggio.

    In alternativa, puoi utilizzare il AWS CLI comando utilizzando il tuo ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    Nell'esempio seguente vengono abilitati sia EKS_RUNTIME_MONITORING che EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] ]'
    Nota

    Puoi anche passare un elenco di account IDs separati da uno spazio.

    Se il codice viene eseguito correttamente, restituisce un elenco vuoto di UnprocessedAccounts. Se si verifica qualsiasi problema durante la modifica delle impostazioni del rilevatore di un account, l'ID dell'account viene elencato insieme a un riepilogo del problema.

Monitora EKS i cluster selettivi (utilizzando il tag di inclusione)

  1. Aggiungi un tag al EKS cluster che desideri escludere dal monitoraggio. La coppia chiave-valore è GuardDutyManaged-true. Per ulteriori informazioni sull'aggiunta del tag, consulta Lavorare con i tag usando CLIAPI, o eksctl nella Amazon EKS User Guide.

  2. Per consentire la modifica dei tag solo alle entità attendibili, utilizza la policy fornita in Impedire la modifica dei tag se non da parte dei principali autorizzati nella Guida per l'utente di AWS Organizations . Sostituisci i seguenti dettagli nella policy:

    • Replace (Sostituisci) ec2:CreateTags con. eks:TagResource

    • Replace (Sostituisci) ec2:DeleteTags coneks:UntagResource.

    • Replace (Sostituisci) access-project con GuardDutyManaged

    • Replace (Sostituisci) 123456789012 con l' Account AWS ID dell'entità affidabile.

      Se hai diverse entità attendibili, utilizza l'esempio seguente per aggiungere più PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]

  3. Eseguire updateDetectorAPIutilizzando il proprio ID regionale del rilevatore e passando il nome features dell'oggetto EKS_RUNTIME_MONITORING e lo status asENABLED.

    Imposta lo stato di EKS_ADDON_MANAGEMENT su DISABLED.

    GuardDuty gestirà la distribuzione e gli aggiornamenti del security agent per tutti i EKS cluster Amazon etichettati con la true coppia GuardDutyManaged -.

    In alternativa, puoi utilizzare il AWS CLI comando utilizzando il tuo ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    L'esempio seguente abilita EKS_RUNTIME_MONITORING e disabilita EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "DISABLED"}] ]'
    Nota

    Puoi anche passare un elenco di account IDs separati da uno spazio.

    Se il codice viene eseguito correttamente, restituisce un elenco vuoto di UnprocessedAccounts. Se si verifica qualsiasi problema durante la modifica delle impostazioni del rilevatore di un account, l'ID dell'account viene elencato insieme a un riepilogo del problema.

Gestire l'agente di sicurezza manualmente

  1. Eseguire updateDetectorAPIutilizzando il proprio ID regionale del rilevatore e passando il nome dell'featuresoggetto as EKS_RUNTIME_MONITORING e lo status asENABLED.

    Imposta lo stato di EKS_ADDON_MANAGEMENT su DISABLED.

    In alternativa, è possibile utilizzare il AWS CLI comando utilizzando il proprio ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    L'esempio seguente abilita EKS_RUNTIME_MONITORING e disabilita EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 555555555555 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] } ]'

  2. Per gestire l'agente di sicurezza, consulta Gestione manuale dell'agente di sicurezza per il EKS cluster Amazon.

Questa sezione include i passaggi per abilitare il EKS Runtime Monitoring e gestire il GuardDuty security agent per gli account dei membri attivi esistenti nell'organizzazione.

In base a Approcci per gestire gli agenti GuardDuty di sicurezza nei EKS cluster Amazon, puoi scegliere l'approccio che preferisci e seguire le fasi indicate nella tabella seguente.

Approccio preferito per gestire l'agente GuardDuty di sicurezza

Fasi

Gestisci l'agente di sicurezza tramite GuardDuty (monitora tutti i EKS cluster)

Per abilitare selettivamente il monitoraggio del EKS runtime per i tuoi account membro, esegui il updateMemberDetectorsAPIoperazione utilizzando la propria detector ID.

Imposta lo stato di EKS_ADDON_MANAGEMENT su ENABLED.

GuardDuty gestirà la distribuzione e gli aggiornamenti del security agent per tutti i EKS cluster Amazon del tuo account.

In alternativa, puoi utilizzare il AWS CLI comando utilizzando il tuo ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

Nell'esempio seguente vengono abilitati sia EKS_RUNTIME_MONITORING che EKS_ADDON_MANAGEMENT:

aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] ]'
Nota

Puoi anche passare un elenco di account IDs separati da uno spazio.

Se il codice viene eseguito correttamente, restituisce un elenco vuoto di UnprocessedAccounts. Se si verifica qualsiasi problema durante la modifica delle impostazioni del rilevatore di un account, l'ID dell'account viene elencato insieme a un riepilogo del problema.

Monitora tutti EKS i cluster ma escludi alcuni di essi (usando il tag di esclusione)

  1. Aggiungi un tag al EKS cluster che desideri escludere dal monitoraggio. La coppia chiave-valore è GuardDutyManaged-false. Per ulteriori informazioni sull'aggiunta del tag, consulta Lavorare con i tag usando CLIAPI, o eksctl nella Amazon EKS User Guide.

  2. Per consentire la modifica dei tag solo alle entità attendibili, utilizza la policy fornita in Impedire la modifica dei tag se non da parte dei principali autorizzati nella Guida per l'utente di AWS Organizations . Sostituisci i seguenti dettagli nella policy:

    • Replace (Sostituisci) ec2:CreateTags con. eks:TagResource

    • Replace (Sostituisci) ec2:DeleteTags coneks:UntagResource.

    • Replace (Sostituisci) access-project con GuardDutyManaged

    • Replace (Sostituisci) 123456789012 con l' Account AWS ID dell'entità affidabile.

      Se hai diverse entità attendibili, utilizza l'esempio seguente per aggiungere più PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
  3. Nota

    Aggiungi sempre il tag di esclusione al EKS cluster prima di impostare STATUS of EKS_RUNTIME_MONITORING toENABLED; in caso contrario, il GuardDuty security agent verrà distribuito su tutti i EKS cluster del tuo account.

    Per abilitare selettivamente il monitoraggio del EKS runtime per i tuoi account membro, esegui il updateMemberDetectorsAPIoperazione utilizzando la propria detector ID.

    Imposta lo stato di EKS_ADDON_MANAGEMENT su ENABLED.

    GuardDuty gestirà la distribuzione e gli aggiornamenti del security agent per tutti i EKS cluster Amazon che non sono stati esclusi dal monitoraggio.

    In alternativa, puoi utilizzare il AWS CLI comando utilizzando il tuo ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    Nell'esempio seguente vengono abilitati sia EKS_RUNTIME_MONITORING che EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] ]'
    Nota

    Puoi anche passare un elenco di account IDs separati da uno spazio.

    Se il codice viene eseguito correttamente, restituisce un elenco vuoto di UnprocessedAccounts. Se si verifica qualsiasi problema durante la modifica delle impostazioni del rilevatore di un account, l'ID dell'account viene elencato insieme a un riepilogo del problema.

Monitora EKS i cluster selettivi (utilizzando il tag di inclusione)

  1. Aggiungi un tag al EKS cluster che desideri escludere dal monitoraggio. La coppia chiave-valore è GuardDutyManaged-true. Per ulteriori informazioni sull'aggiunta del tag, consulta Lavorare con i tag usando CLIAPI, o eksctl nella Amazon EKS User Guide.

  2. Per consentire la modifica dei tag solo alle entità attendibili, utilizza la policy fornita in Impedire la modifica dei tag se non da parte dei principali autorizzati nella Guida per l'utente di AWS Organizations . Sostituisci i seguenti dettagli nella policy:

    • Replace (Sostituisci) ec2:CreateTags con. eks:TagResource

    • Replace (Sostituisci) ec2:DeleteTags coneks:UntagResource.

    • Replace (Sostituisci) access-project con GuardDutyManaged

    • Replace (Sostituisci) 123456789012 con l' Account AWS ID dell'entità affidabile.

      Se hai diverse entità attendibili, utilizza l'esempio seguente per aggiungere più PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]

  3. Per abilitare selettivamente il monitoraggio del EKS runtime per i tuoi account membro, esegui il updateMemberDetectorsAPIoperazione utilizzando la propria detector ID.

    Imposta lo stato di EKS_ADDON_MANAGEMENT su DISABLED.

    GuardDuty gestirà la distribuzione e gli aggiornamenti del security agent per tutti i EKS cluster Amazon etichettati con la true coppia GuardDutyManaged -.

    In alternativa, puoi utilizzare il AWS CLI comando utilizzando il tuo ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    L'esempio seguente abilita EKS_RUNTIME_MONITORING e disabilita EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "DISABLED"}] ]'
    Nota

    Puoi anche passare un elenco di account IDs separati da uno spazio.

    Se il codice viene eseguito correttamente, restituisce un elenco vuoto di UnprocessedAccounts. Se si verifica qualsiasi problema durante la modifica delle impostazioni del rilevatore di un account, l'ID dell'account viene elencato insieme a un riepilogo del problema.

Gestire l'agente di sicurezza manualmente

  1. Per abilitare selettivamente il monitoraggio del EKS runtime per i tuoi account membri, esegui il updateMemberDetectorsAPIoperazione utilizzando la propria detector ID.

    Imposta lo stato di EKS_ADDON_MANAGEMENT su DISABLED.

    In alternativa, è possibile utilizzare il AWS CLI comando utilizzando il proprio ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    L'esempio seguente abilita EKS_RUNTIME_MONITORING e disabilita EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 555555555555 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] } ]'

  2. Per gestire l'agente di sicurezza, consulta Gestione manuale dell'agente di sicurezza per il EKS cluster Amazon.

L'account GuardDuty amministratore delegato può abilitare automaticamente il EKS Runtime Monitoring e scegliere un approccio per la gestione del GuardDuty security agent per i nuovi account che entrano a far parte dell'organizzazione.

In base a Approcci per gestire gli agenti GuardDuty di sicurezza nei EKS cluster Amazon, puoi scegliere l'approccio che preferisci e seguire le fasi indicate nella tabella seguente.

Approccio preferito per gestire l'agente di sicurezza GuardDuty

Fasi

Gestisci l'agente di sicurezza tramite GuardDuty (monitora tutti i EKS cluster)

Per abilitare selettivamente il monitoraggio del EKS runtime per i tuoi nuovi account, richiama il UpdateOrganizationConfigurationAPIoperazione utilizzando la propria detector ID.

Imposta lo stato di EKS_ADDON_MANAGEMENT su ENABLED.

GuardDuty gestirà la distribuzione e gli aggiornamenti del security agent per tutti i EKS cluster Amazon del tuo account.

In alternativa, puoi utilizzare il AWS CLI comando utilizzando il tuo ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

Nell'esempio seguente vengono abilitati sia EKS_RUNTIME_MONITORING che EKS_ADDON_MANAGEMENT per un singolo account. Puoi anche passare un elenco di account IDs separati da uno spazio.

Per trovare le detectorId informazioni relative al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

aws guardduty update-organization-configuration --detector-id 12abc34d567e8fa901bc2d34e56789f0 --autoEnable  --features '[{"Name" : "EKS_RUNTIME_MONITORING", "AutoEnable": "NEW", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "AutoEnable": "NEW"}] ]'

Se il codice viene eseguito correttamente, restituisce un elenco vuoto di UnprocessedAccounts. Se si verifica qualsiasi problema durante la modifica delle impostazioni del rilevatore di un account, l'ID dell'account viene elencato insieme a un riepilogo del problema.

Monitora tutti EKS i cluster ma escludi alcuni di essi (utilizzando il tag di esclusione)

  1. Aggiungi un tag al EKS cluster che desideri escludere dal monitoraggio. La coppia chiave-valore è GuardDutyManaged-false. Per ulteriori informazioni sull'aggiunta del tag, consulta Lavorare con i tag usando CLIAPI, o eksctl nella Amazon EKS User Guide.

  2. Per consentire la modifica dei tag solo alle entità attendibili, utilizza la policy fornita in Impedire la modifica dei tag se non da parte dei principali autorizzati nella Guida per l'utente di AWS Organizations . Sostituisci i seguenti dettagli nella policy:

    • Replace (Sostituisci) ec2:CreateTags con. eks:TagResource

    • Replace (Sostituisci) ec2:DeleteTags coneks:UntagResource.

    • Replace (Sostituisci) access-project con GuardDutyManaged

    • Replace (Sostituisci) 123456789012 con l' Account AWS ID dell'entità affidabile.

      Se hai diverse entità attendibili, utilizza l'esempio seguente per aggiungere più PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
  3. Nota

    Aggiungi sempre il tag di esclusione al EKS cluster prima di impostare STATUS of EKS_RUNTIME_MONITORING toENABLED; in caso contrario, il GuardDuty security agent verrà distribuito su tutti i EKS cluster del tuo account.

    Per abilitare selettivamente il monitoraggio del EKS runtime per i nuovi account, richiama il UpdateOrganizationConfigurationAPIoperazione utilizzando la propria detector ID.

    Imposta lo stato di EKS_ADDON_MANAGEMENT su ENABLED.

    GuardDuty gestirà la distribuzione e gli aggiornamenti del security agent per tutti i EKS cluster Amazon che non sono stati esclusi dal monitoraggio.

    In alternativa, puoi utilizzare il AWS CLI comando utilizzando il tuo ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    Nell'esempio seguente vengono abilitati sia EKS_RUNTIME_MONITORING che EKS_ADDON_MANAGEMENT per un singolo account. Puoi anche passare un elenco di account IDs separati da uno spazio.

    Per trovare le detectorId informazioni relative al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    aws guardduty update-organization-configuration --detector-id 12abc34d567e8fa901bc2d34e56789f0 --autoEnable  --features '[{"Name" : "EKS_RUNTIME_MONITORING", "AutoEnable": "NEW", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "AutoEnable": "NEW"}] ]'

    Se il codice viene eseguito correttamente, restituisce un elenco vuoto di UnprocessedAccounts. Se si verifica qualsiasi problema durante la modifica delle impostazioni del rilevatore di un account, l'ID dell'account viene elencato insieme a un riepilogo del problema.

Monitora EKS i cluster selettivi (utilizzando il tag di inclusione)

  1. Aggiungi un tag al EKS cluster che desideri escludere dal monitoraggio. La coppia chiave-valore è GuardDutyManaged-true. Per ulteriori informazioni sull'aggiunta del tag, consulta Lavorare con i tag usando CLIAPI, o eksctl nella Amazon EKS User Guide.

  2. Per consentire la modifica dei tag solo alle entità attendibili, utilizza la policy fornita in Impedire la modifica dei tag se non da parte dei principali autorizzati nella Guida per l'utente di AWS Organizations . Sostituisci i seguenti dettagli nella policy:

    • Replace (Sostituisci) ec2:CreateTags con. eks:TagResource

    • Replace (Sostituisci) ec2:DeleteTags coneks:UntagResource.

    • Replace (Sostituisci) access-project con GuardDutyManaged

    • Replace (Sostituisci) 123456789012 con l' Account AWS ID dell'entità affidabile.

      Se hai diverse entità attendibili, utilizza l'esempio seguente per aggiungere più PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]

  3. Per abilitare selettivamente il monitoraggio del EKS runtime per i tuoi nuovi account, richiama il UpdateOrganizationConfigurationAPIoperazione utilizzando la propria detector ID.

    Imposta lo stato di EKS_ADDON_MANAGEMENT su DISABLED.

    GuardDuty gestirà la distribuzione e gli aggiornamenti del security agent per tutti i EKS cluster Amazon etichettati con la true coppia GuardDutyManaged -.

    In alternativa, puoi utilizzare il AWS CLI comando utilizzando il tuo ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    Nell'esempio seguente viene abilitato EKS_RUNTIME_MONITORING e disabilitato EKS_ADDON_MANAGEMENT per un singolo account. Puoi anche passare un elenco di account IDs separati da uno spazio.

    Per trovare le detectorId informazioni relative al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    aws guardduty update-organization-configuration --detector-id 12abc34d567e8fa901bc2d34e56789f0 --autoEnable  --features '[{"Name" : "EKS_RUNTIME_MONITORING", "AutoEnable": "NEW", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "AutoEnable": "NEW"}] ]'

    Se il codice viene eseguito correttamente, restituisce un elenco vuoto di UnprocessedAccounts. Se si verifica qualsiasi problema durante la modifica delle impostazioni del rilevatore di un account, l'ID dell'account viene elencato insieme a un riepilogo del problema.

Gestire l'agente di sicurezza manualmente

  1. Per abilitare selettivamente il monitoraggio del EKS runtime per i nuovi account, richiama il UpdateOrganizationConfigurationAPIoperazione utilizzando la propria detector ID.

    Imposta lo stato di EKS_ADDON_MANAGEMENT su DISABLED.

    In alternativa, è possibile utilizzare il AWS CLI comando utilizzando il proprio ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    Nell'esempio seguente viene abilitato EKS_RUNTIME_MONITORING e disabilitato EKS_ADDON_MANAGEMENT per un singolo account. Puoi anche passare un elenco di account IDs separati da uno spazio.

    Per trovare le detectorId informazioni relative al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    aws guardduty update-organization-configuration --detector-id 12abc34d567e8fa901bc2d34e56789f0 --autoEnable  --features '[{"Name" : "EKS_RUNTIME_MONITORING", "AutoEnable": "NEW", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "AutoEnable": "NEW"}] ]'

    Se il codice viene eseguito correttamente, restituisce un elenco vuoto di UnprocessedAccounts. Se si verifica qualsiasi problema durante la modifica delle impostazioni del rilevatore di un account, l'ID dell'account viene elencato insieme a un riepilogo del problema.

  2. Per gestire l'agente di sicurezza, consulta Gestione manuale dell'agente di sicurezza per il EKS cluster Amazon.

Questa sezione include i passaggi per configurare il EKS Runtime Monitoring e gestire il security agent per i singoli account dei membri attivi.

In base a Approcci per gestire gli agenti GuardDuty di sicurezza nei EKS cluster Amazon, puoi scegliere l'approccio che preferisci e seguire le fasi indicate nella tabella seguente.

Approccio preferito per gestire l'agente GuardDuty di sicurezza

Fasi

Gestisci l'agente di sicurezza tramite GuardDuty (monitora tutti i EKS cluster)

Per abilitare selettivamente il monitoraggio del EKS runtime per i tuoi account membro, esegui il updateMemberDetectorsAPIoperazione utilizzando la propria detector ID.

Imposta lo stato di EKS_ADDON_MANAGEMENT su ENABLED.

GuardDuty gestirà la distribuzione e gli aggiornamenti del security agent per tutti i EKS cluster Amazon del tuo account.

In alternativa, puoi utilizzare il AWS CLI comando utilizzando il tuo ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

Nell'esempio seguente vengono abilitati sia EKS_RUNTIME_MONITORING che EKS_ADDON_MANAGEMENT:

aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] ]'
Nota

Puoi anche passare un elenco di account IDs separati da uno spazio.

Se il codice viene eseguito correttamente, restituisce un elenco vuoto di UnprocessedAccounts. Se si verifica qualsiasi problema durante la modifica delle impostazioni del rilevatore di un account, l'ID dell'account viene elencato insieme a un riepilogo del problema.

Monitora tutti EKS i cluster ma escludi alcuni di essi (usando il tag di esclusione)

  1. Aggiungi un tag al EKS cluster che desideri escludere dal monitoraggio. La coppia chiave-valore è GuardDutyManaged-false. Per ulteriori informazioni sull'aggiunta del tag, consulta Lavorare con i tag usando CLIAPI, o eksctl nella Amazon EKS User Guide.

  2. Per consentire la modifica dei tag solo alle entità attendibili, utilizza la policy fornita in Impedire la modifica dei tag se non da parte dei principali autorizzati nella Guida per l'utente di AWS Organizations . Sostituisci i seguenti dettagli nella policy:

    • Replace (Sostituisci) ec2:CreateTags con. eks:TagResource

    • Replace (Sostituisci) ec2:DeleteTags coneks:UntagResource.

    • Replace (Sostituisci) access-project con GuardDutyManaged

    • Replace (Sostituisci) 123456789012 con l' Account AWS ID dell'entità affidabile.

      Se hai diverse entità attendibili, utilizza l'esempio seguente per aggiungere più PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
  3. Nota

    Aggiungi sempre il tag di esclusione al EKS cluster prima di impostare STATUS of EKS_RUNTIME_MONITORING toENABLED; in caso contrario, il GuardDuty security agent verrà distribuito su tutti i EKS cluster del tuo account.

    Per abilitare selettivamente il monitoraggio del EKS runtime per i tuoi account membro, esegui il updateMemberDetectorsAPIoperazione utilizzando la propria detector ID.

    Imposta lo stato di EKS_ADDON_MANAGEMENT su ENABLED.

    GuardDuty gestirà la distribuzione e gli aggiornamenti del security agent per tutti i EKS cluster Amazon che non sono stati esclusi dal monitoraggio.

    In alternativa, puoi utilizzare il AWS CLI comando utilizzando il tuo ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    Nell'esempio seguente vengono abilitati sia EKS_RUNTIME_MONITORING che EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] ]'
    Nota

    Puoi anche passare un elenco di account IDs separati da uno spazio.

    Se il codice viene eseguito correttamente, restituisce un elenco vuoto di UnprocessedAccounts. Se si verifica qualsiasi problema durante la modifica delle impostazioni del rilevatore di un account, l'ID dell'account viene elencato insieme a un riepilogo del problema.

Monitora EKS i cluster selettivi (utilizzando il tag di inclusione)

  1. Aggiungi un tag al EKS cluster che desideri escludere dal monitoraggio. La coppia chiave-valore è GuardDutyManaged-true. Per ulteriori informazioni sull'aggiunta del tag, consulta Lavorare con i tag usando CLIAPI, o eksctl nella Amazon EKS User Guide.

  2. Per consentire la modifica dei tag solo alle entità attendibili, utilizza la policy fornita in Impedire la modifica dei tag se non da parte dei principali autorizzati nella Guida per l'utente di AWS Organizations . Sostituisci i seguenti dettagli nella policy:

    • Replace (Sostituisci) ec2:CreateTags con. eks:TagResource

    • Replace (Sostituisci) ec2:DeleteTags coneks:UntagResource.

    • Replace (Sostituisci) access-project con GuardDutyManaged

    • Replace (Sostituisci) 123456789012 con l' Account AWS ID dell'entità affidabile.

      Se hai diverse entità attendibili, utilizza l'esempio seguente per aggiungere più PrincipalArn:

      "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]

  3. Per abilitare selettivamente il monitoraggio del EKS runtime per i tuoi account membro, esegui il updateMemberDetectorsAPIoperazione utilizzando la propria detector ID.

    Imposta lo stato di EKS_ADDON_MANAGEMENT su DISABLED.

    GuardDuty gestirà la distribuzione e gli aggiornamenti del security agent per tutti i EKS cluster Amazon etichettati con la true coppia GuardDutyManaged -.

    In alternativa, puoi utilizzare il AWS CLI comando utilizzando il tuo ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    L'esempio seguente abilita EKS_RUNTIME_MONITORING e disabilita EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "DISABLED"}] ]'
    Nota

    Puoi anche passare un elenco di account IDs separati da uno spazio.

    Se il codice viene eseguito correttamente, restituisce un elenco vuoto di UnprocessedAccounts. Se si verifica qualsiasi problema durante la modifica delle impostazioni del rilevatore di un account, l'ID dell'account viene elencato insieme a un riepilogo del problema.

Gestire l'agente di sicurezza manualmente

  1. Per abilitare selettivamente il monitoraggio del EKS runtime per i tuoi account membri, esegui il updateMemberDetectorsAPIoperazione utilizzando la propria detector ID.

    Imposta lo stato di EKS_ADDON_MANAGEMENT su DISABLED.

    In alternativa, è possibile utilizzare il AWS CLI comando utilizzando il proprio ID regionale del rilevatore. Per trovare il codice detectorId relativo al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console oppure esegui il ListDetectors API.

    L'esempio seguente abilita EKS_RUNTIME_MONITORING e disabilita EKS_ADDON_MANAGEMENT:

    aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 555555555555 --features '[{"Name" : "EKS_RUNTIME_MONITORING", "Status" : "ENABLED", "AdditionalConfiguration" : [{"Name" : "EKS_ADDON_MANAGEMENT", "Status" : "ENABLED"}] } ]'

  2. Per gestire l'agente di sicurezza, consulta Gestione manuale dell'agente di sicurezza per il EKS cluster Amazon.