Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Dopo aver abilitato il Runtime Monitoring e installato il GuardDuty security agent (componente aggiuntivo) per EKS manualmente o tramite la configurazione automatica degli agenti, puoi iniziare a valutare la copertura per i tuoi cluster EKS.
Indice
Revisione delle statistiche di copertura
Le statistiche di copertura per i cluster EKS associati ai tuoi account o ai tuoi account membri consistono nella percentuale dei cluster EKS integri rispetto a tutti i cluster EKS nella Regione AWS selezionata. L'equazione seguente rappresenta questa percentuale come:
(Cluster integri/Tutti i cluster)*100
Scegli uno dei metodi di accesso per esaminare le statistiche di copertura dei tuoi account.
Accedi a AWS Management Console e apri la console all' GuardDuty indirizzo. https://console.aws.amazon.com/guardduty/
-
Nel riquadro di navigazione, scegli Runtime Monitoring.
-
Scegli la scheda Copertura runtime dei cluster EKS.
-
Nella scheda Copertura runtime del cluster EKS puoi visualizzare le statistiche di copertura aggregate per stato di copertura, disponibili nella tabella Elenco cluster.
-
Puoi filtrare la tabella Elenco cluster in base alle seguenti colonne:
-
Nome cluster
-
ID account
-
Tipo di gestione dell'agente
-
Stato copertura
-
Versione del componente aggiuntivo
-
-
-
Se uno dei tuoi cluster EKS ha lo Stato copertura impostato su Non integro, la colonna Problema può includere informazioni aggiuntive sul motivo dello stato Non integro.
Se lo stato di copertura del cluster EKS è Non integro, consulta Risoluzione dei problemi di copertura del runtime di Amazon EKS.
Modifica dello stato della copertura con EventBridge notifiche
Lo stato di copertura di un cluster EKS nel tuo account potrebbe essere visualizzato come Non integro. Per rilevare quando lo stato di copertura diventa Non integro, ti consigliamo di monitorarlo periodicamente e di risolvere i problemi se è Non integro. In alternativa, puoi creare una EventBridge regola Amazon per avvisarti quando lo stato della copertura cambia Unhealthy da Healthy o in altro modo. Per impostazione predefinita, GuardDuty lo pubblica nel EventBridge bus per il tuo account.
Schema di esempio delle notifiche
EventBridge Di norma, è possibile utilizzare gli eventi e i modelli di eventi di esempio predefiniti per ricevere notifiche sullo stato della copertura. Per ulteriori informazioni sulla creazione di una EventBridge regola, consulta Create rule nella Amazon EventBridge User Guide.
Inoltre, puoi creare un pattern di eventi personalizzato utilizzando lo schema di esempio delle notifiche seguente. Assicurati di sostituire i valori per il tuo account. Per ricevere una notifica quando lo stato di copertura del tuo cluster Amazon EKS cambia da Healthy aUnhealthy, detail-type dovresti farloGuardDuty Runtime
Protection Unhealthy. Per ricevere una notifica quando lo stato della copertura cambia da Unhealthy aHealthy, sostituisci il valore di detail-type conGuardDuty Runtime Protection Healthy.
{
"version": "0",
"id": "event ID",
"detail-type": "GuardDuty Runtime Protection Unhealthy",
"source": "aws.guardduty",
"account": "Account AWS ID",
"time": "event timestamp (string)",
"region": "Regione AWS",
"resources": [
],
"detail": {
"schemaVersion": "1.0",
"resourceAccountId": "string",
"currentStatus": "string",
"previousStatus": "string",
"resourceDetails": {
"resourceType": "EKS",
"eksClusterDetails": {
"clusterName": "string",
"availableNodes": "string",
"desiredNodes": "string",
"addonVersion": "string"
}
},
"issue": "string",
"lastUpdatedAt": "timestamp"
}
}Risoluzione dei problemi di copertura del runtime di Amazon EKS
Se lo stato di copertura per il tuo cluster EKS èUnhealthy, puoi visualizzare l'errore corrispondente nella colonna Problema della GuardDuty console o utilizzando il tipo di CoverageResourcedati.
Quando utilizzi tag di inclusione o di esclusione per monitorare in modo selettivo i cluster EKS, la sincronizzazione dei tag potrebbe richiedere del tempo. Ciò potrebbe influire sullo stato di copertura del cluster EKS associato. Puoi provare a rimuovere e aggiungere nuovamente il tag corrispondente (di inclusione o di esclusione). Per ulteriori informazioni, consulta Assegnazione di tag alle risorse Amazon EKS nella Guida per l'utente di Amazon EKS.
La struttura di un problema di copertura è Issue type:Extra information. In genere, in caso di problemi vengono fornite Informazioni supplementari facoltative che possono includere specifiche eccezioni o descrizioni del problema sul lato client. Sulla base di informazioni aggiuntive, le tabelle seguenti forniscono i passaggi consigliati per risolvere i problemi di copertura per i cluster EKS.
Tipo di problema (prefisso) |
Informazioni supplementari |
Fasi consigliate per la risoluzione dei problemi |
|---|---|---|
Creazione del componente aggiuntivo non riuscita |
L'addon non |
Assicurati di utilizzare una delle versioni di Kubernetes che supportano l'implementazione del componente aggiuntivo EKS |
Creazione del componente aggiuntivo non riuscita Aggiornamento del componente aggiuntivo non riuscito Stato del componente aggiuntivo non integro |
Problema relativo al componente aggiuntivo EKS - |
Per informazioni sui passaggi consigliati per un codice di problema specifico del componente aggiuntivo, consulta. Troubleshooting steps for Addon creation/updatation error with Addon issue code Per un elenco dei codici di problema relativi ai componenti aggiuntivi che potresti riscontrare in questo problema, consulta. AddonIssue |
|
Creazione degli endpoint VPC non riuscita |
La creazione di endpoint VPC non è supportata per VPC condiviso |
Il Runtime Monitoring ora supporta l'uso di un VPC condiviso all'interno di un'organizzazione. Assicurati che i tuoi account soddisfino tutti i prerequisiti. Per ulteriori informazioni, consulta Prerequisiti per l'utilizzo di un VPC condiviso. |
|
Solo quando si utilizza un VPC condiviso con configurazione automatizzata degli agenti L'ID dell'account proprietario |
L'account proprietario del VPC condiviso deve abilitare il monitoraggio del runtime e la configurazione automatica degli agenti per almeno un tipo di risorsa (Amazon EKS o Amazon ECS ())AWS Fargate. Per ulteriori informazioni, consulta Prerequisiti specifici per il monitoraggio del runtime GuardDuty . | |
L'abilitazione del DNS privato richiede entrambi |
Assicurati che i seguenti attributi VPC siano impostati su Se utilizzi la console Amazon VPC su https://console.aws.amazon.com/vpc/ |
|
Eliminazione degli endpoint VPC condivisi non riuscita |
L'eliminazione dell'endpoint VPC condiviso non è consentita per ID account, VPC |
Potenziali passaggi:
|
Cluster EKS locali |
I componenti aggiuntivi EKS non sono supportati sui cluster outpost locali. |
Non utilizzabile. Per ulteriori informazioni, consulta Amazon EKS on AWS outposts. |
Autorizzazione per l'abilitazione del monitoraggio del runtime EKS non concessa |
(può mostrare o meno informazioni aggiuntive) |
|
Provisioning delle risorse per l'abilitazione del monitoraggio del runtime EKS in corso |
(può mostrare o meno informazioni aggiuntive) |
Non utilizzabile. Dopo aver abilitato il monitoraggio del runtime EKS, lo stato di copertura potrebbe rimanere |
Altri (qualsiasi altro problema) |
Errore dovuto a un errore di autorizzazione |
Disattiva il monitoraggio del runtime EKS, quindi riattivalo. Assicurati che anche l' GuardDuty agente venga distribuito, automaticamente GuardDuty o manualmente. |
Errore di creazione o aggiornamento del componente aggiuntivo |
Fasi per la risoluzione dei problemi |
|---|---|
|
Problema relativo all'addon EKS |
|
|
Problema relativo al componente aggiuntivo EKS |
Per risolvere il problema, è possibile procedere in uno dei seguenti modi:
NotaIl messaggio viene visualizzato |
|
Problema relativo al componente aggiuntivo EKS - |
|
|
EKS Addon Issue - |
|
|
EKS Addon Issue - |
Puoi visualizzare i log associati al pod e identificare il problema. Per informazioni su come eseguire questa operazione, consulta Debug Running Pods Utilizza la seguente lista di controllo per risolvere questo problema relativo al componente aggiuntivo:
|
|
Problema relativo al componente aggiuntivo EKS |
Puoi visualizzare i log associati al pod e identificare il problema. Per informazioni su come eseguire questa operazione, consulta Debug Running Pods Dopo aver identificato il problema, utilizza la seguente lista di controllo per risolverlo:
|
EKS Addon Issue |
|
EKS Addon Issue - |
Quando crei o aggiorni l'Addon, fornisci il flag di Puoi prima rimuovere un componente aggiuntivo Amazon EKS da un cluster e poi reinstallarlo. |
Problema relativo al componente aggiuntivo EKS - |
È necessario aggiungere l'autorizzazione mancante al Ora puoi applicarlo |
|
AddonUpdationFailed: EKSAddon Problema - |
|
Problema aggiuntivo EKS - |
È necessario disabilitare il controller o fare in modo che il controller accetti le richieste dal cluster Amazon EKS. Prima di creare o aggiornare il componente aggiuntivo, puoi anche creare uno spazio dei GuardDuty nomi ed etichettarlo come. |
Problema relativo al componente aggiuntivo EKS - |
È necessario disabilitare il controller o fare in modo che il controller accetti le richieste dal cluster Amazon EKS. Prima di creare o aggiornare il componente aggiuntivo, puoi anche creare uno spazio dei GuardDuty nomi ed etichettarlo come. |
Problema relativo al componente aggiuntivo EKS - |
Aggiungi il registro delle immagini per GuardDuty al tuo controller |
