Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
La copertura del runtime per i cluster Amazon ECS include le attività in esecuzione e le istanze di AWS Fargate container Amazon ECS. 1
Per un cluster Amazon ECS eseguito su Fargate, la copertura del runtime viene valutata a livello di attività. La copertura del runtime dei cluster ECS include le attività Fargate che sono iniziate a essere eseguite dopo aver abilitato il monitoraggio del runtime e la configurazione automatica degli agenti per Fargate (solo ECS). Per impostazione predefinita, un'attività Fargate è immutabile. GuardDuty non sarà in grado di installare il security agent per monitorare i contenitori sulle attività già in esecuzione. Per includere un'attività Fargate di questo tipo, è necessario interromperla e riavviarla. Assicurati di controllare se il servizio associato è supportato.
Per informazioni sul contenitore Amazon ECS, consulta Creazione di capacità.
Indice
Revisione delle statistiche di copertura
Le statistiche di copertura per le risorse Amazon ECS associate al tuo account o ai tuoi account membro sono la percentuale di cluster Amazon ECS integri rispetto a tutti i cluster Amazon ECS selezionati. Regione AWS Ciò include la copertura per i cluster Amazon ECS associati alle istanze Fargate e Amazon. EC2 L'equazione seguente rappresenta questa percentuale come:
(Cluster integri/Tutti i cluster)*100
Considerazioni
-
Le statistiche di copertura per il cluster ECS includono lo stato di copertura delle attività Fargate o delle istanze di container ECS associate a quel cluster ECS. Lo stato di copertura delle attività di Fargate include le attività che sono in esecuzione o che sono state completate di recente.
-
Nella scheda Copertura del runtime dei cluster ECS, il campo Istanze di container coperte indica lo stato di copertura delle istanze di container associate al tuo cluster Amazon ECS.
Se il tuo cluster Amazon ECS contiene solo attività Fargate, il conteggio appare come 0/0.
-
Se il tuo cluster Amazon ECS è associato a un' EC2 istanza Amazon che non dispone di un agente di sicurezza, anche il cluster Amazon ECS avrà uno stato di copertura Unhealthy.
Per identificare e risolvere il problema di copertura per l' EC2 istanza Amazon associata, consulta per le istanze Risoluzione dei problemi EC2 di copertura del runtime di Amazon Amazon EC2.
Scegli uno dei metodi di accesso per esaminare le statistiche di copertura dei tuoi account.
Accedi AWS Management Console e apri la console all'indirizzo. GuardDuty https://console.aws.amazon.com/guardduty/
-
Nel riquadro di navigazione, scegli Runtime Monitoring.
-
Scegli la scheda Runtime coverage.
-
Nella scheda Runtime Coverage dei cluster ECS, puoi visualizzare le statistiche di copertura aggregate in base allo stato di copertura di ogni cluster Amazon ECS disponibile nella tabella Elenco dei cluster.
-
Puoi filtrare la tabella dell'elenco dei cluster in base alle seguenti colonne:
-
ID account
-
Nome del cluster
-
Tipo di gestione dell'agente
-
Stato copertura
-
-
-
Se uno dei tuoi cluster Amazon ECS ha lo stato di copertura come Non integro, la colonna Problema include informazioni aggiuntive sul motivo dello stato Non integro.
Se i tuoi cluster Amazon ECS sono associati a EC2 un'istanza Amazon, vai alla scheda di copertura del runtime dell'EC2 istanza e filtra in base al campo Nome cluster per visualizzare il problema associato.
Per ulteriori informazioni sui problemi di copertura, vedereRisoluzione dei problemi di copertura del runtime di Amazon ECS-Fargate.
Modifica dello stato della copertura con EventBridge notifiche
Lo stato di copertura del tuo cluster Amazon ECS potrebbe apparire come Non integro. Per sapere quando lo stato della copertura cambia, ti consigliamo di monitorare periodicamente lo stato della copertura e di risolvere i problemi se lo stato diventa Non integro. In alternativa, puoi creare una EventBridge regola Amazon per ricevere una notifica quando lo stato della copertura cambia da Insalutare a Healthy o altro. Per impostazione predefinita, GuardDuty lo pubblica nel EventBridge bus relativo al tuo account.
Schema di esempio delle notifiche
EventBridge Di norma, è possibile utilizzare gli eventi e i modelli di eventi di esempio predefiniti per ricevere notifiche sullo stato della copertura. Per ulteriori informazioni sulla creazione di una EventBridge regola, consulta Create rule nella Amazon EventBridge User Guide.
Inoltre, puoi creare un pattern di eventi personalizzato utilizzando lo schema di esempio delle notifiche seguente. Assicurati di sostituire i valori per il tuo account. Per ricevere una notifica quando lo stato di copertura del tuo cluster Amazon ECS cambia da Healthy aUnhealthy, detail-type dovresti farlo. GuardDuty Runtime
Protection Unhealthy Per ricevere una notifica quando lo stato della copertura cambia da Unhealthy aHealthy, sostituisci il valore di detail-type conGuardDuty Runtime Protection Healthy.
{
"version": "0",
"id": "event ID",
"detail-type": "GuardDuty Runtime Protection Unhealthy",
"source": "aws.guardduty",
"account": "Account AWS ID",
"time": "event timestamp (string)",
"region": "Regione AWS",
"resources": [
],
"detail": {
"schemaVersion": "1.0",
"resourceAccountId": "string",
"currentStatus": "string",
"previousStatus": "string",
"resourceDetails": {
"resourceType": "ECS",
"ecsClusterDetails": {
"clusterName":"",
"fargateDetails":{
"issues":[],
"managementType":""
},
"containerInstanceDetails":{
"coveredContainerInstances":int,
"compatibleContainerInstances":int
}
}
},
"issue": "string",
"lastUpdatedAt": "timestamp"
}
}Risoluzione dei problemi di copertura del runtime di Amazon ECS-Fargate
Se lo stato di copertura del tuo cluster Amazon ECS non è integro, puoi visualizzare il motivo nella colonna Problema.
La tabella seguente fornisce i passaggi consigliati per la risoluzione dei problemi di Fargate (solo Amazon ECS). Per informazioni sui problemi di copertura delle EC2 istanze Amazon, consulta Risoluzione dei problemi EC2 di copertura del runtime di Amazon per EC2 le istanze Amazon.
| Tipo di problema | Informazioni supplementari | Fasi consigliate per la risoluzione dei problemi |
|---|---|---|
|
L'agente non effettua la segnalazione |
Agente che non effettua la segnalazione per le attività in |
Verifica che l'endpoint VPC per l'attività del tuo cluster Amazon ECS sia configurato correttamente. Per ulteriori informazioni, consulta Convalida della configurazione degli endpoint VPC. Se la tua organizzazione ha una policy di controllo dei servizi (SCP), verifica che il limite delle autorizzazioni non limiti l'autorizzazione. |
|
|
Visualizza i dettagli del problema VPC nelle informazioni aggiuntive. |
|
|
L'agente è uscito |
ExitCode: |
Visualizza i dettagli del problema nelle informazioni aggiuntive. |
|
Motivo: |
||
ExitCode: |
||
Agente chiuso: Motivo: |
Il ruolo di esecuzione dell'attività deve disporre delle seguenti autorizzazioni Amazon Elastic Container Registry (Amazon ECR): Per ulteriori informazioni, consulta Fornisci le autorizzazioni ECR e i dettagli della sottorete. Dopo aver aggiunto le autorizzazioni Amazon ECR, devi riavviare l'attività. Se il problema persiste, consulta. Il mio AWS Step Functions flusso di lavoro non funziona in modo imprevisto |
|
|
Creazione degli endpoint VPC non riuscita |
L'abilitazione del DNS privato richiede entrambi |
Assicurati che i seguenti attributi VPC siano impostati su Se utilizzi la console Amazon VPC su https://console.aws.amazon.com/vpc/ |
Agente non fornito |
Richiamata non supportata da |
Questa attività è stata richiamata da un comando |
|
Architettura CPU ' |
Questa attività è in esecuzione su un'architettura CPU non supportata. Per informazioni sulle architetture CPU supportate, vedere. Convalida dei requisiti relativi all'architettura |
|
|
|
Manca il ruolo di esecuzione delle attività ECS. Per informazioni su come fornire il ruolo di esecuzione dell'attività e le autorizzazioni richieste, vedere. Fornisci le autorizzazioni ECR e i dettagli della sottorete |
|
|
Configurazione di rete ' |
I problemi di configurazione della rete possono verificarsi a causa della configurazione VPC mancante o di sottoreti mancanti o vuote. Verifica che la configurazione di rete sia corretta. Per ulteriori informazioni, consulta Fornisci le autorizzazioni ECR e i dettagli della sottorete. Per ulteriori informazioni, consulta i parametri di definizione delle attività di Amazon ECS nella Amazon Elastic Container Service Developer Guide. |
|
|
Le attività avviate quando i cluster avevano un tag di esclusione sono escluse dal Runtime Monitoring. ID attività interessati: ' |
Quando modifichi il GuardDuty tag predefinito da Aggiorna il tag a |
|
|
I servizi distribuiti quando i cluster avevano il tag di esclusione sono esclusi dal Runtime Monitoring. Nome/i dei servizi interessati: '' |
Quando i servizi distribuiti con il tag di esclusione Aggiorna il tag a |
|
|
Le attività avviate prima dell'attivazione della configurazione automatica dell'agente non sono coperte. ID attività interessati: '' |
Se il cluster contiene un'attività avviata prima di abilitare la configurazione automatizzata dell'agente per Amazon ECS, non GuardDuty sarà in grado di proteggerla. Riavvia l'attività affinché venga monitorata da. GuardDuty |
|
|
I servizi distribuiti prima di abilitare la configurazione automatica degli agenti non sono coperti. Nome/i dei servizi interessati: '' |
Quando i servizi vengono distribuiti prima di abilitare la configurazione automatizzata degli agenti per Amazon ECS, non GuardDuty riceverà eventi di runtime per i cluster ECS. |
|
|
Il servizio ' |
Un servizio avviato prima dell'attivazione del Runtime Monitoring non è supportato. Puoi riavviare il servizio o aggiornarlo con l' |
|
|
Le attività avviate prima di abilitare il Runtime Monitoring richiedono un riavvio. ID attività interessati: '' |
In Amazon ECS, le attività sono immutabili. Per valutare il comportamento di runtime o un' AWS Fargate attività in esecuzione, assicurati che Runtime Monitoring sia già abilitato, quindi riavvia l'attività per GuardDuty aggiungere il sidecar del contenitore. |
|
Altri |
Problema non identificato, per le attività in |
Utilizza le seguenti domande per identificare la causa principale del problema:
|
