Amazon ECSクラスターのランタイムカバレッジとトラブルシューティング

Amazon ECSクラスターのランタイムカバレッジには、 AWS Fargate および Amazon ECSコンテナインスタンス で実行されるタスクが含まれます¹。

Fargate で実行される Amazon ECSクラスターの場合、ランタイムカバレッジはタスクレベルで評価されます。ECS クラスターのランタイムカバレッジには、Fargate のランタイムモニタリングと自動エージェント設定 (ECS のみ) を有効にした後に実行を開始した Fargate タスクが含まれます。デフォルトでは、Fargate タスクはイミュータブルです。 GuardDuty は、セキュリティエージェントをインストールして、既に実行されているタスクのコンテナをモニタリングすることはできません。このような Fargate タスクを含めるには、タスクを停止して再度開始する必要があります。関連付けられたサービスがサポートされていることを確認します。

Amazon ECSコンテナの詳細については、「キャパシティの作成」を参照してください。

カバレッジ統計の確認

独自のアカウントまたはメンバーアカウントに関連付けられた Amazon ECSリソースのカバレッジ統計は、選択した 内のすべての Amazon ECSクラスターにおける正常な Amazon ECSクラスターの割合です AWS リージョン。これには、Fargate インスタンスと Amazon EC2インスタンスの両方に関連付けられた Amazon ECSクラスターのカバレッジが含まれます。次の式はこれを次のように表します。

(正常なクラスター/すべてのクラスター)*100

考慮事項

いずれかのアクセス方法を選択して、アカウントのカバレッジ統計を確認してください。

カバレッジ問題を解決する方法の詳細については、「Amazon ECS-Fargate ランタイムカバレッジ問題のトラブルシューティング」を参照してください。

通知による EventBridgeカバレッジステータスの変更

Amazon ECSクラスターのカバレッジステータスが異常 として表示される場合があります。カバレッジステータスの変化を検出するためにカバレッジステータスを定期的に監視し、ステータスが [異常] の場合はトラブルシューティングすることをお勧めします。または、カバレッジステータスが Unhealthy から Healthy またはその他に変わったときに通知を受け取る Amazon EventBridge ルールを作成することもできます。デフォルトでは、 はこれをアカウントのEventBridge バスに GuardDuty 発行します。

通知スキーマの例

EventBridge ルールでは、事前定義されたサンプルイベントとイベントパターンを使用して、カバレッジステータス通知を受信できます。 EventBridge ルールの作成の詳細については、「Amazon ユーザーガイド」の「ルールの作成」を参照してください。 EventBridge

さらに、次の通知スキーマの例を使用して、カスタムイベントパターンを作成します。アカウントの値を必ず置き換えてください。Amazon ECSクラスターのカバレッジステータスが から Healthyに変わったときに通知を受け取るにはUnhealthy、 を detail-typeにする必要があります。GuardDuty Runtime Protection Unhealthy。 カバレッジステータスが から Unhealthyに変更されたときに通知を受け取るにはHealthy、 の値を detail-type に置き換えます。GuardDuty Runtime Protection Healthy.

{
  "version": "0",
  "id": "event ID",
  "detail-type": "GuardDuty Runtime Protection Unhealthy",
  "source": "aws.guardduty",
  "account": "AWS アカウント ID",
  "time": "event timestamp (string)",
  "region": "AWS リージョン",
  "resources": [
       ],
  "detail": {
    "schemaVersion": "1.0",
    "resourceAccountId": "string",
    "currentStatus": "string",
    "previousStatus": "string",
    "resourceDetails": {
        "resourceType": "ECS",
        "ecsClusterDetails": {
          "clusterName":"",
          "fargateDetails":{
            "issues":[],
            "managementType":""
          },
          "containerInstanceDetails":{
            "coveredContainerInstances":int,
            "compatibleContainerInstances":int
          }
        }
    },
    "issue": "string",
    "lastUpdatedAt": "timestamp"
  }
}

Amazon ECS-Fargate ランタイムカバレッジ問題のトラブルシューティング

Amazon ECSクラスターのカバレッジステータスが異常の場合、問題列に理由が表示されます。

次の表は、Fargate (Amazon ECSのみ) の問題の推奨されるトラブルシューティング手順を示しています。Amazon EC2インスタンスのカバレッジの問題の詳細については、「Amazon EC2インスタンスAmazon EC2 ランタイムカバレッジの問題のトラブルシューティングの」を参照してください。

...
      "ecr:GetAuthorizationToken",
      "ecr:BatchCheckLayerAvailability",
      "ecr:GetDownloadUrlForLayer",
      "ecr:BatchGetImage",
...