Amazon ECS 클러스터의 런타임 범위 및 문제 해결

Amazon ECS 클러스터의 런타임 범위에는 AWS Fargate 및 Amazon ECS 컨테이너 인스턴스 에서 실행되는 작업이 포함됩니다¹.

Fargate에서 실행되는 Amazon ECS 클러스터의 경우 런타임 적용 범위는 작업 수준에서 평가됩니다. ECS 클러스터 런타임 범위에는 런타임 모니터링 및 Fargate에 대한 자동 에이전트 구성을 활성화한 후 실행을 시작한 Fargate 작업이 포함됩니다(ECS만 해당). 기본적으로 Fargate 작업은 변경할 수 없습니다. 는 이미 실행 중인 작업에서 컨테이너를 모니터링하기 위해 보안 에이전트를 설치할 수 GuardDuty 없습니다. 이러한 Fargate 작업을 포함하려면 작업을 중지하고 다시 시작해야 합니다. 연결된 서비스가 지원되는지 확인합니다.

Amazon ECS 컨테이너에 대한 자세한 내용은 용량 생성 섹션을 참조하세요.

적용 범위 통계 검토

사용자 계정 또는 멤버 계정과 연결된 Amazon ECS 리소스의 적용 범위 통계는 선택한 의 모든 Amazon ECS 클러스터에 대한 정상 Amazon ECS 클러스터의 백분율입니다 AWS 리전. 여기에는 Fargate 및 Amazon EC2 인스턴스와 연결된 Amazon ECS 클러스터에 대한 적용 범위가 포함됩니다. 다음 등식은 이를 다음과 같이 나타냅니다.

(정상 클러스터/모든 클러스터)*100

고려 사항

액세스 방법 중 하나를 선택하여 계정의 적용 범위 통계를 검토합니다.

적용 범위 문제에 대한 자세한 내용은 섹션을 참조하세요Amazon ECS-Fargate 런타임 적용 범위 문제 해결.

알림을 통한 EventBridge 보장 상태 변경

Amazon ECS 클러스터의 적용 범위 상태는 비정상 으로 표시될 수 있습니다. 적용 범위 상태가 변경되는 시기를 확인하려면 적용 범위 상태를 주기적으로 모니터링하고 상태가 비정상 으로 바뀌는 경우 문제를 해결하는 것이 좋습니다. 또는 Amazon EventBridge 규칙을 생성하여 적용 범위 상태가 비정상에서 정상 또는 기타 상태로 변경될 때 알림을 받을 수 있습니다. 기본적으로 는 계정의 EventBridge 버스에 이를 GuardDuty 게시합니다.

샘플 알림 스키마

EventBridge 규칙에서 사전 정의된 샘플 이벤트 및 이벤트 패턴을 사용하여 적용 범위 상태 알림을 받을 수 있습니다. EventBridge 규칙 생성에 대한 자세한 내용은 Amazon EventBridge 사용 설명서의 규칙 생성을 참조하세요.

또한 다음 예시 알림 스키마를 사용하여 사용자 지정 이벤트 패턴을 생성할 수 있습니다. 계정에 대한 값을 바꿔야 합니다. Amazon ECS 클러스터의 적용 범위 상태가 에서 Healthy로 변경될 때 알림을 받으려면 Unhealthydetail-type가 GuardDuty Runtime Protection Unhealthy. 적용 범위 상태가 에서 Unhealthy로 변경될 때 알림을 받으려면 의 값을 detail-type로 Healthy바꿉니다.GuardDuty Runtime Protection Healthy.

{
  "version": "0",
  "id": "event ID",
  "detail-type": "GuardDuty Runtime Protection Unhealthy",
  "source": "aws.guardduty",
  "account": "AWS 계정 ID",
  "time": "event timestamp (string)",
  "region": "AWS 리전",
  "resources": [
       ],
  "detail": {
    "schemaVersion": "1.0",
    "resourceAccountId": "string",
    "currentStatus": "string",
    "previousStatus": "string",
    "resourceDetails": {
        "resourceType": "ECS",
        "ecsClusterDetails": {
          "clusterName":"",
          "fargateDetails":{
            "issues":[],
            "managementType":""
          },
          "containerInstanceDetails":{
            "coveredContainerInstances":int,
            "compatibleContainerInstances":int
          }
        }
    },
    "issue": "string",
    "lastUpdatedAt": "timestamp"
  }
}

Amazon ECS-Fargate 런타임 적용 범위 문제 해결

Amazon ECS 클러스터의 적용 범위 상태가 비정상 인 경우 문제 열에서 이유를 볼 수 있습니다.

다음 표에는 Fargate(AmazonECS만 해당) 문제에 대한 권장 문제 해결 단계가 나와 있습니다. Amazon EC2 인스턴스 적용 범위에 대한 자세한 내용은 Amazon EC2 인스턴스Amazon EC2 런타임 적용 범위 문제 해결용 섹션을 참조하세요.

...
      "ecr:GetAuthorizationToken",
      "ecr:BatchCheckLayerAvailability",
      "ecr:GetDownloadUrlForLayer",
      "ecr:BatchGetImage",
...