Amazon ECS 集群的运行时间覆盖和故障排除

Amazon ECS 集群的运行时覆盖范围包括运行的任务 AWS Fargate 和亚马逊ECS容器实例¹。

对于在 Fargate 上运行的 Amazon ECS 集群，运行时间覆盖率是在任务级别评估的。ECS集群运行时覆盖范围包括那些在启用 Fargate 的运行时监控和自动代理配置后开始运行的 Fargate 任务（仅限）。ECS默认情况下，Fargate 任务是不可变的。 GuardDuty 将无法安装安全代理来监视已在运行的任务上的容器。要包含此类 Fargate 任务，必须停止并重新启动该任务。务必要检查相关服务是否受支持。

有关 Amazon ECS 容器的信息，请参阅容量创建。

查看覆盖率统计数据

与您自己的账户或成员账户关联的 Amazon ECS 资源的覆盖率统计数据是健康的亚马逊ECS集群占所选所有亚马逊ECS集群的百分比 AWS 区域。这包括对与 Fargate 和亚马逊ECS实例关联的亚马逊EC2集群的保障。下式将其表示为：

（正常集群/所有集群）*100

注意事项

选择一种访问方法来查看您账户的覆盖率统计数据。

有关覆盖率问题的更多信息，请参阅对 Amazon ECS-Fargate 运行时覆盖问题进行故障排除。

保险状态会随着 EventBridge通知而变化

您的 Amazon ECS 集群的覆盖状态可能显示为 “不健康”。要检测覆盖率状态何时变为不正常，我们建议您定期监控覆盖率状态，并在状态变为不正常时进行故障排除。或者，您可以创建 Amazon EventBridge 规则，以便在保险状态从 “不健康” 变为 “健康” 或其他情况时收到通知。默认情况下，会在EventBridge 公交车上为您的账户 GuardDuty 发布此内容。

示例通知架构

在 EventBridge 规则中，您可以使用预定义的示例事件和事件模式来接收覆盖状态通知。有关创建 EventBridge 规则的更多信息，请参阅 Amazon EventBridge 用户指南中的创建规则。

此外，您还可以使用以下示例通知架构来创建自定义事件模式。确保替换账户的值。要在您的 Amazon ECS 集群的覆盖状态从变Healthy为时收到通知Unhealthy，detail-type应为GuardDuty Runtime Protection Unhealthy。要在保险状态从变为时收到通知Healthy，Unhealthy请将的detail-type值替换为GuardDuty Runtime Protection Healthy。

{
  "version": "0",
  "id": "event ID",
  "detail-type": "GuardDuty Runtime Protection Unhealthy",
  "source": "aws.guardduty",
  "account": "AWS 账户 ID",
  "time": "event timestamp (string)",
  "region": "AWS 区域",
  "resources": [
       ],
  "detail": {
    "schemaVersion": "1.0",
    "resourceAccountId": "string",
    "currentStatus": "string",
    "previousStatus": "string",
    "resourceDetails": {
        "resourceType": "ECS",
        "ecsClusterDetails": {
          "clusterName":"",
          "fargateDetails":{
            "issues":[],
            "managementType":""
          },
          "containerInstanceDetails":{
            "coveredContainerInstances":int,
            "compatibleContainerInstances":int
          }
        }
    },
    "issue": "string",
    "lastUpdatedAt": "timestamp"
  }
}

对 Amazon ECS-Fargate 运行时覆盖问题进行故障排除

如果您的 Amazon ECS 集群的覆盖状态为 “不健康”，则可以在问题列下查看原因。

下表提供了 Fargate（ECS仅限亚马逊）问题的建议故障排除步骤。有关亚马逊EC2实例覆盖范围问题的信息，对 Amazon EC2 运行时覆盖问题进行故障排除请参阅 Amazon EC2 实例。

...
      "ecr:GetAuthorizationToken",
      "ecr:BatchCheckLayerAvailability",
      "ecr:GetDownloadUrlForLayer",
      "ecr:BatchGetImage",
...