本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS Fargate （ECS仅限 Amazon）支持的先决条件

本节包括监控 Fargate-ECS Amazon 资源运行时行为的先决条件。满足这些先决条件后，请参阅启用 GuardDuty 运行时监控。

验证架构要求

您使用的平台可能会影响 GuardDuty 安全代理支持 GuardDuty 从您的 Amazon ECS 集群接收运行时事件的方式。您必须验证自己使用的是其中一个经过验证的平台。

经过验证的平台

操作系统的分布和CPU架构会影响 GuardDuty安全代理提供的支持。下表显示了用于部署 GuardDuty安全代理和配置运行时监控的经过验证的配置。

¹ Support 对各种操作系统的支持- GuardDuty 已验证支持在上表中列出的操作系统上使用运行时监控。如果您使用不同的操作系统并且能够成功安装安全代理，则可能会获得所列操作系统发行版中 GuardDuty 已通过验证提供的所有预期安全值。

提供ECR权限和子网详细信息

在启用运行时监控之前，您必须提供以下详细信息：

验证组织服务控制策略

此步骤是支持运行时监控和评估不同资源类型的覆盖范围所必需的。 GuardDuty

如果您已设置服务控制策略 (SCP) 来管理组织中的权限，请验证您TaskExecutionRole及其策略guardduty:SendSecurityTelemetry中的权限边界是否没有限制。

以下示例策略会允许 guardduty:SendSecurityTelemetry 策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
    "Effect": "Allow",
            "Action": [
                ...,
                ...,               
                "guardduty:SendSecurityTelemetry"
            ],
            "Resource": "*"
        }
    ]
}

有关策略和权限的信息，请参阅《IAM用户指南》中的权限边界。

如果您是成员账户，则连接到关联的委派管理员。有关为您的组织SCPs进行管理的信息，请参阅服务控制策略 (SCPs)。

CPU和内存限制

在 Fargate 任务定义中，必须在任务级别指定CPU和内存值。下表显示了任务级别CPU和内存值的有效组合，以及相应 GuardDuty 的安全代理对容器的最大内存限制。 GuardDuty

启用运行时监控并评估集群的覆盖率状态是否正常后，您可以设置和查看 Container Insights 指标。有关更多信息，请参阅 在 Amazon ECS 集群上设置监控。

下一步是配置运行时监控和安全代理。