先決條件 – 建立 Amazon VPC端點

建立VPC端點

1. 在 開啟 Amazon VPC主控台https://console.aws.amazon.com/vpc/。

2. 在導覽窗格中的虛擬私有雲端下，選擇端點。

3. 選擇建立端點。

4. 在建立端點頁面上，為服務類別選擇其他端點服務。

5. 對於服務名稱，輸入 com.amazonaws.us-east-1.guardduty-data。

   請務必取代 us-east-1 使用正確的區域。這必須與屬於您 AWS 帳戶 ID 的EKS叢集區域相同。

6. 選擇驗證服務。

7. 成功驗證服務名稱後，請選擇VPC叢集所在的 。新增下列政策，將VPC端點用量限制為指定的帳戶。您可以透過本政策下方提供的組織 Condition，更新下列政策以限制對端點的存取權限。若要為IDs組織中的特定帳戶提供VPC端點支援，請參閱 Organization condition to restrict access to your endpoint。

   {
   	"Version": "2012-10-17",
   	"Statement": [
   		{
   			"Action": "*",
   			"Resource": "*",
   			"Effect": "Allow",
   			"Principal": "*"
   		},
   		{
   			"Condition": {
   				"StringNotEquals": {
   					"aws:PrincipalAccount": "111122223333" 
   				}
   			},
   			"Action": "*",
   			"Resource": "*",
   			"Effect": "Deny",
   			"Principal": "*"
   		}
   	]
   }

   aws:PrincipalAccount 帳戶 ID 必須與包含 VPC和 VPC端點的帳戶相符。下列清單說明如何與其他 AWS 帳戶 共用VPC端點IDs：

   限制端點存取的組織條件

   • 若要指定多個帳戶來存取VPC端點，請將 取代"aws:PrincipalAccount": "111122223333"為下列項目：

     "aws:PrincipalAccount": [
               "666666666666",
               "555555555555"
         ]

   • 若要允許組織的所有成員存取VPC端點，請將 取代"aws:PrincipalAccount": "111122223333"為下列內容：

     "aws:PrincipalOrgID": "o-abcdef0123"

   • 若要限制存取組織 ID 的資源，請將您的 ResourceOrgID 新增至該政策。

     如需詳細資訊，請參閱 ResourceOrgID 。

     "aws:ResourceOrgID": "o-abcdef0123"

8. 在其他設定 下，選擇啟用DNS名稱 。

9. 在子網路下方，選擇叢集所在的子網路。

10. 在安全群組 下，選擇從您的 VPC（或EKS叢集） 啟用傳入連接埠 443 的安全群組。如果您尚未擁有已啟用輸入連接埠 443 的安全群組，則建立安全群組。

    如果限制傳入許可至您的 VPC（或執行個體） 時發生問題，您可以從任何 IP 地址 傳入 443 連接埠(0.0.0.0/0)。不過， GuardDuty 建議使用符合您 CIDR區塊的 IP 地址VPC。如需詳細資訊，請參閱 Amazon VPC使用者指南 中的VPCCIDR區塊。