Amazon ECS叢集的執行期涵蓋範圍和疑難排解

Amazon ECS叢集的執行期涵蓋範圍包括在 AWS Fargate 和 Amazon ECS容器執行個體 上執行的任務¹。

對於在 Fargate 上執行的 Amazon ECS叢集，執行期涵蓋範圍會在任務層級進行評估。ECS 叢集執行期涵蓋範圍包括在您為 Fargate 啟用執行期監控和自動代理程式組態後開始執行的 Fargate 任務 （ECS僅限 ）。根據預設，Fargate 任務是不可變的。 GuardDuty 將無法安裝安全代理程式來監控已執行任務上的容器。若要包含這類 Fargate 任務，您必須停止並再次啟動任務。請務必檢查是否支援相關聯的服務。

如需 Amazon ECS容器的相關資訊，請參閱容量建立 。

檢閱涵蓋範圍統計資料

與您自己的帳戶或成員帳戶相關聯的 Amazon ECS 資源涵蓋範圍統計資料，是所選 中所有 Amazon ECS叢集中運作狀態良好的 Amazon ECS叢集的百分比 AWS 區域。這包括與 Fargate 和 Amazon EC2執行個體相關聯的 Amazon ECS叢集涵蓋範圍。可以用下列方程式將此表示為：

(運作狀態良好的叢集/所有叢集) * 100

考量事項

選擇其中一種存取方法來檢閱您帳戶的涵蓋範圍統計資料。

如需涵蓋範圍問題的詳細資訊，請參閱 對 Amazon ECS-Fargate 執行期涵蓋範圍問題進行故障診斷。

包含 EventBridge通知的涵蓋狀態變更

Amazon ECS叢集的涵蓋範圍狀態可能顯示為運作狀態不佳 。若要了解涵蓋範圍狀態何時變更，建議您定期監控涵蓋範圍狀態，並在狀態變成運作狀態不佳時進行故障診斷。或者，您可以建立 Amazon EventBridge 規則，以便在涵蓋狀態從運作狀態不佳變更為運作狀態或其他狀態時收到通知。根據預設， 會在您帳戶的EventBridge 匯流排中 GuardDuty 發佈此 。

範例通知結構描述

在 EventBridge 規則中，您可以使用預先定義的範例事件和事件模式來接收涵蓋範圍狀態通知。如需建立 EventBridge 規則的詳細資訊，請參閱 Amazon EventBridge 使用者指南 中的建立規則。

此外，您可以使用下列範例通知結構描述來建立自訂事件模式。請務必替換您帳戶的值。若要在 Amazon ECS叢集的涵蓋範圍狀態從 變更為 Healthy 時收到通知Unhealthy，detail-type應該是 GuardDuty Runtime Protection Unhealthy。 若要在涵蓋狀態從 變更為 Unhealthy 時收到通知Healthy，請將 的值取代detail-type為 GuardDuty Runtime Protection Healthy.

{
  "version": "0",
  "id": "event ID",
  "detail-type": "GuardDuty Runtime Protection Unhealthy",
  "source": "aws.guardduty",
  "account": "AWS 帳戶 ID",
  "time": "event timestamp (string)",
  "region": "AWS 區域",
  "resources": [
       ],
  "detail": {
    "schemaVersion": "1.0",
    "resourceAccountId": "string",
    "currentStatus": "string",
    "previousStatus": "string",
    "resourceDetails": {
        "resourceType": "ECS",
        "ecsClusterDetails": {
          "clusterName":"",
          "fargateDetails":{
            "issues":[],
            "managementType":""
          },
          "containerInstanceDetails":{
            "coveredContainerInstances":int,
            "compatibleContainerInstances":int
          }
        }
    },
    "issue": "string",
    "lastUpdatedAt": "timestamp"
  }
}

對 Amazon ECS-Fargate 執行期涵蓋範圍問題進行故障診斷

如果您的 Amazon ECS叢集的涵蓋範圍狀態為運作狀態不佳 ，您可以在問題欄下檢視原因。

下表提供 Fargate （ECS僅限 Amazon） 問題的建議疑難排解步驟。如需 Amazon EC2執行個體涵蓋範圍問題的相關資訊，請參閱 Amazon EC2執行個體對 Amazon EC2執行期涵蓋範圍問題進行疑難排解的相關資訊。

...
      "ecr:GetAuthorizationToken",
      "ecr:BatchCheckLayerAvailability",
      "ecr:GetDownloadUrlForLayer",
      "ecr:BatchGetImage",
...