Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

# Voraussetzungen für die ECS-EC2 Bottlerocket-Unterstützung
<a name="prereq-runtime-monitoring-ecs-ec2-bottlerocket-support"></a>

**Wichtig**  
Dieser Abschnitt gilt nur für * ECS-optimized Bottlerocket-AMIs* der Version `v1.62.1` und höher, einschließlich der folgenden Varianten:  
`bottlerocket-aws-ecs-2-x86_64` / `bottlerocket-aws-ecs-2-aarch64`
`bottlerocket-aws-ecs-3-x86_64` / `bottlerocket-aws-ecs-3-aarch64`
`bottlerocket-aws-ecs-2-nvidia` / `bottlerocket-aws-ecs-2-nvidia-fips`
`bottlerocket-aws-ecs-3-nvidia` / `bottlerocket-aws-ecs-3-nvidia-fips`

Runtime Monitoring dehnt GuardDuty die Bedrohungserkennung auf Ihre Bottlerocket Amazon EC2 EC2-Instances in Amazon ECS-Clustern aus. Dabei wird ein Sicherheitsagent verwendet, der als Host-Container ausgeführt wird und dem containeroptimierten Design von Bottlerocket entspricht. Um es zu aktivieren, müssen Sie die Voraussetzungen in diesem Abschnitt erfüllen. Wenn diese Voraussetzungen erfüllt sind, finden Sie weitere Informationen unter[Laufzeitüberwachung aktivieren GuardDuty](runtime-monitoring-configuration.md).

Weitere Informationen zu Anforderungen und Anweisungen finden Sie unter[Verwaltung des GuardDuty Sicherheitsagenten auf Bottlerocket (Amazon ECS auf Amazon EC2)](managing-gdu-agent-bottlerocket-ecs-ec2.md).

**Topics**
+ [Machen Sie EC2-Instances SSM-verwaltet und konfigurieren Sie Instanzberechtigungen](#ssm-managed-prereq-bottlerocket)
+ [Validierung der architektonischen Anforderungen](#validating-architecture-req-bottlerocket)
+ [Anforderungen an die Netzwerkkonnektivität](#network-connectivity-prereq-bottlerocket)
+ [Validierung der Service-Control-Richtlinie Ihres Unternehmens in einer Umgebung mit mehreren Konten](#validate-organization-scp-bottlerocket)
+ [Bei Verwendung der automatisierten Agentenkonfiguration](#runtime-bottlerocket-prereq-automated-agent-config)
+ [CPU- und Speicherlimit für den Agenten GuardDuty](#bottlerocket-prereq-cpu-memory-limits)
+ [Nächster Schritt](#next-step-after-prereq-bottlerocket)

## Machen Sie EC2-Instances SSM-verwaltet und konfigurieren Sie Instanzberechtigungen
<a name="ssm-managed-prereq-bottlerocket"></a>

GuardDuty verwendet AWS Systems Manager (SSM), um den Security Agent auf Ihren Bottlerocket-Instances bereitzustellen, zu installieren und zu verwalten, wobei der SSM-Agent im Bottlerocket-Kontrollcontainer ausgeführt wird.

In den meisten Fällen decken die Berechtigungen, über die Ihre Instanzen bereits für Bottlerocket verfügen, auch ab. GuardDuty Es sind keine zusätzlichen Richtlinien erforderlich. Die `AmazonEC2ContainerRegistryReadOnly` Richtlinie, die Bottlerocket verwendet, um seine Kontroll- und Admin-Container-Images abzurufen, erfüllt auch die Anforderung, das GuardDuty Agenten-Container-Image abzurufen. [Weitere Informationen finden Sie in der README-Datei zu Bottlerocket.](https://github.com/bottlerocket-os/bottlerocket/blob/develop/README.md#exploration)

Das Instanzprofil muss die folgenden verwalteten Richtlinien enthalten:
+ `AmazonSSMManagedInstanceCore`— Erforderlich, damit der Bottlerocket Control Container den SSM-Agenten ausführen kann. Informationen zur Verwaltung Ihrer Amazon EC2 EC2-Instances mit Systems Manager finden Sie im *AWS Systems Manager Benutzerhandbuch* unter [Systems Manager für Amazon EC2 EC2-Instances einrichten](https://docs.aws.amazon.com/systems-manager/latest/userguide/systems-manager-setting-up-ec2.html).
+ `AmazonEC2ContainerRegistryReadOnly`— Erforderlich für das Abrufen des GuardDuty Agenten-Container-Images aus Amazon ECR. Es sind mindestens die folgenden Berechtigungen erforderlich:

  ```
  ...
        "ecr:GetAuthorizationToken",
        "ecr:BatchCheckLayerAvailability",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage",
  ...
  ```

Um die Amazon ECR-Berechtigungen weiter einzuschränken, können Sie den Amazon ECR-Repository-URI hinzufügen, der den GuardDuty Security Agent für Amazon ECS-Amazon EC2 Bottlerocket hostet. Weitere Informationen finden Sie unter [ECR-Repository für GuardDuty Agenten auf Bottlerocket ECS-EC2](ecs-ec2-bottlerocket-runtime-agent-ecr-image-uri.md).

## Validierung der architektonischen Anforderungen
<a name="validating-architecture-req-bottlerocket"></a>

Die Architektur Ihrer Instances bestimmt, wie sich der Security Agent verhält. GuardDuty Bottlerocket ECS-2 und seine ECS-3 Varianten erfüllen diese Anforderungen von Haus aus. Bestätigen Sie Folgendes, bevor Sie Runtime Monitoring aktivieren:
+ Die Kernel-Unterstützung umfasst `eBPF``Tracepoints`, und`Kprobe`. ECS-2 Bottlerocket-Varianten verwenden Kernel `6.1` und ECS-3 Varianten verwenden Kernel. `6.12` Beide Versionen erfüllen die Kernel-Anforderungen für Runtime Monitoring. Die `CONFIG_DEBUG_INFO_BTF=y` Kernel-Option ist in Bottlerocket ECS-2 und Kernels standardmäßig aktiviert. ECS-3 
+ Für CPU-Architekturen unterstützt Runtime Monitoring AMD64 () und ARM64 (). `x86_64` `aarch64`

## Anforderungen an die Netzwerkkonnektivität
<a name="network-connectivity-prereq-bottlerocket"></a>

GuardDuty hostet seinen Sicherheitsagenten als Container-Image in Amazon ECR, sodass Ihre Instances eine Netzwerkverbindung zu Amazon ECR benötigen, um ihn abrufen zu können. Wählen Sie je nach Ihrer Netzwerkkonfiguration eine der folgenden Optionen:

**Option 1 — Nutzung des öffentlichen Netzwerkzugangs (falls verfügbar)**  
Wenn Ihre Bottlerocket-Instanzen in Subnetzen mit ausgehendem Internetzugang ausgeführt werden, ist keine zusätzliche Netzwerkkonfiguration erforderlich.

**Option 2 — Verwendung von Amazon VPC-Endpunkten (für private Subnetze)**  
Für Bottlerocket-Instances in privaten Subnetzen bieten VPC-Endpunkte die Konnektivität, die der Agent benötigt. Konfigurieren Sie Endpunkte für Amazon ECR, Amazon S3 und Systems Manager, sodass Instances das Agenten-Image abrufen und zur Bereitstellung mit Systems Manager kommunizieren können.  
*Weitere Informationen zur Konfiguration von VPC-Endpunkten finden [Sie unter Create the VPC Endpoints for Amazon ECR im Amazon](https://docs.aws.amazon.com/AmazonECR/latest/userguide/vpc-endpoints.html#ecr-setting-up-vpc-create) *Elastic Container Registry User Guide und [Create VPC](https://docs.aws.amazon.com/systems-manager/latest/userguide/setup-create-vpc.html) Endpoints im User Guide*.AWS Systems Manager *

## Validierung der Service-Control-Richtlinie Ihres Unternehmens in einer Umgebung mit mehreren Konten
<a name="validate-organization-scp-bottlerocket"></a>

Wenn Sie eine Service Control Policy (SCP) zur Verwaltung von Berechtigungen in Ihrer Organisation eingerichtet haben, überprüfen Sie, ob die Rechtegrenze die Aktion zulässt. `guardduty:SendSecurityTelemetry` GuardDuty benötigt diese Berechtigung, um Runtime Monitoring für verschiedene Ressourcentypen zu unterstützen.

Wenn es sich bei Ihrem Konto um ein Mitgliedskonto handelt, wenden Sie sich an den zugehörigen delegierten Administrator. Informationen zur Verwaltung von SCPs für Ihr Unternehmen finden Sie unter [Service Control Policies (SCPs](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)).

## Bei Verwendung der automatisierten Agentenkonfiguration
<a name="runtime-bottlerocket-prereq-automated-agent-config"></a>

Um die automatische Agentenkonfiguration verwenden zu können, AWS-Konto müssen Sie die folgenden Voraussetzungen erfüllen:
+ Wenn Sie Inclusion-Tags mit automatisierter Agentenkonfiguration verwenden, GuardDuty um eine SSM-Zuordnung für eine neue Instance zu erstellen, stellen Sie sicher, dass die neue Instance SSM-verwaltet wird und in der [https://console.aws.amazon.com/systems-manager/](https://console.aws.amazon.com/systems-manager/)Konsole unter **Fleet Manager** angezeigt wird.
+ Wenn Sie Ausschlusstags mit automatisierter Agentenkonfiguration verwenden:
  + Fügen Sie einer Amazon EC2 EC2-Instance das `false` Tag`GuardDutyManaged`: hinzu, bevor Sie sie starten und bevor Sie den GuardDuty automatisierten Agenten für Ihr Konto konfigurieren. Nachdem die automatische Agentenkonfiguration aktiviert wurde, wird jede Instance, die ohne Ausschluss-Tag gestartet wird, automatisch abgedeckt.
  + Aktivieren **Sie für Ihre Instances die Option „Tags zulassen“ in den Metadaten-Einstellungen**. Diese Einstellung ist erforderlich, da das Ausschluss-Tag aus dem Instanz-Metadatendienst (IMDS) gelesen werden GuardDuty muss, um festzustellen, ob die Instanz von der Agenteninstallation ausgeschlossen werden soll. Weitere Informationen finden Sie unter [Aktivieren des Zugriffs auf Tags in Instance-Metadaten](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/work-with-tags-in-IMDS.html#allow-access-to-tags-in-IMDS) im *Amazon EC2 EC2-Benutzerhandbuch*.

## CPU- und Speicherlimit für den Agenten GuardDuty
<a name="bottlerocket-prereq-cpu-memory-limits"></a>

**CPU-Grenze**  
GuardDuty begrenzt den Security Agent auf 10 Prozent der gesamten vCPU-Kapazität der Instance. Auf einer Instanz mit 4 vCPU-Kernen kann der Agent beispielsweise höchstens 0,4 vCPU verwenden.

**Speicherlimit**  
Aus dem Speicher, der Ihrer Amazon EC2 EC2-Instance zugeordnet ist, gibt es ein Limit für den Speicher, den der GuardDuty Security Agent verwenden kann.  
Die folgende Tabelle zeigt das Speicherlimit.      
[See the AWS documentation website for more details](http://docs.aws.amazon.com/de_de/guardduty/latest/ug/prereq-runtime-monitoring-ecs-ec2-bottlerocket-support.html)

## Nächster Schritt
<a name="next-step-after-prereq-bottlerocket"></a>

Im nächsten Schritt konfigurieren Sie Runtime Monitoring und verwalten den Security Agent automatisch.