Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Requisitos previos para AWS Fargate Soporte (solo para Amazon ECS)

En esta sección se incluyen los requisitos previos para supervisar el comportamiento de sus recursos de Fargate-Amazon ECS durante el tiempo de ejecución. Una vez cumplidos estos requisitos previos, consulte Habilitar la supervisión GuardDuty del tiempo de.

Validación de los requisitos de arquitectura

La plataforma que utilice puede afectar a la forma GuardDuty en que el agente de GuardDuty seguridad admite la recepción de los eventos de tiempo de ejecución de sus clústeres de Amazon ECS. Debe validar que esté utilizando una de las plataformas verificadas.

Para ver las arquitecturas de CPU, las distribuciones del sistema operativo y las versiones del kernel verificadas, consulte. Arquitecturas de CPU, sistemas operativos y versiones de kernel compatibles

Requisitos previos para el acceso a imágenes de contenedores

Los siguientes requisitos previos le ayudan a acceder a la imagen del contenedor GuardDuty sidecar desde el repositorio de Amazon ECR.

Requisitos de los permisos

La función de ejecución de tareas requiere ciertos permisos de Amazon Elastic Container Registry (Amazon ECR) para descargar la imagen del contenedor del agente de GuardDuty seguridad:

...
      "ecr:GetAuthorizationToken",
      "ecr:BatchCheckLayerAvailability",
      "ecr:GetDownloadUrlForLayer",
      "ecr:BatchGetImage",
...

Para restringir aún más los permisos de Amazon ECR, puede añadir el URI del repositorio de Amazon ECR en el que se aloja el agente de GuardDuty seguridad AWS Fargate (solo en Amazon ECS). Para obtener más información, consulte Agente de alojamiento GuardDuty del repositorio Amazon ECR.

Puede usar la política AmazonECSTaskExecutionRolePolicy gestionada o añadir los permisos anteriores a su TaskExecutionRole política.

Configuración de definición de tareas

Al crear o actualizar los servicios de Amazon ECS, debe proporcionar información de subred en la definición de la tarea:

La ejecución de UpdateService las API CreateService y en la referencia de API de Amazon Elastic Container Service requiere que pases la información de la subred. Para obtener más información, consulte las definiciones de tareas de Amazon ECS en la Guía para desarrolladores de Amazon Elastic Container Service.

Requisitos de conectividad de red

Debe garantizar la conectividad de la red para descargar la imagen del GuardDuty contenedor de Amazon ECR. Este requisito es específico GuardDuty porque utiliza Amazon ECR para alojar su agente de seguridad. En función de la configuración de red, tendrá que implementar una de las siguientes opciones:

Para obtener información sobre cómo permitir que Fargate descargue el GuardDuty contenedor, consulte Uso de imágenes de Amazon ECR con Amazon ECS en la guía del usuario de Amazon Elastic Container Registry.

Configuración del grupo de seguridad

Las imágenes del GuardDuty contenedor están en Amazon ECR y requieren acceso a Amazon S3. Este requisito es específico para descargar imágenes de contenedores de Amazon ECR. En el caso de las tareas con acceso restringido a la red, debe configurar sus grupos de seguridad para permitir el acceso a S3.

Agregue una regla de salida a su grupo de seguridad que permita el tráfico a la lista de prefijos administrados de S3 (pl-xxxxxxxx) en el puerto 443. Para agregar una regla de salida, consulte Configurar las reglas de un grupo de seguridad en la Guía del usuario de Amazon VPC.

Para ver las listas AWS de prefijos gestionados en la consola o describirlas mediante AWS Command Line Interface (AWS CLI), consulte las listas de prefijos gestionados por la opción AWS-managed en la guía del usuario de Amazon VPC.

Validación de la política de control de servicios de la organización en un entorno de varias cuentas

En esta sección, se explica cómo validar la configuración de la política de control de servicio (SCP) para garantizar que Runtime Monitoring funcione según lo esperado en toda la organización.

Si ha configurado una o más políticas de control de servicio para administrar los permisos en la organización, debe validar que no niegue la acción guardduty:SendSecurityTelemetry. Para obtener información sobre cómo funcionan las SCP, consulte la evaluación de los SCP en la Guía del usuario de AWS Organizations .

Si su cuenta es una cuenta de miembro, póngase en contacto con el administrador delegado asociado. Para obtener información sobre cómo administrar las SCP para la organización, consulte Políticas de control de servicios (SCP) en la Guía del usuario de AWS Organizations .

Realice los siguientes pasos para todas las SCP que haya configurado en su entorno de cuentas múltiples:

Validación de permisos de roles y límites de permisos de políticas

Sigue los pasos siguientes para comprobar que los límites de permisos asociados al rol y a su política no restringen la guardduty:SendSecurityTelemetry acción.

Límites de CPU y memoria

En la definición de la tarea de Fargate, debe especificar el valor de CPU y memoria a nivel de tarea. En la tabla siguiente se muestran las combinaciones válidas de valores de memoria y CPU a nivel de tarea, así como el límite máximo de memoria correspondiente del agente de GuardDuty seguridad para el contenedor. GuardDuty

Después de habilitar la Supervisión en tiempo de ejecución y evaluar que la cobertura del clúster esté en buen estado, podrá configurar y ver las métricas de Información de contenedores. Para obtener más información, consulte Configurar la supervisión en el clúster de Amazon ECS.

El siguiente paso consiste en configurar la Supervisión en tiempo de ejecución, así como el agente de seguridad.