Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Déploiement de l'agent de sécurité sur Amazon EKS
GuardDuty La surveillance du temps d'exécution surveille vos clusters Amazon EKS pour détecter les menaces en y déployant l'agent de GuardDuty sécurité. Sur Amazon EKS, GuardDuty déploie l'agent en tant que module complémentaire aws-guardduty-agent EKS.
Remarques
La surveillance du temps d'exécution prend en charge les clusters Amazon EKS exécutés sur des instances Amazon EC2 et le mode automatique Amazon EKS.
La surveillance du temps d'exécution ne prend pas en charge les clusters Amazon EKS dotés de nœuds hybrides Amazon EKS, ni ceux qui s'exécutent sur AWS Fargate.
Pour plus d'informations sur ces fonctionnalités d'Amazon EKS, consultez Qu'est-ce qu'Amazon EKS ? dans le guide de l'utilisateur Amazon EKS.
Vous pouvez laisser GuardDuty gérer l'agent automatiquement (recommandé) ou le gérer manuellement.
Configuration automatique de l'agent (recommandée)
GuardDuty gère le déploiement et les mises à jour de l'agent de sécurité pour vos clusters EKS. Dans la GuardDuty console, cette configuration apparaît sous le nom de Runtime Monitoring (EKS).
Pour savoir comment l'agent de sécurité se connecte à GuardDuty, voirComment l'agent de sécurité se connecte à GuardDuty.
Impact de l'activation de l'agent de sécurité
GuardDuty déploie l'agent de sécurité sur vos clusters EKS, et Amazon Elastic Kubernetes Service (Amazon EKS) coordonne son déploiement sur les nœuds.
Périmètre de surveillance
Par défaut, GuardDuty gère l'agent de sécurité pour tous les clusters EKS de votre compte, y compris les nouveaux clusters que vous créez. Pour arrêter GuardDuty de gérer l'agent sur un cluster spécifique, ajoutez le tag GuardDutyManaged : false à ce cluster.
Pour plus d'informations sur le balisage des clusters EKS, consultez la section Marquage de vos ressources Amazon EKS dans le guide de l'utilisateur Amazon EKS.
Considérations
-
Lorsque la configuration automatique de l'agent est désactivée, GuardDuty gère l'agent de sécurité uniquement sur les clusters EKS auxquels vous ajoutez
GuardDutyManaged:true. -
L'ajout de la
falsebaliseGuardDutyManaged: arrête la gestion GuardDuty de l'agent de sécurité, mais ne désinstalle pas un agent déjà installé. -
Protégez le
GuardDutyManagedtag en contrôlant qui peut le modifier, à l'aide de politiques de contrôle des services ou de politiques IAM. Pour plus d'informations, veuillez consulter Politiques de contrôle des services (SCP) dans le Guide de l'utilisateur AWS Organizations ou le Contrôle de l'accès aux ressources AWS dans le Guide de l'utilisateur IAM.
Configuration manuelle de l'agent
Utilisez cette approche lorsque vous souhaitez déployer et gérer manuellement l'agent GuardDuty de sécurité sur tous vos clusters EKS. Assurez-vous que la surveillance du temps d'exécution est activée pour vos comptes. L'agent GuardDuty de sécurité risque de ne pas fonctionner comme prévu si la surveillance du temps d'exécution n'est pas activée.
Impact de l'utilisation de cette approche
Vous devez coordonner le déploiement de l'agent GuardDuty de sécurité au sein de vos clusters EKS sur tous vos comptes. Pour bénéficier des dernières fonctionnalités de sécurité, vous devez également mettre à jour l'agent lors de la GuardDuty publication d'une nouvelle version. Pour plus d'informations sur les versions des agents pour EKS, consultezGuardDuty versions de l'agent de sécurité pour les ressources Amazon EKS.
Considérations
Vous devez garantir un flux de données sécurisé tout en surveillant et en comblant les lacunes de couverture à mesure que de nouveaux clusters et de nouvelles charges de travail sont déployés en permanence.
Rubriques associées
