Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Prérequis pour AWS Fargate Support (Amazon ECS uniquement)

Cette section inclut les prérequis pour surveiller le comportement d'exécution de vos ressources Fargate-Amazon ECS. Une fois ces conditions préalables remplies, voirActiver la surveillance du GuardDuty temps d'exécution.

Validation des exigences architecturales

La plate-forme que vous utilisez peut avoir un impact sur GuardDuty la manière dont les agents de sécurité GuardDuty prennent en charge la réception des événements d'exécution de vos clusters Amazon ECS. Vous devez confirmer que vous utilisez l'une des plateformes vérifiées.

Pour les architectures de processeurs, les distributions de systèmes d'exploitation et les versions de noyau vérifiées, consultezArchitectures de processeurs, systèmes d'exploitation et versions de noyau pris en charge.

Conditions requises pour accéder à l'image du conteneur

Les conditions préalables suivantes vous permettent d'accéder à l'image du conteneur du GuardDuty sidecar depuis le référentiel Amazon ECR.

Conditions d’autorisation

Le rôle d'exécution des tâches nécessite certaines autorisations Amazon Elastic Container Registry (Amazon ECR) pour télécharger l'image du conteneur de l'agent GuardDuty de sécurité :

...
      "ecr:GetAuthorizationToken",
      "ecr:BatchCheckLayerAvailability",
      "ecr:GetDownloadUrlForLayer",
      "ecr:BatchGetImage",
...

Pour restreindre davantage les autorisations Amazon ECR, vous pouvez ajouter l'URI du référentiel Amazon ECR qui héberge l'agent de GuardDuty sécurité pour AWS Fargate (Amazon ECS uniquement). Pour de plus amples informations, veuillez consulter Agent d'hébergement GuardDuty du référentiel Amazon ECR.

Vous pouvez utiliser la politique AmazonECSTaskExecutionRolePolicy gérée ou ajouter les autorisations ci-dessus à votre TaskExecutionRole politique.

Configuration de la définition des tâches

Lorsque vous créez ou mettez à jour des services Amazon ECS, vous devez fournir des informations de sous-réseau dans votre définition de tâche :

L'exécution des UpdateService API CreateService et dans la référence d'API Amazon Elastic Container Service nécessite que vous transmettiez les informations de sous-réseau. Pour plus d'informations, consultez les définitions de tâches Amazon ECS dans le manuel Amazon Elastic Container Service Developer Guide.

Exigences en matière de connectivité réseau

Vous devez garantir la connectivité réseau pour télécharger l'image du GuardDuty conteneur depuis Amazon ECR. Cette exigence est spécifique GuardDuty car l'entreprise utilise Amazon ECR pour héberger son agent de sécurité. En fonction de la configuration de votre réseau, vous devez implémenter l'une des options suivantes :

Pour plus d'informations sur l'activation de Fargate pour télécharger le GuardDuty conteneur, consultez la section Utilisation d'images Amazon ECR avec Amazon ECS dans le guide de l'utilisateur d'Amazon Elastic Container Registry.

Configuration du groupe de sécurité

Les images de GuardDuty conteneur se trouvent dans Amazon ECR et nécessitent un accès à Amazon S3. Cette exigence est spécifique au téléchargement d'images de conteneurs depuis Amazon ECR. Pour les tâches dont l'accès au réseau est restreint, vous devez configurer vos groupes de sécurité pour autoriser l'accès à S3.

Ajoutez une règle sortante dans votre groupe de sécurité qui autorise le trafic vers la liste des préfixes gérés S3 (pl-xxxxxxxx) sur le port 443. Pour ajouter une règle sortante, consultez la section Configurer les règles des groupes de sécurité dans le guide de l'utilisateur Amazon VPC.

Pour afficher vos listes de AWS préfixes -managed dans la console ou les décrire à l'aide de AWS Command Line Interface (AWS CLI), consultez les listes de préfixes AWS-managed dans le guide de l'utilisateur Amazon VPC.

Validation de la politique de contrôle des services de votre organisation dans un environnement multi-comptes

Cette section explique comment valider les paramètres de votre politique de contrôle des services (SCP) afin de garantir que la surveillance de l'exécution fonctionne comme prévu dans l'ensemble de votre organisation.

Si vous avez configuré une ou plusieurs politiques de contrôle des services pour gérer les autorisations dans votre organisation, vous devez vérifier qu'elle ne refuse pas l'guardduty:SendSecurityTelemetryaction. Pour plus d'informations sur le fonctionnement des SCP, consultez la section Évaluation des SCP dans le Guide de l'AWS Organizations utilisateur.

Si votre compte est un compte de membre, contactez l'administrateur délégué associé. Pour plus d'informations sur la gestion des SCP pour votre organisation, consultez les politiques de contrôle des services (SCP) dans le Guide de l'AWS Organizations utilisateur.

Effectuez les étapes suivantes pour tous les SCP que vous avez configurés dans votre environnement multi-comptes :

Validation des autorisations de rôle et des limites d'autorisations de politique

Procédez comme suit pour vérifier que les limites d'autorisations associées au rôle et à sa politique ne limitent pas guardduty:SendSecurityTelemetry l'action.

Limites de processeur et de mémoire

Dans la définition de la tâche Fargate, vous devez spécifier la valeur du processeur et de la mémoire au niveau de la tâche. Le tableau suivant indique les combinaisons valides de valeurs de processeur et de mémoire au niveau des tâches, ainsi que la limite de mémoire maximale de l'agent de GuardDuty sécurité correspondante pour le GuardDuty conteneur.

Après avoir activé Runtime Monitoring et évalué que l'état de couverture de votre cluster est sain, vous pouvez configurer et afficher les métriques Container Insight. Pour de plus amples informations, veuillez consulter Configuration de la surveillance sur le cluster Amazon ECS.

L'étape suivante consiste à configurer Runtime Monitoring et à configurer l'agent de sécurité.