Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Runtime-Abdeckung und Fehlerbehebung für EKS Amazon-Cluster
Nachdem Sie Runtime Monitoring aktiviert und den GuardDuty Security Agent (Add-on) EKS entweder manuell oder über die automatische Agentenkonfiguration installiert haben, können Sie mit der Bewertung der Abdeckung Ihrer EKS Cluster beginnen.
Inhalt
Überprüfen der Abdeckungsstatistiken
Die Abdeckungsstatistik für die EKS Cluster, die Ihren eigenen Konten oder Ihren Mitgliedskonten zugeordnet sind, gibt den Prozentsatz der fehlerfreien EKS Cluster an allen EKS Clustern in den ausgewählten Clustern an AWS-Region. Die folgende Gleichung stellt dies wie folgt dar:
(Fehlerfreie Cluster/Alle Cluster)*100
Wählen Sie eine der Zugriffsmethoden, um die Abdeckungsstatistiken für Ihre Konten einzusehen.
Wenn der Abdeckungsstatus Ihres EKS Clusters fehlerhaft ist, finden Sie weitere Informationen unterBehebung von Problemen mit der Amazon EKS Runtime Coverage.
Änderung des Abdeckungsstatus mit Benachrichtigungen EventBridge
Der Abdeckungsstatus eines EKS Clusters in Ihrem Konto wird möglicherweise als Ungesund angezeigt. Um zu erkennen, wann der Abdeckungsstatus Fehlerhaft wird, empfehlen wir Ihnen, den Abdeckungsstatus regelmäßig zu überwachen und Fehler zu beheben, falls der Status Fehlerhaft ist. Alternativ können Sie eine EventBridge Amazon-Regel erstellen, die Sie benachrichtigt, wenn sich der Deckungsstatus von einem Unhealthy
auf Healthy
oder einem anderen Wert ändert. GuardDuty Veröffentlicht dies standardmäßig im EventBridge Bus für Ihr Konto.
Beispiel für ein Benachrichtigungsschema
In einer EventBridge Regel können Sie die vordefinierten Beispielereignisse und Ereignismuster verwenden, um eine Benachrichtigung über den Versicherungsstatus zu erhalten. Weitere Informationen zum Erstellen einer EventBridge Regel finden Sie unter Regel erstellen im EventBridge Amazon-Benutzerhandbuch.
Darüber hinaus können Sie mithilfe des folgenden Beispiel-Benachrichtigungsschemas ein benutzerdefiniertes Ereignismuster erstellen. Achten Sie darauf, die Werte für Ihr Konto zu ersetzen. Um benachrichtigt zu werden, wenn sich der Abdeckungsstatus Ihres EKS Amazon-Clusters von Healthy
zu ändertUnhealthy
, detail-type
sollte GuardDuty Runtime
Protection Unhealthy
. Um benachrichtigt zu werden, wenn sich der Versicherungsstatus von Unhealthy
zu ändertHealthy
, ersetzen Sie den Wert von detail-type
durch GuardDuty Runtime Protection Healthy
.
{ "version": "0", "id": "event ID", "detail-type": "GuardDuty Runtime Protection
Unhealthy
", "source": "aws.guardduty", "account": "AWS-Konto ID", "time": "event timestamp (string)", "region": "AWS-Region", "resources": [ ], "detail": { "schemaVersion": "1.0", "resourceAccountId": "string", "currentStatus": "string", "previousStatus": "string", "resourceDetails": { "resourceType": "EKS", "eksClusterDetails": { "clusterName": "string", "availableNodes": "string", "desiredNodes": "string", "addonVersion": "string" } }, "issue": "string", "lastUpdatedAt": "timestamp" } }
Behebung von Problemen mit der Amazon EKS Runtime Coverage
Wenn der Abdeckungsstatus für Ihren EKS Cluster lautetUnhealthy
, können Sie den entsprechenden Fehler entweder in der Spalte Problem in der GuardDuty Konsole oder mithilfe des CoverageResourceDatentyps anzeigen.
Wenn Sie mit Ein- oder Ausschluss-Tags arbeiten, um Ihre EKS Cluster selektiv zu überwachen, kann es einige Zeit dauern, bis die Tags synchronisiert sind. Dies kann sich auf den Abdeckungsstatus des zugehörigen EKS Clusters auswirken. Sie können erneut versuchen, das entsprechende Tag (Einschluss oder Ausschluss) zu entfernen und hinzuzufügen. Weitere Informationen finden Sie unter Taggen Ihrer EKS Amazon-Ressourcen im EKSAmazon-Benutzerhandbuch.
Die Struktur eines Abdeckungsproblems ist Issue type:Extra information
. In der Regel verfügen die Probleme über optionale Zusatzinformationen, die eine spezifische Ausnahme oder eine Beschreibung des Problems enthalten können. Basierend auf zusätzlichen Informationen enthalten die folgenden Tabellen die empfohlenen Schritte zur Behebung von Problemen mit der Abdeckung Ihrer EKS Cluster.
Art des Problems (Präfix) |
Zusatzinformation |
Empfohlene Schritte zur Fehlerbehebung |
---|---|---|
Die Erstellung des Addons ist fehlgeschlagen |
Das Addon |
Stellen Sie sicher, dass Sie eine der Kubernetes-Versionen verwenden, die die Bereitstellung des Add-ons unterstützen. |
Die Erstellung des Addons ist fehlgeschlagen Die Aktualisierung des Addons ist fehlgeschlagen Der Status des Addons ist fehlerhaft |
EKSProblem mit dem Addon -: |
Informationen zu empfohlenen Schritten für einen bestimmten Problemcode eines Add-ons finden Sie unterTroubleshooting steps for Addon creation/updatation error with Addon issue code. Eine Liste der Addon-Problemcodes, die bei diesem Problem auftreten können, finden Sie unter AddonIssue. |
VPCDie Endpunkterstellung ist fehlgeschlagen |
VPCDie Erstellung von Endpunkten wird für Shared nicht unterstützt VPC |
Runtime Monitoring unterstützt jetzt die Verwendung eines VPC innerhalb einer Organisation gemeinsam genutzten Geräts. Stellen Sie sicher, dass Ihre Konten alle Voraussetzungen erfüllen. Weitere Informationen finden Sie unter Voraussetzungen für die Nutzung von Shared VPC. |
Nur bei Verwendung von Shared VPC mit automatisierter Agentenkonfiguration Konto-ID des Besitzers |
Das gemeinsame VPC Besitzerkonto muss Runtime Monitoring und automatische Agentenkonfiguration für mindestens einen Ressourcentyp (Amazon EKS oder Amazon ECS (AWS Fargate)) aktivieren. Weitere Informationen finden Sie unter Spezifische Voraussetzungen für GuardDuty Runtime Monitoring. | |
Für die Aktivierung von privat DNS sind beide erforderlich |
Stellen Sie sicher, dass die folgenden VPC Attribute auf Wenn Sie Amazon VPC Console unter verwenden, https://console.aws.amazon.com/vpc/ |
|
Das Löschen des gemeinsamen VPC Endpunkts ist fehlgeschlagen |
Das Löschen eines gemeinsamen VPC Endpunkts ist für die Konto-ID nicht zulässig |
Mögliche Schritte:
|
Lokale EKS Cluster |
EKSAddons werden auf lokalen Outpost-Clustern nicht unterstützt. |
Nicht umsetzbar. Weitere Informationen finden Sie EKSauf Amazon on AWS Outposts. |
EKSDie Genehmigung zur Aktivierung von Runtime Monitoring wurde nicht erteilt |
(kann zusätzliche Informationen anzeigen oder auch nicht) |
|
EKSDie Bereitstellung der Ressourcen zur Aktivierung der Runtime Monitoring ist im Gange |
(zeigt möglicherweise zusätzliche Informationen an oder auch nicht) |
Nicht umsetzbar. Nachdem Sie EKS Runtime Monitoring aktiviert haben, bleibt der Deckungsstatus möglicherweise bestehen, |
Andere (jedes andere Problem) |
Fehler aufgrund eines Autorisierungsfehlers |
Schalten Sie EKS Runtime Monitoring um, um es auszuschalten und dann wieder einzuschalten. Stellen Sie sicher, dass der GuardDuty Agent ebenfalls bereitgestellt wird, entweder automatisch GuardDuty oder manuell. |
Fehler bei der Erstellung oder Aktualisierung des Addons |
Fehlerbehebungsschritte |
---|---|
EKSAddon-Problem - |
|
EKSAddon-Problem — |
|
EKSZusatzproblem — |
Wenn Sie das Addon erstellen oder aktualisieren, geben Sie das Sie können das Addon zuerst löschen und dann erneut installieren. |
EKSProblem mit dem Addon - |
Sie müssen die fehlende Berechtigung
Sie können dies jetzt mit
|
EKSProblem mit dem Add-on - |
Sie müssen entweder den Controller deaktivieren oder den Controller die Anfragen vom EKS Amazon-Cluster annehmen lassen. Bevor Sie das Add-on erstellen oder aktualisieren, können Sie auch einen GuardDuty Namespace erstellen und ihn als |
EKSProblem mit dem Addon - |
Sie müssen dem Admission Controller-Webhook ausdrücklich den Zugriff auf die Registrierung für Ihre Region gestatten, wie unter beschrieben. Repository für die EKS Agentenversion 1.6.0 oder höher |