Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Cobertura para la EC2 instancia de Amazon
En el caso de un EC2 recurso de Amazon, la cobertura del tiempo de ejecución se evalúa a nivel de instancia. Sus EC2 instancias de Amazon pueden ejecutar varios tipos de aplicaciones y cargas de trabajo, entre otros, en su AWS entorno. Esta función también es compatible con las EC2 instancias de Amazon ECS gestionadas por Amazon y, si tienes ECS clústeres de Amazon ejecutándose en una EC2 instancia de Amazon, los problemas de cobertura a nivel de instancia aparecerán en Amazon EC2 Runtime Coverage.
Temas
Revisión de las estadísticas de cobertura
Las estadísticas de cobertura de las EC2 instancias de Amazon asociadas a tus propias cuentas o a las cuentas de tus miembros representan el porcentaje de las EC2 instancias en buen estado respecto a todas las EC2 instancias de la seleccionada Región de AWS. La siguiente ecuación lo representa de la siguiente manera:
(Instancias en buen estado o todas las instancias) *100
Si también has implementado el agente de GuardDuty seguridad para tus ECS clústeres de Amazon, cualquier problema de cobertura a nivel de instancia asociado a los ECS clústeres de Amazon que se ejecuten en una EC2 instancia de Amazon aparecerá como un problema de cobertura del tiempo de ejecución de una EC2 instancia de Amazon.
Elija uno de los métodos de acceso para revisar las estadísticas de cobertura de sus cuentas.
Si el estado de cobertura de su EC2 instancia es Incorrecto, consulteSolución de problemas de cobertura.
Configuración de las notificaciones de cambio de estado de cobertura
El estado de cobertura de tu EC2 instancia de Amazon puede aparecer como Insalubre. Para saber cuándo cambia el estado de la cobertura, te recomendamos que supervises el estado de la cobertura periódicamente y resuelvas los problemas si el estado pasa a ser de mal estado. Como alternativa, puedes crear una EventBridge regla de Amazon para recibir una notificación cuando el estado de la cobertura cambie de Insalubre a Saludable o no. De forma predeterminada, la GuardDuty publica en el EventBridge bus de tu cuenta.
Ejemplo de esquema de notificaciones
Como EventBridge regla general, puede utilizar los ejemplos de eventos y patrones de eventos predefinidos para recibir la notificación del estado de la cobertura. Para obtener más información sobre cómo crear una EventBridge regla, consulta Crear regla en la Guía del EventBridge usuario de Amazon.
Además, puede crear un patrón de eventos personalizado mediante el siguiente ejemplo de esquema de notificaciones. Asegúrese de sustituir los valores de su cuenta. Para recibir una notificación cuando el estado de cobertura de tu EC2 instancia de Amazon cambie de Healthy
aUnhealthy
, detail-type
debes GuardDuty Runtime
Protection Unhealthy
. Para recibir una notificación cuando el estado de la cobertura cambie de Unhealthy
aHealthy
, sustituya el valor detail-type
de por GuardDuty Runtime Protection Healthy
.
{ "version": "0", "id": "event ID", "detail-type": "GuardDuty Runtime Protection Unhealthy", "source": "aws.guardduty", "account": "Cuenta de AWS ID", "time": "event timestamp (string)", "region": "Región de AWS", "resources": [ ], "detail": { "schemaVersion": "1.0", "resourceAccountId": "string", "currentStatus": "string", "previousStatus": "string", "resourceDetails": { "resourceType": "EC2", "ec2InstanceDetails": { "instanceId":"", "instanceType":"", "clusterArn": "", "agentDetails": { "version":"" }, "managementType":"" } }, "issue": "string", "lastUpdatedAt": "timestamp" } }
Solución de problemas de cobertura
Si el estado de la cobertura de tu EC2 instancia de Amazon es Incorrecto, puedes ver el motivo en la columna Problema.
Si la EC2 instancia está asociada a un EKS clúster y el agente de seguridad EKS se instaló manualmente o mediante una configuración automática del agente, para solucionar el problema de cobertura, consulteCobertura para EKS clústeres de Amazon.
En la siguiente tabla, se enumeran los tipos de problemas y los pasos de solución de problemas correspondientes.
Tipo de problema | Mensaje de emisión | Pasos para la solución de problemas |
---|---|---|
No hay ningún agente que denuncie |
Esperando la SSM notificación |
Asegúrese de que la EC2 instancia de Amazon ya esté SSM gestionada. La recepción de la SSM notificación puede tardar unos minutos. |
(Vacío a propósito) |
Si administra el agente de GuardDuty seguridad manualmente, asegúrese de seguir los pasos que se indican a continuaciónAdministrar manualmente el agente de seguridad para la EC2 instancia de Amazon. |
|
Si ha activado la configuración automática del agente:
|
||
Si su organización tiene una política de control de servicios (SCP), asegúrese de que no deniegue el |
||
Agente desconectado |
|
|
SSMNo se pudo crear la asociación |
GuardDuty SSMla asociación ya existe en tu cuenta |
|
Tu cuenta tiene demasiadas asociaciones SSM |
Elige una de las dos opciones siguientes:
|
|
SSMFalló la actualización de la asociación |
GuardDuty SSMla asociación no existe en tu cuenta |
GuardDuty SSMla asociación no está presente en tu cuenta. Deshabilite y, a continuación, vuelva a activar Runtime Monitoring. |
SSMFalló la eliminación de la asociación |
GuardDuty SSMla asociación no existe en su cuenta |
La SSM asociación no está presente en tu cuenta. Si la SSM asociación se ha eliminado intencionadamente, no es necesario realizar ninguna acción. |
SSMFalló la ejecución de la asociación de instancias |
No se cumplen los requisitos arquitectónicos u otros requisitos previos. |
Para obtener información sobre las distribuciones de sistemas operativos verificadas, consulte. Requisitos previos para el soporte de EC2 instancias de Amazon Si sigue teniendo este problema, los siguientes pasos le ayudarán a identificarlo y, si es posible, a resolverlo:
|
VPCFalló la creación del punto final |
VPCNo se admite la creación de terminales compartidos VPC |
Runtime Monitoring admite el uso de un recurso compartido VPC dentro de una organización. Para obtener más información, consulte Uso compartido VPC con agentes de seguridad automatizados. |
Solo cuando se utiliza una configuración de agente compartida VPC con automatizada ID de la cuenta del propietario |
La cuenta de VPC propietario compartida debe habilitar Runtime Monitoring y la configuración automática de agentes para al menos un tipo de recurso (Amazon EKS o Amazon ECS (AWS Fargate)). Para obtener más información, consulte Requisitos previos específicos de la supervisión del GuardDuty tiempo de ejecución. | |
La activación de la privacidad DNS requiere que ambos |
Asegúrese de que los siguientes VPC atributos estén configurados en — y Si utilizas Amazon VPC Console https://console.aws.amazon.com/vpc/ |
|
No se pudo eliminar el VPC punto final compartido |
No se permite eliminar el VPC punto de conexión compartido para el ID de la cuenta |
Posibles pasos:
|
El agente no presenta informes |
(Vacío a propósito) |
El tipo de problema ha llegado al final del soporte. Si sigues teniendo este problema y aún no lo has hecho, activa el agente GuardDuty automatizado para AmazonEC2. Si el problema persiste, considere la posibilidad de deshabilitar Runtime Monitoring durante unos minutos y, a continuación, volver a habilitarlo. |