기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
Amazon EKS 클러스터 적용 범위
런타임 모니터링을 활성화하고 수동 EKS 또는 자동 에이전트 구성을 통해 GuardDuty 보안 에이전트 (애드온) 를 설치한 후 클러스터의 적용 범위 평가를 시작할 수 있습니다EKS.
적용 범위 통계 검토
사용자 계정 또는 구성원 계정과 연결된 EKS 클러스터의 적용 범위 통계는 선택한 클러스터의 모든 EKS 클러스터에서 정상 EKS 클러스터가 차지하는 비율입니다. AWS 리전다음 등식은 이를 다음과 같이 나타냅니다.
(정상 클러스터/모든 클러스터)*100
액세스 방법 중 하나를 선택하여 계정의 적용 범위 통계를 검토합니다.
EKS클러스터의 커버리지 상태가 비정상인 경우 을 참조하십시오EKS커버리지 문제 해결.
적용 범위 상태 변경 알림 구성
계정 내 EKS 클러스터의 적용 범위 상태가 비정상으로 표시될 수 있습니다. 적용 범위 상태가 비정상이 된 시점을 탐지하려면 주기적으로 적용 범위 상태를 모니터링하고 상태가 비정상인 경우 문제를 해결하는 것이 좋습니다. 또는 Amazon EventBridge 규칙을 생성하여 적용 범위 상태가 둘 Unhealthy 중 하나로 Healthy 또는 다른 상태로 변경될 때 알림을 받을 수 있습니다. 기본적으로 계정의 EventBridge버스에 이 내용을 GuardDuty 게시합니다.
샘플 알림 스키마
EventBridge 규칙적으로 사전 정의된 샘플 이벤트와 이벤트 패턴을 사용하여 커버리지 상태 알림을 받을 수 있습니다. EventBridge 규칙 생성에 대한 자세한 내용은 Amazon EventBridge 사용 설명서의 규칙 생성을 참조하십시오.
또한 다음 예시 알림 스키마를 사용하여 사용자 지정 이벤트 패턴을 생성할 수 있습니다. 계정에 대한 값을 바꿔야 합니다. Amazon EKS 클러스터의 커버리지 상태가 에서 Healthy 로 Unhealthy 변경될 때 알림을 받으려면 detail-type 다음을 수행해야 합니다.GuardDuty Runtime Protection Unhealthy. 커버리지 상태가 에서 Unhealthy 로 변경될 때 알림을 받으려면 의 값을 Healthy 다음으로 detail-type 바꾸십시오.GuardDuty Runtime Protection Healthy.
{ "version": "0", "id": "event ID", "detail-type": "GuardDuty Runtime ProtectionUnhealthy", "source": "aws.guardduty", "account": "AWS 계정 ID", "time": "event timestamp (string)", "region": "AWS 리전", "resources": [ ], "detail": { "schemaVersion": "1.0", "resourceAccountId": "string", "currentStatus": "string", "previousStatus": "string", "resourceDetails": { "resourceType": "EKS", "eksClusterDetails": { "clusterName": "string", "availableNodes": "string", "desiredNodes": "string", "addonVersion": "string" } }, "issue": "string", "lastUpdatedAt": "timestamp" } }
EKS커버리지 문제 해결
EKS클러스터의 커버리지 상태가 인 Unhealthy 경우 GuardDuty 콘솔의 Issue 열에서 또는 CoverageResource데이터 유형을 사용하여 해당 오류를 확인할 수 있습니다.
EKS클러스터를 선택적으로 모니터링하기 위해 포함 또는 제외 태그를 사용하는 경우 태그가 동기화되는 데 시간이 걸릴 수 있습니다. 이는 관련 클러스터의 커버리지 상태에 영향을 미칠 수 있습니다. EKS 해당 태그(포함 또는 제외)를 제거하고 다시 추가할 수 있습니다. 자세한 내용은 Amazon EKS사용 설명서의 Amazon EKS 리소스 태그 지정을 참조하십시오.
적용 범위 문제의 구조는 Issue type:Extra information입니다. 일반적으로 문제에는 선택 사항으로 추가 정보가 있으며, 특정 클라이언트 측 예외 또는 문제에 대한 설명이 포함될 수 있습니다. 추가 정보를 기반으로 다음 표는 클러스터의 커버리지 문제를 해결하기 위한 권장 단계를 제공합니다. EKS
문제 유형(접두사) |
추가 정보 |
권장 문제 해결 단계 |
|---|---|---|
애드온 생성 실패 |
|
애드온 배포를 지원하는 Kubernetes 버전 중 하나를 사용하고 있는지 확인하세요. |
애드온 생성 실패 애드온 업데이트 실패 애드온 상태 비정상 |
EKS애드온 문제 -: |
특정 애드온 문제 코드의 권장 단계에 대한 자세한 내용은 을 참조하십시오. Troubleshooting steps for Addon creation/updatation error with Addon issue code 이 문제에서 발생할 수 있는 애드온 문제 코드 목록은 을 참조하십시오. AddonIssue |
|
VPC엔드포인트 생성 실패 |
VPC공유에는 엔드포인트 생성이 지원되지 않습니다. VPC |
런타임 모니터링은 이제 조직 VPC 내 공유 항목 사용을 지원합니다. 계정이 모든 사전 요구 사항을 충족하는지 확인하세요. 자세한 내용은 공유 사용을 위한 사전 요구 사항 VPC 단원을 참조하십시오. |
|
자동 VPC 에이전트와 공유 구성을 사용하는 경우에만 소유자 계정 ID |
공유 VPC 소유자 계정은 하나 이상의 리소스 유형 (Amazon EKS 또는 Amazon ECS (AWS Fargate)) 에 대해 런타임 모니터링 및 자동 에이전트 구성을 활성화해야 합니다. 자세한 내용은 런타임 모니터링과 관련된 GuardDuty 사전 요구 사항 단원을 참조하십시오. | |
비공개를 DNS 활성화하려면 |
다음 VPC 속성이 —및 로 Amazon VPC Console https://console.aws.amazon.com/vpc/ |
|
공유 VPC 엔드포인트 삭제 실패 |
계정 ID에는 공유 VPC 엔드포인트 삭제가 허용되지 않습니다. |
잠재적 단계:
|
로컬 EKS 클러스터 |
EKS로컬 아웃포스트 클러스터에서는 애드온이 지원되지 않습니다. |
실행 불가. 자세한 내용은 전초 EKS기지에 관한 Amazon을 AWS 참조하십시오. |
EKS런타임 모니터링 활성화 권한이 부여되지 않았습니다. |
(추가 정보를 표시할 수도 있고 표시하지 않을 수도 있음) |
|
EKS런타임 모니터링 지원 리소스 프로비저닝 진행 중 |
(추가 정보를 표시할 수도 있고 표시하지 않을 수도 있음) |
실행 불가. EKS런타임 모니터링을 활성화한 후에는 리소스 프로비저닝 단계가 |
기타 (기타 문제) |
인증 실패로 인한 오류 |
EKS런타임 모니터링을 전환하여 껐다가 다시 켜십시오. GuardDuty 에이전트가 자동으로 배포되는지 GuardDuty 또는 수동으로 배포되는지도 확인하십시오. |
애드온 생성 또는 업데이트 오류 |
문제 해결 단계 |
|---|---|
EKS애드온 문제 - |
문제 메시지를 사용하여 근본 원인을 식별하고 수정할 수 있습니다. 클러스터를 설명하는 것으로 시작할 수 있습니다. 예를 들어 포드 장애의 근본 원인을 식별하는 근본 원인을 수정한 후 해당 단계 (애드온 생성 또는 업데이트) 를 다시 시도하세요. |
EKS애드온 이슈 - |
|
EKS애드온 문제 - |
애드온을 만들거나 업데이트할 때 충돌 |
EKS애드온 문제 - |
누락된 권한을
이제 다음 명령을
|
EKS애드온 이슈 - |
컨트롤러를 비활성화하거나 컨트롤러가 Amazon EKS 클러스터의 요청을 수락하도록 해야 합니다. 애드온을 생성하거나 업데이트하기 전에 GuardDuty 네임스페이스를 생성하고 레이블을 붙일 수도 있습니다. |
