기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

# Amazon EKS에 대한 GuardDuty 보안 에이전트(추가 기능) 파라미터 구성
<a name="guardduty-configure-security-agent-eks-addon"></a>

Amazon EKS에 대한 GuardDuty 보안 에이전트의 특정 파라미터를 구성할 수 있습니다. 이 지원은 GuardDuty 보안 에이전트 버전 1.5.0 이상에서 사용할 수 있습니다. 최신 추가 기능 버전에 대한 자세한 내용은 [Amazon EKS 리소스용 GuardDuty 보안 에이전트 버전](runtime-monitoring-agent-release-history.md#eks-runtime-monitoring-agent-release-history)을 참조하세요.

**보안 에이전트 구성 스키마를 업데이트해야 하는 이유**  
GuardDuty 보안 에이전트의 구성 스키마는 Amazon EKS 클러스터 내의 모든 컨테이너에서 동일합니다. 기본값이 관련 워크로드 및 인스턴스 크기와 일치하지 않는 경우 CPU 설정, 메모리 설정, `PriorityClass` 및 `dnsPolicy` 설정을 구성하는 것이 좋습니다. Amazon EKS 클러스터에 대한 GuardDuty 에이전트를 관리하는 방식에 관계없이 이러한 매개 변수의 기존 구성을 구성하거나 업데이트할 수 있습니다.

## 구성된 파라미터를 사용한 자동화된 에이전트 구성 동작
<a name="preserve-config-param-eks-addon-auto-managed"></a>

GuardDuty가 사용자를 대신하여 보안 에이전트(EKS 애드온)를 관리할 때 필요에 따라 애드온을 업데이트합니다. GuardDuty는 구성 가능한 파라미터의 값을 기본값으로 설정합니다. 하지만 파라미터를 원하는 값으로 업데이트할 수 있습니다. 이로 인해 충돌이 발생하는 경우 [resolveConflicts](https://docs.aws.amazon.com/eks/latest/APIReference/API_UpdateAddon.html#AmazonEKS-UpdateAddon-request-resolveConflicts) 위한 기본 옵션은 `None` 입니다.

## 구성 가능한 파라미터 및 값
<a name="gdu-eks-addon-configure-parameters-values"></a>

추가 기능 파라미터를 구성하는 단계에 대한 자세한 내용은 다음을 참조하세요.
+ [Amazon EKS 리소스에 GuardDuty 보안 에이전트 수동 설치](eksrunmon-deploy-security-agent.md) 또는
+ [Amazon EKS 리소스에 대한 보안 에이전트 수동 업데이트](eksrunmon-update-security-agent.md)

다음 표에는 Amazon EKS 애드온을 수동으로 배포하거나 기존 애드온 설정을 업데이트하는 데 사용할 수 있는 범위와 값이 나와 있습니다.

**CPU 설정**  


<table>
<thead>
  <tr><th>파라미터</th><th>기본값</th><th>구성 가능한 범위</th></tr>
</thead>
<tbody>
  <tr><td>Requests</td><td>200m</td><td>200m~10000m, 둘 다 포함</td></tr>
  <tr><td>한도</td><td>1,000m</td><td>200m~10000m, 둘 다 포함</td></tr>
  <tr><td><code>disableCpuLimits</code></td><td><code>false</code></td><td><code>true</code> 또는 <code>false</code></td></tr>
</tbody>
</table>

`disableCpuLimits` 파라미터는 GuardDuty 보안 에이전트 버전 1.12.1-eksbuild.3 이상에서 사용할 수 있습니다. 이전 버전에서는 추가 기능이이 파라미터를 지원하지 않으며 Amazon EKS 추가 기능 APIs(`CreateAddon`, `UpdateAddon`)를 지정하면 검증 오류가 반환됩니다.  
를 `disableCpuLimits`로 설정하면 `true`보안 에이전트 포드가 CPU 제한을 적용하지 않습니다. 다른 리소스 설정은 영향을 받지 않습니다.  
CPU 제한을 비활성화하려면 다음 구성을 사용합니다.  

```
{"resources":{"disableCpuLimits":true}}
```

**메모리 설정**  


<table>
<thead>
  <tr><th>파라미터</th><th>기본값</th><th>구성 가능한 범위</th></tr>
</thead>
<tbody>
  <tr><td>Requests</td><td>256Mi</td><td rowspan="2">256Mi에서 20000Mi 사이, 둘 다 포함</td></tr>
  <tr><td>한도</td><td>1024Mi</td></tr>
</tbody>
</table>


**`PriorityClass` 설정**  
GuardDuty가 Amazon EKS 추가 기능을 생성하면 할당된 `PriorityClass`는 `aws-guardduty-agent.priorityclass`입니다. 즉, 상담원 포드의 우선 순위에 따라 조치가 취해지지 않습니다. 다음의 `PriorityClass` 옵션 중 하나를 선택하여 이 추가 기능 파라미터를 구성할 수 있습니다.  


<table>
<thead>
  <tr><th>구성 <code>PriorityClass</code></th><th><code>preemptionPolicy</code> 값</th><th><code>preemptionPolicy</code> 설명</th><th>포드 값</th></tr>
</thead>
<tbody>
  <tr><td><code>aws-guardduty-agent.priorityclass</code></td><td><code>Never</code></td><td>작업 없음</td><td>1000000</td></tr>
  <tr><td><code>aws-guardduty-agent.priorityclass-high</code></td><td><code>PreemptLowerPriority</code></td><td rowspan="3">이 값을 할당하면 우선 순위 값이 에이전트 포드 값보다 낮은 실행 중인 포드가 선점됩니다.</td><td>100000000</td></tr>
  <tr><td><code>system-cluster-critical</code><b>1</b></td><td><code>PreemptLowerPriority</code></td><td>2000000000</td></tr>
  <tr><td><code>system-node-critical</code><b>1</b></td><td><code>PreemptLowerPriority</code></td><td>2000001000</td></tr>
</tbody>
</table>

**1** Kubernetes는 `system-cluster-critical` 및 `system-node-critical` 두 가지 `PriorityClass` 옵션을 제공합니다. 자세한 내용은 *Kubernetes 문서*에서 [PriorityClass](https://kubernetes.io/docs/concepts/scheduling-eviction/pod-priority-preemption/#how-to-use-priority-and-preemption)를 참조한다.

**`dnsPolicy` 설정**  
Kubernetes에서 지원하는 다음 DNS 정책 옵션 중 하나를 선택합니다. 구성을 지정하지 않으면 `ClusterFirst`이 기본값으로 사용됩니다.  
+ `ClusterFirst`
+ `ClusterFirstWithHostNet`
+ `Default`
자세한 내용은 *쿠버네티스 문서*의 [포드 DNS 정책](https://kubernetes.io/docs/concepts/services-networking/dns-pod-service/#pod-s-dns-policy)을 참조하세요.

## 구성 스키마 업데이트 확인
<a name="gdu-verify-eks-add-on-configuration-param"></a>

파라미터를 구성한 후 다음 단계를 수행하여 구성 스키마가 업데이트되었는지 확인합니다.

1. [https://console.aws.amazon.com/eks/home\#/clusters](https://console.aws.amazon.com/eks/home#/clusters)에서 Amazon EKS 콘솔을 엽니다.

1. 탐색 창에서 **클러스터**를 선택합니다.

1. **클러스터** 페이지에서 업데이트를 확인할 **클러스터 이름**을 선택합니다.

1. **리소스** 탭을 선택합니다.

1. **리소스 유형** 창의 **워크로드**에서 **DaemonSets** 선택합니다.

1. **aws-guardduty-agent**를 선택합니다.

1. **aws-guardduty-agent** 페이지에서 **Raw 보기**를 선택하여 형식이 지정되지 않은 JSON 응답을 봅니다. 구성 가능한 파라미터에 제공한 값이 표시되는지 확인합니다.

확인 후 GuardDuty 콘솔로 전환합니다. 해당하는를 AWS 리전 선택하고 Amazon EKS 클러스터의 적용 범위 상태를 확인합니다. 자세한 내용은 [Amazon EKS 클러스터의 런타임 범위 및 문제 해결](eks-runtime-monitoring-coverage.md) 단원을 참조하십시오.