Fargate용 자동 보안 에이전트 관리 (ECSAmazon만 해당) - 아마존 GuardDuty
독립 실행형 GuardDuty 계정을 위한 에이전트 구성다중 계정 환경을 위한 GuardDuty 에이전트 구성

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Fargate용 자동 보안 에이전트 관리 (ECSAmazon만 해당)

런타임 모니터링은 Amazon ECS 클러스터 (AWS Fargate) 의 보안 에이전트 관리를 통해서만 지원합니다 GuardDuty. Amazon ECS 클러스터에서 보안 에이전트를 수동으로 관리하는 기능은 지원되지 않습니다.

ECS-Fargate 리소스의 보안 에이전트를 관리할 수 있도록 GuardDuty 하려면 다음 섹션에 제공된 단계를 따르십시오.

독립 실행형 GuardDuty 계정을 위한 에이전트 구성

Console

  1. 에서 AWS Management Console 로그인하고 GuardDuty 콘솔을 엽니다. https://console.aws.amazon.com/guardduty/

  2. 탐색 창에서 [런타임 모니터링] 을 선택합니다.

  3. 구성 탭에서:

    1. 모든 Amazon ECS 클러스터의 자동 에이전트 구성을 관리하려면 (계정 수준)

      자동 에이전트 구성 섹션에서 활성화를 선택합니다 AWS Fargate (ECS전용). 새 Fargate Amazon ECS 태스크가 GuardDuty 시작되면 보안 에이전트의 배포를 관리합니다.

      1. 저장(Save)을 선택합니다.

    2. 일부 Amazon ECS 클러스터를 제외하여 자동 에이전트 구성을 관리하려면 (클러스터 수준)

      1. 모든 작업을 제외하려는 Amazon ECS 클러스터에 태그를 추가합니다. 키-값 쌍은 -이어야 합니다. GuardDutyManaged false

      2. 신뢰할 수 있는 엔티티를 제외하고 이러한 태그의 수정을 방지하십시오. AWS Organizations 사용 설명서의 승인된 원칙에 따른 경우를 제외하고 태그 수정 방지에 제공된 정책이 여기에 적용되도록 수정되었습니다.

        {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

      3. 구성 탭의 자동 에이전트 구성 섹션에서 활성화를 선택합니다.

        참고

        계정에 대한 GuardDuty 에이전트 자동 관리를 활성화하기 전에 항상 Amazon ECS 클러스터에 제외 태그를 추가하십시오. 그렇지 않으면 해당 Amazon ECS 클러스터 내에서 시작되는 모든 작업에 보안 에이전트가 배포됩니다.

        제외되지 않은 Amazon ECS 클러스터의 경우 GuardDuty 사이드카 컨테이너의 보안 에이전트 배포를 관리합니다.

      4. 저장(Save)을 선택합니다.

    3. 일부 Amazon ECS 클러스터를 포함하여 자동 에이전트 구성을 관리하려면 (클러스터 수준)

      1. 모든 작업을 포함하려는 Amazon ECS 클러스터에 태그를 추가합니다. 키-값 쌍은 -이어야 합니다. GuardDutyManaged true

      2. 신뢰할 수 있는 엔티티를 제외하고 이러한 태그의 수정을 방지하십시오. AWS Organizations 사용 설명서의 승인된 원칙에 따른 경우를 제외하고 태그 수정 방지에 제공된 정책이 여기에 적용되도록 수정되었습니다.

        {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

  4. 서비스의 일부인 작업을 GuardDuty 모니터링하려면 런타임 모니터링을 활성화한 후 서비스를 새로 배포해야 합니다. 런타임 모니터링을 활성화하기 전에 특정 ECS 서비스의 마지막 배포를 시작한 경우 서비스를 다시 시작하거나 를 사용하여 서비스를 업데이트할 수 forceNewDeployment 있습니다.

    서비스를 업데이트하는 단계는 다음 리소스를 참조하십시오.

다중 계정 환경을 위한 GuardDuty 에이전트 구성

다중 계정 환경에서는 위임된 GuardDuty 관리자 계정만이 구성원 계정에 대한 자동 에이전트 구성을 활성화 또는 비활성화하고 조직의 구성원 계정에 속하는 Amazon ECS 클러스터의 자동 에이전트 구성을 관리할 수 있습니다. GuardDuty멤버 계정은 이 구성을 수정할 수 없습니다. 위임된 GuardDuty 관리자 계정은 를 사용하여 AWS Organizations구성원 계정을 관리합니다. 다중 계정 환경에 대한 자세한 내용은 에서 여러 계정 관리를 참조하십시오. GuardDuty

GuardDuty 위임된 관리자 계정에 대한 자동 에이전트 구성 활성화

Manage for all Amazon ECS clusters (account level)

런타임 모니터링에서 모든 계정에 대해 활성화를 선택한 경우 다음 옵션을 사용할 수 있습니다.

  • 자동 에이전트 구성 섹션에서 모든 계정에 대해 활성화를 선택합니다. GuardDuty 시작되는 모든 Amazon ECS 작업을 위해 보안 에이전트를 배포하고 관리합니다.

  • 수동으로 계정 구성을 선택합니다.

런타임 모니터링 섹션에서 수동으로 계정 구성을 선택한 경우 다음을 수행하십시오.

  1. 자동 에이전트 구성 섹션에서 수동 계정 구성을 선택합니다.

  2. 위임된 GuardDuty 관리자 계정 (이 계정) 섹션에서 활성화를 선택합니다.

저장(Save)을 선택합니다.

서비스의 일부인 작업을 GuardDuty 모니터링하려면 런타임 모니터링을 활성화한 후 서비스를 새로 배포해야 합니다. 런타임 모니터링을 활성화하기 전에 특정 ECS 서비스의 마지막 배포를 시작한 경우 서비스를 다시 시작하거나 를 사용하여 서비스를 업데이트할 수 forceNewDeployment 있습니다.

서비스를 업데이트하는 단계는 다음 리소스를 참조하십시오.

Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

  1. 키-값 쌍을 -로 사용하여 이 Amazon ECS 클러스터에 태그를 추가합니다. GuardDutyManaged false

  2. 신뢰할 수 있는 주체에 의한 경우를 제외하고 태그의 수정을 방지하십시오. AWS Organizations 사용 설명서의 승인된 원칙을 제외하고 태그 수정 방지에 제공된 정책이 여기에 적용되도록 수정되었습니다.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

  3. 에서 GuardDuty 콘솔을 https://console.aws.amazon.com/guardduty/여십시오.

  4. 탐색 창에서 [런타임 모니터링] 을 선택합니다.

  5. 참고

    계정에 대해 자동 에이전트 구성을 활성화하기 전에 항상 Amazon ECS 클러스터에 제외 태그를 추가하십시오. 그렇지 않으면 GuardDuty 사이드카 컨테이너가 시작되는 Amazon ECS 작업의 모든 컨테이너에 연결됩니다.

    구성 탭 아래의 자동 에이전트 구성에서 활성화를 선택합니다.

    제외되지 않은 Amazon ECS 클러스터의 경우 GuardDuty 사이드카 컨테이너의 보안 에이전트 배포를 관리합니다.

  6. 저장(Save)을 선택합니다.

  7. 서비스의 일부인 작업을 GuardDuty 모니터링하려면 런타임 모니터링을 활성화한 후 서비스를 새로 배포해야 합니다. 런타임 모니터링을 활성화하기 전에 특정 ECS 서비스의 마지막 배포를 시작한 경우 서비스를 다시 시작하거나 를 사용하여 서비스를 업데이트할 수 forceNewDeployment 있습니다.

    서비스를 업데이트하는 단계는 다음 리소스를 참조하십시오.

Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

  1. 모든 작업을 포함하려는 Amazon ECS 클러스터에 태그를 추가합니다. 키-값 쌍은 -이어야 합니다. GuardDutyManaged true

  2. 신뢰할 수 있는 엔티티를 제외하고 이러한 태그의 수정을 방지하십시오. AWS Organizations 사용 설명서의 승인된 원칙에 따른 경우를 제외하고 태그 수정 방지에 제공된 정책이 여기에 적용되도록 수정되었습니다.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
    참고

    Amazon ECS 클러스터에 포함 태그를 사용하는 경우 자동 GuardDuty 에이전트 구성을 통해 에이전트를 명시적으로 활성화할 필요가 없습니다.

  3. 서비스의 일부인 작업을 GuardDuty 모니터링하려면 런타임 모니터링을 활성화한 후 서비스를 새로 배포해야 합니다. 런타임 모니터링을 활성화하기 전에 특정 ECS 서비스의 마지막 배포를 시작한 경우 서비스를 다시 시작하거나 를 사용하여 서비스를 업데이트할 수 forceNewDeployment 있습니다.

    서비스를 업데이트하는 단계는 다음 리소스를 참조하십시오.

모든 멤버 계정에 대해 자동 활성화

Manage for all Amazon ECS clusters (account level)

다음 단계에서는 런타임 모니터링 섹션에서 모든 계정에 대해 활성화를 선택했다고 가정합니다.

  1. 자동 에이전트 구성 섹션에서 모든 계정에 대해 활성화를 선택합니다. GuardDuty 시작되는 모든 Amazon ECS 작업을 위해 보안 에이전트를 배포하고 관리합니다.

  2. 저장(Save)을 선택합니다.

  3. 서비스의 일부인 작업을 GuardDuty 모니터링하려면 런타임 모니터링을 활성화한 후 서비스를 새로 배포해야 합니다. 런타임 모니터링을 활성화하기 전에 특정 ECS 서비스의 마지막 배포를 시작한 경우 서비스를 다시 시작하거나 를 사용하여 서비스를 업데이트할 수 forceNewDeployment 있습니다.

    서비스를 업데이트하는 단계는 다음 리소스를 참조하십시오.

Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

  1. 키-값 쌍을 -로 사용하여 이 Amazon ECS 클러스터에 태그를 추가합니다. GuardDutyManaged false

  2. 신뢰할 수 있는 주체에 의한 경우를 제외하고 태그의 수정을 방지하십시오. AWS Organizations 사용 설명서의 승인된 원칙을 제외하고 태그 수정 방지에 제공된 정책이 여기에 적용되도록 수정되었습니다.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

  3. 에서 GuardDuty 콘솔을 https://console.aws.amazon.com/guardduty/여십시오.

  4. 탐색 창에서 [런타임 모니터링] 을 선택합니다.

  5. 참고

    계정에 대해 자동 에이전트 구성을 활성화하기 전에 항상 Amazon ECS 클러스터에 제외 태그를 추가하십시오. 그렇지 않으면 GuardDuty 사이드카 컨테이너가 시작되는 Amazon ECS 작업의 모든 컨테이너에 연결됩니다.

    구성 탭에서 편집을 선택합니다.

  6. 자동 에이전트 구성 섹션에서 모든 계정에 대해 활성화를 선택합니다.

    제외되지 않은 Amazon ECS 클러스터의 경우 GuardDuty 사이드카 컨테이너의 보안 에이전트 배포를 관리합니다.

  7. 저장(Save)을 선택합니다.

  8. 서비스의 일부인 작업을 GuardDuty 모니터링하려면 런타임 모니터링을 활성화한 후 서비스를 새로 배포해야 합니다. 런타임 모니터링을 활성화하기 전에 특정 ECS 서비스의 마지막 배포를 시작한 경우 서비스를 다시 시작하거나 를 사용하여 서비스를 업데이트할 수 forceNewDeployment 있습니다.

    서비스를 업데이트하는 단계는 다음 리소스를 참조하십시오.

Manage for selective (inclusion-only) Amazon ECS clusters (cluster level)

런타임 모니터링을 활성화하는 방법에 관계없이 다음 단계는 조직의 모든 구성원 계정에 대한 선택적 Amazon ECS Fargate 작업을 모니터링하는 데 도움이 됩니다.

  1. 자동 에이전트 구성 섹션에서 어떤 구성도 활성화하지 마십시오. 런타임 모니터링 구성을 이전 단계에서 선택한 것과 동일하게 유지하십시오.

  2. 저장(Save)을 선택합니다.

  3. 신뢰할 수 있는 엔티티를 제외하고 이러한 태그의 수정을 방지하십시오. AWS Organizations 사용 설명서의 승인된 원칙에 따른 경우를 제외하고 태그 수정 방지에 제공된 정책이 여기에 적용되도록 수정되었습니다.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
    참고

    Amazon ECS 클러스터에 포함 태그를 사용하는 경우 GuardDuty 에이전트 자동 관리를 명시적으로 활성화할 필요가 없습니다.

  4. 서비스의 일부인 작업을 GuardDuty 모니터링하려면 런타임 모니터링을 활성화한 후 서비스를 새로 배포해야 합니다. 런타임 모니터링을 활성화하기 전에 특정 ECS 서비스의 마지막 배포를 시작한 경우 서비스를 다시 시작하거나 를 사용하여 서비스를 업데이트할 수 forceNewDeployment 있습니다.

    서비스를 업데이트하는 단계는 다음 리소스를 참조하십시오.

기존 활성 멤버 계정에 대한 자동 에이전트 구성 활성화

Manage for all Amazon ECS clusters (account level)

  1. 런타임 모니터링 페이지의 구성 탭에서 자동 에이전트 구성의 현재 상태를 볼 수 있습니다.

  2. 자동 에이전트 구성 창의 활성 구성원 계정 섹션에서 작업을 선택합니다.

  3. 작업에서 기존의 모든 활성 멤버 계정에 대해 활성화를 선택합니다.

  4. 확인을 선택합니다.

  5. 서비스의 일부인 작업을 GuardDuty 모니터링하려면 런타임 모니터링을 활성화한 후 새 서비스를 배포해야 합니다. 런타임 모니터링을 활성화하기 전에 특정 ECS 서비스의 마지막 배포를 시작한 경우 서비스를 다시 시작하거나 를 사용하여 서비스를 업데이트할 수 forceNewDeployment 있습니다.

    서비스를 업데이트하는 단계는 다음 리소스를 참조하십시오.

Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

  1. 키-값 쌍을 -로 사용하여 이 Amazon ECS 클러스터에 태그를 추가합니다. GuardDutyManaged false

  2. 신뢰할 수 있는 주체에 의한 경우를 제외하고 태그의 수정을 방지하십시오. AWS Organizations 사용 설명서의 승인된 원칙을 제외하고 태그 수정 방지에 제공된 정책이 여기에 적용되도록 수정되었습니다.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

  3. 에서 GuardDuty 콘솔을 https://console.aws.amazon.com/guardduty/여십시오.

  4. 탐색 창에서 [런타임 모니터링] 을 선택합니다.

  5. 참고

    계정에 대해 자동 에이전트 구성을 활성화하기 전에 항상 Amazon ECS 클러스터에 제외 태그를 추가하십시오. 그렇지 않으면 GuardDuty 사이드카 컨테이너가 시작되는 Amazon ECS 작업의 모든 컨테이너에 연결됩니다.

    구성 탭의 자동 에이전트 구성 섹션의 활성 멤버 계정에서 작업을 선택합니다.

  6. 작업에서 모든 활성 멤버 계정에 대해 활성화를 선택합니다.

    제외되지 않은 Amazon ECS 클러스터의 경우 GuardDuty 사이드카 컨테이너의 보안 에이전트 배포를 관리합니다.

  7. 확인을 선택합니다.

  8. 서비스의 일부인 작업을 GuardDuty 모니터링하려면 런타임 모니터링을 활성화한 후 서비스를 새로 배포해야 합니다. 런타임 모니터링을 활성화하기 전에 특정 ECS 서비스의 마지막 배포를 시작한 경우 서비스를 다시 시작하거나 를 사용하여 서비스를 업데이트할 수 forceNewDeployment 있습니다.

    서비스를 업데이트하는 단계는 다음 리소스를 참조하십시오.

Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

  1. 모든 작업을 포함하려는 Amazon ECS 클러스터에 태그를 추가합니다. 키-값 쌍은 -이어야 합니다. GuardDutyManaged true

  2. 신뢰할 수 있는 엔티티를 제외하고 이러한 태그의 수정을 방지하십시오. AWS Organizations 사용 설명서의 승인된 원칙에 따른 경우를 제외하고 태그 수정 방지에 제공된 정책이 여기에 적용되도록 수정되었습니다.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
    참고

    Amazon ECS 클러스터에 포함 태그를 사용하는 경우 자동 에이전트 구성을 명시적으로 활성화할 필요가 없습니다.

  3. 서비스의 일부인 작업을 GuardDuty 모니터링하려면 런타임 모니터링을 활성화한 후 서비스를 새로 배포해야 합니다. 런타임 모니터링을 활성화하기 전에 특정 ECS 서비스의 마지막 배포를 시작한 경우 서비스를 다시 시작하거나 를 사용하여 서비스를 업데이트할 수 forceNewDeployment 있습니다.

    서비스를 업데이트하는 단계는 다음 리소스를 참조하십시오.

새 구성원을 위한 자동 에이전트 구성 자동 활성화

Manage for all Amazon ECS clusters (account level)

  1. 런타임 모니터링 페이지에서 편집을 선택하여 기존 구성을 업데이트합니다.

  2. 자동 에이전트 구성 섹션에서 새 구성원 계정에 대해 자동으로 활성화를 선택합니다.

  3. 저장(Save)을 선택합니다.

  4. 서비스의 일부인 작업을 GuardDuty 모니터링하려면 런타임 모니터링을 활성화한 후 새 서비스를 배포해야 합니다. 런타임 모니터링을 활성화하기 전에 특정 ECS 서비스의 마지막 배포를 시작한 경우 서비스를 다시 시작하거나 를 사용하여 서비스를 업데이트할 수 forceNewDeployment 있습니다.

    서비스를 업데이트하는 단계는 다음 리소스를 참조하십시오.

Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

  1. 키-값 쌍을 -로 사용하여 이 Amazon ECS 클러스터에 태그를 추가합니다. GuardDutyManaged false

  2. 신뢰할 수 있는 주체에 의한 경우를 제외하고 태그의 수정을 방지하십시오. AWS Organizations 사용 설명서의 승인된 원칙을 제외하고 태그 수정 방지에 제공된 정책이 여기에 적용되도록 수정되었습니다.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

  3. 에서 GuardDuty 콘솔을 https://console.aws.amazon.com/guardduty/여십시오.

  4. 탐색 창에서 [런타임 모니터링] 을 선택합니다.

  5. 참고

    계정에 대해 자동 에이전트 구성을 활성화하기 전에 항상 Amazon ECS 클러스터에 제외 태그를 추가하십시오. 그렇지 않으면 GuardDuty 사이드카 컨테이너가 시작되는 Amazon ECS 작업의 모든 컨테이너에 연결됩니다.

    구성 탭의 자동 에이전트 구성 섹션에서 새 멤버 계정 자동 활성화를 선택합니다.

    제외되지 않은 Amazon ECS 클러스터의 경우 GuardDuty 사이드카 컨테이너의 보안 에이전트 배포를 관리합니다.

  6. 저장(Save)을 선택합니다.

  7. 서비스의 일부인 작업을 GuardDuty 모니터링하려면 런타임 모니터링을 활성화한 후 서비스를 새로 배포해야 합니다. 런타임 모니터링을 활성화하기 전에 특정 ECS 서비스의 마지막 배포를 시작한 경우 서비스를 다시 시작하거나 를 사용하여 서비스를 업데이트할 수 forceNewDeployment 있습니다.

    서비스를 업데이트하는 단계는 다음 리소스를 참조하십시오.

Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

  1. 모든 작업을 포함하려는 Amazon ECS 클러스터에 태그를 추가합니다. 키-값 쌍은 -이어야 합니다. GuardDutyManaged true

  2. 신뢰할 수 있는 엔티티를 제외하고 이러한 태그의 수정을 방지하십시오. AWS Organizations 사용 설명서의 승인된 원칙에 따른 경우를 제외하고 태그 수정 방지에 제공된 정책이 여기에 적용되도록 수정되었습니다.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
    참고

    Amazon ECS 클러스터에 포함 태그를 사용하는 경우 자동 에이전트 구성을 명시적으로 활성화할 필요가 없습니다.

  3. 서비스의 일부인 작업을 GuardDuty 모니터링하려면 런타임 모니터링을 활성화한 후 서비스를 새로 배포해야 합니다. 런타임 모니터링을 활성화하기 전에 특정 ECS 서비스의 마지막 배포를 시작한 경우 서비스를 다시 시작하거나 를 사용하여 서비스를 업데이트할 수 forceNewDeployment 있습니다.

    서비스를 업데이트하는 단계는 다음 리소스를 참조하십시오.

활성 멤버 계정에 대한 자동 에이전트 구성을 선택적으로 활성화합니다.

Manage for all Amazon ECS (account level)

  1. 계정 페이지에서 런타임 모니터링-자동 에이전트 구성 (ECS-Fargate) 을 활성화하려는 계정을 선택합니다. 계정을 여러 개 선택할 수 있습니다. 이 단계에서 선택한 계정이 런타임 모니터링을 통해 이미 활성화되어 있는지 확인하십시오.

  2. 보호 계획 편집에서 적절한 옵션을 선택하여 런타임 모니터링-자동 에이전트 구성 (ECS-Fargate) 을 활성화합니다.

  3. 확인을 선택합니다.

  4. 서비스의 일부인 작업을 GuardDuty 모니터링하려면 런타임 모니터링을 사용하도록 설정한 후 새 서비스를 배포해야 합니다. 런타임 모니터링을 활성화하기 전에 특정 ECS 서비스의 마지막 배포를 시작한 경우 서비스를 다시 시작하거나 를 사용하여 서비스를 업데이트할 수 forceNewDeployment 있습니다.

    서비스를 업데이트하는 단계는 다음 리소스를 참조하십시오.

Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

  1. 키-값 쌍을 -로 사용하여 이 Amazon ECS 클러스터에 태그를 추가합니다. GuardDutyManaged false

  2. 신뢰할 수 있는 주체에 의한 경우를 제외하고 태그의 수정을 방지하십시오. AWS Organizations 사용 설명서의 승인된 원칙을 제외하고 태그 수정 방지에 제공된 정책이 여기에 적용되도록 수정되었습니다.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

  3. 에서 GuardDuty 콘솔을 https://console.aws.amazon.com/guardduty/여십시오.

  4. 탐색 창에서 [런타임 모니터링] 을 선택합니다.

  5. 참고

    계정에 대한 GuardDuty 에이전트 자동 관리를 활성화하기 전에 항상 Amazon ECS 클러스터에 제외 태그를 추가하십시오. 그렇지 않으면 GuardDuty 사이드카 컨테이너가 시작되는 Amazon ECS 작업의 모든 컨테이너에 연결됩니다.

    계정 페이지에서 런타임 모니터링-자동 에이전트 구성 (ECS-Fargate) 을 활성화하려는 계정을 선택합니다. 계정을 여러 개 선택할 수 있습니다. 이 단계에서 선택한 계정이 런타임 모니터링을 통해 이미 활성화되어 있는지 확인하십시오.

    제외되지 않은 Amazon ECS 클러스터의 경우 GuardDuty 사이드카 컨테이너의 보안 에이전트 배포를 관리합니다.

  6. 보호 계획 편집에서 적절한 옵션을 선택하여 런타임 모니터링-자동 에이전트 구성 (ECS-Fargate) 을 활성화합니다.

  7. 저장(Save)을 선택합니다.

  8. 서비스의 일부인 작업을 GuardDuty 모니터링하려면 런타임 모니터링을 사용하도록 설정한 후 새 서비스를 배포해야 합니다. 런타임 모니터링을 활성화하기 전에 특정 ECS 서비스의 마지막 배포를 시작한 경우 서비스를 다시 시작하거나 를 사용하여 서비스를 업데이트할 수 forceNewDeployment 있습니다.

    서비스를 업데이트하는 단계는 다음 리소스를 참조하십시오.

Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

  1. 모니터링하려는 Amazon ECS 클러스터가 있는 선택된 계정에 대해 자동 에이전트 구성 (또는 런타임 ECS 모니터링-자동 에이전트 구성 (-Fargate)) 을 활성화하지 않도록 하십시오.

  2. 모든 작업을 포함하려는 Amazon ECS 클러스터에 태그를 추가합니다. 키-값 쌍은 -이어야 합니다. GuardDutyManaged true

  3. 신뢰할 수 있는 엔티티를 제외하고 이러한 태그의 수정을 방지하십시오. AWS Organizations 사용 설명서의 승인된 원칙에 따른 경우를 제외하고 태그 수정 방지에 제공된 정책이 여기에 적용되도록 수정되었습니다.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:CreateTags",
                "ecs:DeleteTags"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
    참고

    Amazon ECS 클러스터에 포함 태그를 사용하는 경우 자동 에이전트 구성을 명시적으로 활성화할 필요가 없습니다.

  4. 서비스의 일부인 작업을 GuardDuty 모니터링하려면 런타임 모니터링을 활성화한 후 서비스를 새로 배포해야 합니다. 런타임 모니터링을 활성화하기 전에 특정 ECS 서비스의 마지막 배포를 시작한 경우 서비스를 다시 시작하거나 를 사용하여 서비스를 업데이트할 수 forceNewDeployment 있습니다.

    서비스를 업데이트하는 단계는 다음 리소스를 참조하십시오.