Amazon ECS 的 Amazon EC2 容器实例安全注意事项
您应该考虑在威胁模型中使用单个容器实例及其访问权限。例如,单个受影响的任务可能能够在同一实例上利用未受影响任务的 IAM 权限。
建议您使用以下方式来帮助防止此情况:
-
运行任务时请勿使用管理员权限。
-
为任务分配具有最低权限访问权限的任务角色。
容器代理会自动创建具有唯一凭证 ID 的令牌,该令牌用于访问 Amazon ECS 资源。
-
要防止使用
awsvpc
网络模式的任务运行的容器访问提供给 Amazon EC2 实例配置文件的凭证信息(同时仍允许任务角色提供的权限),请将代理配置文件中的ECS_AWSVPC_BLOCK_IMDS
代理配置变量设置为 true,然后重新启动代理。 -
使用 Amazon GuardDuty 运行时监控来检测 AWS 环境中集群和容器的威胁。运行时监控使用 GuardDuty 安全代理为单个 Amazon ECS 工作负载增加运行时可见性,例如,文件访问、进程执行和网络连接。有关更多信息,请参阅《GuardDuty 用户指南》中的 GuardDuty 运行时监控。