本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
(ECS僅限 Amazon AWS Fargate ) 支援的先決條件
驗證架構需求
您使用的平台可能會影響 GuardDuty 安全代理程式 GuardDuty 在從 Amazon ECS 叢集接收執行階段事件時支援的方式。您必須確認您使用的是經過驗證的平台之一。
- 初始考慮因素:
-
您的 Amazon ECS 群集的 AWS Fargate (Fargate) 平台必須是 Linux。對應的平台版本必須至少
1.4.0
為或LATEST
。如需有關平台版本的詳細資訊,請參閱 Amazon 彈性容器服務開發人員指南中的 Linux 平台版本。目前尚不支援視窗平台版本。
已驗證的平台
作業系統發佈和CPU架構會影響 GuardDuty安全性代理程式提供的支援。下表顯示部署 GuardDuty安全代理程式和設定「執行時期監控」的已驗證組態。
作業系統發行版本 | 核心支援 | CPU 架構 | |
---|---|---|---|
六十四 () AMD64 | 引力子 () ARM64 | ||
Linux | eBPF, 追蹤點, 科普羅 | 支援 | 支援 |
提供ECR權限和子網路詳細資
啟用執行階段監視之前,您必須提供下列詳細資訊:
- 提供具有權限的工作執行角色
-
任務執行角色要求您具有某些 Amazon 彈性容器登錄 (AmazonECR) 許可。您可以使用 A mazonECSTask ExecutionRolePolicy 受管理的策略,也可以將下列權限新增至您的
TaskExecutionRole
策略:... "ecr:GetAuthorizationToken", "ecr:BatchCheckLayerAvailability", "ecr:GetDownloadUrlForLayer", "ecr:BatchGetImage", ...
若要進一步限制 Amazon ECR 許可,您可以新增託管 GuardDuty 安全代理程式的 Amazon ECR 儲存庫 URI AWS Fargate (ECS僅限 Amazon)。如需詳細資訊,請參閱 上的 GuardDuty 代理程式儲存庫 AWS Fargate (ECS僅限 Amazon)。
- 在任務定義中提供子網路詳細
-
您可以在任務定義中提供公有子網做為輸入,也可以建立 Amazon ECR VPC 端點。
-
使用任務定義選項 — UpdateServiceAPIs在 Amazon 彈性容器服務API參考中執行CreateService和時,您必須傳遞子網路資訊。如需詳細資訊,請參閱 Amazon 彈性容器服務開發人員指南中的 Amazon ECS 任務定義。
-
使用 Amazon ECR VPC 端點選項 — 提供 Amazon 的網路路徑 ECR-確保託管 GuardDuty 安全代理程式URI的 Amazon ECR 儲存庫可以存取網路。如果您的 Fargate 任務將在私有子網中運行,則 Fargate 將需要網絡路徑才能下載容器 GuardDuty 。
如需啟用 Fargate 下載容器的相關資訊,請參閱 Amazon 彈性 GuardDuty 容器服務開發人員指南ECS中的使用 Amazon ECR 與 Amazon 搭配使用。
-
驗證您的組織服務控制政策
如果您已設定服務控制原則 (SCP) 來管理組織中的權限,請確定該政策不會拒絕該權限guardduty:SendSecurityTelemetry
。需要跨不同資源類型支援執行階段監視。 GuardDuty
如果您是成員帳戶,請與相關聯的委派管理員連線。如需有關為組織管理SCPs的資訊,請參閱服務控制原則 (SCPs)。
CPU和記憶體限制
在 Fargate 工作定義中,您必須在工作層級指定CPU和記憶體值。下表顯示工作層級CPU和記憶體值的有效組合,以及容器的對應 GuardDuty 安全代理程式最大記憶體限制。 GuardDuty
CPU 值 | 記憶體數值 | GuardDuty 代理程式記憶體上限 |
---|---|---|
二百六十五 CPU |
512 千 MiB 位,1 GB,二 GB |
128 MB |
五五十二 CPU |
1 GB、2 GB、3 GB、4 GB |
|
一百二十CPU五 |
2 GB,3 GB,4 GB |
|
5 GB,6 GB,7 GB,8 GB |
||
第二五CPU期 |
介於 4 GB 與 16 GB 之間,以 1 GB 為單位遞增 |
|
四女子 CPU |
介於 8 GB 到 20 GB 之間,以 1 GB 為單位遞增 |
|
八五 CPU |
介於 16 GB 到 28 GB 之間,以 4 GB 為單位遞增 |
256 MB |
介於 32 GB 到 60 GB 之間,以 4 GB 為單位遞增 |
512 MB |
|
16384 女子五 CPU |
介於 32 GB 與 120 GB 之間,以 8 GB 為單位遞增 |
1 GB |
啟用執行階段監視並評估叢集的涵蓋範圍狀態為 [狀況良好] 之後,您可以設定並檢視容器洞察指標。如需更多詳細資訊,在 Amazon ECS 群集上設置監控。
下一步是設定執行階段監控,並設定安全代理程式。