View a markdown version of this page

在多账户环境中启用 RDS 防护 - Amazon GuardDuty
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

在多账户环境中启用 RDS 防护

在多账户环境中，只有委派的 GuardDuty 管理员账户可以选择为其组织中的成员账户启用或禁用 RDS Protection 功能，包括 RDS 数据活动监控附加配置。 GuardDuty 成员账户无法通过其账户修改此配置。委托 GuardDuty 管理员账户使用管理其成员账户 Amazon Organizations。这个委派的 GuardDuty 管理员账户可以选择在所有新账户加入组织时自动启用 RDS 登录活动监控和 RDS 数据活动监控。有关多账户环境的更多信息，请参阅 管理多个账户。

选择您的首选访问方法，为委派的 GuardDuty 管理员账户启用 RDS 保护，包括 RDS 数据活动监控附加配置。

Console

  1. 打开 GuardDuty 控制台，网址为https://console.aws.amazon.com/guardduty/。

  2. 在导航窗格中，选择 “保护计划”。

  3. 选择 “配置所有启用”。

  4. 在 RDS 保护下，找到 RDS 登录活动监控和 RDS 数据活动监控条目。

  5. 在 “此帐户” 列中，为要开启的每个条目选择 “启用”，或者选择 “未启用” 将其关闭。

    注意

    必须先启用 RDS 登录活动监控，然后才能启用 RDS 数据活动监控。

API/CLI

使用您自己的区域检测器 ID 运行 updateDetector API 操作，传递 features 对象，并将 name 设置为 RDS_LOGIN_EVENTS，将 status 设置为 ENABLED。要同时启用 RDS 数据活动监控，请RDS_DATA_RISK作为name下方传递AdditionalConfiguration，status设置为ENABLED。

或者，您可以使用 Amazon CLI 启用 RDS 保护。运行以下命令，12abc34d567e8fa901bc2d34e56789f0替换为账户的检测器 ID 和us-east-1要启用 RDS 保护的区域。

要查找您的账户和当前区域的，请参阅https://console.aws.amazon.com/guardduty/控制台中的设置页面，或运行 ListDetectorsAPI。detectorId

以下示例在委派的管理员账户上启用 RDS 登录活动监控，并使用它AdditionalConfiguration来启用 RDS 数据活动监控：

aws guardduty update-detector \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --region us-east-1 \
    --features '[
        {
            "Name": "RDS_LOGIN_EVENTS",
            "Status": "ENABLED",
            "AdditionalConfiguration": [
                {
                    "Name": "RDS_DATA_RISK",
                    "Status": "ENABLED"
                }
            ]
        }
    ]'

选择您的首选访问方式，为所有成员账户启用 RDS 保护功能，包括 RDS 数据活动监控附加配置。包括现有成员账户和加入组织的新账户。

Console

  1. 打开 GuardDuty 控制台，网址为https://console.aws.amazon.com/guardduty/。

    请务必使用委派 GuardDuty 管理员账户证书。

  2. 在导航窗格中，选择 “保护计划”。

  3. 选择 “配置所有启用”。

  4. 在 RDS 保护下，为所有账户选择启用。此操作会自动为组织中的现有账户和新账户启用 RDS 保护。

  5. 要同时为每个账户启用 RDS 数据活动监控，请展开其他配置，然后为 RDS 数据活动监控选择为所有账户启用。

  6. 选择 “全部保存”，然后选择 “确认并保存”。

    注意

    更新成员账户的配置可能最长需要 24 小时。

API/CLI

要为组织中的所有成员账户（包括现有成员和稍后加入的新账户）启用 RDS 保护，请使用自己的账户调用 UpdateOrganizationConfigurationAPI 操作detector ID。AutoEnable将该RDS_LOGIN_EVENTS功能设置为，在AutoEnable设置ALL为时传递RDS_DATA_RISK下方AdditionalConfiguration，同时自动启用 RDS 数据活动监控。ALL

或者，您可以使用 Amazon CLI 启用 RDS 保护。运行以下命令，12abc34d567e8fa901bc2d34e56789f0替换为账户的检测器 ID 和us-east-1要启用 RDS 保护的区域。

要查找您的账户和当前区域的，请参阅https://console.aws.amazon.com/guardduty/控制台中的设置页面，或运行 ListDetectorsAPI。detectorId

以下示例RDS_DATA_RISK为组织中的每个成员账户自动启用RDS_LOGIN_EVENTS和：

aws guardduty update-organization-configuration \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --region us-east-1 \
    --auto-enable-organization-members ALL \
    --features '[
        {
            "Name": "RDS_LOGIN_EVENTS",
            "AutoEnable": "ALL",
            "AdditionalConfiguration": [
                {
                    "Name": "RDS_DATA_RISK",
                    "AutoEnable": "ALL"
                }
            ]
        }
    ]'
注意

更新成员账户的配置可能最长需要 24 小时。

选择您的首选访问方法，为组织中所有现有活跃成员账户启用 RDS 保护，包括 RDS 数据活动监控附加配置。已 GuardDuty 启用的成员账户被称为现有活跃成员。

注意

必须先对成员账户启用 RDS 登录活动监控，然后才能对该账户启用 RDS 数据活动监控。

Console

  1. 登录 Amazon Web Services 管理控制台 并打开 GuardDuty 控制台，网址为https://console.aws.amazon.com/guardduty/。

    使用委派的 GuardDuty 管理员账户凭据登录。

  2. 在导航窗格中，选择账户。

  3. 在账户页面上，选择要启用的现有活跃成员账户。要选择每个账户，请使用表格标题中的复选框。

  4. 从 “编辑保护计划” 下拉菜单中，选择 “RDS 登录活动”，然后选择 “启用”。

  5. 要同时对选定账户启用 RDS 数据活动监控，请再次打开编辑保护计划下拉菜单，选择 RDS 数据活动，然后选择启用。必须已在每个选定账户上启用 RDS 登录活动监控。

API/CLI

使用您自己的 updateMemberDetectorsAPI 操作运行detector ID。传递RDS_DATA_RISK该RDS_LOGIN_EVENTS功能还可以控制 RDS 数据活动监控。AdditionalConfiguration

或者，您可以使用 Amazon CLI 启用 RDS 保护。运行以下命令，12abc34d567e8fa901bc2d34e56789f0替换为账户的检测器 ID 和us-east-1要启用 RDS 保护的区域。

要查找您的账户和当前区域的，请参阅https://console.aws.amazon.com/guardduty/控制台中的设置页面，或运行 ListDetectorsAPI。detectorId

以下示例在现有活跃成员账户上启用 RDS 登录活动监控，并使用它AdditionalConfiguration来启用 RDS 数据活动监控：

aws guardduty update-member-detectors \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --region us-east-1 \
    --account-ids 111122223333 \
    --features '[
        {
            "Name": "RDS_LOGIN_EVENTS",
            "Status": "ENABLED",
            "AdditionalConfiguration": [
                {
                    "Name": "RDS_DATA_RISK",
                    "Status": "ENABLED"
                }
            ]
        }
    ]'

您还可以传递由空格分隔的账户 ID 列表。

成功执行代码后，会返回 UnprocessedAccounts 的空列表。如果更改账户的检测器设置时出现任何问题，则会列出该账户 ID 和问题摘要。

选择您的首选访问方式，为加入组织的新账户启用 RDS 登录活动监控和 RDS 数据活动监控。

Console

  1. 打开 GuardDuty 控制台，网址为https://console.aws.amazon.com/guardduty/。

    请务必使用委派 GuardDuty 管理员账户证书。

  2. 在导航窗格中，选择 “保护计划”。

  3. 选择 “配置所有启用”。

  4. 选择手动配置账户。

  5. 在 RDS 保护下，选择为新成员账户自动启用。此步骤可确保每当有新账户加入您的组织时，系统都会自动为其账户启用 RDS 保护。只有组织委派的 GuardDuty 管理员帐户才能修改此配置。

  6. 要同时为新账户自动启用 RDS 数据活动监控，请展开其他配置，然后为 RDS 数据活动监控选择为新成员账户自动启用。

  7. 选择保存。

API/CLI

要为加入组织的新账户自动启用 RDS 保护，请使用自己的detector ID账户调用 UpdateOrganizationConfigurationAPI 操作。AutoEnable将该RDS_LOGIN_EVENTS功能设置为，在AutoEnable设置NEW为时传递RDS_DATA_RISK下方AdditionalConfiguration，同时自动启用 RDS 数据活动监控。NEW要停止为新账户自动启用某项功能，请NONE将其AutoEnable值设置为。

或者，您可以使用 Amazon CLI 启用 RDS 保护。运行以下命令，12abc34d567e8fa901bc2d34e56789f0替换为账户的检测器 ID 和us-east-1要启用 RDS 保护的区域。

要查找您的账户和当前区域的，请参阅https://console.aws.amazon.com/guardduty/控制台中的设置页面，或运行 ListDetectorsAPI。detectorId

以下示例RDS_DATA_RISK为加入组织的新账户自动启用RDS_LOGIN_EVENTS和：

aws guardduty update-organization-configuration \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --region us-east-1 \
    --auto-enable-organization-members NEW \
    --features '[
        {
            "Name": "RDS_LOGIN_EVENTS",
            "AutoEnable": "NEW",
            "AdditionalConfiguration": [
                {
                    "Name": "RDS_DATA_RISK",
                    "AutoEnable": "NEW"
                }
            ]
        }
    ]'

选择您的首选访问方式，有选择地启用对成员账户的 RDS 登录活动和 RDS 数据活动的监控。

Console

  1. 打开 GuardDuty 控制台，网址为https://console.aws.amazon.com/guardduty/。

    请务必使用委派 GuardDuty 管理员账户证书。

  2. 在导航窗格中，选择账户。

    在账户页面上，查看 RDS 登录活动和 RDS 数据活动列，了解您的成员账户的状态。

  3. 有选择地启用或禁用 RDS 登录活动

    选择您要为其配置 RDS 保护的账户。您可以一次选择多个账户。在编辑保护计划下拉菜单中，选择 RDS 登录活动，然后选择相应的选项。

  4. 有选择地启用或禁用 RDS 数据活动

    选择要为其配置 RDS 数据活动监控的账户。您可以一次选择多个账户。在 “编辑保护计划” 下拉菜单中，选择 “RDS 数据活动”，然后选择相应的选项。

API/CLI

要有选择地为您的成员账户启用或禁用 RDS 保护，请使用您自己的detector ID账户调用 updateMemberDetectorsAPI 操作。传递RDS_DATA_RISK该RDS_LOGIN_EVENTS功能以独立控制 RDS 数据活动监控。AdditionalConfiguration

或者，您可以使用 Amazon CLI 启用 RDS 保护。运行以下命令，12abc34d567e8fa901bc2d34e56789f0替换为账户的检测器 ID 和us-east-1要启用 RDS 保护的区域。

要查找您的账户和当前区域的，请参阅https://console.aws.amazon.com/guardduty/控制台中的设置页面，或运行 ListDetectorsAPI。detectorId

以下示例同时启用了 RDS_LOGIN_EVENTS 和 RDS_DATA_RISK：

aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --region us-east-1 --account-ids 111122223333 --features '[{"Name": "RDS_LOGIN_EVENTS", "Status": "ENABLED", "AdditionalConfiguration": [{"Name": "RDS_DATA_RISK", "Status": "ENABLED"}]}]'

要在关闭 RDS 数据活动监控的同时保持 RDS 登录活动监控开启，RDS_LOGIN_EVENTSStatus请将设置RDS_DATA_RISKStatus为ENABLED和设置为DISABLED：

aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --region us-east-1 --account-ids 111122223333 --features '[{"Name": "RDS_LOGIN_EVENTS", "Status": "ENABLED", "AdditionalConfiguration": [{"Name": "RDS_DATA_RISK", "Status": "DISABLED"}]}]'
注意

您还可以传递由空格分隔的账户 ID 列表。

成功执行代码后，会返回 UnprocessedAccounts 的空列表。如果更改账户的检测器设置时出现任何问题，则会列出该账户 ID 和问题摘要。