在 Amazon EKS 资源上手动安装 GuardDuty 安全代理 - Amazon GuardDuty
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

在 Amazon EKS 资源上手动安装 GuardDuty 安全代理

本节介绍了如何为特定 EKS 集群首次部署 GuardDuty 安全代理。在继续本节内容之前，确保您已满足了先决条件并为账户启用了运行时监控。如果未启用运行时监控， GuardDuty安全代理（EKS 插件）将无法工作。

选择您的首选访问方法以首次部署 GuardDuty 安全代理。

Console

  1. 打开 Amazon EKS 控制台https://console.aws.amazon.com/eks/。

  2. 选择集群名称。

  3. 选择附加组件选项卡。

  4. 选择获取更多附加组件。

  5. 在选择插件页面上，选择 Amazon GuardDuty EKS 运行时监控。

  6. GuardDuty 建议选择最新的和默认的代理版本。

  7. 在配置选定插件设置页面上，使用默认设置。如果您的 EKS 附加组件的状态为 “需要激活”，请选择 “激活” GuardDuty。此操作将打开 GuardDuty 控制台，以便为您的账户配置运行时监控。

  8. 为账户配置运行时监控后，切换回 Amazon EKS 控制台。您的 EKS 插件的状态应变为准备安装。

  9. （可选）提供 EKS 附加组件配置架构

    对于附加组件 v ersion，如果您选择 v1.5.0 或更高版本，则运行时监控支持配置代理的 GuardDuty 特定参数。有关参数范围的信息，请参阅配置 EKS 附加组件参数。

    1. 展开可选配置设置，以查看可配置参数及其预期值和格式。

    2. 设置参数。值必须在 配置 EKS 附加组件参数 中提供的范围内。

    3. 选择保存更改，以根据高级配置创建附加组件。

    4. 对于冲突解决方法，如果将参数的值更新为非默认值，则将使用您选择的选项来解决冲突。有关所列选项的更多信息，请参阅《Amazon EKS API 参考》中的 resolveConflicts。

  10. 选择下一步。

  11. 在查看和创建页面上，验证所有详细信息，然后选择创建。

  12. 导航回集群详细信息，然后选择资源选项卡。

  13. 您可以查看带有前缀的新容器组aws-guardduty-agent。

API/CLI

您可以使用以下任一选项来配置 Amazon EKS 插件代理（aws-guardduty-agent）：

  • CreateAddon为你的账户跑步。

  • 注意

    对于附加组件version，如果您选择 v1.5.0 或更高版本，则运行时监控支持配置代理的 GuardDuty 特定参数。有关更多信息，请参阅 配置 EKS 附加组件参数。

    对请求参数使用以下值：

    • 对于 addonName，输入 aws-guardduty-agent。

      在使用附加组件版本v1.5.0或更高版本支持的可配置值时，可以使用以下 Amazon CLI 示例。务必要将以红色突出显示的占位符值以及相关的 Example.json 替换为配置的值。

      aws eks create-addon --region us-east-1 --cluster-name myClusterName --addon-name aws-guardduty-agent --addon-version v1.10.0-eksbuild.2 --configuration-values 'file://example.json'
      例 Example.json
      {
	"priorityClassName": "aws-guardduty-agent.priorityclass-high",
	"dnsPolicy": "Default",
	"resources": {
		"requests": {
			"cpu": "237m",
			"memory": "512Mi"
		},
		"limits": {
			"cpu": "2000m",
			"memory": "2048Mi"
		}
	}	
}

    • 有关支持的 addonVersion 的信息，请参阅 安全代理支持的 Kubernetes 版本 GuardDuty 。

VPC 端点的私有 DNS 名称

默认情况下，安全代理会解析并连接到 VPC 端点的私有 DNS 名称。对于非 FIPS 终端节点，您的私有 DNS 将按以下格式显示：

非 FIPS 端点 – guardduty-data.us-east-1.amazonaws.com

Amazon Web Services 区域、us-east-1、将根据您所在的地区而变化。