Amazon ECS 集群的运行时覆盖率和故障排除
Amazon ECS 集群的运行时覆盖率包括在 Amazon Fargate 和 Amazon ECS 容器实例上运行的任务1。
对于在 Fargate 上运行的 Amazon ECS 集群，运行时间覆盖率是在任务级别评估的。ECS 集群运行时覆盖率包括在您为 Fargate（仅限 ECS）启用了运行时监控和自动代理配置后开始运行的 Fargate 任务。默认情况下，Fargate 任务是不可变的。GuardDuty 将无法安装安全代理来监控已在运行的任务中的容器。要包含此类 Fargate 任务，必须停止并重新启动该任务。务必要检查相关服务是否受支持。
有关 Amazon ECS 容器的信息，请参阅容量创建。
查看覆盖率统计数据
对于与您自己的账户或成员账户关联的 Amazon ECS 资源，覆盖率统计数据是选定 Amazon Web Services 区域中正常 Amazon ECS 集群占所有 Amazon ECS 集群的百分比。这包括与 Fargate 和 Amazon EC2 实例关联的 Amazon ECS 集群的覆盖率。下式将其表示为：
（正常集群/所有集群）*100
注意事项
-
ECS 集群的覆盖率统计数据包括与该 ECS 集群关联的 Fargate 任务或 ECS 容器实例的覆盖率状态。Fargate 任务的覆盖率状态包括处于正在运行状态或最近完成运行的任务。
-
在 ECS 集群运行时覆盖率选项卡中，覆盖的容器实例字段指示与 Amazon ECS 集群关联的容器实例的覆盖率状态。
如果 Amazon ECS 集群仅包含 Fargate 任务，则计数将显示为 0/0。
-
如果 Amazon ECS 集群与没有安全代理的 Amazon EC2 实例相关联，则 Amazon ECS 集群的覆盖率状态也将为不正常。
要确定关联的 Amazon EC2 实例的覆盖率问题并进行故障排除，请参阅适用于 Amazon EC2 实例的对 Amazon EC2 运行时覆盖率问题进行故障排除。
选择一种访问方法来查看您账户的覆盖率统计数据。
有关覆盖率问题的更多信息，请参阅对 Amazon ECS-Fargate 运行时覆盖率问题进行故障排除。
通过 EventBridge 通知接收覆盖率状态更改
Amazon ECS 集群的覆盖率状态可能显示为不正常。要检测覆盖率状态何时变为不正常，我们建议您定期监控覆盖率状态，并在状态变为不正常时进行故障排除。您也可以创建一条 Amazon EventBridge 规则，从而在覆盖率状态从不正常变为正常或发生其他变化时接收通知。默认情况下，GuardDuty 会在您账户的 EventBridge 总线中发布此信息。
示例通知架构
在 EventBridge 规则中，您可以使用预定义的示例事件和事件模式来接收覆盖状态通知。有关创建 EventBridge 规则的更多信息，请参阅《Amazon EventBridge 用户指南》中的创建规则。
此外，您还可以使用以下示例通知架构来创建自定义事件模式。确保替换账户的值。要在 Amazon ECS 集群的覆盖率状态从 Healthy 变为 Unhealthy 时接收通知，则 detail-type 应为 GuardDuty Runtime Protection Unhealthy。要在覆盖状态从 Unhealthy 变为 Healthy 时收到通知，请将 detail-type 的值替换为 GuardDuty Runtime Protection Healthy。
{ "version": "0", "id": "event ID", "detail-type": "GuardDuty Runtime Protection Unhealthy", "source": "aws.guardduty", "account": "Amazon Web Services 账户 ID", "time": "event timestamp (string)", "region": "Amazon Web Services 区域", "resources": [ ], "detail": { "schemaVersion": "1.0", "resourceAccountId": "string", "currentStatus": "string", "previousStatus": "string", "resourceDetails": { "resourceType": "ECS", "ecsClusterDetails": { "clusterName":"", "fargateDetails":{ "issues":[], "managementType":"" }, "containerInstanceDetails":{ "coveredContainerInstances":int, "compatibleContainerInstances":int } } }, "issue": "string", "lastUpdatedAt": "timestamp" } }
对 Amazon ECS-Fargate 运行时覆盖率问题进行故障排除
如果 Amazon ECS 集群的覆盖率状态为不正常，则可以在问题列下查看原因。
下表提供了 Fargate（仅限 Amazon ECS）问题的建议故障排除步骤。有关 Amazon EC2 实例覆盖率问题的信息，请参阅适用于 Amazon EC2 实例的对 Amazon EC2 运行时覆盖率问题进行故障排除。
| 问题类型 | 额外信息 | 建议的问题排查步骤 |
|---|---|---|
|
代理未报告 |
代理未报告 |
验证 Amazon ECS 集群的 VPC 端点配置是否正确。有关更多信息，请参阅 验证 VPC 端点配置。 如果您的组织设置了服务控制策略（SCP），请验证权限边界未限制 |
|
|
在额外信息部分中查看 VPC 问题的详细信息。 |
|
|
代理已退出 |
退出代码： |
在额外信息部分中查看问题详细信息。 |
|
原因： |
||
退出代码： |
||
代理已退出：原因： |
在这种情况下，GuardDuty 可能无法拉取附加容器映像。您的任务将继续运行，但是 GuardDuty 无法检测到潜在威胁。逐一执行以下故障排除步骤，检查是否有助于解决覆盖范围问题：
这三个组件（权限、网络连接和安全组配置）是独立的，但为了成功从 Amazon ECR 下载 GuardDuty 容器映像，三个组件都是必需的。 如果问题仍然存在，请参阅我的 Amazon Step Functions 工作流意外失败。 |
|
|
VPC 端点创建失败 |
启用私有 DNS 需要将 |
确保以下 VPC 属性设置为 如果您在 https://console.aws.amazon.com/vpc/ 上使用 Amazon VPC 控制台创建 Amazon VPC，确保选择启用 DNS 主机名和启用 DNS 解析。有关更多信息，请参阅 VPC 配置选项。 |
未预置代理 |
|
某个不受支持的 |
|
|
此任务在不受支持的 CPU 架构上运行。有关支持的 CPU 架构的更多信息，请参阅验证架构要求。 |
|
|
|
缺失 ECS 任务执行角色。有关提供任务执行角色和所需权限的信息，请参阅访问容器映像的先决条件。 |
|
|
|
网络配置问题出现的原因可能是 VPC 配置缺失或子网缺失或为空。 验证您的网络配置是否正确。有关更多信息，请参阅 访问容器映像的先决条件。 有关更多信息，请参阅《Amazon Elastic Container Service 开发人员指南》中的 Amazon ECS 任务定义参数。 |
|
|
集群带有排除标签时启动的任务将从运行时监控中排除。受影响的任务 ID： |
当您将预定义的 GuardDuty 标签从 将标签更新为 |
|
|
集群带有排除标签时部署的服务将从运行时监控中排除。受影响的服务名称：“ |
使用排除标签 将标签更新为 |
|
|
未涵盖在启用自动代理配置之前启动的任务。受影响的任务 ID：“ |
当集群包含在启用 Amazon ECS 自动代理配置之前启动的任务时，GuardDuty 将无法对其进行保护。重新启动任务，让 GuardDuty 对其进行监控。 |
|
|
未涵盖在启用自动代理配置之前部署的服务。受影响的服务名称：“ |
如果服务是在启用 Amazon ECS 自动代理配置之前部署的，GuardDuty 将不会接收 ECS 集群的运行时事件。 |
|
|
服务“ |
不支持在启用运行时监控之前启动的服务。 您可以重新启动服务，或按照《Amazon Elastic Container Service 开发人员指南》中使用控制台更新 Amazon ECS 服务下的步骤，使用 |
|
|
在启用运行时监控之前启动的任务需要重新启动。受影响的任务 ID：“ |
在 Amazon ECS 中，任务是不可变的。要评测正在运行的 Amazon Fargate 任务的运行时行为，请确保已启用运行时监控，然后为 GuardDuty 重启该任务以添加附加容器。 |
|
其他 |
|
使用以下问题来确定问题的根本原因：
|