本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
将安全代理部署到 Fargate 上的 Amazon ECS
GuardDuty 运行时监控通过向 Fargate 上的 Amazon ECS 集群部署 GuardDuty安全代理来监控 Fargate 上是否存在威胁。
注意
运行时监控不支持在 Amazon ECS 托管实例上运行的应用程序。
GuardDuty 自动管理代理；Fargate 不支持手动管理。在 GuardDuty 控制台中，此配置显示为运行时监控 (ECS)。
自动代理配置（推荐）
GuardDuty 管理您的 Amazon ECS 集群中新 Fargate 任务的安全代理的部署和更新。
有关安全客户端的连接方式 GuardDuty，请参阅安全代理如何连接到 GuardDuty。
启用安全代理的影响
对于每个新的 Fargate 任务，都会 GuardDuty 附加一个边车容器，该容器运行安全代理并收集任务中容器的运行时事件。
边车镜像存储在亚马逊弹性容器注册表 (Amazon ECR) Container Registry 中，分层存储在 Amazon S3 中，并在任务开始时被拉取。根据您的网络配置，您可能需要允许访问 ECR 和 S3。例如，如果您使用受限安全组，则允许 S3 托管前缀列表。有关更多信息，请参阅 访问容器映像的先决条件。
如果 sidecar 无法启动，则运行时监控不会阻止任务运行。Fargate 任务启动后无法修改，因此在任务启动时 GuardDuty 附上边车。
监控范围
默认情况下， GuardDuty 管理您账户中所有 Amazon ECS 集群的安全代理。要停止 GuardDuty 管理特定集群上的代理，请false向该集群添加标签GuardDutyManaged:。
有关管理 Fargate 任务代理的更多信息，请参阅。管理 Fargate（仅限 Amazon ECS）的自动安全代理
注意事项
-
关闭自动代理配置后，仅在您标记为
GuardDutyManaged:的 Amazon ECS 集群上 GuardDuty 管理安全代理true。 -
添加
GuardDutyManaged:false标记会停止 GuardDuty 管理安全客户端，但不会卸载已经安装的代理。 -
使用服务控制策略或 IAM 策略，通过控制谁可以修改
GuardDutyManaged标签来保护标签。有关更多信息，请参阅《Amazon Organizations 用户指南》中的服务控制策略（SCP）或《IAM 用户指南》中的控制对 Amazon 资源的访问。