运行时监控如何与 Fargate（仅限 Amazon ECS）结合使用 - Amazon GuardDuty
在 Amazon ECS-Fargate 资源中管理 GuardDuty 安全代理的方法
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

运行时监控如何与 Fargate（仅限 Amazon ECS）结合使用

启用运行时监控后， GuardDuty 就可以使用来自任务的运行时事件。这些任务在 Amazon ECS 集群中运行，而这些集群又在 Amazon Fargate 实例上运行。 GuardDuty 要接收这些运行时事件，必须使用完全托管式的专用安全代理。

您可以 GuardDuty 为 Amazon 账户或组织使用自动代理配置，从而允许代表您管理 GuardDuty 安全代理。 GuardDuty 将开始将安全代理部署到在您的 Amazon ECS 集群中启动的新 Fargate 任务。以下列表说明了启用 GuardDuty 安全代理后预计将出现的情况。

启用 GuardDuty 安全代理的影响
GuardDuty 创建虚拟私有云（VPC）端点和安全组

  • 当您部署 GuardDuty 安全代理时， GuardDuty 将创建一个 VPC 端点，以便让安全代理通过该端点将运行时事件传递到 GuardDuty。

    除该 VPC 端点外， GuardDuty 还会创建一个新的安全组。入站（入口）规则负责控制被允许达到与该安全组关联的资源的流量。 GuardDuty 添加与资源的 VPC CIDR 范围相匹配的入站规则，并且还会在 CIDR 范围发生变化时对规则进行调整。有关更多信息，请参阅《Amazon VPC 用户指南》中的 VPC CIDR 范围。

  • 将集中式 VPC 与自动代理结合使用：当您对某个资源类型使用 GuardDuty自动代理配置时， GuardDuty 将代表您为所有资源类型创建一个 VPC 端点 VPCs。这包括集中式 VPC 和分支 VPC VPCs。 GuardDuty不支持仅为集中式 VPC 创建 VPC 端点。有关集中式 VPC 工作原理的更多信息，请参阅《Amazon 白皮书：构建可扩展且安全的多 VPC Amazon 网络基础设施》中的 Inter face VPC endpoin ts。

  • 使用 VPC 端点不会产生额外的成本。

GuardDuty 添加边车容器

对于开始运行的新 Fargate 任务或服务，一个 GuardDuty 容器（附加容器）会将自身挂载到该 Amazon ECS Fargate 任务中的每个容器。 GuardDuty 安全代理在挂载的 GuardDuty 容器中运行。这 GuardDuty 有助于收集在这些任务中运行的每个容器的运行时事件。

启动 Fargate 任务时，如果 GuardDuty 容器（附加容器）无法在正常状态下启动，则运行时监控在设计上不会阻止任务运行。

默认情况下，Fargate 任务是不可变的。 GuardDuty 当任务已经处于正在运行状态时，不会部署附加容器。要监控已在运行的任务中的容器，可以停止并重新启动该任务。

在 Amazon ECS-Fargate 资源中管理 GuardDuty 安全代理的方法

运行时监控提供了相应的选型来检测账户中所有 Amazon ECS 集群（账户级别）或选定集群（集群级别）的潜在安全威胁。为将要运行的每个 Amazon ECS Fargate 任务启用自动代理配置时， GuardDuty 将为该任务中的每个容器工作负载添加一个附加容器。 GuardDuty 安全代理会部署到该附加容器上。通过这种方式 GuardDuty 来了解 Amazon ECS 任务中容器的运行时行为。

运行时监控仅支持通过 GuardDuty管理为 Amazon ECS 集群（Amazon Fargate）管理安全代理，不支持在 Amazon ECS 集群上手动管理安全代理。

在配置账户之前，请评估是要监控属于 Amazon ECS 任务的所有容器的运行时行为，还是要包含或排除特定的资源。可考虑以下方法。

监控所有 Amazon ECS 集群

这种方法有助您在账户级别检测潜在的安全威胁。如果您希望 GuardDuty 检测账户中所有 Amazon ECS 集群的潜在安全威胁，请使用此方法。

排除特定的 Amazon ECS 集群

如果您 GuardDuty 想检测 Amazon 环境中大多数 Amazon ECS 集群的潜在安全威胁，但排除某些集群，请使用此方法。此方法有助您在集群级别监控 Amazon ECS 任务中容器的运行时行为。例如，您的账户中有 1000 个 Amazon ECS 集群，但您只想监控其中 930 个 Amazon ECS 集群。

使用这种方法时，需要向您不想监控的 Amazon ECS 集群添加预定义 GuardDuty 标签。有关更多信息，请参阅 管理 Fargate（仅限 Amazon ECS）的自动安全代理。

包含特定的 Amazon ECS 集群

如果您希望 GuardDuty 检测部分 Amazon ECS 集群的潜在安全威胁，请使用此方法。此方法有助您在集群级别监控 Amazon ECS 任务中容器的运行时行为。例如，您的账户中有 1000 个 Amazon ECS 集群，但您想监控其中 230 个集群。

使用这种方法时，需要向您想监控的 Amazon ECS 集群添加预定义 GuardDuty 标签。有关更多信息，请参阅 管理 Fargate（仅限 Amazon ECS）的自动安全代理。