将共享 VPC 与自动安全代理结合使用

当您选择 GuardDuty 自动管理安全代理时，运行时监控支持为属于中同一组织的 Amazon Web Services 账户 使用共享 VPC Amazon Organizations。 GuardDuty 您可以根据与组织的共享 VPC 相关的详细信息，代表您设置 Amazon VPC 端点策略。

工作方式

当共享 VPC 的所有者账户为任何资源 [Amazon EKS 或 Amazon Fargate （仅限 Amazon ECS）] 启用运行时监控和自动代理配置时，所有共享资源都有 VPCs 资格自动安装共享 Amazon VPC 端点和共享 VPC 所有者账户中的关联安全组。 GuardDuty 检索与共享 Amazon VPC 关联的组织 ID。

现在，与共享 Amazon VPC 所有者账户属于同一组织的也可以共享相同的 Amazon VPC 端点。 Amazon Web Services 账户 GuardDuty 当共享 VPC 所有者账户或参与者账户需要 Amazon VPC 端点。需要 Amazon VPC 端点的示例包括启用 GuardDuty、运行时监控、EKS 运行时监控或启动新的 Amazon ECS-Fargate 任务。当这些账户为任何资源类型启用运行时监控和自动代理配置时，系统将 GuardDuty 创建一个 Amazon VPC 端点，并使用与共享 VPC 所有者账户相同的组织 ID 设置端点策略。 GuardDuty 为 GuardDuty 创建的 Amazon VPC 终端节点添加GuardDutyManaged标签并将其设置为。true如果共享 Amazon VPC 所有者账户尚未为任何资源启用运行时监控或自动代理配置，则 GuardDuty 不会设置 Amazon VPC 端点策略。有关在共享 VPC 所有者账户中配置运行时监控和自动管理安全代理的信息，请参阅启用 GuardDuty 运行时监控。

使用相同 Amazon VPC 端点策略的每个账户都被称为相关共享 Amazon VPC 的参与者 Amazon 账户。

以下示例展示了共享 VPC 所有者账户和参与者账户的默认 VPC 端点策略。aws:PrincipalOrgID 将显示与共享 VPC 资源关联的组织 ID。此策略的使用范围仅限于所有者账户的组织中存在的参与者账户。

{
    "Version": "2012-10-17",
    "Statement": [{
            "Action": "*",
            "Resource": "*",
            "Effect": "Allow",
            "Principal": "*"
        },
        {
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalOrgID": "o-abcdef0123"
                }
            },
            "Action": "*",
            "Resource": "*",
            "Effect": "Deny",
            "Principal": "*"
        }
    ]
}

使用共享 VPC 的先决条件

当您使用 GuardDuty 自动代理时，运行时监控支持使用共享 VPC。在初始设置过程中，请在您 Amazon Web Services 账户 希望其成为共享 VPC 所有者的中执行以下步骤：

GuardDuty 运行时监控特有的先决条件

以下列表介绍特定于 GuardDuty：