使用带运行时监控的共享 VPC

GuardDuty 运行时监控支持对属于同一组织的共享亚马逊虚拟私有云（Amazon VPC）进行共享 Amazon Organizations。 Amazon Web Services 账户 您可以通过两种方式使用共享 VPC：

工作方式

与共享 Amazon Web Services 账户 的 Amazon VPC 所有者账户属于同一组织的用户也可以共享相同的 Amazon VPC 终端节点。使用相同 Amazon VPC 终端节点策略的每个 Amazon 账户都被称为关联的共享 Amazon VPC 的参与者账户。

以下示例展示了共享 VPC 所有者账户和参与者账户的默认 VPC 端点策略。aws:PrincipalOrgID 将显示与共享 VPC 资源关联的组织 ID。此策略的使用范围仅限于所有者账户的组织中存在的参与者账户。

{
    "Version": "2012-10-17",
    "Statement": [{
            "Action": "*",
            "Resource": "*",
            "Effect": "Allow",
            "Principal": "*"
        },
        {
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalOrgID": "o-abcdef0123"
                }
            },
            "Action": "*",
            "Resource": "*",
            "Effect": "Deny",
            "Principal": "*"
        }
    ]
}

使用 GuardDuty 自动代理配置

当共享 VPC 的所有者账户为任何资源（Amazon EKS 或 Amazon Fargate （仅限 Amazon ECS））启用运行时监控和自动代理配置时，所有共享资源都有 VPCs 资格在共享 VPC 所有者账户中自动安装共享 Amazon VPC 终端节点和关联安全组。 GuardDuty 检索与共享 Amazon VPC 关联的组织 ID。

GuardDuty 在共享 VPC 所有者账户或参与账户需要时创建 Amazon VPC 终端节点。需要 Amazon VPC 终端节点的示例包括启用 GuardDuty、运行时监控、EKS 运行时监控或启动新的 Amazon ECS-Fargate 任务。当这些账户为任何资源类型启用运行时监控和自动代理配置时，将 GuardDuty 创建一个 Amazon VPC 终端节点，并使用与共享 VPC 所有者账户相同的组织 ID 设置终端节点策略。 GuardDuty 为 GuardDuty 创建的 Amazon VPC 终端节点添加GuardDutyManaged标签并将其设置为。true如果共享的 Amazon VPC 所有者账户尚未为任何资源启用运行时监控或自动代理配置，则 GuardDuty 不会设置 Amazon VPC 终端节点策略。有关在共享 VPC 所有者账户中配置运行时监控和自动管理安全代理的信息，请参阅启用 GuardDuty 运行时监控。

与手动管理的代理一起使用

当您使用带有手动托管代理的共享 VPC 时，请确认没有明确的Deny终端节点策略可以阻止任何需要使用共享 VPC 的账户。这将防止安全代理向发送遥测数据 GuardDuty，从而进入Unhealthy覆盖状态。有关设置终端节点策略的信息，请参阅Example shared VPC endpoint policy。

在缺少共享 VPC 权限等情况下，运行时间覆盖范围可能不准确。您可以按照中针对您的资源类型的步骤持续监控资源覆盖率检查运行时间覆盖率统计数据并对问题进行故障排除。

为确保持续保护您的计算资源， GuardDuty 建议您为共享 VPC 所有者账户和资源的所有参与账户启用自动代理配置。

使用共享 VPC 的先决条件

作为初始设置的一部分，请执行您想要成为共享 VPC 所有者的以下步骤： Amazon Web Services 账户

特定于 GuardDuty 运行时监控的先决条件

以下列表提供了特定于以下各项的先决条件 GuardDuty：