Voraussetzung — Manuelles Erstellen des Amazon VPC-Endpunkts

Um einen Amazon VPC-Endpunkt zu erstellen

1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die Amazon VPC-Konsole unter. https://console.aws.amazon.com/vpc/

2. Wählen Sie im Navigationsbereich unter VPC Private Cloud die Option Endpoints aus.

3. Klicken Sie auf Endpunkt erstellen.

4. Wählen Sie auf der Seite Endpunkt erstellen für Servicekategorie die Option Andere Endpunkt-Services.

5. Geben Sie unter Servicename com.amazonaws.us-east-1.guardduty-data ein.

   Stellen Sie sicher, dass Sie durch Ihre us-east-1 ersetzen. AWS-Region Dies muss dieselbe Region sein wie die Amazon EC2-Instance, die zu Ihrer AWS Konto-ID gehört.

6. Wählen Sie Service verifizieren.

7. Nachdem der Dienstname erfolgreich verifiziert wurde, wählen Sie die VPC aus, in der sich Ihre Instance befindet. Fügen Sie die folgende Richtlinie hinzu, um die Nutzung von Amazon VPC-Endpunkten nur auf das angegebene Konto zu beschränken. Unter Angabe der unter dieser Richtlinie angegebenen Organisations-Condition können Sie die folgende Richtlinie aktualisieren, um den Zugriff auf Ihren Endpunkt einzuschränken. Informationen zur Bereitstellung der Amazon VPC-Endpunktunterstützung für bestimmte Konto-IDs in Ihrer Organisation finden Sie unter. Organization condition to restrict access to your endpoint

   JSON

   {
   	"Version":"2012-10-17",
   	"Statement": [
   		{
   			"Action": "*",
   			"Resource": "*",
   			"Effect": "Allow",
   			"Principal": "*"
   		},
   		{
   			"Condition": {
   				"StringNotEquals": {
   					"aws:PrincipalAccount": "111122223333" 
   				}
   			},
   			"Action": "*",
   			"Resource": "*",
   			"Effect": "Deny",
   			"Principal": "*"
   		}
   	]
   }
   

   Die aws:PrincipalAccount-Konto-ID muss mit dem Konto übereinstimmen, das die VPC und den VPC-Endpunkt enthält. Die folgende Liste zeigt, wie Sie den VPC-Endpunkt mit anderen AWS Konto-IDs teilen können:

   • Um mehrere Konten für den Zugriff auf den VPC-Endpunkt anzugeben, "aws:PrincipalAccount: "111122223333" ersetzen Sie ihn durch den folgenden Block:

     "aws:PrincipalAccount": [
               "666666666666",
               "555555555555"
           ]

     Stellen Sie sicher, dass Sie die AWS Konto-IDs durch die Konto-IDs der Konten ersetzen, die auf den VPC-Endpunkt zugreifen müssen.

   • Um allen Mitgliedern einer Organisation den Zugriff auf den VPC-Endpunkt zu ermöglichen, "aws:PrincipalAccount: "111122223333" ersetzen Sie diese durch die folgende Zeile:

     "aws:PrincipalOrgID": "o-abcdef0123"

     Stellen Sie sicher, dass Sie die Organisation o-abcdef0123 durch Ihre Organisations-ID ersetzen.

   • Um den Zugriff auf eine Ressource anhand einer Organisations-ID einzuschränken, fügen Sie Ihre ResourceOrgID zur Richtlinie hinzu. Weitere Informationen finden Sie unter aws:ResourceOrgID im IAM-Benutzerhandbuch.

     "aws:ResourceOrgID": "o-abcdef0123"

8. Wählen Sie unter Zusätzliche Einstellungen die Option DNS-Name aktivieren.

9. Wählen Sie unter Subnetze die Subnetze aus, in denen sich Ihre Instance befindet.

10. Wählen Sie unter Sicherheitsgruppen eine Sicherheitsgruppe aus, für die der eingehende Port 443 von Ihrer VPC (oder Ihrer Amazon EC2-Instance) aus aktiviert ist. Wenn Sie noch keine Sicherheitsgruppe haben, für die ein eingehender Port 443 aktiviert ist, finden Sie weitere Informationen unter Erstellen einer Sicherheitsgruppe für Ihre VPC im Amazon VPC-Benutzerhandbuch.

    Wenn beim Einschränken der eingehenden Berechtigungen für Ihre VPC (oder Instance) ein Problem auftritt, können Sie den eingehenden 443-Port von einer beliebigen IP-Adresse aus verwenden. (0.0.0.0/0) Es wird jedoch GuardDuty empfohlen, IP-Adressen zu verwenden, die dem CIDR-Block für Ihre VPC entsprechen. Weitere Informationen finden Sie unter VPC-CIDR-Blöcke im Amazon VPC-Benutzerhandbuch.