View a markdown version of this page

Activation de la surveillance d’exécution pour Amazon ECS - Amazon Elastic Container Service

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Activation de la surveillance d’exécution pour Amazon ECS

Vous pouvez activer la surveillance d’exécution pour les clusters dotés d’instances EC2 ou lorsque vous avez besoin d’un contrôle granulaire de la surveillance d’exécution au niveau du cluster sur Fargate.

Les conditions préalables suivantes doivent être remplies pour pouvoir utiliser la surveillance d’exécution :

  • La version de plateforme Fargate doit être 1.4.0 ou ultérieure pour Linux.

  • Rôles et autorisations IAM pour Amazon ECS :

    • Les tâches Fargate doivent utiliser un rôle d’exécution de tâche. Ce rôle confère aux tâches l'autorisation de récupérer, de mettre à jour et de gérer l'agent GuardDuty de sécurité en votre nom. Pour de plus amples informations, veuillez consulter Rôle IAM d'exécution de tâche Amazon ECS.

    • Vous contrôlez la surveillance d’exécution pour un cluster à l’aide d’une balise prédéfinie. Si vos politiques d’accès limitent l’accès en fonction de balises, vous devez accorder des autorisations explicites à vos utilisateurs IAM pour étiqueter les clusters. Pour plus d'informations, consultez le didacticiel IAM : Définir les autorisations d'accès aux AWS ressources en fonction des balises du guide de l'utilisateur IAM.

  • Connexion au référentiel Amazon ECR :

    L'agent GuardDuty de sécurité est stocké dans un référentiel Amazon ECR. Chaque tâche autonome ou tâche de service doit avoir un accès au référentiel. Vous pouvez utiliser l'une des options suivantes :

    • Pour les tâches dans les sous-réseaux publics, vous pouvez soit utiliser une adresse IP publique pour la tâche, soit créer un point de terminaison de VPC pour Amazon ECR dans le sous-réseau sur lequel la tâche s’exécute. Pour plus d'informations, consultez Points de terminaison d'un VPC d'interface Amazon ECR (AWS PrivateLink) dans le Guide de l'utilisateur Amazon Elastic Container Registry.

    • Pour les tâches dans des sous-réseaux privés, vous pouvez utiliser une passerelle de traduction d’adresses réseau (NAT) ou créer un point de terminaison de VPC pour Amazon ECR dans le sous-réseau sur lequel la tâche s’exécute.

      Pour plus d’informations, consultez la section Sous-réseau privé et passerelle NAT.

  • Vous devez avoir le AWSServiceRoleForAmazonGuardDuty rôle de GuardDuty. Pour plus d'informations, consultez la section Autorisations relatives aux Service-linked rôles GuardDuty dans le Guide de GuardDuty l'utilisateur Amazon.

  • Tous les fichiers que vous souhaitez protéger avec la surveillance d’exécution doivent être accessibles par l’utilisateur racine. Si vous avez modifié manuellement les autorisations d’un fichier, vous devez le définir sur 755.

Les conditions préalables suivantes doivent être remplies pour utiliser la surveillance d’exécution sur les instances de conteneur EC2 :

  • Vous devez utiliser une version 20230929 ou une version ultérieure d'Amazon ECS-AMI.

  • Vous devez exécuter l’agent Amazon ECS version 1.77 ou ultérieure sur les instances de conteneur.

  • Vous devez utiliser la version du noyau 5.10 ou une version ultérieure.

  • Pour plus d'informations sur les systèmes d'exploitation et les architectures Linux pris en charge, consultez la section Quels modèles d'exploitation et charges de travail sont pris en charge par GuardDuty Runtime Monitoring.

  • Vous pouvez utiliser Systems Manager pour gérer vos instances de conteneur. Pour plus d’informations, consultez la section Configuration de Systems Manager pour des instances EC2 dans le Guide de l’utilisateur AWS Systems Manager Session Manager .

Vous activez la surveillance du temps d'exécution dans GuardDuty. Pour plus d'informations sur l'activation de cette fonctionnalité, consultez la section Activation de la surveillance de l'exécution dans le guide de GuardDuty l'utilisateur Amazon.