Consultation des statistiques de couverture Modification de l'état de couverture avec EventBridge notifications Résolution des problèmes de couverture du runtime Amazon EKS

Couverture de l'exécution et résolution des problèmes pour les clusters Amazon EKS

Après avoir activé Runtime Monitoring et installé l'agent de GuardDuty sécurité (module complémentaire) pour EKS manuellement ou par le biais d'une configuration automatique de l'agent, vous pouvez commencer à évaluer la couverture de vos clusters EKS.

Table des matières

Consultation des statistiques de couverture
Modification de l'état de couverture avec EventBridge notifications
Résolution des problèmes de couverture du runtime Amazon EKS

Consultation des statistiques de couverture

Les statistiques de couverture pour les clusters EKS associés à vos propres comptes ou à vos comptes membres sont le pourcentage de clusters EKS sains par rapport à tous les clusters EKS de la Région AWS sélectionnée. L'équation suivante représente cela comme suit :

( clusters/All Clusters sains) *100

Choisissez l'une des méthodes d'accès pour consulter les statistiques de couverture de vos comptes.

Console

Connectez-vous à Console de gestion AWS et ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.
Dans le volet de navigation, choisissez Runtime Monitoring.
Choisissez l'onglet Couverture d'exécution du cluster EKS.
Dans l'onglet Couverture d'exécution du cluster EKS, vous pouvez consulter les statistiques de couverture agrégées selon l'état de couverture disponible dans le tableau Liste des clusters.
- Vous pouvez filtrer le tableau Liste des clusters selon les colonnes suivantes :
  - Nom du cluster
  - ID de compte
  - Type de gestion des agents
  - État de couverture
  - Add-on Version
Si l'un de vos clusters EKS a un état de couverture Non sain, la colonne Problème peut inclure des informations supplémentaires sur la raison de l'état Défectueux.

API/CLI

Exécutez l'ListCoverageAPI avec votre propre ID de détecteur, votre région et votre point de terminaison de service valides. Vous pouvez filtrer et trier la liste des clusters à l'aide de cette API.
- Vous pouvez modifier l'exemple de filter-criteria à l'aide de l'une des options suivantes pour CriterionKey :
  - ACCOUNT_ID
  - CLUSTER_NAME
  - RESOURCE_TYPE
  - COVERAGE_STATUS
  - ADDON_VERSION
  - MANAGEMENT_TYPE
- Vous pouvez modifier l'exemple de AttributeName dans sort-criteria à l'aide des options suivantes :
  - ACCOUNT_ID
  - CLUSTER_NAME
  - COVERAGE_STATUS
  - ISSUE
  - ADDON_VERSION
  - UPDATED_AT
- Vous pouvez modifier la max-results valeur (jusqu'à 50).
- detectorIdPour trouver les paramètres correspondant à votre compte et à votre région actuelle, consultez la page Paramètres de la https://console.aws.amazon.com/guardduty/ console ou exécutez l'ListDetectorsAPI.
```
aws guardduty --region us-east-1 list-coverage --detector-id 12abc34d567e8fa901bc2d34e56789f0 --sort-criteria '{"AttributeName": "CLUSTER_NAME", "OrderBy": "DESC"}' --filter-criteria '{"FilterCriterion":[{"CriterionKey":"ACCOUNT_ID", "FilterCondition":{"EqualsValue":"111122223333"}}] }'  --max-results 5
```
Exécutez l'GetCoverageStatisticsAPI pour récupérer les statistiques agrégées de couverture en fonction dustatisticsType.
- Vous pouvez modifier l'exemple de statisticsType sur l'une des options suivantes :
  - COUNT_BY_COVERAGE_STATUS : représente les statistiques de couverture pour les clusters EKS agrégées par état de couverture.
  - COUNT_BY_RESOURCE_TYPE— Statistiques de couverture agrégées en fonction du type de AWS ressource figurant dans la liste.
  - Vous pouvez modifier l'exemple de filter-criteria dans la commande. Vous pouvez utiliser les options suivantes pour CriterionKey :
    
    ACCOUNT_ID
    
    CLUSTER_NAME
    
    RESOURCE_TYPE
    
    COVERAGE_STATUS
    
    ADDON_VERSION
    
    MANAGEMENT_TYPE
- detectorIdPour trouver les paramètres correspondant à votre compte et à votre région actuelle, consultez la page Paramètres de la https://console.aws.amazon.com/guardduty/ console ou exécutez l'ListDetectorsAPI.
```
aws guardduty --region us-east-1 get-coverage-statistics --detector-id 12abc34d567e8fa901bc2d34e56789f0 --statistics-type COUNT_BY_COVERAGE_STATUS --filter-criteria '{"FilterCriterion":[{"CriterionKey":"ACCOUNT_ID", "FilterCondition":{"EqualsValue":"123456789012"}}] }'
```

Si l'état de couverture de votre cluster EKS est Défectueux, veuillez consulter Résolution des problèmes de couverture du runtime Amazon EKS.

Modification de l'état de couverture avec EventBridge notifications

L'état de couverture d'un cluster EKS sur votre compte peut être indiqué comme étant Défectueux. Pour détecter les cas où l'état de couverture devient Défectueux, nous vous recommandons de surveiller régulièrement l'état de couverture et de résoudre les problèmes, si l'état est Défectueux Vous pouvez également créer une EventBridge règle Amazon pour vous avertir lorsque le statut de couverture passe de l'un Unhealthy à l'autre Healthy ou non. Par défaut, le GuardDuty publie dans le EventBridge bus de votre compte.

Exemple de schéma de notification

Dans une EventBridge règle, vous pouvez utiliser les exemples d'événements et les modèles d'événements prédéfinis pour recevoir une notification sur l'état de la couverture. Pour plus d'informations sur la création d'une EventBridge règle, consultez la section Créer une règle dans le Guide de EventBridge l'utilisateur Amazon.

En outre, vous pouvez créer un modèle d'événement personnalisé à l'aide de l'exemple de schéma de notification suivant. Assurez-vous de remplacer les valeurs de votre compte. Pour être averti lorsque l'état de couverture de votre cluster Amazon EKS passe de Healthy àUnhealthy, detail-type il doit êtreGuardDuty Runtime Protection Unhealthy. Pour être averti lorsque l'état de couverture passe de Unhealthy àHealthy, remplacez la valeur de detail-type parGuardDuty Runtime Protection Healthy.


{
  "version": "0",
  "id": "event ID",
  "detail-type": "GuardDuty Runtime Protection Unhealthy",
  "source": "aws.guardduty",
  "account": "Compte AWS ID",
  "time": "event timestamp (string)",
  "region": "Région AWS",
  "resources": [
       ],
  "detail": {
    "schemaVersion": "1.0",
    "resourceAccountId": "string",
    "currentStatus": "string",
    "previousStatus": "string",
    "resourceDetails": {
        "resourceType": "EKS",
        "eksClusterDetails": { 
            "clusterName": "string",
            "availableNodes": "string",
             "desiredNodes": "string",
             "addonVersion": "string"
         }
    },
    "issue": "string",
    "lastUpdatedAt": "timestamp"
  }
}

Résolution des problèmes de couverture du runtime Amazon EKS

Si l'état de couverture de votre cluster EKS est le bonUnhealthy, vous pouvez afficher l'erreur correspondante soit dans la colonne Problème de la GuardDuty console, soit en utilisant le type de CoverageResource données.

Lorsque vous utilisez des balises d'inclusion ou d'exclusion pour surveiller vos clusters EKS de manière sélective, la synchronisation des balises peut prendre un certain temps. Cela peut avoir un impact sur l'état de couverture du cluster EKS associé. Vous pouvez réessayer de supprimer et d'ajouter la balise correspondante (inclusion ou exclusion). Pour plus d'informations, veuillez consulter Étiquetage de vos ressources Amazon EKS dans le Guide du de l'utilisateur Amazon EKS.

La structure d'un problème de couverture est Issue type:Extra information. Généralement, les problèmes comportent des informations supplémentaires facultatives qui peuvent inclure une exception spécifique côté client ou une description du problème. Sur la base d'informations supplémentaires, les tableaux suivants fournissent les étapes recommandées pour résoudre les problèmes de couverture de vos clusters EKS.

Type de problème (préfixe)	Informations supplémentaires	Étapes de dépannage recommandées
La création du module complémentaire a échoué	L'addon n'`aws-guardduty-agent`est pas compatible avec la version actuelle du cluster`ClusterName`. Le module complémentaire spécifié n'est pas pris en charge.	Assurez-vous que vous utilisez l'une de ces versions de Kubernetes prenant en charge le déploiement du module complémentaire EKS `aws-guardduty-agent`. Pour de plus amples informations, veuillez consulter Versions de Kubernetes prises en charge par l'agent de sécurité GuardDuty. Pour plus d'informations sur la mise à jour de votre version de Kubernetes, veuillez consulter la section Mise à jour d'une version Kubernetes de cluster Amazon EKS.
La création du module complémentaire a échoué La mise à jour du module complémentaire a échoué État de l'addon : mauvais état	Problème de module complémentaire EKS : `AddonIssueCode`: `AddonIssueMessage`	Pour plus d'informations sur les étapes recommandées pour un code de problème de module complémentaire spécifique, consultezTroubleshooting steps for Addon creation/update error with Addon issue code. Pour obtenir la liste des codes de problèmes liés aux modules complémentaires que vous pourriez rencontrer lors de ce problème, consultez AddonIssue.
La création du point de terminaison VPC a échoué	La création de terminaux VPC n'est pas prise en charge pour les VPC partagés `vpcId`	Runtime Monitoring prend désormais en charge l'utilisation d'un VPC partagé au sein d'une organisation. Assurez-vous que vos comptes répondent à tous les prérequis. Pour de plus amples informations, veuillez consulter Conditions préalables à l'utilisation d'un VPC partagé.
	Uniquement en cas d'utilisation d'un VPC partagé avec configuration d'agent automatisée L'ID `111122223333` du compte propriétaire du VPC partagé `vpcId` n'a pas activé la surveillance de l'exécution, ni la configuration automatique des agents, ni les deux.	Le compte propriétaire du VPC partagé doit activer la surveillance de l'exécution et la configuration automatique des agents pour au moins un type de ressource (Amazon EKS ou Amazon ECS (AWS Fargate)). Pour de plus amples informations, veuillez consulter Prérequis spécifiques à la surveillance du GuardDuty temps d'exécution.
	L'activation du DNS privé nécessite les deux `enableDnsSupport` et les attributs `enableDnsHostnames` VPC définis sur `true` for `vpcId` (Service : Ec2, Status Code:400, Request ID :`a1b2c3d4-5678-90ab-cdef-EXAMPLE11111`).	Assurez-vous que les attributs de VPC suivants sont définis sur `true` : `enableDnsSupport` et `enableDnsHostnames`. Pour plus d'informations, veuillez consulter la rubrique Attributs DNS dans votre VPC. Si vous utilisez la console Amazon VPC https://console.aws.amazon.com/vpc/ pour créer Amazon VPC, assurez-vous de sélectionner à la fois Activer les noms d'hôte DNS et Activer la résolution DNS. Pour plus d'informations, veuillez consulter Options de configuration de VPC.
La suppression du point de terminaison VPC partagé a échoué	La suppression du point de terminaison VPC partagé n'est pas autorisée pour l'ID de compte`111122223333`, le VPC partagé`vpcId`, l'ID du compte propriétaire. `555555555555`	Étapes possibles : La désactivation de l'état de surveillance de l'exécution du compte participant VPC partagé n'a aucun impact sur la politique de point de terminaison du VPC partagé et sur le groupe de sécurité qui existe dans le compte propriétaire. Pour supprimer le point de terminaison et le groupe de sécurité du VPC partagés, vous devez désactiver la surveillance de l'exécution ou l'état de configuration automatique de l'agent dans le compte propriétaire du VPC partagé. Le compte participant VPC partagé ne peut pas supprimer le point de terminaison VPC partagé et le groupe de sécurité hébergés dans le compte propriétaire du VPC partagé.
Clusters EKS locaux	Les modules complémentaires EKS ne sont pas prises en charge sur les clusters Outpost locaux.	Non exploitable. Pour plus d'informations, consultez Amazon EKS sur les AWS avant-postes.
Autorisation d'activation de la surveillance d'exécution EKS non accordée	(peut afficher ou non des informations supplémentaires)	Si des informations supplémentaires sont disponibles pour ce problème, corrigez la cause première et passez à l'étape suivante. Activez la surveillance d'exécution EKS pour la désactiver, puis la réactiver. Assurez-vous que l' GuardDutyagent est également déployé, que ce soit automatiquement GuardDuty ou manuellement.
la surveillance d'exécution EKS permet l'allocation de ressources en cours	(peut afficher ou non des informations supplémentaires)	Non exploitable. Une fois que vous avez activé la surveillance d'exécution EKS, l'état de couverture peut rester `Unhealthy` jusqu'à la fin de l'étape d'allocation des ressources. L'état de couverture est surveillé et mis à jour périodiquement.
Autres (tout autre problème)	Erreur due à un échec d'autorisation	Activez la surveillance d'exécution EKS pour la désactiver, puis la réactiver. Assurez-vous que l' GuardDuty agent est également déployé, automatiquement GuardDuty ou manuellement.

Étapes de dépannage en cas d' creation/update erreur d'addon avec le code de problème de l'addon
Erreur de création ou de mise à jour de l'addon	Étapes de résolution des problèmes
Problème lié à l'extension EKS - `InsufficientNumberOfReplicas` : L'extension ne fonctionne pas correctement car elle ne possède pas le nombre de répliques souhaité.	À l'aide du message du problème, vous pouvez identifier et corriger la cause première. Vous pouvez commencer par décrire votre cluster. Par exemple, utilisez-le `kubectl describe pods` pour identifier la cause première de la défaillance d'un pod. Une fois la cause première corrigée, recommencez l'étape (création ou mise à jour d'un module complémentaire). Si le problème persiste, vérifiez que le point de terminaison VPC de votre cluster Amazon EKS est correctement configuré. Pour de plus amples informations, veuillez consulter Validation de la configuration des terminaux VPC.
Problème de l'addon EKS - `InsufficientNumberOfReplicas` : Le module complémentaire n'est pas fonctionnel car un ou plusieurs pods ne sont pas planifiés. Des `0/x` nœuds sont disponibles :`x Insufficient cpu. preemption: not eligible due to preemptionPolicy=Never`.	Pour résoudre ce problème, vous pouvez procéder de l'une des manières suivantes : Mettez à jour la priorité du pod de l' GuardDuty `PriorityClass`agent : Paramètres et valeurs configurables en définissant l'une des options qui prennent en charge la `preemptionPolicy` valeur as`PreemptLowerPriority`. Pour plus d'informations sur la priorité des pods, consultez la section Priorité et préemption des pods dans la documentation Kubernetes. Développez l'instance : pour gérer vos ressources et sélectionner une instance optimale, consultez Gérer les ressources de calcul à l'aide de nœuds et Choisir un type d'instance de nœud Amazon EC2 optimal dans le guide de l'utilisateur Amazon EKS. Note Le message s'affiche `0/x` car seule la première erreur détectée est GuardDuty signalée. Le nombre réel de pods en cours d'exécution dans le GuardDuty daemonset peut être supérieur à 0.
Problème de l'addon EKS - `InsufficientNumberOfReplicas` : Le module complémentaire n'est pas fonctionnel car un ou plusieurs pods ne sont pas planifiés. Des `0/x` nœuds sont disponibles :`x Too many pods. preemption: not eligible due to preemptionPolicy=Never`.
Problème de l'addon EKS - `InsufficientNumberOfReplicas` : Le module complémentaire n'est pas fonctionnel car un ou plusieurs pods ne sont pas planifiés. Des `0/x` nœuds sont disponibles :`1 Insufficient memory. preemption: not eligible due to preemptionPolicy=Never`.
Problème lié à l'extension EKS - `InsufficientNumberOfReplicas` : L'extension n'est pas saine car un ou plusieurs pods ont des conteneurs en attente `CrashLoopBackOff: Completed`	Vous pouvez consulter les journaux associés au module et identifier le problème. Pour plus d'informations sur la procédure à suivre, consultez Debug Running Pods dans la documentation Kubernetes. Utilisez la liste de contrôle suivante pour résoudre ce problème lié au module complémentaire : Validez que la surveillance du temps d'exécution est activée. Vérifiez que les conditionsConditions requises pour la prise en charge des clusters Amazon EKS, telles que les distributions de systèmes d'exploitation vérifiées et les versions de Kubernetes prises en charge, sont respectées. Lorsque vous gérez l'agent de sécurité manuellement, vérifiez que vous avez créé un point de terminaison VPC pour tous les VPC. Lorsque vous activez la configuration GuardDuty automatique, vous devez tout de même valider que le point de terminaison VPC est créé. Par exemple, lors de l'utilisation d'un VPC partagé dans le cadre d'une configuration automatisée. Pour valider cela, consultezValidation de la configuration des terminaux VPC. Vérifiez que l'agent GuardDuty de sécurité est capable de résoudre le DNS privé du point de terminaison GuardDuty VPC. Pour connaître les points de terminaison, consultez la section Noms DNS privés pour les points de terminaison dans. Gestion des agents GuardDuty de sécurité Pour ce faire, vous pouvez utiliser l'un des `nslookup` outils sous Windows ou Mac, ou `dig` l'outil sous Linux. Lorsque vous utilisez nslookup, vous pouvez utiliser la commande suivante après avoir remplacé la Région `us-west-2` par votre Région : `nslookup guardduty-data.us-west-2.amazonaws.com` Vérifiez que votre politique de point de terminaison GuardDuty VPC ou la politique de contrôle des services n'a aucune incidence sur l'action`guardduty:SendSecurityTelemetry`.
Problème lié à l'extension EKS - `InsufficientNumberOfReplicas` : L'extension n'est pas saine car un ou plusieurs pods ont des conteneurs en attente `CrashLoopBackOff: Error`	Vous pouvez consulter les journaux associés au module et identifier le problème. Pour plus d'informations sur la procédure à suivre, consultez Debug Running Pods dans la documentation Kubernetes. Après avoir identifié le problème, utilisez la liste de contrôle suivante pour le résoudre : Validez que la surveillance du temps d'exécution est activée. Vérifiez que les conditionsConditions requises pour la prise en charge des clusters Amazon EKS, telles que les distributions de systèmes d'exploitation vérifiées et les versions de Kubernetes prises en charge, sont respectées. L'agent GuardDuty de sécurité est capable de résoudre le DNS privé du point de terminaison du GuardDuty VPC. Pour connaître les points de terminaison, consultez la section Noms DNS privés pour les points de terminaison dans. Gestion des agents GuardDuty de sécurité
Problème lié à l'addon EKS - `AdmissionRequestDenied` : le webhook d'admission `"validate.kyverno.svc-fail"` a refusé la demande : politique en matière de violation `DaemonSet/amazon-guardduty/aws-guardduty-agent` des ressources : restrict-image-registries : :... `autogen-validate-registries`	Le cluster Amazon EKS ou l'administrateur de sécurité doit revoir la politique de sécurité qui bloque la mise à jour du module complémentaire. Vous devez soit désactiver le contrôleur (`webhook`), soit demander au contrôleur d'accepter les demandes d'Amazon EKS.
Problème lié à l'extension EKS - `ConfigurationConflict` : Des conflits ont été détectés lors de la tentative de candidature. Ne continuera pas en raison du mode de résolution des conflits. `Conflicts: DaemonSet.apps aws-guardduty-agent - .spec.template.spec.containers[name="aws-guardduty-agent"].image`	Lors de la création ou de la mise à jour de l'Addon, fournissez l'indicateur de `OVERWRITE` résolution des conflits. Cela remplacera potentiellement toutes les modifications apportées directement aux ressources associées dans Kubernetes à l'aide de l'API Kubernetes. Vous pouvez d'abord supprimer un module complémentaire Amazon EKS d'un cluster, puis le réinstaller.
Problème lié à l'extension EKS - `AccessDenied: priorityclasses.scheduling.k8s.io "aws-guardduty-agent.priorityclass" is forbidden: User "eks:addon-manager" cannot patch resource "priorityclasses" in API group "scheduling.k8s.io" at the cluster scope`	Vous devez ajouter l'autorisation manquante au `eks:addon-cluster-admin ClusterRoleBinding` manuel. Ajoutez ce qui suit `yaml` à `eks:addon-cluster-admin` : `--- kind: ClusterRoleBinding apiVersion: rbac.authorization.k8s.io/v1 metadata: name: eks:addon-cluster-admin subjects: - kind: User name: eks:addon-manager apiGroup: rbac.authorization.k8s.io roleRef: kind: ClusterRole name: cluster-admin apiGroup: rbac.authorization.k8s.io ---` Vous pouvez désormais l'appliquer `yaml` à votre cluster Amazon EKS à l'aide de la commande suivante : `kubectl apply -f eks-addon-cluster-admin.yaml`
AddonUpdationFailed: EKSAddonIssue - `AccessDenied: namespaces\"amazon-guardduty\"isforbidden:User\"eks:addon-manager\"cannotpatchresource\"namespaces\"inAPIgroup\"\"inthenamespace\"amazon-guardduty\"`
Problème lié à l'extension EKS - AccessDenied: admission webhook "validation.gatekeeper.sh" denied the request: [all-namespace-must-have-label-owner] All namespaces must have an `owner` label	Vous devez soit désactiver le contrôleur, soit lui demander d'accepter les demandes du cluster Amazon EKS. Avant de créer ou de mettre à jour le module complémentaire, vous pouvez également créer un GuardDuty espace de noms et l'étiqueter comme`owner`.
Problème lié à l'extension EKS - `AccessDenied: admission webhook "validation.gatekeeper.sh" denied the request: [allowed-container-registries] container <aws-guardduty-agent> has an invalid image registry`	Ajoutez le registre d'images GuardDuty pour `allowed-container-registries` dans votre contrôleur d'admission. Pour plus d'informations, consultez le référentiel ECR pour EKS v1.8.1-eks-build.2 dans. Agent d'hébergement GuardDuty du référentiel Amazon ECR

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

Couverture et résolution des problèmes pour les clusters Amazon ECS

Configuration de la surveillance du processeur et de la mémoire