Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Configurer les paramètres GuardDuty de l'agent de sécurité (module complémentaire) pour Amazon EKS
Vous pouvez configurer des paramètres spécifiques de votre agent GuardDuty de sécurité pour Amazon EKS. Ce support est disponible pour les versions 1.5.0 et supérieures de l'agent de GuardDuty sécurité. Pour plus d'informations sur les dernières versions des modules complémentaires, consultezGuardDuty versions des agents de sécurité pour les ressources Amazon EKS.
- Pourquoi mettre à jour le schéma de configuration de l'agent de sécurité
-
Le schéma de configuration de l'agent GuardDuty de sécurité est le même pour tous les conteneurs de vos clusters Amazon EKS. Lorsque les valeurs par défaut ne correspondent pas aux charges de travail et à la taille d'instance associées, envisagez de configurer les paramètres du processeur
PriorityClass, les paramètres de mémoire etdnsPolicyles paramètres. Quelle que soit la façon dont vous gérez l' GuardDuty agent pour vos clusters Amazon EKS, vous pouvez configurer ou mettre à jour la configuration existante de ces paramètres.
Comportement de configuration automatique des agents avec paramètres configurés
Lorsque vous GuardDuty gérez l'agent de sécurité (module complémentaire EKS) en votre nom, il met à jour le module complémentaire si nécessaire. GuardDuty définira la valeur des paramètres configurables sur une valeur par défaut. Cependant, vous pouvez toujours mettre à jour les paramètres à la valeur souhaitée. Si cela entraîne un conflit, l'option par défaut pour https://docs.aws.amazon.com/eks/latest/APIReference/API_UpdateAddon.html#AmazonEKS-UpdateAddon-request-resolveConflicts ResolveConflicts est. None
Paramètres et valeurs configurables
Pour plus d'informations sur les étapes de configuration des paramètres du module complémentaire, consultez :
Les tableaux suivants fournissent les plages et les valeurs que vous pouvez utiliser pour déployer le module complémentaire Amazon EKS manuellement ou mettre à jour les paramètres du module complémentaire existants.
- Réglages du processeur
-
Parameters
Valeur par défaut
Gamme configurable
Requêtes
200 m
Entre 200 m et 10 000 m, les deux inclus
Restrictions
1 000 m
Entre 200 m et 10 000 m, les deux inclus
disableCpuLimitsfalsetrueoufalseLe
disableCpuLimitsparamètre est disponible pour les versions 1.12.1-eksbuild.3 et ultérieures de l'agent de GuardDuty sécurité. Dans les versions précédentes, le module complémentaire ne prend pas en charge ce paramètre et les API du module complémentaire Amazon EKS (CreateAddon,UpdateAddon) renvoient une erreur de validation si vous le spécifiez.Lorsque vous définissez cette
disableCpuLimitsvaleur surtrue, le pod de l'agent de sécurité n'applique pas de limite de processeur. Les autres paramètres de ressources ne sont pas affectés.Pour désactiver les limites du processeur, utilisez la configuration suivante :
{"resources":{"disableCpuLimits":true}}
- Réglages de la mémoire
-
Parameters
Valeur par défaut
Gamme configurable
Requêtes
256 Mo
Entre 256 Mi et 20 000 Mi, les deux inclus
Restrictions
1 024 milles
- Paramètres
PriorityClass -
Lorsque vous GuardDuty créez un module complémentaire Amazon EKS pour vous,
PriorityClassil est attribué àaws-guardduty-agent.priorityclass. Cela signifie qu'aucune action ne sera entreprise en fonction de la priorité du pod d'agents. Vous pouvez configurer ce paramètre complémentaire en choisissant l'une desPriorityClassoptions suivantes :Configurable
PriorityClassValeur
preemptionPolicypreemptionPolicydescriptionValeur du pod
aws-guardduty-agent.priorityclassNeverAucune action
1000000
aws-guardduty-agent.priorityclass-highPreemptLowerPriorityL'attribution de cette valeur préemptera un pod s'exécutant avec une valeur de priorité inférieure à la valeur du pod de l'agent.
100 000 000
system-cluster-critical1PreemptLowerPriority2 000 000 000
system-node-critical1PreemptLowerPriority200 000 1000
1 Kubernetes propose ces deux
PriorityClassoptions — et.system-cluster-criticalsystem-node-criticalPour plus d'informations, consultez PriorityClassla documentation Kubernetes.
- Paramètres
dnsPolicy -
Choisissez l'une des options de politique DNS suivantes prises en charge par Kubernetes. Lorsqu'aucune configuration n'est spécifiée, elle
ClusterFirstest utilisée comme valeur par défaut.-
ClusterFirst -
ClusterFirstWithHostNet -
Default
Pour plus d'informations sur ces politiques, consultez la politique DNS du pod
dans la documentation Kubernetes. -
Vérification des mises à jour du schéma de configuration
Après avoir configuré les paramètres, effectuez les étapes suivantes pour vérifier que le schéma de configuration a été mis à jour :
Ouvrez la console Amazon EKS à l'adresse https://console.aws.amazon.com/eks/home #/clusters
. -
Dans le panneau de navigation, choisissez Clusters.
-
Sur la page Clusters, sélectionnez le nom du cluster pour lequel vous souhaitez vérifier les mises à jour.
-
Sélectionnez l'onglet Ressources.
-
Dans le volet Types de ressources, sous Workloads, choisissez DaemonSets.
-
Sélectionnez aws-guardduty-agent.
-
Sur la page aws-guardduty-agent, choisissez Affichage brut pour afficher la réponse JSON non formatée. Vérifiez que les paramètres configurables affichent la valeur que vous avez fournie.
Après avoir vérifié, passez à la GuardDuty console. Sélectionnez le correspondant Région AWS et visualisez l'état de couverture de vos clusters Amazon EKS. Pour de plus amples informations, veuillez consulter Couverture de l'exécution et résolution des problèmes pour les clusters Amazon EKS.
