View a markdown version of this page

Gestion de l'agent de sécurité automatisé pour Fargate (Amazon ECS uniquement) - Amazon GuardDuty

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Gestion de l'agent de sécurité automatisé pour Fargate (Amazon ECS uniquement)

Runtime Monitoring prend en charge la gestion de l'agent de sécurité pour vos clusters Amazon ECS (AWS Fargate) uniquement via GuardDuty. La gestion manuelle de l'agent de sécurité sur les clusters Amazon ECS n'est pas prise en charge.

Avant de suivre les étapes de cette section, assurez-vous de suivrePrérequis pour AWS Fargate Support (Amazon ECS uniquement).

Sur la base deApproches de gestion des agents GuardDuty de sécurité dans les ECS-Fargate ressources Amazon, choisissez une méthode préférée pour activer l'agent GuardDuty automatisé pour vos ressources.

Table des matières

    Dans un environnement à comptes multiples, seul le compte GuardDuty administrateur délégué peut activer ou désactiver la configuration automatique des agents pour les comptes membres et gérer la configuration automatique des agents pour les clusters Amazon ECS qui appartiennent aux comptes membres de leur organisation. Un compte GuardDuty membre ne peut pas modifier cette configuration. Le compte GuardDuty administrateur délégué gère les comptes de ses membres à l'aide de AWS Organizations. Pour plus d'informations sur les environnements multicomptes, consultez la section Gestion de plusieurs comptes dans GuardDuty.

    Activation de la configuration automatique des agents pour le compte GuardDuty administrateur délégué

    Manage for all Amazon ECS clusters (account level)

    Si vous avez choisi Activer pour tous les comptes pour la surveillance de l'exécution, les options suivantes s'offrent à vous :

    • Choisissez Activer pour tous les comptes dans la section Configuration automatique des agents. GuardDuty déploiera et gérera l'agent de sécurité pour toutes les tâches Amazon ECS qui seront lancées.

    • Choisissez Configurer les comptes manuellement.

    Si vous avez choisi Configurer les comptes manuellement dans la section Runtime Monitoring, procédez comme suit :

    1. Choisissez Configurer les comptes manuellement dans la section Configuration automatique des agents.

    2. Choisissez Activer dans la section Compte GuardDuty administrateur délégué (ce compte).

    Choisissez Enregistrer.

    Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé Runtime Monitoring. Si le dernier déploiement d'un service ECS spécifique a été démarré avant que vous n'activiez Runtime Monitoring, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

    Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Ajoutez une balise à ce cluster Amazon ECS avec la paire clé-valeur sous GuardDutyManaged la forme -. false

    2. Empêchez la modification des balises, sauf par les entités de confiance. La politique présentée dans Empêcher la modification des balises, sauf conformément aux principes autorisés du Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

    4. Dans le volet de navigation, choisissez Runtime Monitoring.

    5. Note

      Ajoutez toujours la balise d'exclusion à vos clusters Amazon ECS avant d'activer la configuration automatique des agents pour votre compte ; sinon, le conteneur GuardDuty sidecar sera attaché à tous les conteneurs dans les tâches Amazon ECS qui seront lancées.

      Dans l'onglet Configuration, choisissez Activer dans la configuration automatique de l'agent.

      Pour les clusters Amazon ECS qui n'ont pas été exclus, GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur sidecar.

    6. Choisissez Enregistrer.

    7. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé Runtime Monitoring. Si le dernier déploiement d'un service ECS spécifique a été démarré avant que vous n'activiez Runtime Monitoring, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Ajoutez une balise à un cluster Amazon ECS dont vous souhaitez inclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. true

    2. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique présentée dans Empêcher la modification des balises, sauf conformément aux principes autorisés du Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      Note

      Lorsque vous utilisez des balises d'inclusion pour vos clusters Amazon ECS, vous n'avez pas besoin d'activer explicitement l' GuardDuty agent par le biais de la configuration automatisée de l'agent.

    3. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé Runtime Monitoring. Si le dernier déploiement d'un service ECS spécifique a été démarré avant que vous n'activiez Runtime Monitoring, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Auto-enable pour tous les comptes de membres

    Manage for all Amazon ECS clusters (account level)

    Les étapes suivantes partent du principe que vous avez choisi Activer pour tous les comptes dans la section Runtime Monitoring.

    1. Choisissez Activer pour tous les comptes dans la section Configuration automatique des agents. GuardDuty déploiera et gérera l'agent de sécurité pour toutes les tâches Amazon ECS qui seront lancées.

    2. Choisissez Enregistrer.

    3. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé Runtime Monitoring. Si le dernier déploiement d'un service ECS spécifique a été démarré avant que vous n'activiez Runtime Monitoring, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Ajoutez une balise à ce cluster Amazon ECS avec la paire clé-valeur sous GuardDutyManaged la forme -. false

    2. Empêchez la modification des balises, sauf par les entités de confiance. La politique présentée dans Empêcher la modification des balises, sauf conformément aux principes autorisés du Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

    4. Dans le volet de navigation, choisissez Runtime Monitoring.

    5. Note

      Ajoutez toujours la balise d'exclusion à vos clusters Amazon ECS avant d'activer la configuration automatique des agents pour votre compte ; sinon, le conteneur GuardDuty sidecar sera attaché à tous les conteneurs dans les tâches Amazon ECS qui seront lancées.

      Dans l'onglet Configuration, choisissez Modifier.

    6. Choisissez Activer pour tous les comptes dans la section Configuration automatique des agents

      Pour les clusters Amazon ECS qui n'ont pas été exclus, GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur sidecar.

    7. Choisissez Enregistrer.

    8. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé Runtime Monitoring. Si le dernier déploiement d'un service ECS spécifique a été démarré avant que vous n'activiez Runtime Monitoring, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for selective (inclusion-only) Amazon ECS clusters (cluster level)

    Quelle que soit la manière dont vous choisissez d'activer la surveillance de l'exécution, les étapes suivantes vous aideront à surveiller certaines tâches Amazon ECS Fargate pour tous les comptes membres de votre organisation.

    1. N'activez aucune configuration dans la section Configuration automatisée de l'agent. Conservez la configuration de Runtime Monitoring telle que vous l'avez sélectionnée à l'étape précédente.

    2. Choisissez Enregistrer.

    3. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique présentée dans Empêcher la modification des balises, sauf conformément aux principes autorisés du Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      Note

      Lorsque vous utilisez des balises d'inclusion pour vos clusters Amazon ECS, vous n'avez pas besoin d'activer explicitement la gestion automatique des GuardDuty agents.

    4. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé Runtime Monitoring. Si le dernier déploiement d'un service ECS spécifique a été démarré avant que vous n'activiez Runtime Monitoring, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Activation de la configuration automatique des agents pour les comptes de membres actifs existants

    Manage for all Amazon ECS clusters (account level)

    1. Sur la page Runtime Monitoring, sous l'onglet Configuration, vous pouvez consulter l'état actuel de la configuration automatisée des agents.

    2. Dans le volet Configuration automatisée des agents, dans la section Comptes de membres actifs, sélectionnez Actions.

    3. Dans Actions, choisissez Activer pour tous les comptes membres actifs existants.

    4. Choisissez Confirmer.

    5. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé Runtime Monitoring. Si le dernier déploiement d'un service ECS spécifique a été démarré avant que vous n'activiez Runtime Monitoring, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Ajoutez une balise à ce cluster Amazon ECS avec la paire clé-valeur sous GuardDutyManaged la forme -. false

    2. Empêchez la modification des balises, sauf par les entités de confiance. La politique présentée dans Empêcher la modification des balises, sauf conformément aux principes autorisés du Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

    4. Dans le volet de navigation, choisissez Runtime Monitoring.

    5. Note

      Ajoutez toujours la balise d'exclusion à vos clusters Amazon ECS avant d'activer la configuration automatique des agents pour votre compte ; sinon, le conteneur GuardDuty sidecar sera attaché à tous les conteneurs dans les tâches Amazon ECS qui seront lancées.

      Dans l'onglet Configuration, dans la section Configuration automatisée des agents, sous Comptes membres actifs, choisissez Actions.

    6. Dans Actions, choisissez Activer pour tous les comptes membres actifs.

      Pour les clusters Amazon ECS qui n'ont pas été exclus, GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur sidecar.

    7. Choisissez Confirmer.

    8. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé Runtime Monitoring. Si le dernier déploiement d'un service ECS spécifique a été démarré avant que vous n'activiez Runtime Monitoring, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Ajoutez une balise à un cluster Amazon ECS dont vous souhaitez inclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. true

    2. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique présentée dans Empêcher la modification des balises, sauf conformément aux principes autorisés du Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      Note

      Lorsque vous utilisez des balises d'inclusion pour vos clusters Amazon ECS, vous n'avez pas besoin d'activer explicitement la configuration automatique des agents.

    3. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé Runtime Monitoring. Si le dernier déploiement d'un service ECS spécifique a été démarré avant que vous n'activiez Runtime Monitoring, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Auto-enable Configuration automatique des agents pour les nouveaux membres

    Manage for all Amazon ECS clusters (account level)

    1. Sur la page Runtime Monitoring, choisissez Modifier pour mettre à jour la configuration existante.

    2. Dans la section Configuration automatique des agents, sélectionnez Activer automatiquement pour les nouveaux comptes membres.

    3. Choisissez Enregistrer.

    4. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé Runtime Monitoring. Si le dernier déploiement d'un service ECS spécifique a été démarré avant que vous n'activiez Runtime Monitoring, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Ajoutez une balise à ce cluster Amazon ECS avec la paire clé-valeur sous GuardDutyManaged la forme -. false

    2. Empêchez la modification des balises, sauf par les entités de confiance. La politique présentée dans Empêcher la modification des balises, sauf conformément aux principes autorisés du Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

    4. Dans le volet de navigation, choisissez Runtime Monitoring.

    5. Note

      Ajoutez toujours la balise d'exclusion à vos clusters Amazon ECS avant d'activer la configuration automatique des agents pour votre compte ; sinon, le conteneur GuardDuty sidecar sera attaché à tous les conteneurs dans les tâches Amazon ECS qui seront lancées.

      Dans l'onglet Configuration, sélectionnez Activer automatiquement pour les nouveaux comptes membres dans la section Configuration automatique des agents.

      Pour les clusters Amazon ECS qui n'ont pas été exclus, GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur sidecar.

    6. Choisissez Enregistrer.

    7. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé Runtime Monitoring. Si le dernier déploiement d'un service ECS spécifique a été démarré avant que vous n'activiez Runtime Monitoring, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Ajoutez une balise à un cluster Amazon ECS dont vous souhaitez inclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. true

    2. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique présentée dans Empêcher la modification des balises, sauf conformément aux principes autorisés du Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      Note

      Lorsque vous utilisez des balises d'inclusion pour vos clusters Amazon ECS, vous n'avez pas besoin d'activer explicitement la configuration automatique des agents.

    3. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé Runtime Monitoring. Si le dernier déploiement d'un service ECS spécifique a été démarré avant que vous n'activiez Runtime Monitoring, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Activation de la configuration automatique des agents pour les comptes de membres actifs de manière sélective

    Manage for all Amazon ECS (account level)

    1. Sur la page Comptes, sélectionnez les comptes pour lesquels vous souhaitez activer la configuration de Monitoring-Automated l'agent Runtime (ECS-Fargate). Vous pouvez sélectionner plusieurs comptes. Assurez-vous que les comptes que vous sélectionnez à cette étape sont déjà activés avec Runtime Monitoring.

    2. Dans Modifier les plans de protection, choisissez l'option appropriée pour activer la configuration de Monitoring-Automated l'agent Runtime (ECS-Fargate).

    3. Choisissez Confirmer.

    4. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé Runtime Monitoring. Si le dernier déploiement d'un service ECS spécifique a été démarré avant que vous n'activiez Runtime Monitoring, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Ajoutez une balise à ce cluster Amazon ECS avec la paire clé-valeur sous GuardDutyManaged la forme -. false

    2. Empêchez la modification des balises, sauf par les entités de confiance. La politique présentée dans Empêcher la modification des balises, sauf conformément aux principes autorisés du Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

    4. Dans le volet de navigation, choisissez Runtime Monitoring.

    5. Note

      Ajoutez toujours la balise d'exclusion à vos clusters Amazon ECS avant d'activer la gestion automatique des GuardDuty agents pour votre compte ; sinon, le conteneur GuardDuty sidecar sera attaché à tous les conteneurs dans les tâches Amazon ECS qui seront lancées.

      Sur la page Comptes, sélectionnez les comptes pour lesquels vous souhaitez activer la configuration de Monitoring-Automated l'agent Runtime (ECS-Fargate). Vous pouvez sélectionner plusieurs comptes. Assurez-vous que les comptes que vous sélectionnez à cette étape sont déjà activés avec Runtime Monitoring.

      Pour les clusters Amazon ECS qui n'ont pas été exclus, GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur sidecar.

    6. Dans Modifier les plans de protection, choisissez l'option appropriée pour activer la configuration de Monitoring-Automated l'agent Runtime (ECS-Fargate).

    7. Choisissez Enregistrer.

    8. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé Runtime Monitoring. Si le dernier déploiement d'un service ECS spécifique a été démarré avant que vous n'activiez Runtime Monitoring, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Assurez-vous de ne pas activer la configuration automatique des agents (ou la configuration de Monitoring-Automated l'agent d'exécution (ECS-Fargate)) pour les comptes sélectionnés qui possèdent les clusters Amazon ECS que vous souhaitez surveiller.

    2. Ajoutez une balise à un cluster Amazon ECS dont vous souhaitez inclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. true

    3. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique présentée dans Empêcher la modification des balises, sauf conformément aux principes autorisés du Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      Note

      Lorsque vous utilisez des balises d'inclusion pour vos clusters Amazon ECS, vous n'avez pas besoin d'activer explicitement la configuration automatique des agents.

    4. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé Runtime Monitoring. Si le dernier déploiement d'un service ECS spécifique a été démarré avant que vous n'activiez Runtime Monitoring, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :

    1. Connectez-vous à Console de gestion AWS et ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

    2. Dans le volet de navigation, choisissez Runtime Monitoring.

    3. Dans l'onglet Configuration :

      1. Pour gérer la configuration automatique des agents pour tous les clusters Amazon ECS (au niveau du compte)

        Choisissez Activer dans la section Configuration automatique de l'agent pour AWS Fargate (ECS uniquement). Lors du lancement d'une nouvelle tâche Fargate, GuardDuty Amazon ECS gère le déploiement de l'agent de sécurité.

        1. Choisissez Enregistrer.

      2. Pour gérer la configuration automatique des agents en excluant certains clusters Amazon ECS (au niveau du cluster)

        1. Ajoutez une balise au cluster Amazon ECS dont vous souhaitez exclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. false

        2. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique présentée dans Empêcher la modification des balises, sauf conformément aux principes autorisés du Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

          JSON
          {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

        3. Dans l'onglet Configuration, choisissez Activer dans la section Configuration automatisée de l'agent.

          Note

          Ajoutez toujours la balise d'exclusion à votre cluster Amazon ECS avant d'activer la gestion automatique des GuardDuty agents pour votre compte ; sinon, l'agent de sécurité sera déployé dans toutes les tâches lancées au sein du cluster Amazon ECS correspondant.

          Pour les clusters Amazon ECS qui n'ont pas été exclus, GuardDuty gérera le déploiement de l'agent de sécurité dans le conteneur sidecar.

        4. Choisissez Enregistrer.

      3. Pour gérer la configuration automatique des agents en incluant certains clusters Amazon ECS (au niveau du cluster)

        1. Ajoutez une balise à un cluster Amazon ECS dont vous souhaitez inclure toutes les tâches. La paire clé-valeur doit être GuardDutyManaged -. true

        2. Empêchez la modification de ces balises, sauf par des entités de confiance. La politique présentée dans Empêcher la modification des balises, sauf conformément aux principes autorisés du Guide de AWS Organizations l'utilisateur, a été modifiée pour être applicable ici.

          JSON
          {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    4. Lorsque vous GuardDuty souhaitez surveiller des tâches faisant partie d'un service, un nouveau service doit être déployé une fois que vous avez activé Runtime Monitoring. Si le dernier déploiement d'un service ECS spécifique a été démarré avant que vous n'activiez Runtime Monitoring, vous pouvez soit redémarrer le service, soit le mettre à jour en utilisantforceNewDeployment.

      Pour savoir comment mettre à jour le service, consultez les ressources suivantes :