View a markdown version of this page

Mengelola agen keamanan otomatis untuk Fargate (hanya Amazon ECS) - Amazon GuardDuty

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengelola agen keamanan otomatis untuk Fargate (hanya Amazon ECS)

Runtime Monitoring mendukung pengelolaan agen keamanan untuk cluster Amazon ECS Anda (AWS Fargate) hanya melalui GuardDuty. Tidak ada dukungan untuk mengelola agen keamanan secara manual di cluster Amazon ECS.

Sebelum melanjutkan dengan langkah-langkah di bagian ini, pastikan untuk mengikutiPrasyarat untuk AWS Fargate (Hanya Amazon ECS) dukungan.

BerdasarkanPendekatan untuk mengelola agen GuardDuty keamanan di ECS-Fargate sumber daya Amazon, pilih metode yang disukai untuk mengaktifkan agen GuardDuty otomatis untuk sumber daya Anda.

Daftar Isi

    Di lingkungan multi-akun, hanya akun GuardDuty administrator yang didelegasikan yang dapat mengaktifkan atau menonaktifkan konfigurasi agen otomatis untuk akun anggota, dan mengelola konfigurasi agen otomatis untuk cluster Amazon ECS milik akun anggota di organisasi mereka. Akun GuardDuty anggota tidak dapat mengubah konfigurasi ini. Akun GuardDuty administrator yang didelegasikan mengelola akun anggotanya menggunakan AWS Organizations. Untuk informasi selengkapnya tentang lingkungan multi-akun, lihat M engelola beberapa akun di GuardDuty.

    Mengaktifkan konfigurasi agen otomatis untuk akun GuardDuty administrator yang didelegasikan

    Manage for all Amazon ECS clusters (account level)

    Jika Anda memilih Aktifkan untuk semua akun untuk Pemantauan Runtime, maka Anda memiliki opsi berikut:

    • Pilih Aktifkan untuk semua akun di bagian Konfigurasi agen otomatis. GuardDuty akan menyebarkan dan mengelola agen keamanan untuk semua tugas Amazon ECS yang diluncurkan.

    • Pilih Konfigurasi akun secara manual.

    Jika Anda memilih Konfigurasi akun secara manual di bagian Runtime Monitoring, lakukan hal berikut:

    1. Pilih Konfigurasi akun secara manual di bagian Konfigurasi agen otomatis.

    2. Pilih Aktif kan di bagian akun GuardDuty administrator yang di delegasikan (akun ini).

    Pilih Simpan.

    Bila Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, diperlukan penerapan layanan baru setelah Anda mengaktifkan Pemantauan Runtime. Jika penerapan terakhir untuk layanan ECS tertentu dimulai sebelum Anda mengaktifkan Pemantauan Runtime, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakanforceNewDeployment.

    Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Tambahkan tag ke cluster Amazon ECS ini dengan pasangan kunci-nilai sebagai -. GuardDutyManaged false

    2. Mencegah modifikasi tag, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam M encegah tag agar tidak diubah kecuali dengan prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Buka GuardDuty konsol di https://console.aws.amazon.com/guardduty/.

    4. Di panel navigasi, pilih Pemantauan Runtime.

    5. catatan

      Selalu tambahkan tag pengecualian ke cluster Amazon ECS Anda sebelum mengaktifkan konfigurasi agen otomatis untuk akun Anda; jika tidak, wadah GuardDuty sidecar akan dilampirkan ke semua wadah dalam tugas Amazon ECS yang diluncurkan.

      Di bawah tab Konfigurasi, pilih Aktifkan di konfigurasi agen otomatis.

      Untuk cluster Amazon ECS yang belum dikecualikan, GuardDuty akan mengelola penyebaran agen keamanan di wadah sidecar.

    6. Pilih Simpan.

    7. Bila Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, diperlukan penerapan layanan baru setelah Anda mengaktifkan Pemantauan Runtime. Jika penerapan terakhir untuk layanan ECS tertentu dimulai sebelum Anda mengaktifkan Pemantauan Runtime, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakanforceNewDeployment.

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Tambahkan tag ke cluster Amazon ECS yang ingin Anda sertakan semua tugas. Pasangan kunci-nilai harus GuardDutyManaged -. true

    2. Mencegah modifikasi tag ini, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam M encegah tag agar tidak diubah kecuali dengan prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      catatan

      Saat menggunakan tag inklusi untuk cluster Amazon ECS Anda, Anda tidak perlu mengaktifkan GuardDuty agen melalui kongifurasi agen otomatis secara eksplisit.

    3. Bila Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, diperlukan penerapan layanan baru setelah Anda mengaktifkan Pemantauan Runtime. Jika penerapan terakhir untuk layanan ECS tertentu dimulai sebelum Anda mengaktifkan Pemantauan Runtime, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakanforceNewDeployment.

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Auto-enable untuk semua akun anggota

    Manage for all Amazon ECS clusters (account level)

    Langkah-langkah berikut mengasumsikan bahwa Anda memilih Aktifkan untuk semua akun di bagian Runtime Monitoring.

    1. Pilih Aktifkan untuk semua akun di bagian Konfigurasi agen otomatis. GuardDuty akan menyebarkan dan mengelola agen keamanan untuk semua tugas Amazon ECS yang diluncurkan.

    2. Pilih Simpan.

    3. Bila Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, diperlukan penerapan layanan baru setelah Anda mengaktifkan Pemantauan Runtime. Jika penerapan terakhir untuk layanan ECS tertentu dimulai sebelum Anda mengaktifkan Pemantauan Runtime, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakanforceNewDeployment.

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Tambahkan tag ke cluster Amazon ECS ini dengan pasangan kunci-nilai sebagai -. GuardDutyManaged false

    2. Mencegah modifikasi tag, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam M encegah tag agar tidak diubah kecuali dengan prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Buka GuardDuty konsol di https://console.aws.amazon.com/guardduty/.

    4. Di panel navigasi, pilih Pemantauan Runtime.

    5. catatan

      Selalu tambahkan tag pengecualian ke cluster Amazon ECS Anda sebelum mengaktifkan konfigurasi agen otomatis untuk akun Anda; jika tidak, wadah GuardDuty sidecar akan dilampirkan ke semua wadah dalam tugas Amazon ECS yang diluncurkan.

      Di bawah tab Konfigurasi, pilih Edit.

    6. Pilih Aktifkan untuk semua akun di bagian Konfigurasi agen otomatis

      Untuk cluster Amazon ECS yang belum dikecualikan, GuardDuty akan mengelola penyebaran agen keamanan di wadah sidecar.

    7. Pilih Simpan.

    8. Bila Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, diperlukan penerapan layanan baru setelah Anda mengaktifkan Pemantauan Runtime. Jika penerapan terakhir untuk layanan ECS tertentu dimulai sebelum Anda mengaktifkan Pemantauan Runtime, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakanforceNewDeployment.

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for selective (inclusion-only) Amazon ECS clusters (cluster level)

    Terlepas dari bagaimana Anda memilih untuk mengaktifkan Pemantauan Runtime, langkah-langkah berikut akan membantu Anda memantau tugas Amazon ECS Fargate selektif untuk semua akun anggota di organisasi Anda.

    1. Jangan aktifkan konfigurasi apa pun di bagian Konfigurasi agen otomatis. Pertahankan konfigurasi Runtime Monitoring sama seperti yang Anda pilih pada langkah sebelumnya.

    2. Pilih Simpan.

    3. Mencegah modifikasi tag ini, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam M encegah tag agar tidak diubah kecuali dengan prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      catatan

      Saat menggunakan tag inklusi untuk cluster Amazon ECS Anda, Anda tidak perlu mengaktifkan manajemen otomatis GuardDuty agen secara eksplisit.

    4. Bila Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, diperlukan penerapan layanan baru setelah Anda mengaktifkan Pemantauan Runtime. Jika penerapan terakhir untuk layanan ECS tertentu dimulai sebelum Anda mengaktifkan Pemantauan Runtime, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakanforceNewDeployment.

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Mengaktifkan konfigurasi agen otomatis untuk akun anggota aktif yang ada

    Manage for all Amazon ECS clusters (account level)

    1. Pada halaman Runtime Monitoring, di bawah tab Konfigurasi, Anda dapat melihat status konfigurasi agen otomatis saat ini.

    2. Di dalam panel konfigurasi agen otomatis, di bawah bagian Akun anggota aktif, pilih Tind akan.

    3. Dari T ind akan, pilih Aktifkan untuk semua akun anggota aktif yang ada.

    4. Pilih Konfirmasi.

    5. Bila Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, diperlukan penerapan layanan baru setelah Anda mengaktifkan Pemantauan Runtime. Jika penerapan terakhir untuk layanan ECS tertentu dimulai sebelum Anda mengaktifkan Pemantauan Runtime, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakanforceNewDeployment.

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Tambahkan tag ke cluster Amazon ECS ini dengan pasangan kunci-nilai sebagai -. GuardDutyManaged false

    2. Mencegah modifikasi tag, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam M encegah tag agar tidak diubah kecuali dengan prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Buka GuardDuty konsol di https://console.aws.amazon.com/guardduty/.

    4. Di panel navigasi, pilih Pemantauan Runtime.

    5. catatan

      Selalu tambahkan tag pengecualian ke cluster Amazon ECS Anda sebelum mengaktifkan konfigurasi agen otomatis untuk akun Anda; jika tidak, wadah GuardDuty sidecar akan dilampirkan ke semua wadah dalam tugas Amazon ECS yang diluncurkan.

      Di bawah tab Konfigurasi, di bagian Konfigurasi agen otomatis, di bawah Akun anggota aktif, pilih Tind akan.

    6. Dari T ind akan, pilih Aktifkan untuk semua akun anggota aktif.

      Untuk cluster Amazon ECS yang belum dikecualikan, GuardDuty akan mengelola penyebaran agen keamanan di wadah sidecar.

    7. Pilih Konfirmasi.

    8. Bila Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, diperlukan penerapan layanan baru setelah Anda mengaktifkan Pemantauan Runtime. Jika penerapan terakhir untuk layanan ECS tertentu dimulai sebelum Anda mengaktifkan Pemantauan Runtime, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakanforceNewDeployment.

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Tambahkan tag ke cluster Amazon ECS yang ingin Anda sertakan semua tugas. Pasangan kunci-nilai harus GuardDutyManaged -. true

    2. Mencegah modifikasi tag ini, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam M encegah tag agar tidak diubah kecuali dengan prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      catatan

      Saat menggunakan tag inklusi untuk cluster Amazon ECS Anda, Anda tidak perlu mengaktifkan konfigurasi agen otomatis secara eksplisit.

    3. Bila Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, diperlukan penerapan layanan baru setelah Anda mengaktifkan Pemantauan Runtime. Jika penerapan terakhir untuk layanan ECS tertentu dimulai sebelum Anda mengaktifkan Pemantauan Runtime, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakanforceNewDeployment.

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Auto-enable Konfigurasi agen otomatis untuk anggota baru

    Manage for all Amazon ECS clusters (account level)

    1. Pada halaman Runtime Monitoring, pilih Edit untuk memperbarui konfigurasi yang ada.

    2. Di bagian Konfigurasi agen otomatis, pilih Aktif kan secara otomatis untuk akun anggota baru.

    3. Pilih Simpan.

    4. Bila Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, diperlukan penerapan layanan baru setelah Anda mengaktifkan Pemantauan Runtime. Jika penerapan terakhir untuk layanan ECS tertentu dimulai sebelum Anda mengaktifkan Pemantauan Runtime, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakanforceNewDeployment.

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Tambahkan tag ke cluster Amazon ECS ini dengan pasangan kunci-nilai sebagai -. GuardDutyManaged false

    2. Mencegah modifikasi tag, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam M encegah tag agar tidak diubah kecuali dengan prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Buka GuardDuty konsol di https://console.aws.amazon.com/guardduty/.

    4. Di panel navigasi, pilih Pemantauan Runtime.

    5. catatan

      Selalu tambahkan tag pengecualian ke cluster Amazon ECS Anda sebelum mengaktifkan konfigurasi agen otomatis untuk akun Anda; jika tidak, wadah GuardDuty sidecar akan dilampirkan ke semua wadah dalam tugas Amazon ECS yang diluncurkan.

      Di bawah tab Konfigurasi, pilih Aktifkan secara otomatis untuk akun anggota baru di bagian Konfigurasi agen otomatis.

      Untuk cluster Amazon ECS yang belum dikecualikan, GuardDuty akan mengelola penyebaran agen keamanan di wadah sidecar.

    6. Pilih Simpan.

    7. Bila Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, diperlukan penerapan layanan baru setelah Anda mengaktifkan Pemantauan Runtime. Jika penerapan terakhir untuk layanan ECS tertentu dimulai sebelum Anda mengaktifkan Pemantauan Runtime, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakanforceNewDeployment.

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Tambahkan tag ke cluster Amazon ECS yang ingin Anda sertakan semua tugas. Pasangan kunci-nilai harus GuardDutyManaged -. true

    2. Mencegah modifikasi tag ini, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam M encegah tag agar tidak diubah kecuali dengan prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      catatan

      Saat menggunakan tag inklusi untuk cluster Amazon ECS Anda, Anda tidak perlu mengaktifkan konfigurasi agen otomatis secara eksplisit.

    3. Bila Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, diperlukan penerapan layanan baru setelah Anda mengaktifkan Pemantauan Runtime. Jika penerapan terakhir untuk layanan ECS tertentu dimulai sebelum Anda mengaktifkan Pemantauan Runtime, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakanforceNewDeployment.

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Mengaktifkan konfigurasi agen otomatis untuk akun anggota aktif secara selektif

    Manage for all Amazon ECS (account level)

    1. Pada halaman Akun, pilih akun yang ingin Anda aktifkan konfigurasi Monitoring-Automated agen Runtime (ECS-Fargate). Anda dapat memilih beberapa akun. Pastikan bahwa akun yang Anda pilih pada langkah ini sudah diaktifkan dengan Runtime Monitoring.

    2. Dari Edit paket perlindungan, pilih opsi yang sesuai untuk mengaktifkan konfigurasi Monitoring-Automated agen Runtime (ECS-Fargate).

    3. Pilih Konfirmasi.

    4. Bila Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, diperlukan penerapan layanan baru setelah Anda mengaktifkan Pemantauan Runtime. Jika penerapan terakhir untuk layanan ECS tertentu dimulai sebelum Anda mengaktifkan Pemantauan Runtime, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakanforceNewDeployment.

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for all Amazon ECS clusters but exclude some of the clusters (cluster level)

    1. Tambahkan tag ke cluster Amazon ECS ini dengan pasangan kunci-nilai sebagai -. GuardDutyManaged false

    2. Mencegah modifikasi tag, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam M encegah tag agar tidak diubah kecuali dengan prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    3. Buka GuardDuty konsol di https://console.aws.amazon.com/guardduty/.

    4. Di panel navigasi, pilih Pemantauan Runtime.

    5. catatan

      Selalu tambahkan tag pengecualian ke cluster Amazon ECS Anda sebelum mengaktifkan manajemen otomatis GuardDuty agen untuk akun Anda; jika tidak, wadah GuardDuty sidecar akan dilampirkan ke semua wadah dalam tugas Amazon ECS yang diluncurkan.

      Pada halaman Akun, pilih akun yang ingin Anda aktifkan konfigurasi Monitoring-Automated agen Runtime (ECS-Fargate). Anda dapat memilih beberapa akun. Pastikan bahwa akun yang Anda pilih pada langkah ini sudah diaktifkan dengan Runtime Monitoring.

      Untuk cluster Amazon ECS yang belum dikecualikan, GuardDuty akan mengelola penyebaran agen keamanan di wadah sidecar.

    6. Dari Edit paket perlindungan, pilih opsi yang sesuai untuk mengaktifkan konfigurasi Monitoring-Automated agen Runtime (ECS-Fargate).

    7. Pilih Simpan.

    8. Bila Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, diperlukan penerapan layanan baru setelah Anda mengaktifkan Pemantauan Runtime. Jika penerapan terakhir untuk layanan ECS tertentu dimulai sebelum Anda mengaktifkan Pemantauan Runtime, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakanforceNewDeployment.

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    Manage for selective (inclusion only) Amazon ECS clusters (cluster level)

    1. Pastikan Anda tidak mengaktifkan Konfigurasi agen otomatis (atau konfigurasi Monitoring-Automated agen Runtime (ECS-Fargate)) untuk akun yang dipilih yang memiliki cluster Amazon ECS yang ingin Anda pantau.

    2. Tambahkan tag ke cluster Amazon ECS yang ingin Anda sertakan semua tugasnya. Pasangan kunci-nilai harus GuardDutyManaged -. true

    3. Mencegah modifikasi tag ini, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam M encegah tag agar tidak diubah kecuali dengan prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

      JSON
      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}
      catatan

      Saat menggunakan tag inklusi untuk cluster Amazon ECS Anda, Anda tidak perlu mengaktifkan konfigurasi agen otomatis secara eksplisit.

    4. Bila Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, diperlukan penerapan layanan baru setelah Anda mengaktifkan Pemantauan Runtime. Jika penerapan terakhir untuk layanan ECS tertentu dimulai sebelum Anda mengaktifkan Pemantauan Runtime, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakanforceNewDeployment.

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut:

    1. Masuk ke Konsol Manajemen AWS dan buka GuardDuty konsol di https://console.aws.amazon.com/guardduty/.

    2. Di panel navigasi, pilih Pemantauan Runtime.

    3. Di bawah tab Konfigurasi:

      1. Untuk mengelola konfigurasi agen otomatis untuk semua cluster Amazon ECS (tingkat akun)

        Pilih Aktif kan di bagian Konfigurasi agen otomatis untuk AWS Fargate (hanya ECS). Ketika tugas Fargate Amazon ECS baru diluncurkan, GuardDuty akan mengelola penyebaran agen keamanan.

        1. Pilih Simpan.

      2. Untuk mengelola konfigurasi agen otomatis dengan mengecualikan beberapa cluster Amazon ECS (tingkat cluster)

        1. Tambahkan tag ke cluster Amazon ECS yang ingin Anda kecualikan semua tugas. Pasangan kunci-nilai harus GuardDutyManaged -. false

        2. Mencegah modifikasi tag ini, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam M encegah tag agar tidak diubah kecuali dengan prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

          JSON
          {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

        3. Di bawah tab Konfigurasi, pilih Aktif kan di bagian Konfigurasi agen otomatis.

          catatan

          Selalu tambahkan tag pengecualian ke cluster Amazon ECS Anda sebelum mengaktifkan manajemen otomatis GuardDuty agen untuk akun Anda; jika tidak, agen keamanan akan digunakan di semua tugas yang diluncurkan dalam cluster Amazon ECS yang sesuai.

          Untuk cluster Amazon ECS yang belum dikecualikan, GuardDuty akan mengelola penyebaran agen keamanan di wadah sidecar.

        4. Pilih Simpan.

      3. Untuk mengelola konfigurasi agen otomatis dengan menyertakan beberapa cluster Amazon ECS (tingkat cluster)

        1. Tambahkan tag ke cluster Amazon ECS yang ingin Anda sertakan semua tugasnya. Pasangan kunci-nilai harus GuardDutyManaged -. true

        2. Mencegah modifikasi tag ini, kecuali oleh entitas tepercaya. Kebijakan yang disediakan dalam M encegah tag agar tidak diubah kecuali dengan prinsip-prinsip resmi dalam Panduan AWS Organizations Pengguna telah dimodifikasi agar dapat diterapkan di sini.

          JSON
          {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyModifyTagsIfResAuthzTagAndPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "ecs:ResourceTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "Null": {
                    "ecs:ResourceTag/GuardDutyManaged": false
                }
            }
        },
        {
            "Sid": "DenyModifyResAuthzTagIfPrinTagDontMatch",
            "Effect": "Deny",
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestTag/GuardDutyManaged": "${aws:PrincipalTag/GuardDutyManaged}",
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": [
                        "GuardDutyManaged"
                    ]   
                }   
            }
        },
        {       
            "Sid": "DenyModifyTagsIfPrinTagNotExists",
            "Effect": "Deny", 
            "Action": [
                "ecs:TagResource",
                "ecs:UntagResource"
            ],      
            "Resource": [
                "*"     
            ],      
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::123456789012:role/org-admins/iam-admin"
                },      
                "Null": {
                    "aws:PrincipalTag/GuardDutyManaged": true
                }       
            }       
        }
    ]
}

    4. Bila Anda GuardDuty ingin memantau tugas yang merupakan bagian dari layanan, diperlukan penerapan layanan baru setelah Anda mengaktifkan Pemantauan Runtime. Jika penerapan terakhir untuk layanan ECS tertentu dimulai sebelum Anda mengaktifkan Pemantauan Runtime, Anda dapat memulai ulang layanan, atau memperbarui layanan dengan menggunakanforceNewDeployment.

      Untuk langkah-langkah memperbarui layanan, lihat sumber daya berikut: