Revisione delle statistiche di copertura Modifica dello stato della copertura con EventBridge notifiche Risoluzione dei problemi di copertura del runtime di Amazon EKS

Copertura del runtime e risoluzione dei problemi per i cluster Amazon EKS

Dopo aver abilitato Runtime Monitoring e installato il GuardDuty security agent (add-on) per EKS manualmente o tramite la configurazione automatica dell'agente, puoi iniziare a valutare la copertura per i tuoi cluster EKS.

Indice

Revisione delle statistiche di copertura
Modifica dello stato della copertura con EventBridge notifiche
Risoluzione dei problemi di copertura del runtime di Amazon EKS

Revisione delle statistiche di copertura

Le statistiche di copertura per i cluster EKS associati ai tuoi account o ai tuoi account membri consistono nella percentuale dei cluster EKS integri rispetto a tutti i cluster EKS nella Regione AWS selezionata. L'equazione seguente rappresenta questa percentuale come:

(Cluster sani) *100 clusters/All

Scegli uno dei metodi di accesso per esaminare le statistiche di copertura dei tuoi account.

Console

Accedi Console di gestione AWS e apri la GuardDuty console all'indirizzo. https://console.aws.amazon.com/guardduty/
Nel pannello di navigazione, scegli Runtime Monitoring.
Scegli la scheda Copertura runtime dei cluster EKS.
Nella scheda Copertura runtime del cluster EKS puoi visualizzare le statistiche di copertura aggregate per stato di copertura, disponibili nella tabella Elenco cluster.
- Puoi filtrare la tabella Elenco cluster in base alle seguenti colonne:
  - Nome cluster
  - ID account
  - Tipo di gestione dell'agente
  - Stato copertura
  - Add-on versione
Se uno dei tuoi cluster EKS ha lo Stato copertura impostato su Non integro, la colonna Problema può includere informazioni aggiuntive sul motivo dello stato Non integro.

API/CLI

Esegui l'ListCoverageAPI con il tuo ID rilevatore, la tua regione e il tuo endpoint di servizio validi. Puoi filtrare e ordinare l'elenco dei cluster utilizzando l'API in questione.
- Puoi modificare il filter-criteria di esempio con una delle opzioni seguenti per CriterionKey:
  - ACCOUNT_ID
  - CLUSTER_NAME
  - RESOURCE_TYPE
  - COVERAGE_STATUS
  - ADDON_VERSION
  - MANAGEMENT_TYPE
- Puoi modificare il AttributeName di esempio in sort-criteria con una delle opzioni seguenti:
  - ACCOUNT_ID
  - CLUSTER_NAME
  - COVERAGE_STATUS
  - ISSUE
  - ADDON_VERSION
  - UPDATED_AT
- Puoi modificare il max-results (fino a 50).
- Per trovare le detectorId impostazioni relative al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/ console o esegui l'ListDetectorsAPI.
```
aws guardduty --region us-east-1 list-coverage --detector-id 12abc34d567e8fa901bc2d34e56789f0 --sort-criteria '{"AttributeName": "CLUSTER_NAME", "OrderBy": "DESC"}' --filter-criteria '{"FilterCriterion":[{"CriterionKey":"ACCOUNT_ID", "FilterCondition":{"EqualsValue":"111122223333"}}] }'  --max-results 5
```
Esegui l'GetCoverageStatisticsAPI per recuperare le statistiche aggregate sulla copertura in base a. statisticsType
- Puoi modificare il statisticsType di esempio con una delle opzioni seguenti:
  - COUNT_BY_COVERAGE_STATUS: rappresenta le statistiche di copertura per i cluster EKS aggregate per stato di copertura.
  - COUNT_BY_RESOURCE_TYPE— Statistiche sulla copertura aggregate in base al tipo di AWS risorsa nell'elenco.
  - È possibile modificare il filter-criteria di esempio nel comando. Puoi utilizzare le seguenti opzioni per CriterionKey:
    
    ACCOUNT_ID
    
    CLUSTER_NAME
    
    RESOURCE_TYPE
    
    COVERAGE_STATUS
    
    ADDON_VERSION
    
    MANAGEMENT_TYPE
- Per trovare le informazioni detectorId relative al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/ console o esegui l'ListDetectorsAPI.
```
aws guardduty --region us-east-1 get-coverage-statistics --detector-id 12abc34d567e8fa901bc2d34e56789f0 --statistics-type COUNT_BY_COVERAGE_STATUS --filter-criteria '{"FilterCriterion":[{"CriterionKey":"ACCOUNT_ID", "FilterCondition":{"EqualsValue":"123456789012"}}] }'
```

Se lo stato di copertura del cluster EKS è Non integro, consulta Risoluzione dei problemi di copertura del runtime di Amazon EKS.

Modifica dello stato della copertura con EventBridge notifiche

Lo stato di copertura di un cluster EKS nel tuo account potrebbe essere visualizzato come Non integro. Per rilevare quando lo stato di copertura diventa Non integro, ti consigliamo di monitorarlo periodicamente e di risolvere i problemi se è Non integro. In alternativa, puoi creare una EventBridge regola Amazon per notificarti quando lo stato della copertura cambia da uno Unhealthy Healthy all'altro. Per impostazione predefinita, GuardDuty lo pubblica nel EventBridge bus del tuo account.

Schema di esempio delle notifiche

EventBridge Di norma, è possibile utilizzare gli eventi di esempio e i modelli di eventi predefiniti per ricevere una notifica sullo stato della copertura. Per ulteriori informazioni sulla creazione di una EventBridge regola, consulta Create rule nella Amazon EventBridge User Guide.

Inoltre, puoi creare un pattern di eventi personalizzato utilizzando lo schema di esempio delle notifiche seguente. Assicurati di sostituire i valori per il tuo account. Per ricevere una notifica quando lo stato di copertura del cluster Amazon EKS cambia da Healthy aUnhealthy, detail-type dovrebbe esserloGuardDuty Runtime Protection Unhealthy. Per ricevere una notifica quando lo stato della copertura cambia da Unhealthy aHealthy, sostituisci il valore di detail-type withGuardDuty Runtime Protection Healthy.


{
  "version": "0",
  "id": "event ID",
  "detail-type": "GuardDuty Runtime Protection Unhealthy",
  "source": "aws.guardduty",
  "account": "Account AWS ID",
  "time": "event timestamp (string)",
  "region": "Regione AWS",
  "resources": [
       ],
  "detail": {
    "schemaVersion": "1.0",
    "resourceAccountId": "string",
    "currentStatus": "string",
    "previousStatus": "string",
    "resourceDetails": {
        "resourceType": "EKS",
        "eksClusterDetails": { 
            "clusterName": "string",
            "availableNodes": "string",
             "desiredNodes": "string",
             "addonVersion": "string"
         }
    },
    "issue": "string",
    "lastUpdatedAt": "timestamp"
  }
}

Risoluzione dei problemi di copertura del runtime di Amazon EKS

Se lo stato di copertura del tuo cluster EKS èUnhealthy, puoi visualizzare l'errore corrispondente nella colonna Issue nella GuardDuty console o utilizzando il tipo di CoverageResource dati.

Quando utilizzi tag di inclusione o di esclusione per monitorare in modo selettivo i cluster EKS, la sincronizzazione dei tag potrebbe richiedere del tempo. Ciò potrebbe influire sullo stato di copertura del cluster EKS associato. Puoi provare a rimuovere e aggiungere nuovamente il tag corrispondente (di inclusione o di esclusione). Per ulteriori informazioni, consulta Assegnazione di tag alle risorse Amazon EKS nella Guida per l'utente di Amazon EKS.

La struttura di un problema di copertura è Issue type:Extra information. In genere, in caso di problemi vengono fornite Informazioni supplementari facoltative che possono includere specifiche eccezioni o descrizioni del problema sul lato client. Sulla base di informazioni aggiuntive, le tabelle seguenti forniscono i passaggi consigliati per risolvere i problemi di copertura dei cluster EKS.

Tipo di problema (prefisso)	Informazioni supplementari	Fasi consigliate per la risoluzione dei problemi
Creazione dell'addon non riuscita	L'addon non `aws-guardduty-agent` è compatibile con la versione corrente del cluster. `ClusterName` Il componente aggiuntivo specificato non è supportato.	Assicurati di utilizzare una delle versioni di Kubernetes che supportano l'implementazione del componente aggiuntivo EKS `aws-guardduty-agent`. Per ulteriori informazioni, consulta Versioni di Kubernetes supportate dal security agent GuardDuty. Per informazioni sull'aggiornamento della versione di Kubernetes, consulta Aggiornamento di una versione Kubernetes del cluster Amazon EKS.
Creazione dell'addon non riuscita Aggiornamento del componente aggiuntivo non riuscito Stato dell'addon non integro	Problema relativo al componente aggiuntivo EKS - `AddonIssueCode`: `AddonIssueMessage`	Per informazioni sui passaggi consigliati per un codice di problema specifico del componente aggiuntivo, consulta. Troubleshooting steps for Addon creation/update error with Addon issue code Per un elenco dei codici relativi ai componenti aggiuntivi che potresti riscontrare in questo problema, consulta. AddonIssue
Creazione dell'endpoint VPC non riuscita	La creazione di endpoint VPC non è supportata per il VPC condiviso `vpcId`	Runtime Monitoring ora supporta l'uso di un VPC condiviso all'interno di un'organizzazione. Assicurati che i tuoi account soddisfino tutti i prerequisiti. Per ulteriori informazioni, consulta Prerequisiti per l'utilizzo di un VPC condiviso.
	Solo quando si utilizza un VPC condiviso con configurazione automatica degli agenti L'ID `111122223333` dell'account proprietario del VPC condiviso `vpcId` non ha né il monitoraggio del runtime, né la configurazione automatica degli agenti, né entrambi abilitati.	L'account proprietario del VPC condiviso deve abilitare il monitoraggio del runtime e la configurazione automatica degli agenti per almeno un tipo di risorsa (Amazon EKS o Amazon ECS ())AWS Fargate. Per ulteriori informazioni, consulta Prerequisiti specifici per il monitoraggio del runtime GuardDuty.
	L'attivazione del DNS privato richiede entrambi gli `enableDnsSupport` attributi `enableDnsHostnames` VPC impostati su `true` for `vpcId` (Service: Ec2, Status Code:400, Request ID:). `a1b2c3d4-5678-90ab-cdef-EXAMPLE11111`	Assicurati che i seguenti attributi VPC siano impostati su `true` – `enableDnsSupport` e `enableDnsHostnames`. Per ulteriori informazioni, consulta Attributi DNS nel VPC. Se utilizzi Amazon VPC Console all'indirizzo https://console.aws.amazon.com/vpc/ per creare Amazon VPC, assicurati di selezionare sia Abilita nomi host DNS che Abilita risoluzione DNS. Per ulteriori informazioni, consulta Opzioni di configurazione del VPC.
Eliminazione dell'endpoint VPC condiviso non riuscita	L'eliminazione dell'endpoint VPC condiviso non è consentita per ID account, VPC condiviso`111122223333`, ID account proprietario. `vpcId` `555555555555`	Potenziali passaggi: La disabilitazione dello stato di Runtime Monitoring dell'account partecipante al VPC condiviso non influisce sulla politica degli endpoint VPC condivisi e sul gruppo di sicurezza esistente nell'account proprietario. Per eliminare l'endpoint VPC condiviso e il gruppo di sicurezza, è necessario disabilitare il monitoraggio del runtime o lo stato di configurazione automatica dell'agente nell'account proprietario del VPC condiviso. L'account partecipante al VPC condiviso non può eliminare l'endpoint VPC condiviso e il gruppo di sicurezza ospitati nell'account proprietario del VPC condiviso.
Cluster EKS locali	I componenti aggiuntivi EKS non sono supportati sui cluster outpost locali.	Non utilizzabile. Per ulteriori informazioni, consulta Amazon EKS on outposts. AWS
Autorizzazione per l'abilitazione del monitoraggio del runtime EKS non concessa	(può mostrare o meno informazioni aggiuntive)	Se sono disponibili informazioni supplementari per questo problema, correggine la causa principale e segui la fase successiva. Disattiva il monitoraggio del runtime EKS, quindi riattivalo. Assicurati che anche l' GuardDutyagente venga implementato, automaticamente GuardDuty o manualmente.
Provisioning delle risorse per l'abilitazione del monitoraggio del runtime EKS in corso	(può mostrare o meno informazioni aggiuntive)	Non utilizzabile. Dopo aver abilitato il monitoraggio del runtime EKS, lo stato di copertura potrebbe rimanere `Unhealthy` fino al completamento della fase di provisioning delle risorse. Lo stato di copertura viene monitorato e aggiornato periodicamente.
Altri (qualsiasi altro problema)	Errore dovuto a mancata autorizzazione	Disattiva il monitoraggio del runtime EKS, quindi riattivalo. Assicurati che anche l' GuardDuty agente venga distribuito, automaticamente GuardDuty o manualmente.

Procedura per la risoluzione dell' creation/update errore relativo al componente aggiuntivo relativo al codice relativo al componente aggiuntivo
Errore di creazione o aggiornamento dell'addon	Fasi per la risoluzione dei problemi
Problema con il componente aggiuntivo EKS`InsufficientNumberOfReplicas`: Il componente aggiuntivo non è integro perché non ha il numero di repliche desiderato.	Utilizzando il messaggio del problema, è possibile identificare e correggere la causa principale. Puoi iniziare descrivendo il tuo cluster. Ad esempio, utilizzalo `kubectl describe pods` per identificare la causa principale del guasto del pod. Dopo aver corretto la causa principale, riprova a ripetere il passaggio (creazione o aggiornamento del componente aggiuntivo). Se il problema persiste, verifica che l'endpoint VPC per il tuo cluster Amazon EKS sia configurato correttamente. Per ulteriori informazioni, consulta Convalida della configurazione degli endpoint VPC.
Problema con il componente aggiuntivo EKS`InsufficientNumberOfReplicas`: il componente aggiuntivo non è integro perché uno o più pod non sono pianificati. Sono disponibili nodi:. `0/x` `x Insufficient cpu. preemption: not eligible due to preemptionPolicy=Never`	Per risolvere il problema, è possibile procedere in uno dei seguenti modi: Aggiorna la priorità del pod GuardDuty dell'agente: Parametri e valori configurabili impostando una qualsiasi delle opzioni che supportano il valore as. `PriorityClass` `preemptionPolicy` `PreemptLowerPriority` Per informazioni sulla priorità dei pod, vedi Pod Priority and Preemption nella documentazione di Kubernetes. Scalare l'istanza: per gestire le risorse ed effettuare una selezione ottimale delle istanze, consulta Gestire le risorse di calcolo utilizzando i nodi e Scegliere un tipo di istanza di nodo Amazon EC2 ottimale nella Amazon EKS User Guide. Nota Il messaggio viene visualizzato `0/x` perché GuardDuty riporta solo il primo errore trovato. Il numero effettivo di pod in esecuzione nel GuardDuty daemonset potrebbe essere maggiore di 0.
Problema con il componente aggiuntivo EKS -`InsufficientNumberOfReplicas`: Il componente aggiuntivo non è integro perché uno o più pod non sono pianificati. Sono disponibili nodi:. `0/x` `x Too many pods. preemption: not eligible due to preemptionPolicy=Never`
Problema con il componente aggiuntivo EKS -`InsufficientNumberOfReplicas`: Il componente aggiuntivo non è integro perché uno o più pod non sono pianificati. Sono disponibili nodi:. `0/x` `1 Insufficient memory. preemption: not eligible due to preemptionPolicy=Never`
Problema con il componente aggiuntivo EKS -`InsufficientNumberOfReplicas`: Il componente aggiuntivo non è integro perché uno o più pod hanno contenitori in attesa `CrashLoopBackOff: Completed`	Puoi visualizzare i log associati al pod e identificare il problema. Per informazioni su come eseguire questa operazione, consulta Debug Running Pods nella documentazione di Kubernetes. Usa la seguente lista di controllo per risolvere il problema di questo componente aggiuntivo: Verifica che il monitoraggio del runtime sia abilitato. Verifica chePrerequisiti per il supporto dei cluster Amazon EKS, ad esempio, le distribuzioni del sistema operativo verificate e le versioni di Kubernetes supportate, siano soddisfatte. Quando gestisci il security agent manualmente, conferma di aver creato un endpoint VPC per tutti i VPC. Quando abiliti la configurazione GuardDuty automatica, dovresti comunque convalidare che l'endpoint VPC venga creato. Ad esempio, quando si utilizza un VPC condiviso in configurazione automatica. Per convalidarlo, consulta. Convalida della configurazione degli endpoint VPC Verifica che il GuardDuty security agent sia in grado di risolvere il GuardDuty DNS privato dell'endpoint VPC. Per conoscere gli endpoint, consulta Nomi DNS privati per gli endpoint in. Gestione degli agenti GuardDuty di sicurezza Per fare ciò, puoi utilizzare `nslookup` uno strumento su Windows o Mac o uno `dig` strumento su Linux. Quando si utilizza nslookup, è possibile utilizzare il seguente comando dopo aver sostituito la regione `us-west-2` con la propria regione: `nslookup guardduty-data.us-west-2.amazonaws.com` Verifica che la tua politica sugli endpoint GuardDuty VPC o la politica di controllo del servizio non influiscano sull'azione. `guardduty:SendSecurityTelemetry`
Problema relativo al componente aggiuntivo EKS`InsufficientNumberOfReplicas`: il componente aggiuntivo non è integro perché uno o più pod hanno contenitori in attesa `CrashLoopBackOff: Error`	Puoi visualizzare i log associati al pod e identificare il problema. Per informazioni su come eseguire questa operazione, consulta Debug Running Pods nella documentazione di Kubernetes. Dopo aver identificato il problema, utilizza la seguente lista di controllo per risolverlo: Verifica che il monitoraggio del runtime sia abilitato. Verifica chePrerequisiti per il supporto dei cluster Amazon EKS, ad esempio, le distribuzioni del sistema operativo verificate e le versioni di Kubernetes supportate, siano soddisfatte. L'agente GuardDuty di sicurezza è in grado di risolvere il DNS privato dell'endpoint VPC GuardDuty . Per conoscere gli endpoint, consulta Nomi DNS privati per gli endpoint in. Gestione degli agenti GuardDuty di sicurezza
Problema relativo al componente aggiuntivo EKS`AdmissionRequestDenied`: richiesta `"validate.kyverno.svc-fail"` respinta dal webhook di ammissione: policy `DaemonSet/amazon-guardduty/aws-guardduty-agent` for resource breach: restrict-image-registries::... `autogen-validate-registries`	Il cluster Amazon EKS o l'amministratore della sicurezza devono rivedere la politica di sicurezza che blocca l'aggiornamento del componente aggiuntivo. È necessario disattivare il controller (`webhook`) o fare in modo che il controller accetti le richieste di Amazon EKS.
Problema relativo al componente aggiuntivo EKS`ConfigurationConflict`: sono stati rilevati conflitti durante il tentativo di candidatura. Non continuerà a causa della modalità di risoluzione dei conflitti. `Conflicts: DaemonSet.apps aws-guardduty-agent - .spec.template.spec.containers[name="aws-guardduty-agent"].image`	Quando crei o aggiorni l'Addon, fornisci il flag di `OVERWRITE` risoluzione dei conflitti. Ciò sovrascriverà potenzialmente qualsiasi modifica apportata direttamente alle risorse correlate in Kubernetes utilizzando l'API Kubernetes. Puoi prima rimuovere un componente aggiuntivo Amazon EKS da un cluster e poi reinstallarlo.
Problema relativo al componente aggiuntivo EKS - `AccessDenied: priorityclasses.scheduling.k8s.io "aws-guardduty-agent.priorityclass" is forbidden: User "eks:addon-manager" cannot patch resource "priorityclasses" in API group "scheduling.k8s.io" at the cluster scope`	È necessario aggiungere `eks:addon-cluster-admin ClusterRoleBinding` manualmente l'autorizzazione mancante. Aggiungi quanto segue `yaml` a`eks:addon-cluster-admin`: `--- kind: ClusterRoleBinding apiVersion: rbac.authorization.k8s.io/v1 metadata: name: eks:addon-cluster-admin subjects: - kind: User name: eks:addon-manager apiGroup: rbac.authorization.k8s.io roleRef: kind: ClusterRole name: cluster-admin apiGroup: rbac.authorization.k8s.io ---` Ora puoi applicarlo `yaml` al tuo cluster Amazon EKS utilizzando il seguente comando: `kubectl apply -f eks-addon-cluster-admin.yaml`
AddonUpdationFailed: EKSAddonIssue - `AccessDenied: namespaces\"amazon-guardduty\"isforbidden:User\"eks:addon-manager\"cannotpatchresource\"namespaces\"inAPIgroup\"\"inthenamespace\"amazon-guardduty\"`
Problema relativo al componente aggiuntivo EKS - AccessDenied: admission webhook "validation.gatekeeper.sh" denied the request: [all-namespace-must-have-label-owner] All namespaces must have an `owner` label	Devi disabilitare il controller o fare in modo che il controller accetti le richieste dal cluster Amazon EKS. Prima di creare o aggiornare il componente aggiuntivo, puoi anche creare un GuardDuty namespace ed etichettarlo come. `owner`
Problema relativo al componente aggiuntivo EKS - `AccessDenied: admission webhook "validation.gatekeeper.sh" denied the request: [allowed-container-registries] container <aws-guardduty-agent> has an invalid image registry`	Aggiungi il registro delle immagini per GuardDuty al controller `allowed-container-registries` di ammissione. Per ulteriori informazioni, vedere l'archivio ECR per EKS v1.8.1-eks-build.2 in. Agente di hosting del repository Amazon ECR GuardDuty

Avvertimento JavaScript è disabilitato o non è disponibile nel tuo browser.

Per usare la documentazione AWS, JavaScript deve essere abilitato. Consulta le pagine della guida del browser per le istruzioni.

Convenzioni dei documenti

Copertura e risoluzione dei problemi per i cluster Amazon ECS

Configurazione del monitoraggio della CPU e della memoria