# Amazon ECS のランタイムモニタリングを有効にする
<a name="ecs-guard-duty-configure-automatic-guard-duty"></a>

GuardDuty を設定して、すべての Fargate クラスターのセキュリティエージェントが自動的に管理されるようにすることができます。



## 前提条件
<a name="ecs-guard-duty-configure-automatic-guard-duty-prerequisite"></a>

ランタイムモニタリングを使用するための前提条件は次のとおりです。
+ Fargate プラットフォームバージョンは Linux では `1.4.0` 以降である必要があります。
+ Amazon ECS の IAM ロールとアクセス許可:
  + Fargate タスクはタスク実行ロールを使用する必要があります。このロールは、ユーザーに代わって GuardDuty セキュリティエージェントを取得、更新、管理するアクセス許可をタスクに付与します。詳細については、「[Amazon ECS タスク実行IAM ロール](task_execution_IAM_role.md)」を参照してください。
  + 事前定義されたタグを使用してクラスターのランタイムモニタリングを制御します。アクセスポリシーによりタグに基づいてアクセスが制限されている場合は、クラスターにタグを付けるための明示的なアクセス許可を IAM ユーザーに付与する必要があります。詳細については、「*IAM ユーザーガイド*」の「[IAM チュートリアル: タグに基づいて AWS リソースにアクセスするためのアクセス許可を定義する](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)」を参照してください。
+ Amazon ECR リポジトリへの接続:

  GuardDuty セキュリティエージェントは Amazon ECR リポジトリに保存されます。スタンドアロンタスクとサービスタスクにはそれぞれリポジトリへのアクセスが必要です。次のオプションの 1 つを使用できます。
  + パブリックサブネット内のタスクでは、タスクにパブリック IP アドレスを使用するか、タスクが実行されるサブネットに Amazon ECR の VPC エンドポイントを作成することができます。詳細については、*Amazon Elastic コンテナレジストリ ユーザーガイド*の [Amazon ECR Interface VPC エンドポイント(AWS PrivateLink)](https://docs.aws.amazon.com/AmazonECR/latest/userguide/vpc-endpoints.html)を参照してください。
  + プライベートサブネットのタスクでは、ネットワークアドレス変換 (NAT) ゲートウェイを使用するか、タスクが実行されるサブネットに Amazon ECR の VPC エンドポイントを作成することができます。

    詳細については、「[プライベートサブネットと NAT ゲートウェイ](https://docs.aws.amazon.com/AmazonECS/latest/developerguide/networking-outbound.html#networking-private-subnet)」を参照してください。
+ GuardDuty の `AWSServiceRoleForAmazonGuardDuty` ロールが必要です。詳細については、「*Amazon GuardDuty ユーザーガイド*」の「[GuardDuty でのサービスにリンクされたロールのアクセス許可](https://docs.aws.amazon.com/guardduty/latest/ug/slr-permissions.html)」を参照してください。
+ ランタイムモニタリングで保護するファイルは、すべてルートユーザーによってアクセスできる必要があります。ファイルのアクセス許可を手動で変更した場合は、`755` に設定する必要があります。

EC2 コンテナインスタンスでランタイムモニタリングを使用するための前提条件は次のとおりです。
+ Amazon ECS-AMI のバージョン `20230929` 以降を使用する必要があります。
+ コンテナインスタンスで Amazon ECS エージェントをバージョン `1.77` 以降で実行する必要があります。
+ カーネルのバージョン `5.10` 以降を使用する必要があります。
+ サポートされている Linux オペレーティングシステムとアーキテクチャについては、「[GuardDuty ランタイムモニタリングがサポートしているオペレーティングシステムとワークロードはどれですか](https://aws.amazon.com//guardduty/faqs/?nc1=h_ls#product-faqs#guardduty-faqs#guardduty-ecs-runtime-monitoring)」を参照してください。
+ Systems Manager を使用してコンテナインスタンスを管理できます。詳細については、「*AWS Systems Manager Session Manager ユーザーガイド*」の「[Systems Manager の EC2 インスタンスのセットアップ](https://docs.aws.amazon.com/systems-manager/latest/userguide/systems-manager-setting-up-ec2.html)」を参照してください。

## 手順
<a name="ecs-guard-duty-configure-automatic-guard-duty-procedure"></a>

GuardDuty でランタイムモニタリングを有効にします。この機能を有効にする方法については、「*Amazon GuardDuty ユーザーガイド*」の「[ランタイムモニタリングを有効にする](https://docs.aws.amazon.com/guardduty/latest/ug/runtime-monitoring-configuration.html)」を参照してください。