先决条件 – 手动创建 Amazon VPC 端点

创建 Amazon VPC 端点

1. 登录 AWS 管理控制台 并打开亚马逊 VPC 控制台，网址为https://console.aws.amazon.com/vpc/。

2. 在导航窗格中的 VPC 私有云下，选择端点。

3. 选择创建端点。

4. 在创建端点页面​​上，对于服务类别，选择其他端点服务。

5. 对于服务名称，输入 com.amazonaws.us-east-1.guardduty-data。

   请务必us-east-1替换为您的 AWS 区域. 该区域必须与属于您的 AWS 账户 ID 的 Amazon EC2 实例位于同一区域。

6. 选择验证服务。

7. 成功验证服务名称后，选择实例所在的 VPC。添加以下策略，以仅允许指定账户使用该 Amazon VPC 端点。使用此策略下面提供的组织 Condition，您可以更新以下策略来限制对端点的访问。要为组织中的特定账户 ID 提供 Amazon VPC 端点支持，请参阅Organization condition to restrict access to your endpoint。

   JSON

   {
   	"Version":"2012-10-17",
   	"Statement": [
   		{
   			"Action": "*",
   			"Resource": "*",
   			"Effect": "Allow",
   			"Principal": "*"
   		},
   		{
   			"Condition": {
   				"StringNotEquals": {
   					"aws:PrincipalAccount": "111122223333" 
   				}
   			},
   			"Action": "*",
   			"Resource": "*",
   			"Effect": "Deny",
   			"Principal": "*"
   		}
   	]
   }
   

   aws:PrincipalAccount 账户 ID 必须与包含 VPC 和 VPC 端点的账户匹配。以下列表显示如何与其他 AWS 账户 ID 共享 VPC 终端节点：

   • 要指定多个账户访问该 VPC 端点的权限，请将 "aws:PrincipalAccount: "111122223333" 替换为以下代码块：

     "aws:PrincipalAccount": [
               "666666666666",
               "555555555555"
           ]

     确保将 AWS 账户 ID 替换为需要访问 VPC 终端节点的账户的账户 ID。

   • 要允许组织中的所有成员访问 VPC 端点，请将 "aws:PrincipalAccount: "111122223333" 替换为以下行：

     "aws:PrincipalOrgID": "o-abcdef0123"

     请务必o-abcdef0123使用您的组织 ID 替换该组织。

   • 要按组织 ID 限制资源访问权限，请将您的 ResourceOrgID 添加到策略中。有关更多信息，请参阅《IAM 用户指南》中的 aws:ResourceOrgID。

     "aws:ResourceOrgID": "o-abcdef0123"

8. 在其他设置下，选择启用 DNS 名称。

9. 在子网下，选择实例所在的子网。

10. 在安全组下，选择从 VPC（或 Amazon EC2 实例）启用了入站端口 443 的安全组。如果您还没有启用了入站端口 443 的安全组，请参阅《Amazon VPC 用户指南》中的创建为 VPC 创建安全组。

    如果将入站权限限定为您的 VPC（或实例）时出现问题，您可以从任何 IP 地址 (0.0.0.0/0) 提供入站 443 端口支持。但是， GuardDuty 建议使用与您的 VPC 的 CIDR 块匹配的 IP 地址。有关更多信息，请参阅《Amazon VPC 用户指南》中的 VPC CIDR 块。