View a markdown version of this page

为 Amazon EKS 配置 GuardDuty 安全代理（附加组件）参数 - 亚马逊 GuardDuty
配置了参数的自动配置代理配置行为可配置的参数和值验证配置架构更新

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

为 Amazon EKS 配置 GuardDuty 安全代理（附加组件）参数

您可以为 Amazon EKS 配置 GuardDuty 安全代理的特定参数。此支持适用于 GuardDuty 安全代理版本 1.5.0 及更高版本。有关最新附加组件版本的信息，请参阅GuardDuty 亚马逊 EKS 资源的安全代理版本。

我为什么要更新安全代理配置架构

在您的 Amazon EKS 集群内的所有容器中， GuardDuty 安全代理的配置架构是相同的。当默认值与相关工作负载和实例大小不一致时，可以考虑配置 CPU 设置、内存设置、PriorityClass 和 dnsPolicy 设置。无论您如何管理 Amazon EKS 集群的 GuardDuty 代理，都可以配置或更新这些参数的现有配置。

配置了参数的自动配置代理配置行为

当代表你 GuardDuty 管理安全代理（EKS 插件）时，它会根据需要更新插件。 GuardDuty 会将可配置参数的值设置为默认值。但您仍然可以将参数更新为需要的值。如果这导致冲突，则默认的 resolveConflicts 选项为 None。

可配置的参数和值

有关配置附加组件参数的步骤的信息，请参阅：

以下表格列举了可用于手动部署 Amazon EKS 附加组件或更新现有附加组件设置的范围和值。

CPU 设置

参数

默认 值

可配置范围

请求

200 m

200m 至 10000m，含首尾数

限制

1000 m

200m 至 10000m，含首尾数

disableCpuLimits

false

true 或 false

该disableCpuLimits参数适用于 GuardDuty 安全代理版本 1.12.1-eksbuild.3 及更高版本。在早期版本中，该插件不支持此参数，如果您指定该参数，Amazon EKS 插件 API (CreateAddon,UpdateAddon) 会返回验证错误。

当您设置disableCpuLimits为时true，安全代理容器不强制执行 CPU 限制。其他资源设置不受影响。

要禁用 CPU 限制，请使用以下配置：

{"resources":{"disableCpuLimits":true}}
内存设置

参数

默认 值

可配置范围

请求

256Mi

256Mi 至和 20000Mi，含首尾数

限制

1024Mi
PriorityClass 设置

当 GuardDuty 为您创建亚马逊 EKS 插件时，分配PriorityClass的是aws-guardduty-agent.priorityclass。这意味着不会根据代理容器组（pod）的优先级执行任何操作。您可以选择以下 PriorityClass 选项之一来配置此附加组件参数：

可配置的 PriorityClass

preemptionPolicy 值

preemptionPolicy 描述

容器组（pod）值

aws-guardduty-agent.priorityclass

Never

无需操作

1000000

aws-guardduty-agent.priorityclass-high

PreemptLowerPriority

分配此值将优先于运行优先级值低于代理容器组值的容器组。

1000000

system-cluster-critical1

PreemptLowerPriority

2000000000

system-node-critical1

PreemptLowerPriority

2000001000

1 Kubernetes 提供了两个 PriorityClass 选项，分别为 system-cluster-critical 和 system-node-critical。有关更多信息，请参阅 Kubernetes 文档PriorityClass中的内容。

dnsPolicy 设置

选择 Kubernetes 支持的以下 DNS 策略选项之一。如果未指定任何配置，则将使用默认值 ClusterFirst。

  • ClusterFirst

  • ClusterFirstWithHostNet

  • Default

有关这些策略的更多信息，请参阅《Kubernetes 文档》中的 Pod's DNS Policy。

验证配置架构更新

配置好参数后，请执行以下步骤来验证配置架构是否已更新：

  1. 在 https://console.aws.amazon.com/eks/home #/ clusters 处打开亚马逊 EKS 控制台。

  2. 在导航窗格中，选择集群。

  3. 在集群页面上，选择要验证更新的集群名称。

  4. 选择资源选项卡。

  5. 从 “资源类型” 窗格的 “工作负载” 下选择DaemonSets。

  6. 选择 aws-guardduty-agent。

  7. 在 aws-guardduty-agent 页面上，选择原始视图以查看未格式化的 JSON 响应。验证可配置参数是否显示您提供的值。

验证后，切换到 GuardDuty 控制台。选择相应的 AWS 区域 并查看您的 Amazon EKS 集群的覆盖状态。有关更多信息，请参阅 Amazon EKS 集群的运行时覆盖率和故障排除。