本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 自动管理 Amazon EKS 资源的安全代理
运行时监控支持通过 GuardDuty 自动配置和手动启用安全代理。本节介绍了为 Amazon EKS 集群启用自动代理配置的步骤。
在继续操作之前，请确保您已满足 [Amazon EKS 集群支持的先决条件](prereq-runtime-monitoring-eks-support.md)的要求。
根据您偏好的[通过以下方式管理安全代理 GuardDuty](how-runtime-monitoring-works-eks.md#eks-runtime-using-gdu-agent-management-auto)的方法，相应地选择以下各章节中的步骤。
## 为多账户环境配置自动代理
在多账户环境中，只有委派的 GuardDuty 管理员账户才能启用或禁用成员账户的自动代理配置，以及管理属于其组织中成员账户的 EKS 集群的自动代理。 GuardDuty 成员账户无法通过其账户修改此配置。委托 GuardDuty 管理员账户账户使用管理其成员账户 AWS Organizations。有关多账户环境的更多信息，请参阅[管理多个账户](https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_accounts.html)。
### 为委派的 GuardDuty 管理员账户配置自动代理配置
| **管理 GuardDuty 安全代理的首选方法** | **步骤** |
| --- | --- |
| 通过以下方式管理安全代理 GuardDuty
（监控所有 EKS 集群） | 如果在“运行时监控”部分中选择了**为所有账户启用**，您将有以下选项：+ 在 “自动代理配置” 部分**为所有账户选择 “启用**”。 GuardDuty 将为属于委派 GuardDuty 管理员账户的所有 EKS 集群以及属于组织中所有现有和可能的新成员账户的所有 EKS 集群部署和管理安全代理。
+ 选择**手动配置账户**。
如果您在“运行时监控”部分选择了**手动配置账户**，请执行以下操作：1. 在“自动代理配置”部分下选择**手动配置账户**。
2. 在 “**委派 GuardDuty 管理员账户（此账户）**” 部分选择 “**启用**”。
选择**保存**。 |
| 监控所有 EKS 集群，但排除其中一些集群（使用排除标签） | 从以下过程中，选择一种适合您的场景。1. 向此 EKS 集群添加一个标签，键为 `GuardDutyManaged`，值为 `false`。
有关标记 Amazon EKS 集群的更多信息，请参阅《Amazon EKS 用户指南》****中的[通过控制台使用标签](https://docs.aws.amazon.com/eks/latest/userguide/eks-using-tags.html#tag-resources-console)。
2. 要防止修改标签（可信实体除外），请使用《AWS Organizations 用户指南》**中[防止标签被修改，除非由授权主体修改](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps_examples_tagging.html#example-require-restrict-tag-mods-to-admin)中的策略。在该策略中，替换以下详细信息： 将 {{ec2:CreateTags}}替换为 `eks:TagResource`。 将 {{ec2:DeleteTags}}替换为 `eks:UntagResource`。 将 {{access-project}} 替换为 `GuardDutyManaged` {{123456789012}}替换为可信实体的 AWS 账户 ID。
如果您有多个可信实体，请使用以下示例添加多个 `PrincipalArn`： "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
3. 打开 GuardDuty 控制台，网址为[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/)。
4. 在导航窗格中，选择**运行时监控**。 在为您的账户启用 GuardDuty 代理自动管理之前，请务必将排除标签添加到您的 EKS 集群；否则， GuardDuty 安全代理将部署在您账户中的所有 EKS 集群上。
5. 在 “**配置**” 选项卡下，在 “**GuardDuty 代理管理**” 部分选择 “**启用**”。
对于未被排除在监控之外的 EKS 集群， GuardDuty 将管理 GuardDuty 安全代理的部署和更新。
6. 选择**保存**。 1. 向此 EKS 集群添加一个标签，键为 `GuardDutyManaged`，值为 `false`。
有关标记 Amazon EKS 集群的更多信息，请参阅《Amazon EKS 用户指南》****中的[通过控制台使用标签](https://docs.aws.amazon.com/eks/latest/userguide/eks-using-tags.html#tag-resources-console)。
2. 要防止修改标签（可信实体除外），请使用《AWS Organizations 用户指南》**中[防止标签被修改，除非由授权主体修改](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps_examples_tagging.html#example-require-restrict-tag-mods-to-admin)中的策略。在该策略中，替换以下详细信息： 将 {{ec2:CreateTags}}替换为 `eks:TagResource`。 将 {{ec2:DeleteTags}}替换为 `eks:UntagResource`。 将 {{access-project}} 替换为 `GuardDutyManaged` {{123456789012}}替换为可信实体的 AWS 账户 ID。
如果您有多个可信实体，请使用以下示例添加多个 `PrincipalArn`： "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
3. 如果您为此 EKS 集群启用了自动代理，则在此步骤之后， GuardDuty 将不会更新此集群的安全代理。但是，安全代理将保持部署状态， GuardDuty 并将继续接收来自此 EKS 集群的运行时事件。这可能会影响您的使用情况统计数据。
要停止接收来自该集群的运行时事件，必须从该 EKS 集群删除已部署的安全代理。有关删除已部署的安全代理的更多信息，请参阅 [在运行时监控中禁用、卸载和清理资源](runtime-monitoring-agent-resource-clean-up.md)
4. 如果您是手动管理此 EKS 集群 GuardDuty 的安全代理，请参阅[在运行时监控中禁用、卸载和清理资源](runtime-monitoring-agent-resource-clean-up.md)。 |
| 使用包含标签监控选择性 EKS 集群 | 无论您选择通过哪种方式启用运行时监控，以下步骤都将有助您监控账户中的选定 EKS 集群：1. 确保在 “自动代理配置” 部分为**委派 GuardDuty 管理员帐户（此帐户）**选择 “**禁用**”。确保运行时监控配置与上一步的配置相同。
2. 选择**保存**。
3. 向 EKS 集群添加一个标签，键为 `GuardDutyManaged`，值为 `true`。
有关标记 Amazon EKS 集群的更多信息，请参阅《Amazon EKS 用户指南》****中的[通过控制台使用标签](https://docs.aws.amazon.com/eks/latest/userguide/eks-using-tags.html#tag-resources-console)。
GuardDuty 将为您要监控的精选 EKS 集群管理安全代理的部署和更新。
4. 要防止修改标签（可信实体除外），请使用《AWS Organizations 用户指南》**中[防止标签被修改，除非由授权主体修改](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps_examples_tagging.html#example-require-restrict-tag-mods-to-admin)中的策略。在该策略中，替换以下详细信息： 将 {{ec2:CreateTags}}替换为 `eks:TagResource`。 将 {{ec2:DeleteTags}}替换为 `eks:UntagResource`。 将 {{access-project}} 替换为 `GuardDutyManaged` {{123456789012}}替换为可信实体的 AWS 账户 ID。
如果您有多个可信实体，请使用以下示例添加多个 `PrincipalArn`： "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
|
| 手动管理 GuardDuty 安全代理 | 无论您选择通过哪种方式启用运行时监控，都可以手动管理 EKS 集群的安全代理。1. 确保在 “自动代理配置” 部分为**委派 GuardDuty 管理员帐户（此帐户）**选择 “**禁用**”。确保运行时监控配置与上一步的配置相同。
2. 选择**保存**。
3. 要管理安全代理，请参阅 [手动管理 Amazon EKS 集群的安全代理](managing-gdu-agent-eks-manually.md)。 |
### Auto-enable 所有成员账户的自动代理
**注意**
更新成员账户的配置可能最长需要 24 小时。
| **管理 GuardDuty 安全代理的首选方法** | **步骤** |
| --- | --- |
| 通过以下方式管理安全代理 GuardDuty
（监控所有 EKS 集群） | 本主题旨在为所有成员账户启用运行时监控，因此以下步骤假定您在“运行时监控”部分选择了**为所有账户启用**。1. 在 “自动代理配置” 部分**为所有账户选择 “启用**”。 GuardDuty 将为属于委派 GuardDuty 管理员账户的所有 EKS 集群以及属于组织中所有现有和可能的新成员账户的所有 EKS 集群部署和管理安全代理。
2. 选择**保存**。 |
| 监控所有 EKS 集群，但排除其中一些集群（使用排除标签） | 从以下过程中，选择一种适合您的场景。1. 向此 EKS 集群添加一个标签，键为 `GuardDutyManaged`，值为 `false`。
有关标记 Amazon EKS 集群的更多信息，请参阅《Amazon EKS 用户指南》****中的[通过控制台使用标签](https://docs.aws.amazon.com/eks/latest/userguide/eks-using-tags.html#tag-resources-console)。
2. 要防止修改标签（可信实体除外），请使用《AWS Organizations 用户指南》**中[防止标签被修改，除非由授权主体修改](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps_examples_tagging.html#example-require-restrict-tag-mods-to-admin)中的策略。在该策略中，替换以下详细信息： 将 {{ec2:CreateTags}}替换为 `eks:TagResource`。 将 {{ec2:DeleteTags}}替换为 `eks:UntagResource`。 将 {{access-project}} 替换为 `GuardDutyManaged` {{123456789012}}替换为可信实体的 AWS 账户 ID。
如果您有多个可信实体，请使用以下示例添加多个 `PrincipalArn`： "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
3. 打开 GuardDuty 控制台，网址为[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/)。
4. 在导航窗格中，选择**运行时监控**。 在为您的账户启用自动代理之前，请务必将排除标签添加到您的 EKS 集群；否则， GuardDuty 安全代理将部署在您账户中的所有 EKS 集群上。
5. 在**配置**选项卡的**运行时监控配置**部分中，选择**编辑**。
6. 在“自动代理配置”部分中选择**为所有账户启用**。对于未被排除在监控之外的 EKS 集群， GuardDuty 将管理 GuardDuty安全代理的部署和更新。
7. 选择**保存**。 1. 向此 EKS 集群添加一个标签，键为 `GuardDutyManaged`，值为 `false`。
有关标记 Amazon EKS 集群的更多信息，请参阅《Amazon EKS 用户指南》****中的[通过控制台使用标签](https://docs.aws.amazon.com/eks/latest/userguide/eks-using-tags.html#tag-resources-console)。
2. 如果您为此 EKS 集群启用了自动代理配置，则在此步骤之后， GuardDuty将不会更新此集群的安全代理。但是，安全代理将保持部署状态， GuardDuty 并将继续接收来自此 EKS 集群的运行时事件。这可能会影响您的使用情况统计数据。
要停止接收来自该集群的运行时事件，必须从该 EKS 集群删除已部署的安全代理。有关删除已部署的安全代理的更多信息，请参阅 [在运行时监控中禁用、卸载和清理资源](runtime-monitoring-agent-resource-clean-up.md)
3. 要防止修改标签（可信实体除外），请使用《AWS Organizations 用户指南》**中[防止标签被修改，除非由授权主体修改](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps_examples_tagging.html#example-require-restrict-tag-mods-to-admin)中的策略。在该策略中，替换以下详细信息： 将 {{ec2:CreateTags}}替换为 `eks:TagResource`。 将 {{ec2:DeleteTags}}替换为 `eks:UntagResource`。 将 {{access-project}} 替换为 `GuardDutyManaged` {{123456789012}}替换为可信实体的 AWS 账户 ID。
如果您有多个可信实体，请使用以下示例添加多个 `PrincipalArn`： "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
4. 如果您是手动管理此 EKS 集群 GuardDuty 的安全代理，请参阅[在运行时监控中禁用、卸载和清理资源](runtime-monitoring-agent-resource-clean-up.md)。 |
| 使用包含标签监控选择性 EKS 集群 | 无论您选择通过哪种方式启用运行时监控，以下步骤都将有助您监控组织中所有成员账户的选定 EKS 集群：1. 请勿启用“自动代理配置”部分中的任何配置。确保运行时监控配置与上一步的配置相同。
2. 选择**保存**。
3. 向 EKS 集群添加一个标签，键为 `GuardDutyManaged`，值为 `true`。
有关标记 Amazon EKS 集群的更多信息，请参阅《Amazon EKS 用户指南》****中的[通过控制台使用标签](https://docs.aws.amazon.com/eks/latest/userguide/eks-using-tags.html#tag-resources-console)。
GuardDuty 将为您要监控的精选 EKS 集群管理安全代理的部署和更新。
4. 要防止修改标签（可信实体除外），请使用《AWS Organizations 用户指南》**中[防止标签被修改，除非由授权主体修改](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps_examples_tagging.html#example-require-restrict-tag-mods-to-admin)中的策略。在该策略中，替换以下详细信息： 将 {{ec2:CreateTags}}替换为 `eks:TagResource`。 将 {{ec2:DeleteTags}}替换为 `eks:UntagResource`。 将 {{access-project}} 替换为 `GuardDutyManaged` {{123456789012}}替换为可信实体的 AWS 账户 ID。
如果您有多个可信实体，请使用以下示例添加多个 `PrincipalArn`： "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
|
| 手动管理 GuardDuty 安全代理 | 无论您选择通过哪种方式启用运行时监控，都可以手动管理 EKS 集群的安全代理。1. 请勿启用“自动代理配置”部分中的任何配置。确保运行时监控配置与上一步的配置相同。
2. 选择**保存**。
3. 要管理安全代理，请参阅 [手动管理 Amazon EKS 集群的安全代理](managing-gdu-agent-eks-manually.md)。 |
### 为所有现有活动成员账户启用自动代理
**注意**
更新成员账户的配置可能最长需要 24 小时。
**管理组织中现有活跃成员账户 GuardDuty 的安全代理**
+ GuardDuty 要从属于组织中现有活跃成员账户的 EKS 集群接收运行时事件，必须选择首选方法来管理这些 EKS 集群 GuardDuty 的安全代理。有关每种方法的更多信息，请参阅 [在 Amazon EKS 集群中管理 GuardDuty 安全代理的方法](how-runtime-monitoring-works-eks.md#eksrunmon-approach-to-monitor-eks-clusters)。
[See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_cn/guardduty/latest/ug/managing-gdu-agent-eks-automatically.html)
### Auto-enable 为新成员自动配置代理
| **管理 GuardDuty 安全代理的首选方法** | **步骤** |
| --- | --- |
| 通过以下方式管理安全代理 GuardDuty
（监控所有 EKS 集群） | 1. 在“运行时监控”页面上，选择**编辑**以更新现有配置。
2. 在“自动代理配置”部分中选择**为新成员账户自动启用**。
3. 选择**保存**。 |
| 监控所有 EKS 集群，但排除其中一些集群（使用排除标签） | 从以下过程中，选择一种适合您的场景。1. 向此 EKS 集群添加一个标签，键为 `GuardDutyManaged`，值为 `false`。
有关标记 Amazon EKS 集群的更多信息，请参阅《Amazon EKS 用户指南》****中的[通过控制台使用标签](https://docs.aws.amazon.com/eks/latest/userguide/eks-using-tags.html#tag-resources-console)。
2. 要防止修改标签（可信实体除外），请使用《AWS Organizations 用户指南》**中[防止标签被修改，除非由授权主体修改](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps_examples_tagging.html#example-require-restrict-tag-mods-to-admin)中的策略。在该策略中，替换以下详细信息： 将 {{ec2:CreateTags}}替换为 `eks:TagResource`。 将 {{ec2:DeleteTags}}替换为 `eks:UntagResource`。 将 {{access-project}} 替换为 `GuardDutyManaged` {{123456789012}}替换为可信实体的 AWS 账户 ID。
如果您有多个可信实体，请使用以下示例添加多个 `PrincipalArn`： "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
3. 打开 GuardDuty 控制台，网址为[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/)。
4. 在导航窗格中，选择**运行时监控**。 在为您的账户启用自动代理配置之前，请务必将排除标签添加到您的 EKS 集群；否则， GuardDuty 安全代理将部署在您账户中的所有 EKS 集群上。
5. 在 “**配置**” 选项卡下，在 “**GuardDuty 代理管理**” 部分中，选择 “**自动为新成员帐户启用**”。
对于未被排除在监控之外的 EKS 集群， GuardDuty 将管理 GuardDuty 安全代理的部署和更新。
6. 选择**保存**。 1. 无论您是通过 GuardDuty 还是手动管理 GuardDuty安全代理，都要向此 EKS 集群添加一个标签，其密钥为`GuardDutyManaged`，其值为`false`。
有关标记 Amazon EKS 集群的更多信息，请参阅《Amazon EKS 用户指南》****中的[通过控制台使用标签](https://docs.aws.amazon.com/eks/latest/userguide/eks-using-tags.html#tag-resources-console)。
如果您为此 EKS 集群启用了自动代理，则在此步骤之后， GuardDuty 将不会更新此集群的安全代理。但是，安全代理将保持部署状态， GuardDuty 并将继续接收来自此 EKS 集群的运行时事件。这可能会影响您的使用情况统计数据。
要停止接收来自该集群的运行时事件，必须从该 EKS 集群删除已部署的安全代理。有关删除已部署的安全代理的更多信息，请参阅 [在运行时监控中禁用、卸载和清理资源](runtime-monitoring-agent-resource-clean-up.md)
2. 要防止修改标签（可信实体除外），请使用《AWS Organizations 用户指南》**中[防止标签被修改，除非由授权主体修改](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps_examples_tagging.html#example-require-restrict-tag-mods-to-admin)中的策略。在该策略中，替换以下详细信息： 将 {{ec2:CreateTags}}替换为 `eks:TagResource`。 将 {{ec2:DeleteTags}}替换为 `eks:UntagResource`。 将 {{access-project}} 替换为 `GuardDutyManaged` {{123456789012}}替换为可信实体的 AWS 账户 ID。
如果您有多个可信实体，请使用以下示例添加多个 `PrincipalArn`： "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
3. 如果您是手动管理此 EKS 集群 GuardDuty 的安全代理，请参阅[在运行时监控中禁用、卸载和清理资源](runtime-monitoring-agent-resource-clean-up.md)。 |
| 使用包含标签监控选择性 EKS 集群 | 无论您选择通过哪种方式启用运行时监控，以下步骤都将有助您监控组织中新成员账户的选定 EKS 集群。1. 务必在“自动代理配置”部分中清除**为新成员账户自动启用**。确保运行时监控配置与上一步的配置相同。
2. 选择**保存**。
3. 向 EKS 集群添加一个标签，键为 `GuardDutyManaged`，值为 `true`。
有关标记 Amazon EKS 集群的更多信息，请参阅《Amazon EKS 用户指南》****中的[通过控制台使用标签](https://docs.aws.amazon.com/eks/latest/userguide/eks-using-tags.html#tag-resources-console)。
GuardDuty 将为您要监控的精选 EKS 集群管理安全代理的部署和更新。
4. 要防止修改标签（可信实体除外），请使用《AWS Organizations 用户指南》**中[防止标签被修改，除非由授权主体修改](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps_examples_tagging.html#example-require-restrict-tag-mods-to-admin)中的策略。在该策略中，替换以下详细信息： 将 {{ec2:CreateTags}}替换为 `eks:TagResource`。 将 {{ec2:DeleteTags}}替换为 `eks:UntagResource`。 将 {{access-project}} 替换为 `GuardDutyManaged` {{123456789012}}替换为可信实体的 AWS 账户 ID。
如果您有多个可信实体，请使用以下示例添加多个 `PrincipalArn`： "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
|
| 手动管理 GuardDuty 安全代理 | 无论您选择通过哪种方式启用运行时监控，都可以手动管理 EKS 集群的安全代理。1. 务必在“自动代理配置”部分中清除**为新成员账户自动启用**复选框。确保运行时监控配置与上一步的配置相同。
2. 选择**保存**。
3. 要管理安全代理，请参阅 [手动管理 Amazon EKS 集群的安全代理](managing-gdu-agent-eks-manually.md)。 |
### 有选择地为活动成员账户配置自动代理
| **管理 GuardDuty 安全代理的首选方法** | **步骤** |
| --- | --- |
| 通过以下方式管理安全代理 GuardDuty
（监控所有 EKS 集群） | 1. 在“账户”页面上，选择要为其启用自动代理配置的账户。您可以一次选择多个账户。确保您在此步骤中选择的账户已启用 EKS 运行时监控。
2. 从**编辑防护计划**中选择相应的选项，以启用**运行时监控 – 自动代理配置**。
3. 选择**确认**。 |
| 监控所有 EKS 集群，但排除其中一些集群（使用排除标签） | 从以下过程中，选择一种适合您的场景。1. 向此 EKS 集群添加一个标签，键为 `GuardDutyManaged`，值为 `false`。
有关标记 Amazon EKS 集群的更多信息，请参阅《Amazon EKS 用户指南》****中的[通过控制台使用标签](https://docs.aws.amazon.com/eks/latest/userguide/eks-using-tags.html#tag-resources-console)。
2. 要防止修改标签（可信实体除外），请使用《AWS Organizations 用户指南》**中[防止标签被修改，除非由授权主体修改](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps_examples_tagging.html#example-require-restrict-tag-mods-to-admin)中的策略。在该策略中，替换以下详细信息： 将 {{ec2:CreateTags}}替换为 `eks:TagResource`。 将 {{ec2:DeleteTags}}替换为 `eks:UntagResource`。 将 {{access-project}} 替换为 `GuardDutyManaged` {{123456789012}}替换为可信实体的 AWS 账户 ID。
如果您有多个可信实体，请使用以下示例添加多个 `PrincipalArn`： "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
3. 打开 GuardDuty 控制台，网址为[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/)。 在为您的账户启用自动代理配置之前，请务必将排除标签添加到您的 EKS 集群；否则， GuardDuty 安全代理将部署在您账户中的所有 EKS 集群上。
4. 在“账户”页面上，选择要为其启用**自动管理代理**的账户。您可以一次选择多个账户。
5. 在**编辑保护计划**中，选择相应的选项，为所选帐户启用**运行时 Monitoring-Automated 代理配置**。
对于未被排除在监控之外的 EKS 集群， GuardDuty 将管理 GuardDuty 安全代理的部署和更新。
6. 选择**保存**。 1. 向此 EKS 集群添加一个标签，键为 `GuardDutyManaged`，值为 `false`。
有关标记 Amazon EKS 集群的更多信息，请参阅《Amazon EKS 用户指南》****中的[通过控制台使用标签](https://docs.aws.amazon.com/eks/latest/userguide/eks-using-tags.html#tag-resources-console)。
如果您之前为此 EKS 集群启用了自动代理配置，则在此步骤之后， GuardDuty 将不会更新此集群的安全代理。但是，安全代理将保持部署状态， GuardDuty 并将继续接收来自此 EKS 集群的运行时事件。这可能会影响您的使用情况统计数据。
要停止接收来自该集群的运行时事件，必须从该 EKS 集群删除已部署的安全代理。有关删除已部署的安全代理的更多信息，请参阅 [在运行时监控中禁用、卸载和清理资源](runtime-monitoring-agent-resource-clean-up.md)
2. 要防止修改标签（可信实体除外），请使用《AWS Organizations 用户指南》**中[防止标签被修改，除非由授权主体修改](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps_examples_tagging.html#example-require-restrict-tag-mods-to-admin)中的策略。在该策略中，替换以下详细信息： 将 {{ec2:CreateTags}}替换为 `eks:TagResource`。 将 {{ec2:DeleteTags}}替换为 `eks:UntagResource`。 将 {{access-project}} 替换为 `GuardDutyManaged` {{123456789012}}替换为可信实体的 AWS 账户 ID。
如果您有多个可信实体，请使用以下示例添加多个 `PrincipalArn`： "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
3. 如果您手动管理此 EKS 集群 GuardDuty 的安全代理，则必须将其删除。有关更多信息，请参阅 [在运行时监控中禁用、卸载和清理资源](runtime-monitoring-agent-resource-clean-up.md)。 |
| 使用包含标签监控选择性 EKS 集群 | 无论您选择通过哪种方式启用运行时监控，以下步骤都将有助您监控属于选定账户的选定 EKS 集群：1. 确保不要为拥有要监控的 EKS 集群的选定账户启用 **Runtime Monitoring-Automated 代理配置**。
2. 向 EKS 集群添加一个标签，键为 `GuardDutyManaged`，值为 `true`。
有关标记 Amazon EKS 集群的更多信息，请参阅《Amazon EKS 用户指南》****中的[通过控制台使用标签](https://docs.aws.amazon.com/eks/latest/userguide/eks-using-tags.html#tag-resources-console)。
添加标签后， GuardDuty 将为您要监控的精选 EKS 集群管理安全代理的部署和更新。
3. 要防止修改标签（可信实体除外），请使用《AWS Organizations 用户指南》**中[防止标签被修改，除非由授权主体修改](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps_examples_tagging.html#example-require-restrict-tag-mods-to-admin)中的策略。在该策略中，替换以下详细信息： 将 {{ec2:CreateTags}}替换为 `eks:TagResource`。 将 {{ec2:DeleteTags}}替换为 `eks:UntagResource`。 将 {{access-project}} 替换为 `GuardDutyManaged` {{123456789012}}替换为可信实体的 AWS 账户 ID。
如果您有多个可信实体，请使用以下示例添加多个 `PrincipalArn`： "aws:PrincipalArn":["arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin", "arn:aws:iam::123456789012:role/org-admins/iam-admin"]
|
| 手动管理 GuardDuty 安全代理 | 1. 确保运行时监控配置与上一步的配置相同。确保您没有为任何选定账户启用**运行时监控 – 自动代理配置**。
2. 选择**确认**。
3. 要管理安全代理，请参阅 [手动管理 Amazon EKS 集群的安全代理](managing-gdu-agent-eks-manually.md)。 |
## 为独立账户配置自动代理
独立账户拥有在特定账户中启用或禁用保护计划的决定 AWS 区域。 AWS 账户
如果您的账户通过或通过 AWS Organizations邀请方式与 GuardDuty 管理员帐户关联，则此部分不适用于您的账户。有关更多信息，请参阅 [为多账户环境启用运行时监控](enable-runtime-monitoring-multiple-acc-env.md)。
启用运行时监控后，请确保通过自动配置或手动部署来安装 GuardDuty 安全代理。在完成以下过程中列出的所有步骤时，务必要安装安全代理。
根据您是要监控全部还是部分 Amazon EKS 资源的偏好，选择一种您偏好的方法并按照下表中的步骤进行操作。
1. 登录 AWS Management Console 并打开 GuardDuty 控制台，网址为[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/)。
1. 在导航窗格中，选择**运行时监控**。
1. 在**配置**选项卡下选择**启用**，以为您的账户启用自动代理配置。
[See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_cn/guardduty/latest/ug/managing-gdu-agent-eks-automatically.html)