本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
Amazon ECS 叢集的執行期涵蓋範圍和疑難排解
Amazon ECS 叢集的執行期涵蓋範圍包括在 AWS Fargate 和 Amazon ECS 容器執行個體上執行的任務1。
對於在 Fargate 上執行的 Amazon ECS 叢集，執行期涵蓋範圍會在任務層級進行評估。ECS 叢集執行期涵蓋範圍包括在您為 Fargate 啟用執行期監控和自動代理程式組態 （僅限 ECS) 之後開始執行的 Fargate 任務。根據預設，Fargate 任務是不可變的。GuardDuty 將無法安裝安全代理程式來監控已執行任務上的容器。若要包含這類 Fargate 任務，您必須停止並再次啟動任務。請務必檢查是否支援相關聯的服務。
如需 Amazon ECS 容器的相關資訊，請參閱容量建立。
檢閱涵蓋範圍統計資料
與您自己的帳戶或成員帳戶相關聯的 Amazon ECS 資源涵蓋範圍統計資料，是所選 中所有 Amazon ECS 叢集上運作狀態良好的 Amazon ECS 叢集百分比 AWS 區域。這包括與 Fargate 和 Amazon EC2 執行個體相關聯的 Amazon ECS 叢集涵蓋範圍。可以用下列方程式將此表示為：
(運作狀態良好的叢集/所有叢集) * 100
考量事項
-
ECS 叢集的涵蓋範圍統計資料包括 Fargate 任務或與 ECS 叢集相關聯的 ECS 容器執行個體涵蓋範圍狀態。Fargate 任務的涵蓋範圍狀態包括處於執行中狀態或最近完成執行的任務。
-
在 ECS 叢集執行時間涵蓋範圍索引標籤中，容器執行個體涵蓋範圍欄位會指出與 Amazon ECS 叢集相關聯的容器執行個體涵蓋範圍狀態。
如果您的 Amazon ECS 叢集僅包含 Fargate 任務，則計數會顯示為 0/0。
-
如果您的 Amazon ECS 叢集與沒有安全代理程式的 Amazon EC2 執行個體相關聯，Amazon ECS 叢集也會有狀況不良的涵蓋範圍狀態。
若要識別相關聯 Amazon EC2 執行個體的涵蓋範圍問題並進行疑難排解，請參閱 Amazon EC2 執行個體對 Amazon EC2 執行期涵蓋範圍問題進行故障診斷的 。
選擇其中一種存取方法來檢閱您帳戶的涵蓋範圍統計資料。
如需涵蓋範圍問題的詳細資訊，請參閱 對 Amazon ECS-Fargate 執行期涵蓋範圍問題進行故障診斷。
使用 EventBridge 通知變更涵蓋範圍狀態
Amazon ECS 叢集的涵蓋範圍狀態可能顯示為運作狀態不佳。若要了解涵蓋範圍狀態何時變更，建議您定期監控涵蓋範圍狀態，並在狀態變成運作狀態不良時進行故障診斷。或者，您可以建立 Amazon EventBridge 規則，以在涵蓋範圍狀態從運作狀態不佳變更為正常運作或其他狀態時收到通知。GuardDuty 預設在您帳戶的EventBridge 匯流排中發布此通知。
範例通知結構描述
在 EventBridge 規則中，您可以使用預先定義的範例事件和事件模式來接收涵蓋範圍狀態通知。如需有關建立 EventBridge 規則的詳細資訊，請參閱《Amazon EventBridge 使用者指南》中的建立規則。
此外，您可以使用下列範例通知結構描述來建立自訂事件模式。請務必替換您帳戶的值。若要在 Amazon ECS 叢集的涵蓋範圍狀態從 變更為 Healthy 時收到通知Unhealthy， detail-type 應該是 GuardDuty Runtime Protection Unhealthy。若要在涵蓋範圍狀態從 Unhealthy 變更成 Healthy 時收到通知，請使用 GuardDuty 執行期監控運作狀態不良取代 detail-type 的值。
{ "version": "0", "id": "event ID", "detail-type": "GuardDuty Runtime Protection Unhealthy", "source": "aws.guardduty", "account": "AWS 帳戶 ID", "time": "event timestamp (string)", "region": "AWS 區域", "resources": [ ], "detail": { "schemaVersion": "1.0", "resourceAccountId": "string", "currentStatus": "string", "previousStatus": "string", "resourceDetails": { "resourceType": "ECS", "ecsClusterDetails": { "clusterName":"", "fargateDetails":{ "issues":[], "managementType":"" }, "containerInstanceDetails":{ "coveredContainerInstances":int, "compatibleContainerInstances":int } } }, "issue": "string", "lastUpdatedAt": "timestamp" } }
對 Amazon ECS-Fargate 執行期涵蓋範圍問題進行故障診斷
如果您的 Amazon ECS 叢集的涵蓋範圍狀態為狀況不良，您可以在問題欄下檢視原因。
下表提供 Fargate （僅限 Amazon ECS) 問題的建議疑難排解步驟。如需 Amazon EC2 執行個體涵蓋範圍問題的資訊，請參閱適用於 Amazon EC2 執行個體對 Amazon EC2 執行期涵蓋範圍問題進行故障診斷的 。
| 問題類型 | 額外資訊 | 建議的疑難排解步驟 |
|---|---|---|
|
客服人員未報告 |
客服人員未報告 中的任務 |
驗證 Amazon ECS 叢集任務的 VPC 端點是否已正確設定。如需詳細資訊，請參閱驗證 VPC 端點組態。 如果您的組織有服務控制政策 (SCP)，請驗證許可界限未限制 |
|
|
檢視額外資訊中的 VPC 問題詳細資訊。 |
|
|
代理程式已結束 |
ExitCode： |
在額外資訊中檢視問題詳細資訊。 |
|
原因： 中任務的 |
||
ExitCode： |
||
代理程式已結束：原因 |
在此案例中，GuardDuty 可能無法提取附屬容器映像。您的任務將繼續執行，但 GuardDuty 無法偵測潛在威脅。一次執行下列故障診斷步驟一，以檢查其是否有助於解決涵蓋範圍問題：
這三個元件 （許可、網路連線和安全群組組態） 是獨立的，但對於從 Amazon ECR 成功下載 GuardDuty 容器映像都是必要的。 如果問題仍然存在，請參閱 我的 AWS Step Functions 工作流程意外失敗。 |
|
|
VPC 端點建立失敗 |
啟用私有 DNS 需要將 |
請確保將下列 VPC 屬性設定為 如果您造訪 https://console.aws.amazon.com/vpc/ |
未佈建代理程式 |
中 |
不支援 |
|
中任務不支援的 CPU 架構 (「 |
此任務正在不支援的 CPU 架構上執行。如需支援的 CPU 架構相關資訊，請參閱 驗證架構需求。 |
|
|
|
ECS 任務執行角色遺失。如需提供任務執行角色和必要許可的資訊，請參閱 容器映像存取的先決條件。 |
|
|
中的 task (s) 缺少網路組態 ' |
網路組態問題可能會因為缺少 VPC 組態，或子網路遺失或空白而出現。 驗證您的網路組態是否正確。如需詳細資訊，請參閱容器映像存取的先決條件。 如需詳細資訊，請參閱《Amazon Elastic Container Service 開發人員指南》中的 Amazon ECS 任務定義參數。 |
|
|
叢集具有排除標籤時啟動的任務會從執行期監控中排除。受影響的任務 ID (s)：' |
當您將預先定義的 GuardDuty 標籤從 將標籤更新為 |
|
|
當叢集具有排除標籤時部署的服務會從執行期監控中排除。受影響的服務名稱 ()：' |
使用排除標籤 將標籤更新為 |
|
|
不涵蓋啟用自動代理程式組態之前啟動的任務。受影響的任務 ID (s)：' |
當叢集包含啟用 Amazon ECS 自動化代理程式組態之前啟動的任務時，GuardDuty 將無法保護此項目。重新啟動任務以供 GuardDuty 監控。 |
|
|
不涵蓋啟用自動化代理程式組態之前部署的服務。受影響的服務名稱 (s)：' |
在為 Amazon ECS 啟用自動化代理程式組態之前部署服務時，GuardDuty 將不會收到 ECS 叢集的執行期事件。 |
|
|
服務「 |
不支援在啟用執行期監控之前啟動的服務。 您可以依照《Amazon Elastic Container Service 開發人員指南》中的使用主控台更新 Amazon ECS 服務的步驟，重新啟動服務或使用 |
|
|
啟用執行期監控之前啟動的任務需要重新啟動。受影響的任務 ID (s)：' |
在 Amazon ECS 中，任務是不可變的。若要評估執行時間行為或執行中的 AWS Fargate 任務，請確定執行時間監控已啟用，然後重新啟動任務讓 GuardDuty 新增容器附屬。 |
|
其他 |
無法識別的問題，適用於 中的任務 |
使用下列問題來識別問題的根本原因：
|
