搭配執行期監控使用共用 VPC

GuardDuty 執行期監控支援針對屬於相同組織的 使用共用 AWS 帳戶 Amazon Virtual Private Cloud (Amazon VPC) AWS Organizations。您可以透過兩種方式使用共用 VPC：

運作方式

AWS 帳戶 屬於與共用 Amazon VPC 擁有者帳戶相同組織的 也可以共用相同的 Amazon VPC 端點。每個使用相同 Amazon VPC 端點政策的帳戶稱為相關聯共用 Amazon VPC 的參與者 AWS 帳戶。

下列範例顯示共用 VPC 擁有者帳戶和參與者帳戶的預設 VPC 端點政策。aws:PrincipalOrgID 會顯示與共用 VPC 資源相關聯的組織 ID。此政策的使用僅限於擁有者帳戶組織中存在的參與者帳戶。

{
    "Version": "2012-10-17",
    "Statement": [{
            "Action": "*",
            "Resource": "*",
            "Effect": "Allow",
            "Principal": "*"
        },
        {
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalOrgID": "o-abcdef0123"
                }
            },
            "Action": "*",
            "Resource": "*",
            "Effect": "Deny",
            "Principal": "*"
        }
    ]
}

使用 GuardDuty 自動代理程式組態

當共用 VPC 的擁有者帳戶啟用任何資源 (Amazon EKS 或 AWS Fargate （僅限 Amazon ECS)) 的執行期監控和自動代理程式組態時，所有共用 VPCs 都有資格在共用 VPC 擁有者帳戶中自動安裝共用的 Amazon VPC 端點和相關聯的安全群組。GuardDuty 會擷取與共用 Amazon VPC 相關聯的組織 ID。

當共用 VPC 擁有者帳戶或參與帳戶需要時，GuardDuty 會建立 Amazon VPC 端點。需要 Amazon VPC 端點的範例包括啟用 GuardDuty、執行期監控、EKS 執行期監控，或啟動新的 Amazon ECS-Fargate 任務。當這些帳戶針對任何資源類型啟用執行期監控和自動代理程式組態時，GuardDuty 會建立 Amazon VPC 端點，並使用與共用 VPC 擁有者帳戶相同的組織 ID 設定端點政策。GuardDuty 新增GuardDutyManaged標籤，並針對 GuardDuty 建立true的 Amazon VPC 端點將其設定為 。如果共用的 Amazon VPC 擁有者帳戶尚未啟用任何資源的執行期監控或自動代理程式組態，GuardDuty 將不會設定 Amazon VPC 端點政策。如需在共用 VPC 擁有者帳戶中自動設定執行期監控和管理安全代理程式的相關資訊，請參閱 啟用 GuardDuty 執行期監控。

使用 搭配手動受管代理程式

當您搭配手動受管代理程式使用共用 VPC 時，請確認沒有明確的Deny端點政策封鎖任何需要使用共用 VPC 的帳戶。這將防止安全代理程式將遙測傳送至 GuardDuty，導致Unhealthy涵蓋狀態。如需設定端點政策，請參閱 Example shared VPC endpoint policy。

在缺少共用 VPC 許可等情況下，執行期涵蓋範圍可能不準確。您可以依照 中資源類型的步驟，持續監控資源涵蓋範圍檢閱執行時間涵蓋範圍統計資料和疑難排解問題。

為了確保運算資源的持續執行期監控保護，GuardDuty 建議為共用 VPC 擁有者帳戶和資源的所有參與帳戶啟用自動代理程式組態。

使用共用 VPC 的先決條件

在初始設定中， AWS 帳戶 在您想要成為共用 VPC 擁有者的 中執行下列步驟：

GuardDuty 執行期監控的特定先決條件

以下清單提供 GuardDuty 特有的先決條件：