Amazon ECS용 Runtime Monitoring 켜기

Amazon ECS용 Runtime Monitoring 켜기

EC2 인스턴스가 있는 클러스터에 대해, 또는 Fargate에서 클러스터 수준으로 Runtime Monitoring을 세밀하게 제어해야 할 때 Runtime Monitoring을 켤 수 있어요. Runtime Monitoring 사용을 위한 전제 조건은 다음과 같아요.

출처: 문서

본문

EC2 인스턴스가 있는 클러스터에 대해, 또는 Fargate에서 클러스터 수준으로 Runtime Monitoring을 세밀하게 제어해야 할 때 Runtime Monitoring을 켤 수 있어요. Runtime Monitoring 사용을 위한 전제 조건은 다음과 같아요.

  • Linux용 Fargate 플랫폼 버전은 1.4.0 이상이어야 해요.
  • Amazon ECS용 IAM 역할 및 권한:
    • Fargate 태스크는 태스크 실행 역할(task execution role)을 사용해야 해요. 이 역할은 태스크에 GuardDuty 보안 에이전트를 대신 검색, 업데이트, 관리할 권한을 부여해요. 자세한 내용은 Amazon ECS task execution IAM role 을 참고해 주세요.
    • 미리 정의된 태그로 클러스터의 Runtime Monitoring을 제어할 수 있어요. 액세스 정책이 태그에 따라 액세스를 제한하면 IAM 사용자에게 클러스터에 태그를 지정할 수 있는 명시적 권한을 부여해야 해요. 자세한 내용은 IAM User Guide 의 IAM tutorial: Define permissions to access AWS resources based on tags 를 참고해 주세요.
  • Amazon ECR 리포지토리 연결:
    • GuardDuty 보안 에이전트는 Amazon ECR 리포지토리에 저장돼요. 각 독립 실행형 및 서비스 태스크는 리포지토리에 액세스할 수 있어야 해요. 다음 옵션 중 하나를 사용할 수 있어요.
      • 퍼블릭 서브넷의 태스크에는 태스크에 퍼블릭 IP 주소를 사용하거나, 태스크가 실행되는 서브넷에 Amazon ECR용 VPC 엔드포인트를 만들 수 있어요. 자세한 내용은 Amazon Elastic Container Registry User Guide 의 Amazon ECR interface VPC endpoints (AWS PrivateLink) 를 참고해 주세요.
      • 프라이빗 서브넷의 태스크에는 NAT(Network Address Translation) 게이트웨이를 사용하거나, 태스크가 실행되는 서브넷에 Amazon ECR용 VPC 엔드포인트를 만들 수 있어요. 자세한 내용은 Private subnet and NAT gateway 를 참고해 주세요.
  • GuardDuty용 AWSServiceRoleForAmazonGuardDuty 역할이 있어야 해요. 자세한 내용은 Amazon GuardDuty User Guide 의 Service-linked role permissions for GuardDuty 를 참고해 주세요.
  • Runtime Monitoring으로 보호하려는 파일은 루트 사용자가 액세스할 수 있어야 해요. 파일 권한을 수동으로 변경했다면 755 로 설정해야 해요.

EC2 컨테이너 인스턴스에서 Runtime Monitoring을 사용하기 위한 전제 조건은 다음과 같아요.

  • Amazon ECS-AMI 버전 20230929 이상을 사용해야 해요.
  • 컨테이너 인스턴스에서 Amazon ECS 에이전트를 버전 1.77 이상으로 실행해야 해요.
  • 커널 버전 5.10 이상을 사용해야 해요.
  • 지원되는 Linux 운영 체제 및 아키텍처에 대한 정보는 Which operating models and workloads does GuardDuty Runtime Monitoring support 를 참고해 주세요.
  • Systems Manager를 사용해 컨테이너 인스턴스를 관리할 수 있어요. 자세한 내용은 AWS Systems Manager Session Manager User Guide 의 Setting up Systems Manager for EC2 instances 를 참고해 주세요.

GuardDuty에서 Runtime Monitoring을 켜요. 이 기능을 활성화하는 방법은 Amazon GuardDuty User Guide 의 Enabling Runtime Monitoring 을 참고해 주세요.

더 알아보기 (Learn more)