翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 # GuardDuty EKS Protection EKS Protection は、 AWS 環境内の Amazon Elastic Kubernetes Service (Amazon EKS) クラスターで潜在的なセキュリティリスクを検出するのに役立ちます。例えば、クラスターからシークレットまたは AWS 認証情報を収集しようとする認証されていないアクターによって、誤って設定された EKS クラスターがいつアクセスされているかを検出するのに役立ちます。EKS Protection は、EKS 監査ログを使用して、ユーザーとアプリケーションのアクティビティを分析します。 EKS Protection を有効にすると、GuardDuty は自動的にAmazon EKS クラスターの潜在的なセキュリティ脅威のモニタリングを開始します。GuardDuty は独自の独立したストリームを使用して [EKS Protection における EKS 監査ログ](#guardduty_k8s-audit-logs) の収集と分析を行います。追加の設定は必要ありません。 EKS 監査ログのモニタリングに基づいて潜在する脅威が検出されると、セキュリティの検出結果が生成されます。EKS Protection を有効にしているときに GuardDuty で生成されうる検出結果タイプについては、「[EKS Protection の検出結果タイプ](guardduty-finding-types-eks-audit-logs.md)」を参照してください。 **注記** アカウント内の EKS 監査ログを表示するには (オプション)、Amazon EKS コントロールプレーンのロギングを設定して監査ログを CloudWatch Logs に送信できます。この設定は EKS Protection とは別のものであり、GuardDuty のセキュリティモニタリング機能には必要ありません。 **30 日間の無料トライアル** + の AWS アカウント で AWS リージョン GuardDuty を初めて有効にすると、30 日間の無料トライアルが受けられます。この場合、EKS Protection も 30 日間無料トライアルに含まれているため一緒に有効になります。 + 既に GuardDuty を使用している場合に、初めて EKS Protection を有効にすると、このリージョンのアカウントに EKS Protection の 30 日間無料トライアルが適用されます。 + EKS Protection はいつでもどのリージョンでも無効にできます。 + 30 日間の無料トライアルでは、そのアカウントとリージョンの使用コストの見積もりを取得できます。30 日間無料トライアルが終了しても、EKS Protection が自動的に無効になることはありません。このリージョンのアカウントで使用コストが発生し始めます。詳細については、「[使用状況のモニタリングとコストの見積もり](monitoring_costs.md)」を参照してください。 EKS Protection を無効にすると、Amazon EKS リソースの EKS 監査ログのモニタリングと分析が直ちに停止します。 EKS Protection は、GuardDuty AWS リージョン が利用可能なすべての で使用できない場合があります。詳細については、「[リージョン固有機能の可用性](guardduty_regions.md#gd-regional-feature-availability)」を参照してください。 **注記** EKS Runtime Monitoring は、Runtime Monitoring の一部として管理されます。詳細については、「[GuardDuty Runtime Monitoring](runtime-monitoring.md)」を参照してください。 ## EKS Protection における EKS 監査ログ EKS 監査ログは、ユーザー、Kubernetes API を使用するアプリケーション、コントロールプレーンからのアクティビティなど、Amazon EKS クラスター内のシーケンシャルアクションをキャプチャします。監査ログは、すべての Kubernetes クラスターのコンポーネントです。 詳細については、Kubernetes ドキュメントの「[監査](https://Kubernetes.io/docs/tasks/debug-application-cluster/audit/)」を参照してください。 Amazon EKS を使用すると、[EKS コントロールプレーンのログ記録](https://docs.aws.amazon.com/eks/latest/userguide/control-plane-logs.html)機能を通じて、EKS 監査ログを Amazon CloudWatch Logs として取り込むことができます。GuardDuty は、Amazon EKS コントロールプレーンのログ記録を管理したり、アカウントの EKS 監査ログをアクセス可能な状態にしたりしません (Amazon EKS 向けに有効にしていない場合)。EKS 監査ログへのアクセスと保持期間を管理するには、Amazon EKS コントロールプレーンのログ機能を設定する必要があります。詳細については、「**Amazon EKS ユーザーガイド**」の「[コントロールプレーンログの有効化と無効化](https://docs.aws.amazon.com/eks/latest/userguide/control-plane-logs.html#enabling-control-plane-log-export)」を参照してください。 # マルチアカウント環境での EKS Protection の有効化 マルチアカウント環境で組織内のメンバーアカウントの EKS Protection 機能を有効または無効にできるのは、委任 GuardDuty 管理者アカウントのみです。GuardDuty メンバーアカウントからは、この設定を変更できません。委任 GuardDuty 管理者アカウントでは、 AWS Organizationsを使用してメンバーアカウントを管理します。この委任 GuardDuty 管理者アカウントは、組織に加わるすべての新規アカウントに対して、EKS Protection の自動有効化を選択できます。マルチアカウント環境の詳細については、「[Amazon GuardDuty での複数のアカウントの管理](https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_accounts.html)」を参照してください。 ## 委任 GuardDuty 管理者アカウントでの EKS 監査ログのモニタリングの設定 任意のアクセス方法を選択して、委任 GuardDuty 管理者アカウントのために EKS 監査ログのモニタリングを設定します。 ------ #### [ Console ] 1. [https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) で GuardDuty コンソールを開きます。 1. ナビゲーションペインで、[EKS Protection] を選択します。 1. **[設定]** タブでは、各セクションにおける EKS 監査ログのモニタリングの現在の設定ステータスを確認できます。委任 GuardDuty 管理者アカウントの設定を更新するには、**[EKS 監査ログのモニタリング]** ペインで **[編集]** を選択します。 1. 次のいずれかを行います。 ****[すべてのアカウントについて有効にする]** の使用** + **[すべてのアカウントについて有効にする]** を選択します。これにより、 AWS 組織に参加する新しいアカウントを含め、組織内のすべてのアクティブな GuardDuty アカウントの保護プランが有効になります。 + **[保存]** を選択します。 ****[アカウントを手動で設定]** の使用** + 委任 GuardDuty 管理者アカウントでのみ保護プランを有効にするには、**[アカウントを手動で設定]** を選択します。 + **[委任 GuardDuty 管理者 (このアカウント)]** セクションで **[有効にする]** を選択します。 + **[保存]** を選択します。 ------ #### [ API/CLI ] ユーザー独自のリージョンレベルのディテクター ID を使用し、`features` オブジェクト `name` を `EKS_AUDIT_LOGS` として、`status` を `ENABLED` または `DISABLED` として渡して、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateDetector.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateDetector.html) API オペレーションを実行します。 アカウントと現在のリージョンの `detectorId` を検索するには、[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) コンソールの **[設定]** ページを参照するか、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html) API を実行します。 次の AWS CLI コマンドを実行して、EKS 監査ログのモニタリングを有効または無効にできます。必ず委任 GuardDuty 管理者アカウントの有効な*ディテクター ID* を使用してください。 **注記** 次のサンプルコードは EKS 監査ログのモニタリングを有効にします。*12abc34d567e8fa901bc2d34e56789f0* を`detector-id`委任 GuardDuty 管理者アカウントの に、*555555555555* AWS アカウント を委任 GuardDuty 管理者アカウントの に置き換えてください。 アカウントと現在のリージョンの `detectorId` を検索するには、[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) コンソールの **[設定]** ページを参照するか、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html) API を実行します。 ``` aws guardduty update-detector --detector-id 12abc34d567e8fa901bc2d34e56789f0 --features '[{"Name": "EKS_AUDIT_LOGS", "Status": "ENABLED"}]' ``` EKS 監査ログモニタリングを無効にするには、`ENABLED` を `DISABLED` に置き換えます。 ------ ## すべてのメンバーアカウントの EKS 監査ログのモニタリングを自動で有効にする 任意のアクセス方法を選択して、組織内の既存のメンバーアカウントの EKS 監査ログのモニタリングを有効にします。 ------ #### [ Console ] 1. にサインイン AWS マネジメントコンソール し、[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) で GuardDuty コンソールを開きます。 必ず委任 GuardDuty 管理者アカウントの認証情報を使用してください。 1. 次のいずれかを行います。 ****[EKS Protection]** ページの使用** 1. ナビゲーションペインで、**[EKS Protection]** を選択します。 1. **[設定]** タブでは、組織内のアクティブなメンバーアカウントの EKS 監査ログのモニタリングの現在のステータスを確認できます。 EKS 監査ログモニタリング設定を更新するには、**[編集]** を選択します。 1. **[すべてのアカウントについて有効にする]** を選択します。このアクションにより、組織内の既存のアカウントと新しいアカウントの両方について EKS 監査ログモニタリングが自動的に有効になります。 1. **[保存]** を選択します。 **注記** メンバーアカウントの設定を更新するには、最大 24 時間かかる場合があります。 ****[アカウント]** ページの使用** 1. ナビゲーションペインで、**[Accounts]** (アカウント) を選択します。 1. **[アカウント]** ページで、**[招待によるアカウントの追加]** の前に **[自動有効化]** の詳細設定を選択します。 1. **[自動有効化の詳細設定を管理]** ウィンドウで、**[EKS 監査ログモニタリング]** の下の **[すべてのアカウントについて有効にする]** を選択します。 1. **[保存]** を選択します。 **[すべてのアカウントについて有効にする]** オプションを使用できず、組織内の特定のアカウントのために EKS 監査ログモニタリング設定をカスタマイズする場合は、「[メンバーアカウントの EKS 監査ログのモニタリングを選択的に有効または無効にする](#k8s-enable-disable-selective-members-org)」を参照してください。 ------ #### [ API/CLI ] + メンバーアカウントの EKS 監査ログのモニタリングを選択的に有効または無効にするには、自分の*ディテクター ID* を使用し、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateMemberDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateMemberDetectors.html) API オペレーションを呼び出します。 + 次の例では、単一のメンバーアカウントで EKS 監査ログのモニタリングを有効にする方法を示しています。無効にするには、`ENABLED` を `DISABLED` に置き換えます。 アカウントと現在のリージョンの `detectorId` を検索するには、[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) コンソールの **[設定]** ページを参照するか、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html) API を実行します。 ``` aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"name": "EKS_AUDIT_LOGS", "status": "ENABLED"}]' ``` **注記** スペースで区切られたアカウント ID のリストを渡すこともできます。 + コードが正常に実行されると、`UnprocessedAccounts` の空のリストが返されます。アカウントのディテクター設定を変更する際に問題が発生した場合は、そのアカウント ID と問題の概要が表示されます。 ------ ## すべての既存のアクティブなメンバーアカウントのために EKS 監査ログモニタリングを有効にする 任意のアクセス方法を選択して、組織内のすべての既存のアクティブなメンバーアカウントの EKS 監査ログのモニタリングを有効にします。 ------ #### [ Console ] 1. にサインイン AWS マネジメントコンソール し、[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) で GuardDuty コンソールを開きます。 委任 GuardDuty 管理者アカウントの認証情報を使用してサインインします。 1. ナビゲーションペインで、**[EKS Protection]** を選択します。 1. **[EKS Protection]** ページでは、**[GuardDuty が開始するマルウェアスキャン]** 設定の現在のステータスを表示できます。**[アクティブなメンバーアカウント]** セクションで、**[アクション]** を選択します。 1. **[アクション]** ドロップダウンメニューから、**[すべての既存のアクティブなメンバーアカウントについて有効にする]** を選択します。 1. **[保存]** を選択します。 ------ #### [ API/CLI ] + メンバーアカウントの EKS 監査ログのモニタリングを選択的に有効または無効にするには、自分の*ディテクター ID* を使用し、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateMemberDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateMemberDetectors.html) API オペレーションを呼び出します。 + 次の例では、単一のメンバーアカウントで EKS 監査ログのモニタリングを有効にする方法を示しています。無効にするには、`ENABLED` を `DISABLED` に置き換えます。 アカウントと現在のリージョンの `detectorId` を検索するには、[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) コンソールの **[設定]** ページを参照するか、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html) API を実行します。 ``` aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"name": "EKS_AUDIT_LOGS", "status": "ENABLED"}]' ``` **注記** スペースで区切られたアカウント ID のリストを渡すこともできます。 + コードが正常に実行されると、`UnprocessedAccounts` の空のリストが返されます。アカウントのディテクター設定を変更する際に問題が発生した場合は、そのアカウント ID と問題の概要が表示されます。 ------ ## 新しいメンバーアカウントの EKS 監査ログのモニタリングを自動で有効にする 新しく追加されたメンバーアカウントは、GuardDuty が開始するマルウェアスキャンの設定を選択する前に GuardDuty を **[有効にする]** 必要があります。招待によって管理されるメンバーアカウントは、各自でアカウントに GuardDuty 実行型マルウェアスキャンを手動で設定できます。詳細については、「[Step 3 - Accept an invitation](guardduty_become_console.md#guardduty_accept_invite_proc)」を参照してください。 任意のアクセス方法を選択して、組織に参加する新規アカウントの EKS 監査ログのモニタリングを有効にします。 ------ #### [ Console ] 委任 GuardDuty 管理者アカウントは、**[EKS 監査ログのモニタリング]** または **[アカウント]** のいずれかのページを使用して、組織内の新しいメンバーアカウントのために EKS 監査ログのモニタリングを有効にすることができます。 **新しいメンバーアカウントの EKS 監査ログのモニタリングを自動で有効にするには** 1. [https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) で GuardDuty コンソールを開きます。 必ず委任 GuardDuty 管理者アカウントの認証情報を使用してください。 1. 次のいずれかを行います。 + **[EKS Protection]** ページを使用する場合: 1. ナビゲーションペインで、**[EKS Protection]** を選択します。 1. **[EKS Protection]** ページで、**[EKS 監査ログモニタリング]** の **[編集]** を選択します。 1. **[アカウントを手動で設定]** を選択します。 1. **[新しいメンバーアカウントについて自動的に有効にする]** を選択します。このステップにより、新しいアカウントが組織に参加するたびに、そのアカウントのために EKS 監査ログモニタリングが自動的に有効になります。この設定を変更できるのは、組織の委任 GuardDuty 管理者アカウントだけです。 1. **[保存]** を選択します。 + **[Accounts]** (アカウント) ページを使用する場合: 1. ナビゲーションペインで、**[Accounts]** (アカウント) を選択します。 1. **[アカウント]** ページで、**[自動有効化]** 設定を選択します。 1. **[自動有効化の詳細設定を管理]** ウィンドウで、**[EKS 監査ログモニタリング]** の下の **[新しいアカウントについて有効にする]** を選択します。 1. **[保存]** を選択します。 ------ #### [ API/CLI ] + 新しいアカウントの EKS 監査ログのモニタリングを選択的に有効または無効にするには、自分の*ディテクター ID* を使用し、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateOrganizationConfiguration.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateOrganizationConfiguration.html) API オペレーションを実行します。 + 次の例では、組織に参加する新規メンバーの EKS 監査ログのモニタリングを有効にする方法を示しています。スペースで区切られたアカウント ID のリストを渡すこともできます。 アカウントと現在のリージョンの `detectorId` を検索するには、[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) コンソールの **[設定]** ページを参照するか、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html) API を実行します。 ``` aws guardduty update-organization-configuration --detector-id 12abc34d567e8fa901bc2d34e56789f0 --auto-enable --features '[{"Name": "EKS_AUDIT_LOGS", "AutoEnable": "NEW"}]' ``` ------ ## メンバーアカウントの EKS 監査ログのモニタリングを選択的に有効または無効にする 任意のアクセス方法を選択して、組織内の選択的メンバーアカウントの EKS 監査ログのモニタリングを有効または無効にします。 ------ #### [ Console ] 1. [https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) で GuardDuty コンソールを開きます。 必ず委任 GuardDuty 管理者アカウントの認証情報を使用してください。 1. ナビゲーションペインで、**[Accounts]** (アカウント) を選択します。 **[アカウント]** ページで、**[EKS 監査ログのモニタリング]** 列でメンバーアカウントのステータスを確認します。 1. **EKS 監査ログのモニタリングを有効または無効にするには** EKS 監査ログのモニタリング用に設定するアカウントを選択します。一度に複数のアカウントを選択できます。**[保護プランの編集]** ドロップダウンで **[EKS 監査ログのモニタリング]** を選択し、適切なオプションを選択します。 ------ #### [ API/CLI ] メンバーアカウントの EKS 監査ログのモニタリングを選択的に有効または無効にするには、自身の*ディテクター ID* を使用し、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateMemberDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateMemberDetectors.html) API オペレーションを呼び出します。 次の例では、単一のメンバーアカウントで EKS 監査ログのモニタリングを有効にする方法を示しています。無効にするには、`ENABLED` を `DISABLED` に置き換えます。スペースで区切られたアカウント ID のリストを渡すこともできます。 アカウントと現在のリージョンの `detectorId` を検索するには、[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) コンソールの **[設定]** ページを参照するか、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html) API を実行します。 ``` aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --accountids 111122223333 --features '[{"Name": "EKS_AUDIT_LOGS", "Status": "ENABLED"}]' ``` ------ # スタンドアロンアカウントの EKS Protection の有効化 スタンドアロンアカウントは、特定のリージョンの AWS アカウントで保護プランを有効または無効にする決定を所有します。 アカウントが を通じて AWS Organizations、または招待方法によって GuardDuty 管理者アカウントに関連付けられている場合、このセクションは適用されません。複数のアカウントの管理の詳細については、「[マルチアカウント環境での EKS Protection の有効化](eks-protection-enable-multiple-accounts.md)」を参照してください。 EKS Protection を有効にすると、GuardDuty はアカウント内の Amazon EKS クラスターの EKS 監査ログのモニタリングを開始します。 任意のアクセス方法を選択して、スタンドアロンアカウントの EKS Protection を有効にします。 ------ #### [ Console ] 1. [https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) で GuardDuty コンソールを開きます。 1. 右上隅の**リージョン**セレクターから、EKS Protection を有効にするリージョンを選択します。 1. ナビゲーションペインで、[EKS Protection] を選択します。 1. **[EKS Protection]** ページには、アカウントの EKS Protection の現在のステータスが表示されます。**[有効化]** を選択して、EKS Protection を有効にします。 1. **[確認]** を選択して、選択内容を保存します。 ------ #### [ API/CLI ] + 委任 GuardDuty 管理者アカウントのリージョンレベルのディテクター ID を使用し、`features` オブジェクト名を `EKS_AUDIT_LOGS` として、ステータスを `ENABLED` として渡して、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateDetector.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateDetector.html) API オペレーションを実行します。 または、 AWS CLI コマンドを実行して EKS Protection を有効にすることもできます。次のコマンドを実行し、*12abc34d567e8fa901bc2d34e56789f0* をアカウントのディテクター ID に置き換え、*us-east-1* を EKS Protection を有効にするリージョンに置き換えます。 アカウントと現在のリージョンの `detectorId` を検索するには、[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) コンソールの **[設定]** ページを参照するか、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html) API を実行します。 ``` aws guardduty update-detector --detector-id 12abc34d567e8fa901bc2d34e56789f0 --region us-east-1 --features [{"Name" : "EKS_AUDIT_LOGS", "Status" : "ENABLED"}]' ``` ------