本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 在多帳戶環境中為 Amazon EC2 資源啟用 GuardDuty 代理程式 在多帳戶環境中，只有委派的 GuardDuty 管理員帳戶可以啟用或停用屬於其組織中成員帳戶的資源類型的自動代理程式組態。GuardDuty 成員帳戶無法從其帳戶修改此組態。委派的 GuardDuty 管理員帳戶會使用 管理其成員帳戶 AWS Organizations。如需有關多帳戶環境的詳細資訊，請參閱 [Managing multiple accounts](https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_accounts.html)。 ## 對於委派的 GuardDuty 管理員帳戶 ------ #### [ Configure for all instances ] 如果您為執行期監控**的所有帳戶選擇啟用**，請為委派的 GuardDuty 管理員帳戶選擇下列其中一個選項： + **選項 1** 在**自動化代理程式組態**下，於 **EC2** 區段中，選取**為所有帳戶啟用**。 + **選項 2** + 在**自動化代理程式組態**下，於 **EC2** 區段中，選取**手動設定帳戶**。 + 在**委派管理員 （此帳戶）** 下，選擇**啟用**。 + 選擇**儲存**。 如果您選擇**手動設定**執行期監控的帳戶，請執行下列步驟： + 在**自動化代理程式組態**下，於 **EC2** 區段中，選取**手動設定帳戶**。 + 在**委派管理員 （此帳戶）** 下，選擇**啟用**。 + 選擇**儲存**。 無論您選擇哪個選項為委派的 GuardDuty 管理員帳戶啟用自動代理程式組態，都可以驗證 GuardDuty 建立的 SSM 關聯將在屬於此帳戶的所有 EC2 資源上安裝和管理安全代理程式。 1. 在 https：//[https://console.aws.amazon.com/systems-manager/](https://console.aws.amazon.com/systems-manager/) 開啟 AWS Systems Manager 主控台。 1. 開啟 SSM **關聯的目標**索引標籤 (`GuardDutyRuntimeMonitoring-do-not-delete`)。請注意，**標籤金鑰**會顯示為 **InstanceIds**。 ------ #### [ Using inclusion tag in selected instances ] **為選取的 Amazon EC2 執行個體設定 GuardDuty 代理程式** 1. 登入 AWS 管理主控台 ，並在 [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/)：// 開啟 Amazon EC2 主控台。 1. 將 `GuardDutyManaged`：`true` 標籤新增至您希望 GuardDuty 監控和偵測潛在威脅的執行個體。如需新增此標籤的詳細資訊，請參閱[如何將標籤新增至個別資源](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/Using_Tags.html#adding-or-deleting-tags)。 新增此標籤將允許 GuardDuty 安裝和管理這些所選 EC2 執行個體的安全代理程式。**您不需要**明確啟用自動代理程式組態。 1. 您可以驗證 GuardDuty 建立的 SSM 關聯只會在以包含標籤標記的 EC2 資源上安裝和管理安全代理程式。 在 https：//[https://console.aws.amazon.com/systems-manager/](https://console.aws.amazon.com/systems-manager/) 開啟 AWS Systems Manager 主控台。 1. 開啟建立之 SSM 關聯的**目標**索引標籤 (`GuardDutyRuntimeMonitoring-do-not-delete`)。**標籤金鑰**會顯示為 **tag：GuardDutyManaged**。 ------ #### [ Using exclusion tag in selected instances ] **注意** 在啟動排除標籤之前，請務必將排除標籤新增至 Amazon EC2 執行個體。啟用 Amazon EC2 的自動代理程式組態後，任何在沒有排除標籤的情況下啟動的 EC2 執行個體都會包含在 GuardDuty 自動代理程式組態中。 **為選取的 Amazon EC2 執行個體設定 GuardDuty 代理程式** 1. 登入 AWS 管理主控台 ，並在 [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/)：// 開啟 Amazon EC2 主控台。 1. 將 `GuardDutyManaged`：`false` 標籤新增至**您不希望** GuardDuty 監控和偵測潛在威脅的執行個體。如需新增此標籤的詳細資訊，請參閱[如何將標籤新增至個別資源](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/Using_Tags.html#adding-or-deleting-tags)。 1. **若要在執行個體中繼資料中使用[排除標籤](https://docs.aws.amazon.com/guardduty/latest/ug/prereq-runtime-monitoring-ec2-support.html#general-runtime-monitoring-prereq-ec2)，請執行下列步驟：** 1. 在執行個體**的詳細資訊**索引標籤下，檢視**執行個體中繼資料中允許標籤**的狀態。 如果目前已停用****，請使用下列步驟將狀態變更為**已啟用**。否則，請跳過這個步驟。 1. 在**動作**功能表下，選擇**執行個體設定**。 1. 選擇**允許執行個體中繼資料中的標籤**。 1. 新增排除標籤後，請執行與**設定所有執行個體**索引標籤中指定的相同步驟。 ------ 您現在可以評估執行時間 [Amazon EC2 執行個體的執行期涵蓋範圍和疑難排解](gdu-assess-coverage-ec2.md)。 ## 為所有成員帳戶自動啟用 **注意** 最多可能需要 24 小時才會更新成員帳戶的組態。 ------ #### [ Configure for all instances ] 下列步驟假設您為執行期監控區段中的所有**帳戶選擇啟用**： 1. 在 **Amazon EC2** 的**自動客服人員組態**區段中，選擇**為所有帳戶啟用**。 1. 您可以驗證 GuardDuty 建立的 SSM 關聯 (`GuardDutyRuntimeMonitoring-do-not-delete`) 將在屬於此帳戶的所有 EC2 資源上安裝和管理安全代理程式。 1. 在 https：//[https://console.aws.amazon.com/systems-manager/](https://console.aws.amazon.com/systems-manager/) 開啟 AWS Systems Manager 主控台。 1. 開啟 SSM 關聯的**目標**索引標籤。請注意，**標籤金鑰**會顯示為 **InstanceIds**。 ------ #### [ Using inclusion tag in selected instances ] **為選取的 Amazon EC2 執行個體設定 GuardDuty 代理程式** 1. 登入 AWS 管理主控台 ，並在 [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/)：// 開啟 Amazon EC2 主控台。 1. 將 `GuardDutyManaged`：`true` 標籤新增至您希望 GuardDuty 監控和偵測潛在威脅的 EC2 執行個體。如需新增此標籤的詳細資訊，請參閱[如何將標籤新增至個別資源](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/Using_Tags.html#adding-or-deleting-tags)。 新增此標籤將允許 GuardDuty 安裝和管理這些所選 EC2 執行個體的安全代理程式。**您不需要**明確啟用自動代理程式組態。 1. 您可以驗證 GuardDuty 建立的 SSM 關聯將在屬於您帳戶的所有 EC2 資源上安裝和管理安全代理程式。 1. 在 https：//[https://console.aws.amazon.com/systems-manager/](https://console.aws.amazon.com/systems-manager/) 開啟 AWS Systems Manager 主控台。 1. 開啟 SSM 關聯**的目標**索引標籤 (`GuardDutyRuntimeMonitoring-do-not-delete`)。請注意，**標籤金鑰**會顯示為 **InstanceIds**。 ------ #### [ Using exclusion tag in selected instances ] **注意** 在啟動排除標籤之前，請務必將排除標籤新增至 Amazon EC2 執行個體。啟用 Amazon EC2 的自動代理程式組態後，任何在沒有排除標籤的情況下啟動的 EC2 執行個體都會包含在 GuardDuty 自動代理程式組態中。 **為選取的 Amazon EC2 執行個體設定 GuardDuty 安全代理程式** 1. 登入 AWS 管理主控台 ，並在 [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/)：// 開啟 Amazon EC2 主控台。 1. 將 `GuardDutyManaged`：`false` 標籤新增至**您不希望** GuardDuty 監控和偵測潛在威脅的執行個體。如需新增此標籤的詳細資訊，請參閱[如何將標籤新增至個別資源](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/Using_Tags.html#adding-or-deleting-tags)。 1. **若要在執行個體中繼資料中使用[排除標籤](https://docs.aws.amazon.com/guardduty/latest/ug/prereq-runtime-monitoring-ec2-support.html#general-runtime-monitoring-prereq-ec2)，請執行下列步驟：** 1. 在執行個體**的詳細資訊**索引標籤下，檢視**執行個體中繼資料中允許標籤**的狀態。 如果目前已停用****，請使用下列步驟將狀態變更為**已啟用**。否則，請跳過這個步驟。 1. 在**動作**功能表下，選擇**執行個體設定**。 1. 選擇**允許執行個體中繼資料中的標籤**。 1. 新增排除標籤後，請執行與**設定所有執行個體**索引標籤中指定的相同步驟。 ------ 您現在可以評估執行時間 [Amazon EC2 執行個體的執行期涵蓋範圍和疑難排解](gdu-assess-coverage-ec2.md)。 ## 僅對新成員帳戶自動啟用 委派的 GuardDuty 管理員帳戶可以設定 Amazon EC2 資源的自動代理程式組態，以便在新成員帳戶加入組織時自動為其啟用 。 ------ #### [ Configure for all instances ] 下列步驟假設您已在**執行期監控**區段下**為新成員帳戶選取自動啟用**： 1. 在導覽窗格中，選擇**執行期監控**。 1. 在**執行期監控**頁面上，選擇**編輯**。 1. 選取**為新成員帳戶自動啟用**。此步驟可確保每當新帳戶加入您的組織時，會自動為其帳戶啟用 Amazon EC2 的自動代理程式組態。只有組織的委派 GuardDuty 管理員帳戶可以修改此選項。 1. 選擇**儲存**。 當新的成員帳戶加入組織時，系統會自動為其啟用此組態。若要讓 GuardDuty 管理屬於此新成員帳戶的 Amazon EC2 執行個體的安全代理程式，請確定[對於 EC2 執行個體](prereq-runtime-monitoring-ec2-support.md)符合所有先決條件。 建立 SSM 關聯時 (`GuardDutyRuntimeMonitoring-do-not-delete`)，您可以驗證 SSM 關聯將在屬於新成員帳戶的所有 EC2 執行個體上安裝和管理安全代理程式。 + 在 https：//[https://console.aws.amazon.com/systems-manager/](https://console.aws.amazon.com/systems-manager/) 開啟 AWS Systems Manager 主控台。 + 開啟 SSM 關聯的**目標**索引標籤。請注意，**標籤金鑰**會顯示為 **InstanceIds**。 ------ #### [ Using inclusion tag in selected instances ] **為帳戶中選取的執行個體設定 GuardDuty 安全代理程式** 1. 登入 AWS 管理主控台 ，並在 [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/)：// 開啟 Amazon EC2 主控台。 1. 將 `GuardDutyManaged`：`true` 標籤新增至您希望 GuardDuty 監控和偵測潛在威脅的執行個體。如需新增此標籤的詳細資訊，請參閱[如何將標籤新增至個別資源](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/Using_Tags.html#adding-or-deleting-tags)。 新增此標籤將允許 GuardDuty 安裝和管理這些所選執行個體的安全代理程式。您不需要明確啟用自動代理程式組態。 1. 您可以驗證 GuardDuty 建立的 SSM 關聯只會在以包含標籤標記的 EC2 資源上安裝和管理安全代理程式。 1. 在 https：//[https://console.aws.amazon.com/systems-manager/](https://console.aws.amazon.com/systems-manager/) 開啟 AWS Systems Manager 主控台。 1. 開啟要建立之 SSM 關聯的**目標**索引標籤。**標籤金鑰**會顯示為 **tag：GuardDutyManaged**。 ------ #### [ Using exclusion tag in selected instances ] **注意** 在啟動排除標籤之前，請務必將排除標籤新增至 Amazon EC2 執行個體。啟用 Amazon EC2 的自動代理程式組態後，任何在沒有排除標籤的情況下啟動的 EC2 執行個體都會包含在 GuardDuty 自動代理程式組態中。 **為獨立帳戶中的特定執行個體設定 GuardDuty 安全代理程式** 1. 登入 AWS 管理主控台 ，並在 [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/)：// 開啟 Amazon EC2 主控台。 1. 將 `GuardDutyManaged`：`false` 標籤新增至**您不希望** GuardDuty 監控和偵測潛在威脅的執行個體。如需新增此標籤的資訊，請參閱[如何將標籤新增至個別資源](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/Using_Tags.html#adding-or-deleting-tags)。 1. **若要在執行個體中繼資料中使用[排除標籤](https://docs.aws.amazon.com/guardduty/latest/ug/prereq-runtime-monitoring-ec2-support.html#general-runtime-monitoring-prereq-ec2)，請執行下列步驟：** 1. 在執行個體**的詳細資訊**索引標籤下，檢視**執行個體中繼資料中允許標籤**的狀態。 如果目前已停用****，請使用下列步驟將狀態變更為**已啟用**。否則，請跳過這個步驟。 1. 在**動作**功能表下，選擇**執行個體設定**。 1. 選擇**允許執行個體中繼資料中的標籤**。 1. 新增排除標籤後，請執行與**設定所有執行個體**索引標籤中指定的相同步驟。 ------ 您現在可以評估執行時間 [Amazon EC2 執行個體的執行期涵蓋範圍和疑難排解](gdu-assess-coverage-ec2.md)。 ## 僅限選擇性成員帳戶 ------ #### [ Configure for all instances ] 1. 在**帳戶**頁面上，選取要啟用**執行期監控自動代理程式組態 (Amazon EC2) **的一或多個帳戶。請確定您在此步驟中選取的帳戶已啟用執行期監控。 1. 在**編輯保護計畫**中，選擇適當的選項以啟用**執行期監控自動代理程式組態 (Amazon EC2)**。 1. 選擇**確認**。 ------ #### [ Using inclusion tag in selected instances ] **為所選執行個體設定 GuardDuty 安全代理程式** 1. 登入 AWS 管理主控台 ，並在 [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/)：// 開啟 Amazon EC2 主控台。 1. 將 `GuardDutyManaged`：`true` 標籤新增至您希望 GuardDuty 監控和偵測潛在威脅的執行個體。如需新增此標籤的詳細資訊，請參閱[如何將標籤新增至個別資源](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/Using_Tags.html#adding-or-deleting-tags)。 新增此標籤將允許 GuardDuty 管理已標記 Amazon EC2 執行個體的安全代理程式。您不需要明確啟用自動代理程式組態 (**執行期監控 - 自動化代理程式組態 (EC2)**。 ------ #### [ Using exclusion tag in selected instances ] **注意** 在啟動排除標籤之前，請務必將排除標籤新增至 Amazon EC2 執行個體。啟用 Amazon EC2 的自動代理程式組態後，任何在沒有排除標籤的情況下啟動的 EC2 執行個體都將包含在 GuardDuty 自動化代理程式組態中。 **為所選執行個體設定 GuardDuty 安全代理程式** 1. 登入 AWS 管理主控台 ，並在 [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/)：// 開啟 Amazon EC2 主控台。 1. 將 `GuardDutyManaged`：`false` 標籤新增至您**不希望** GuardDuty 監控或偵測潛在威脅的 EC2 執行個體。如需新增此標籤的詳細資訊，請參閱[如何將標籤新增至個別資源](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/Using_Tags.html#adding-or-deleting-tags)。 1. **若要在執行個體中繼資料中使用[排除標籤](https://docs.aws.amazon.com/guardduty/latest/ug/prereq-runtime-monitoring-ec2-support.html#general-runtime-monitoring-prereq-ec2)，請執行下列步驟：** 1. 在執行個體**的詳細資訊**索引標籤下，檢視**執行個體中繼資料中允許標籤**的狀態。 如果目前已停用****，請使用下列步驟將狀態變更為**已啟用**。否則，請跳過這個步驟。 1. 在**動作**功能表下，選擇**執行個體設定**。 1. 選擇**允許執行個體中繼資料中的標籤**。 1. 新增排除標籤之後，請執行與**設定所有執行個體**索引標籤中指定的相同步驟。 ------ 您現在可以評估 [Amazon EC2 執行個體的執行期涵蓋範圍和疑難排解](gdu-assess-coverage-ec2.md)。