ビュー:

Container Securityは接続されたAmazon ECS Fargateコンテナの保護をサポートします。

重要
重要
続行する前に、FargateコンテナをホストするAmazon ECSクラスターに接続する必要があります。
ECSタスク定義パッチャーは、Amazon ECS Fargateタスク定義にContainer Securityコンテナ (Falco、Scout、Pdig) をバージョン2.0.0以降に自動的にパッチするLambdaベースのサービスです。Container Securityをデプロイする際には、次の点に注意してください。
  • コンテナはインターネットにアクセスできる必要があります。
  • Container Securityはptraceを使用してコンテナを検査します。ptraceを使用している場合、監視が正しく機能しない可能性があります。
  • Container Securityはタスク定義でpidModeを有効にします。pidModeを有効にすると、タスクごとに1つのECS Execセッションのみが許可されます。詳細については、Amazon ECS Execを使用したデバッグを参照してください。
  • FargateのContainer Securityには、1つ以上のvCPU (1024 CPUユニット) と512MiBのメモリが必要です。 AWSをフォローするタスクサイズ表Container SecurityとFargateでのワークロードを実行するための適切なタスクサイズを決定します。
注意
注意
手動でパッチを適用されたFargateサービスは自動的にパッチが適用されません。Fargateサービスが自動的にパッチされるようにするには、Container Securityイメージを使用しない元のタスク定義を使用してください。

手順

  1. Trend Vision Oneコンソールで [Cloud Security] → [Container Security] → [Inventory/Overview] の順に選択します。
  2. ツリー内で[Amazon ECS]をクリックし、リスト内のFargateクラスターを見つけてクリックします。
  3. [ランタイムセキュリティ]をオンにします。
  4. 別のブラウザタブで、クラスターをホストしているAWS accountにサインインしてください。
    重要
    重要
    以下のAWSの指示とスクリーンショットは2025年11月19日時点で有効です。さらに詳しい情報が必要な場合は、AWSのドキュメントを確認してください。
  5. 保護したいFargateサービスのタスクロールに、以下に記載されている追加の権限を追加してください。
    ContainerTaskRolesAmazonECS=ee25cd00-64c9-4c8d-830a-e9c9bd196a31.png
    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:GetParameter",
            "Resource": "arn:aws:ssm:${Region}:${Account}:parameter/V1CS/*"
        },
        {
            "Effect": "Allow",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "arn:aws:secretsmanager:${Region}:${Account}:secret:/V1CS/${CLUSTER_NAME}/AuthToken-*"
        },
        {
            "Effect": "Allow",
            "Action": "ecs:TagResource",
            "Resource": "arn:aws:ecs:${Region}:${Account}:task/*"
        }
    ]
}
    各要素の説明は次のとおりです。
    • $(Region) - Fargateコンテナがホストされているリージョン (例: us-east-1)。
    • $Account) - Fargateコンテナを管理するAWS account。
    • ${CLUSTER_NAME} - このFargateサービスがデプロイされるクラスターです。このフィールドを*に置き換えることで、このIAMロールを任意のクラスターに適用できます。
  6. trendmicro-container-security-ecs-taskdef-patcherラムダはタスク定義を更新し、新しいタスク定義でECSサービスを再デプロイします。
    注意
    注意
    AWS ECSサービスのみがサポートされており、ECSタスクはサポートされていません。