Amazon Web Services

Estos requisitos se aplican independientemente de la plantilla que seleccione.

La cuenta está en la partición estándar de AWS

Solo se admiten organizaciones y cuentas de AWS en la partición comercial estándar de AWS. No se admiten cuentas en otras particiones (como AWS GovCloud o AWS China).

Implementación en la región AWS admitida

Implemente la plantilla CloudFormation en una de las regiones de AWS habilitadas de forma predeterminada por AWS (las regiones de GovCloud y China no son compatibles):

Este de EE. UU. (Virginia del Norte): us-east-1

Este de EE. UU. (Ohio): us-east-2

Oeste de EE. UU. (Norte de California): us-west-1

Oeste de EE. UU. (Oregón): us-west-2

Asia Pacífico (Mumbai): ap-south-1

Asia Pacífico (Osaka): ap-northeast-3

Asia Pacífico (Seúl): ap-northeast-2

Asia Pacífico (Singapur): ap-southeast-1

Asia Pacífico (Sídney): ap-southeast-2

Asia Pacífico (Tokio): ap-northeast-1

Canadá (Central): ca-central-1

Europa (Fráncfort): eu-central-1

Europa (Irlanda): eu-west-1

Europa (Londres): eu-west-2

Europa (París): eu-west-3

Europa (Estocolmo): eu-north-1

América del Sur (São Paulo): sa-east-1

Permisos de la cuenta de AWS

La entidad de AWS IAM (usuario o rol) que use para implementar la pila de CloudFormation debe tener permisos suficientes para crear todos los recursos que aprovisiona la plantilla.

Ámbito de permiso necesario: AdministratorAccess, o una política personalizada que permita crear lo siguiente:

•Roles y políticas administradas de IAM

•Buckets y políticas de buckets de S3

•Historiales de CloudTrail

•Funciones de Lambda (invocadas como recursos personalizados de CloudFormation)

•Pilas de CloudFormation y StackSets

Si no está seguro de si sus credenciales son suficientes, consulte con su administrador de AWS antes de continuar.

Implemente la pila solo una vez por cuenta u organización

Cada plantilla crea recursos con nombres fijos (por ejemplo, CwppServiceRole). Si se implementa una segunda pila en la misma cuenta, se producirá un error de recurso ya existente. Si una implementación anterior falló o debe rehacerse, elimine primero la pila existente de CloudFormation.

Excepción para las funciones de servicio de CWP en políticas de denegación explícitas

Si su cuenta u organización de AWS usa políticas de control de servicios (SCP) o políticas basadas en recursos que contienen una política de Deny explícita con una condición StringNotLike en aws:PrincipalARN, debe agregar una excepción para la función de IAM que CWP crea. Sin esta excepción, la política de denegación bloqueará el funcionamiento de CWP.

Excepciones necesarias:

•Todas las cuentas

Agregue la siguiente función a las listas de autorización: arn:aws:iam::*:role/CwppServiceRole.

•Cuenta de administración (solo implementación en toda la organización)

En el caso de las implementaciones en toda la organización, también debe agregar a las listas de autorización de la cuenta de administración lo siguiente: arn:aws:iam::*:role/CwppManagementServiceRole.

Esta función solo debe agregarse a las políticas basadas en recursos en la cuenta de administración. Las SCP no se aplican a la cuenta de administración, por lo que no se requiere ninguna actualización de SCP para esta función.

Ejemplo de política:

{

  "Effect": "Deny",

  "Resource": "*",

  "Condition": {

    "StringNotLike": {

      "aws:PrincipalARN": "arn:aws:iam::*:role/CwppServiceRole"

    }

  }

}

Asegúrese de que las funciones necesarias se incluyan en la lista de autorización StringNotLike de dichas políticas antes de implementar la pila de CloudFormation.

CwppManagementServiceRole solo es importante para las implementaciones en toda la organización y dentro de las políticas basadas en recursos de la cuenta de administración.

Estos requisitos adicionales se aplican cuando se usa cualquiera de las plantillas de organización.

Implementar desde la cuenta de administración

Las plantillas de organización deben implementarse mientras se ha iniciado sesión en la cuenta de administración de organizaciones de AWS. No puede usar una cuenta de miembro para esta implementación.

Ubique el ID de unidad de la organización raíz

Durante la implementación, se le pedirá el ID de unidad de la organización raíz, que se usa para implementar StackSets en todas las cuentas. Para encontrarlo, realice lo siguiente:

1.Abra la consola Organizaciones de AWS.

2.Haga clic en la entrada Raíz en la parte superior del árbol de la organización.

3.Copie el ID: tiene el formato r-xxxx.

Para obtener instrucciones detalladas, consulte la documentación de AWS sobre cómo recorrer la jerarquía de su organización.

Permiso para activar CloudFormation: acceso de confianza de la organización

La plantilla activa automáticamente el acceso de confianza entre CloudFormation y las organizaciones de AWS (a través de un recurso personalizado de Lambda). Se debe permitir que la entidad de implementación llame a cloudformation:ActivateOrganizationsAccess. Esto se incluye en AdministratorAccess. Si usa un conjunto de permisos con ámbito, asegúrese de que esta acción se permita explícitamente.

Estos requisitos adicionales se aplican cuando se usa cualquiera de las variantes de plantilla de DHMC.

No hay conflictos en la configuración predeterminada de administración de host (DHMC)

Si anteriormente usó la configuración rápida de SSM de AWS para configurar DHMC, aunque sea de forma parcial, no puede usar la incorporación en toda la organización con la configuración de DHMC. Las dos configuraciones entrarán en conflicto. En ese caso, haga lo siguiente:

1.Use la incorporación de organizaciones que no sean de DHMC.

2.En los ajustes de configuración rápida de SSM existentes, asegúrese de que DHMC esté activo en todas las cuentas de los miembros y en todas las regiones en las que CWP se implementará.

Permisos para la configuración rápida de SSM

Además de los permisos de organización básicos, la entidad de implementación necesita lo siguiente:

•ssm-quicksetup:UpdateServiceSettings

•organizations:EnableAWSServiceAccess

•Permiso para crear roles vinculados a servicios

Todo esto se incluye en AdministratorAccess. La plantilla crea un Lambda que realiza estos pasos automáticamente, no es necesario ejecutar ningún comando de forma manual.

La habilitación de la protección de VM (instancia de EC2) en CWP para instancias AWS EC2 implica dos niveles de requisitos. La instancia de EC2 primero debe registrarse como una instancia administrada por SSM (configuración a nivel de cuenta) y, a continuación, cada instancia individual debe cumplir los requisitos a nivel de máquina virtual para que el producto de protección pueda instalarse en ella. Otras funciones de CWP se ejecutan en cuentas que no cumplen estos requisitos previos.

Requisitos previos de la cuenta

Estos requisitos se aplican a nivel de la cuenta en AWS. CWP los configura automáticamente durante la incorporación cuando se usa la variante de plantilla de DHMC. En el caso de las cuentas en las que DHMC no se configuró durante la incorporación (o antes), estos pasos deben completarse de forma manual antes de que se pueda habilitar la protección de la máquina virtual.

•Regiones admitidas para la implementación de la protección

La protección de máquinas virtuales se puede implementar en instancias EC2 en las siguientes regiones de AWS sin necesidad de establecer manualmente la configuración de administración de host predeterminada (DHMC):

Este de EE. UU. (Ohio): us-east-2

Este de EE. UU. (Virginia del Norte): us-east-1

Oeste de EE. UU. (Norte de California): us-west-1

Oeste de EE. UU. (Oregón): us-west-2

Asia Pacífico (Mumbai): ap-south-1

Asia Pacífico (Seúl): ap-northeast-2

Asia Pacífico (Singapur): ap-southeast-1

Asia Pacífico (Sídney): ap-southeast-2

Asia Pacífico (Tokio): ap-northeast-1

Canadá (Central): ca-central-1

Europa (Fráncfort): eu-central-1

Europa (Estocolmo): eu-north-1

Europa (Irlanda): eu-west-1

Europa (Londres): eu-west-2

Europa (París): eu-west-3

América del Sur (São Paulo): sa-east-1

•La instancia de EC2 debe ser una instancia administrada por SSM

CWP implementa el producto de protección de ESET a través de Systems Manager (SSM) de AWS. Para que SSM llegue a una instancia de EC2, esa instancia debe estar registrada como una instancia administrada por SSM. La forma recomendada de garantizar esto para todas las instancias de una cuenta es habilitar la configuración predeterminada de administración de host (DHMC), que registra automáticamente todas las instancias de EC2 de una cuenta y región sin necesidad de contar con un perfil de instancia dedicado de IAM en cada instancia.

DHMC se puede activar por región en la consola de AWS en Systems Manager > Fleet Manager > Gestión de cuentas o en toda la organización a través de la configuración rápida de SSM. Consulte la documentación de DHMC AWS para obtener más información.

Requisitos a nivel de la máquina virtual

Estos requisitos se aplican a cada instancia individual de EC2. Una vez que se establece la configuración a nivel de la cuenta, el producto de protección solo se puede implementar en una instancia si cumple todo lo siguiente.

•La instancia de EC2 debe tener acceso a Internet saliente

Cada instancia de EC2 destinada a la implementación de protección debe tener acceso a Internet saliente. En las instancias en subredes privadas sin puerta de enlace de NAT, se debe configurar el acceso a Internet saliente antes de que se pueda implementar la protección.

•El agente SSM debe estar instalado y en ejecución

SSM de AWS se comunica con las instancias de EC2 a través del agente SSM. La mayoría de las AMI que proporciona AWS (Amazon Linux, Ubuntu Server, Windows Server) incluyen el agente SSM preinstalado. En el caso de AMI personalizadas o de terceros, compruebe que el agente esté instalado y en ejecución.

Consulte la documentación del agente SSM de AWS para obtener instrucciones de instalación y cómo verificar el estado del agente en una instancia en ejecución.

Para que la implementación de la protección se funcional en instancias EC2 para Linux en AWS, la cuenta u organización protegidas deben tener habilitado AWS System Manager y las instancias EC2 deben tener instalado el agente SSM.

•La máquina virtual debe ejecutar un sistema operativo compatible

CWP solo puede implementar el producto de protección de ESET en instancias que ejecuten una distribución de SO compatible. Para obtener la lista completa de distribuciones de SO compatibles, consulte la referencia a continuación.

•La máquina virtual debe cumplir los requisitos del sistema del producto de protección

Cada máquina virtual destinada a la implementación de protección debe cumplir con los requisitos mínimos de hardware y software correspondientes al producto de protección de ESET.

Servidor Windows

oProcesador: Intel o AMD x64 de un solo núcleo

oMemoria: 256 MB de RAM libre

oDisco duro: 700 MB de espacio libre en disco

Linux

oProcesador: Intel/AMD x64 con 2 núcleos (vCPU)

oMemoria: 2 GB de RAM

oDisco duro: 700 MB de espacio libre en disco

oGlibc 2.28 o posterior

oKernel de Linux versión 4.18 o posterior

oCualquier configuración regional de codificación UTF-8

oEl arranque seguro se debe deshabilitar

ocurl o wget debe instalarse

ootros paquetes dependen del Instalador Live, que necesita tener sus dependencias/bibliotecas instaladas para poder ejecutarse:

oglibc

olibgcc

oopenssl (libssl)

ocurl (libcurl)

otar

1.Vaya a AWS CloudFormation > Stacks.

2.Busque su pila de CWP (el nombre que usó al realizar la implementación; el nombre predeterminado es CWPP-Integration).

3.Haga clic en el nombre de la pila.

4.Haga clic en el botón Eliminar.

5.Haga clic en Eliminar pila para confirmar.

6.Espere a que se complete la eliminación (revise la pestaña Eventos para supervisar).

1.Vaya a AWS S3 > Buckets.

2.Busque nombres de bucket que comiencen con eset-cwpp-ct- seguidos de su ID de cuenta.

1.Vaya a la consola de AWS Organizations.

2.En el panel de navegación, seleccione Servicios.

3.En la lista de servicios, seleccione AWS CloudFormation StackSets.

4.Haga clic en Deshabilitar acceso de confianza y confirme la acción.

5.Vaya a IAM > Roles.

6.Ubique y elimine el rol vinculado al servicio AWSServiceRoleForCloudFormationStackSetsOrgAdmin.

1.Vaya a la consola de AWS Organizations.

2.En el panel de navegación, seleccione Servicios.

3.En la lista de servicios, seleccione Systems Manager.

4.Haga clic en el botón Desactivar acceso de confianza.

5.Confirme la acción cuando se le solicite.

1. Vaya a la consola de AWS Organizations.

2.En el panel de navegación, seleccione Servicios.

3.En la lista de servicios, seleccione QuickSetup.

4.Haga clic en el botón Deshabilitar acceso de confianza.

5.Confirme la acción cuando se le solicite.

1.Vaya a IAM > Roles.

2.Busque AWS-QuickSetup-SSM-RoleForEnablingExplorer.

3.Cuando lo encuentre, haga clic en el nombre del rol.

4.Haga clic en el botón Eliminar rol.

5.Confirmar eliminación.

Es posible que se hayan creado los siguientes roles vinculados a servicios:

AWSServiceRoleForAmazonSSM

ServiceRoleForAccountDiscoverySSM

AWSServiceRoleForSSMQuickSetup

Elimine los roles especificados de la misma manera en que eliminó el rol de Explorador descrito en el paso anterior.

1.Vaya a AWS Systems Manager > Fleet Manager.

2.Haga clic en Administración de cuentas.

3.Deshabilite la opción Habilitar configuración de administración de host predeterminada si no necesita la DHMC, o seleccione un rol de IAM existente si desea continuar usando DHMC.

4.Haga clic en Configurar para guardar los cambios.

5.Repita estos pasos en todas las Regiones de AWS.