Amazon Web Services

Estos requisitos se aplican independientemente de la plantilla que seleccione.

La cuenta está en la partición estándar de AWS.

Solo se admiten AWS Organizations y cuentas en la partición comercial estándar de AWS. No se admiten cuentas en otras particiones (como AWS GovCloud o AWS China).

Implementación en la región de AWS admitida

Implemente la plantilla de CloudFormation en una de las regiones de AWS habilitadas de forma predeterminada por AWS (GovCloud y las regiones de China no son compatibles):

Este de EE. UU. (Virginia del Norte): us-east-1

Este de EE. UU. (Ohio): us-east-2

Oeste de EE. UU. (Norte de California): us-west-1

Oeste de EE. UU. (Oregón): us-west-2

Asia Pacífico (Mumbai): ap-south-1

Asia Pacífico (Osaka): ap-northeast-3

Asia Pacífico (Seúl): ap-northeast-2

Asia Pacífico (Singapur): ap-southeast-1

Asia Pacífico (Sídney): ap-southeast-2

Asia Pacífico (Tokio): ap-northeast-1

Canadá (Central): ca-central-1

Europa (Fráncfort): eu-central-1

Europa (Irlanda): eu-west-1

Europa (Londres): eu-west-2

Europa (París): eu-west-3

Europa (Estocolmo): eu-north-1

América del Sur (São Paulo): sa-east-1

Permisos de las cuentas AWS

El IAM principal de AWS (usuario o rol) que use para implementar la pila de CloudFormation debe tener permisos suficientes para crear todos los recursos que proporciona la plantilla.

Ámbito de permisos requerido: AdministratorAccess, o una política personalizada que permita crear:

•Roles de IAM y políticas administradas

•Buckets S3 y políticas relacionadas

•Seguimiento de CloudTrail

•Funciones Lambda (se invocan como recursos personalizados de CloudFormation)

•Pilas de CloudFormation y StackSets

Si no está seguro de si cuenta con las credenciales suficientes, consulte con su administrador de AWS antes de continuar.

Implemente la pila solo una vez por cuenta u organización.

Cada plantilla crea recursos con nombres fijos (por ejemplo, CwppServiceRole). Si se implementa una segunda pila en la misma cuenta, se producirá un error de recurso ya existente. Si una implementación anterior ha fallado o debe repetirse, elimine primero la pila existente de CloudFormation.

Excepción para funciones de servicio de CWP en políticas de denegación explícitas

Si en su cuenta u organización de AWS se utilizan políticas de control de servicios (SCP) o políticas basadas en recursos que contienen un Deny explícito con una condición StringNotLike en aws:PrincipalARN, debe agregar una excepción para la función de IAM que CWP crea. Sin esta excepción, la política de denegación bloqueará el funcionamiento de CWP.

Excepciones necesarias:

•Todas las cuentas

Agregue la siguiente función a las listas de permitidos: arn:aws:iam::*:role/CwppServiceRole.

•Cuenta de administración (solo implementación en toda la organización)

En las implementaciones a nivel de toda la organización, también debe agregar a las listas de permitidos de la cuenta de administración: arn:aws:iam::*:role/CwppManagementServiceRole.

Esta función solo debe agregarse a las políticas basadas en recursos de la cuenta de administración. Las SCP no se aplican a la cuenta de administración, por lo que no se requiere ninguna actualización de SCP para esta función.

Ejemplo de política:

{

  "Effect": "Deny",

  "Resource": "*",

  "Condition": {

    "StringNotLike": {

      "aws:PrincipalARN": "arn:aws:iam::*:role/CwppServiceRole"

    }

  }

}

Asegúrese de que las funciones necesarias estén incluidas en la lista de permitidos StringNotLike de dichas políticas antes de implementar la pila CloudFormation.

Solo CwppManagementServiceRole es pertinente para las implementaciones a nivel de toda la organización y solo dentro de las políticas basadas en recursos de la cuenta de administración.

Estos requisitos adicionales se aplican cuando se utiliza cualquiera de las plantillas de organización.

Implemente desde la cuenta de administración.

Las plantillas de organización deben implementarse mientras se ha iniciado sesión en la cuenta de administración de AWS Organizations. No puede utilizar una cuenta de miembro en esta implementación.

Localice el ID de la unidad organizativa raíz.

Durante la implementación, se le pedirá el ID de su unidad organizativa raíz, que se utiliza para realizar la implementación de StackSets en todas las cuentas. Para encontrarlo:

1.Abra la consola de AWS Organizations.

2.Haga clic en la entrada Raíz en la parte superior del árbol organizativo.

3.Copie el ID: tiene el formato r-xxxx.

Para obtener instrucciones detalladas, consulte la documentación de AWS sobre cómo navegar por la jerarquía de su organización.

Permiso para activar el acceso de confianza de Organizations y CloudFormation.

La plantilla activa automáticamente el acceso de confianza entre CloudFormation y AWS Organizations (a través de un recurso personalizado Lambda). Se debe permitir que la entidad de seguridad de implementación llame a cloudformation:ActivateOrganizationsAccess. Esto se incluye en AdministratorAccess. Si usa un conjunto de permisos con ámbito, asegúrese de que esta acción se permita explícitamente.

Estos requisitos adicionales se aplican cuando se utiliza cualquiera de las variantes de plantilla de DHMC.

No hay conflictos en la configuración predeterminada de administración de host (DHMC)

Si anteriormente ha usado la configuración rápida de AWS SSM para configurar DHMC, aunque sea parcialmente, no puede usar la incorporación en toda la organización con la configuración de DHMC. Las dos configuraciones entrarán en conflicto. En ese caso:

1.Utilice la incorporación de organizaciones que no sean de DHMC.

2.En los ajustes de la configuración rápida de SSM existente, asegúrese de que DHMC esté activo en todas las cuentas de los miembros y en todas las regiones en las que se implementará CWP.

Permisos para la configuración rápida de SSM

Además de los permisos de organización básicos, la entidad de destino de implementación necesita:

•ssm-quicksetup:UpdateServiceSettings

•organizations:EnableAWSServiceAccess

•Permiso para crear roles vinculados a servicios

Todos ellos están incluidos en AdministratorAccess. La plantilla crea un Lambda que realiza estos pasos automáticamente, no es necesario ejecutar ningún comando manualmente.

La habilitación de la protección de VM (instancia de EC2) en CWP para instancias de AWS EC2 implica dos niveles de requisitos. En primer lugar, la instancia de EC2 debe registrarse como una instancia administrada por SSM (configuración a nivel de cuenta) y, a continuación, cada instancia individual debe cumplir los requisitos a nivel de máquina virtual para que el producto de protección pueda instalarse en ella. Otras funciones de CWP funcionan en cuentas que no cumplen estos requisitos previos.

Requisitos previos de la cuenta

Estos requisitos se aplican a nivel de cuenta de AWS. CWP los configura automáticamente durante la incorporación cuando se utiliza la variante de plantilla DHMC. En el caso de las cuentas en las que DHMC no se configuró durante la incorporación (o antes), estos pasos deben completarse manualmente antes de que se pueda habilitar la protección de la máquina virtual.

•Regiones admitidas para la implementación de protección

La protección de máquinas virtuales se puede implementar en instancias EC2 en las siguientes regiones de AWS sin necesidad de establecer de forma manual la configuración de administración de host predeterminada (DHMC):

Este de EE. UU. (Ohio): us-east-2

Este de EE. UU. (Virginia del Norte): us-east-1

Oeste de EE. UU. (Norte de California): us-west-1

Oeste de EE. UU. (Oregón): us-west-2

Asia Pacífico (Mumbai): ap-south-1

Asia Pacífico (Seúl): ap-northeast-2

Asia Pacífico (Singapur): ap-southeast-1

Asia Pacífico (Sídney): ap-southeast-2

Asia Pacífico (Tokio): ap-northeast-1

Canadá (Central): ca-central-1

Europa (Fráncfort): eu-central-1

Europa (Estocolmo): eu-north-1

Europa (Irlanda): eu-west-1

Europa (Londres): eu-west-2

Europa (París): eu-west-3

América del Sur (São Paulo): sa-east-1

•La instancia de EC2 debe ser una instancia administrada por SSM

CWP implementa el producto de protección de ESET a través del administrador de sistemas (SSM) de AWS. Para que SSM llegue a una instancia de EC2, esa instancia debe estar registrada como una instancia administrada por SSM. La forma recomendada de garantizarlo para todas las instancias de una cuenta es habilitar la configuración predeterminada de administración de host (DHMC), que registra automáticamente todas las instancias de EC2 en una cuenta y una región sin necesidad de un perfil de instancia dedicado de IAM en cada instancia.

DHMC se puede activar por región en la consola de AWS en Administrador de sistemas > Administrador de flota > Administración de cuentas o en toda la organización a través de la configuración rápida de SSM. Consulte la AWSdocumentación de DHMC para obtener más información.

Requisitos a nivel de máquina virtual

Estos requisitos se aplican a cada instancia individual de EC2. Una vez que se ha establecido la configuración a nivel de cuenta, el producto de protección solo se puede implementar en una instancia si cumple todo lo siguiente.

•La instancia de EC2 debe tener acceso a Internet saliente

Cada instancia de EC2 destinada a la implementación de protección debe tener acceso a Internet saliente. En instancias en subredes privadas sin puerta de enlace de NAT, se debe configurar el acceso a Internet saliente antes de que se pueda implementar la protección.

•SSM Agent debe estar instalado y en ejecución

AWS SSM se comunica con las instancias de EC2 a través de SSM Agent. La mayoría de las AMI proporcionadas por AWS (Amazon Linux, Ubuntu Server, Windows Server) incluyen SSM Agent preinstalado. En el caso de AMI personalizadas o de terceros, compruebe que el agente esté instalado y en ejecución.

Consulte la documentación del SSM Agent de AWS para obtener instrucciones de instalación y cómo verificar el estado del agente en una instancia en ejecución.

Para tener una implementación funcional de protección en instancias EC2 para Linux en AWS, la cuenta u organización protegida debe tener habilitado el administrador de sistemas de AWS y las instancias EC2 deben tener instalado SSM Agent.

•La máquina virtual debe ejecutar un sistema operativo compatible

CWP solo puede implementar el producto de protección de ESET en instancias que ejecuten una distribución de SO compatible. Para obtener la lista completa de distribuciones de SO compatibles, consulte la referencia a continuación.

•La máquina virtual debe cumplir los requisitos del sistema del producto de protección

Cada máquina virtual destinada a la implementación de protección debe cumplir los requisitos mínimos de hardware y software para el producto de protección de ESET.

Windows Server

oProcesador: Intel o AMD x64 de un solo núcleo

oMemoria: 256 MB de RAM disponible

oDisco duro: 700 MB de espacio disponible en disco

Linux

oProcesador: Intel/AMD x64 con 2 núcleos (vCPU)

oMemoria: 2 GB de RAM

oDisco duro: 700 MB de espacio disponible en disco

oGlibc 2.28 o posterior

oKernel de Linux versión 4.18 o posterior

oCualquier configuración regional de codificación UTF-8

oEl arranque seguro debe estar desactivado

oDebe estar instalado curl o wget

ootros paquetes dependen de Live Installer, que necesita tener sus dependencias/bibliotecas instaladas para poder ejecutarse:

oglibc

olibgcc

oopenssl (libssl)

ocurl (libcurl)

otar

1.Ve a AWS CloudFormation > Pilas.

2.Busque su pila CWP (el nombre que utilizó al realizar la implementación; el nombre predeterminado es CWPP-Integration).

3.Haga clic en el nombre de la pila.

4.Haga clic en el botón Quitar.

5.Haga clic en Eliminar pila para confirmar.

6.Espere a que se complete la eliminación (consulte la pestaña Events para supervisarla).

1.Vaya a AWS S3 > Buckets.

2.Busque nombres de buckets que comiencen por eset-cwpp-ct- seguido de su ID de cuenta.

1.Vaya a la consola de AWS Organizations.

2.En el panel de navegación, seleccione Servicios.

3.En la lista de servicios, seleccione AWS CloudFormation StackSets.

4.Haga clic en Deshabilitar acceso de confianza y confirme la acción.

5.Desplácese hasta IAM > Roles.

6.Localice y elimine el rol vinculado a servicios de AWSServiceRoleForCloudFormationStackSetsOrgAdmin.

1.Vaya a la consola de AWS Organizations.

2.En el panel de navegación, seleccione Servicios.

3.En la lista de servicios, seleccione Systems Manager.

4.Haga clic en el botón Disable trusted access.

5.Confirme la acción cuando se le solicite.

1. Vaya a la consola de AWS Organizations.

2.En el panel de navegación, seleccione Servicios.

3.En la lista de servicios, seleccione QuickSetup.

4.Haga clic en el botón Disable trusted access.

5.Confirme la acción cuando se le solicite.

1.Desplácese hasta IAM > Roles.

2.Busque AWS-QuickSetup-SSM-RoleForEnablingExplorer.

3.Cuando lo encuentre, haga clic en el nombre del rol.

4.Haga clic en el botón Eliminar rol.

5.Confirmar eliminación.

Es posible que se hayan creado los siguientes roles vinculados a servicios:

AWSServiceRoleForAmazonSSM

ServiceRoleForAccountDiscoverySSM

AWSServiceRoleForSSMQuickSetup

Elimine los roles especificados de la misma manera que eliminó el rol de Explorador descrito en el paso anterior.

1.Vaya a AWS Systems Manager > Fleet Manager.

2.Haga clic en Administración de la cuenta.

3.Deshabilite la opción Habilitar configuración de administración de host predeterminada si no necesita DHMC, o seleccione un rol de IAM existente si desea seguir utilizando DHMC.

4.Haga clic en Configurar para guardar los cambios.

5.Repita estos pasos en todas las Regiones de AWS.