Amazon Web Services

Esses requisitos se aplicam independentemente do modelo selecionado.

A conta está na partição padrão AWS

Somente Organizações AWS e contas na partição comercial AWS padrão são compatíveis. Contas em outras partições (como AWS GovCloud ou AWS China) não são compatíveis.

Implantação na região AWS compatível

Implante o modelo CloudFormation em uma das regiões AWS habilitadas por padrão para o AWS (incompatível com as regiões GovCloud e China):

Leste dos EUA (Norte da Virgínia) – us-east-1

Leste dos EUA (Ohio) – us-east-2

Oeste dos EUA (Norte da Califórnia) – us-west-1

Oeste dos EUA (Oregon) – us-west-2

Ásia-Pacífico (Mumbai) – ap-south-1

Ásia-Pacífico (Osaka) – ap-northeast-3

Ásia-Pacífico (Seul) – ap-northeast-2

Ásia-Pacífico (Cingapura) – ap-southeast-1

Ásia-Pacífico (Sydney) – ap-southeast-2

Ásia-Pacífico (Tóquio) – ap-northeast-1

Canadá (Central) – ca-central-1

Europa (Frankfurt) – eu-central-1

Europa (Irlanda) – eu-west-1

Europa (Londres) – eu-west-2

Europa (Paris) – eu-west-3

Europa (Estocolmo) – eu-north-1

América do Sul (São Paulo) – sa-east-1

Permissões da conta AWS

O AWS IAM principal (usuário ou função) que você usa para implantar a pilha CloudFormation deve ter permissões suficientes para criar todos os recursos provisionados pelo modelo.

Escopo de permissão necessário: AdministratorAccess ou uma política personalizada que permita criar:

•Funções e políticas gerenciadas IAM

•Buckets e políticas de bucket S3

•Trilhas CloudTrail

•Funções Lambda (invocadas como recursos personalizados CloudFormation)

•Pilhas CloudFormation e StackSets

Se você não tiver certeza se suas credenciais são suficientes, verifique com o administrador AWS antes de continuar.

Implantar a pilha apenas uma vez por conta/organização

Cada modelo cria recursos com nomes fixos (por exemplo, CwppServiceRole). A implantação de uma segunda pilha na mesma conta falhará com um erro de recurso já existente. Se uma implantação anterior falhou ou precisa ser refeita, exclua a pilha CloudFormation existente primeiro.

Exceção para perfis de serviço CWP em políticas de negação explícitas

Se sua conta AWS ou organização usar políticas de controle de serviço (SCP) ou políticas baseadas em recursos que contenham um Deny explícito com uma condição StringNotLike no aws:PrincipalARN, você deverá adicionar uma exceção para o perfil do IAM que o CWP cria. Sem essa exceção, a política de negação impedirá o CWP de operar.

Exceções necessárias:

•Todas as contas

Adicione o perfil a seguir às listas de permissões: arn:aws:iam::*:role/CwppServiceRole.

•Conta de gerenciamento (somente implantação em toda a organização)

Para implantações em toda a organização, você também deve adicionar às listas de permissões da conta de gerenciamento: arn:aws:iam::*:role/CwppManagementServiceRole.

Esse perfil só precisa ser adicionado às políticas baseadas em recursos na conta de gerenciamento. SCPs não se aplicam à conta de gerenciamento, portanto, nenhuma atualização de SCP é necessária para esse perfil.

Exemplo de política:

{

  "Effect": "Deny",

  "Resource": "*",

  "Condition": {

    "StringNotLike": {

      "aws:PrincipalARN": "arn:aws:iam::*:role/CwppServiceRole"

    }

  }

}

Certifique-se de que os perfis necessários estejam incluídos na lista de permissões StringNotLike de qualquer política antes de implantar a pilha CloudFormation.

O CwppManagementServiceRole é relevante apenas para implantações em toda a organização e somente dentro das políticas baseadas em recursos da conta de gerenciamento.

Esses requisitos adicionais se aplicam ao usar qualquer um dos modelos da organização.

Implantar da conta de gerenciamento

Os modelos da organização devem ser implantados enquanto você estiver conectado à sua conta de gerenciamento de Organizações AWS. Você não pode usar uma conta de membro para essa implantação.

Localize seu ID de unidade da organização raiz

Durante a implantação, será solicitado que você forneça o ID da unidade organizacional raiz, que é usado para implantar o StackSets em todas as contas. Para encontrá-lo:

1.Abra o console de Organizações AWS.

2.Clique na entrada Raiz na parte superior da árvore organizacional.

3.Copie o ID, que está no formato r-xxxx.

Para obter instruções detalhadas, consulte a documentação AWS sobre como navegar na hierarquia da sua organização.

Permissão para ativar o acesso confiável da Organização CloudFormation

O modelo ativa o acesso confiável automaticamente entre o CloudFormation e as Organizações AWS (por meio de um recurso personalizado Lambda). A entidade principal de implantação deve ter permissão para chamar cloudformation:ActivateOrganizationsAccess. Isso está incluído no AdministratorAccess. Se você usar um conjunto de permissões com escopo, verifique se essa ação é explicitamente permitida.

Esses requisitos adicionais se aplicam ao usar qualquer variante de modelo DHMC.

Sem conflito com a Configuração padrão de gerenciamento de host (Default Host Management Configuration, DHMC)

Se você usou anteriormente a configuração rápida do AWS SSM para configurar o DHMC, mesmo que parcialmente, não poderá usar a integração em toda a organização com a configuração do DHMC. As duas configurações entrarão em conflito. Nesse caso:

1.Use a integração da organização não DHMC.

2.Em sua configuração da Configuração Rápida do SSM existente, certifique-se de que o DHMC esteja ativo em todas as contas-membro e em todas as regiões em que o CWP será implantado.

Permissões para a Configuração Rápida do SSM

Além das permissões da organização base, a entidade principal de implantação precisa:

•ssm-quicksetup:UpdateServiceSettings

•organizations:EnableAWSServiceAccess

•Permissão para criar funções vinculadas ao serviço

Tudo isso está incluído no AdministratorAccess. O modelo cria um Lambda que executa essas etapas automaticamente, você não precisa executar nenhum comando manualmente.

Habilitar a proteção de VM (instância EC2) em CWP para instâncias AWS EC2 envolve dois níveis de requisitos. A instância EC2 deve primeiro ser registrada como uma instância gerenciada pelo SSM (configuração no nível da conta) e, em seguida, cada instância individual deve atender aos requisitos no nível da VM antes que o produto de proteção possa ser instalado nela. Outras funcionalidades do CWP funcionam em contas que não atendem a esses pré-requisitos.

Pré-requisitos da conta

Esses requisitos se aplicam no nível da conta AWS. O CWP faz essa configuração automaticamente durante a integração quando a variante de modelo DHMC é usada. Para contas em que o DHMC não foi configurado durante a integração (ou antes), essas etapas devem ser concluídas manualmente antes que a proteção de VM possa ser habilitada.

•Regiões com suporte para implantação de proteção

A Proteção de VM pode ser implantada em instâncias EC2 nas seguintes regiões da AWS sem configuração manual adicional da Configuração de Gerenciamento de Host Padrão (DHMC):

Leste dos EUA (Ohio) – us-east-2

Leste dos EUA (Norte da Virgínia) – us-east-1

Oeste dos EUA (Norte da Califórnia) – us-west-1

Oeste dos EUA (Oregon) – us-west-2

Ásia-Pacífico (Mumbai) – ap-south-1

Ásia-Pacífico (Seul) – ap-northeast-2

Ásia-Pacífico (Cingapura) – ap-southeast-1

Ásia-Pacífico (Sydney) – ap-southeast-2

Ásia-Pacífico (Tóquio) – ap-northeast-1

Canadá (Central) – ca-central-1

Europa (Frankfurt) – eu-central-1

Europa (Estocolmo) – eu-north-1

Europa (Irlanda) – eu-west-1

Europa (Londres) – eu-west-2

Europa (Paris) – eu-west-3

América do Sul (São Paulo) – sa-east-1

•A instância EC2 deve ser uma instância gerenciada por SSM

O CWP implanta o produto de proteção ESET por meio do AWS Systems Manager (SSM). Para que o SSM alcance uma instância EC2, essa instância deve ser registrada como uma instância gerenciada pelo SSM. A maneira recomendada de garantir isso para todas as instâncias em uma conta é habilitar a Configuração de Gerenciamento de Host Padrão (DHMC), que registra automaticamente todas as instâncias EC2 em uma conta e região sem exigir um perfil de instância IAM dedicado em cada instância.

O DHMC pode ser habilitado por região no console AWS em Systems Manager > Fleet Manager > Gerenciamento de conta, ou em toda a organização por meio da Configuração rápida do SSM. Consulte a AWSdocumentação do DHMC para obter detalhes.

Requisitos no nível da VM

Esses requisitos se aplicam a cada instância EC2 individual. Quando a configuração no nível da conta está em vigor, o produto de proteção pode ser implantado em uma instância somente se atender a todos os itens a seguir.

•A instância EC2 deve ter acesso de saída à Internet

Cada instância EC2 direcionada para implantação de proteção deve ter acesso de saída à Internet. Em instâncias em sub-redes privadas sem um gateway NAT, o acesso de saída à Internet deve ser configurado antes que a proteção possa ser implantada.

•O Agente SSM deve estar instalado e deve estar em execução

O AWS SSM se comunica com as instâncias EC2 por meio do Agente SSM. A maioria das AMIs fornecidas pela AWS (Amazon Linux, Ubuntu Server, Windows Server) inclui o Agente SSM pré-instalado. Para AMIs personalizadas ou de terceiros, verifique se o agente está instalado e em execução.

Consulte a documentação do Agente AWS SSM para obter instruções de instalação e sobre como verificar o status do agente em uma instância em execução.

Para ter uma implantação funcional de proteção para instâncias do EC2 para Linux na AWS, a conta ou organização protegida precisa ter o AWS System Manager habilitado, e as instâncias do EC2 precisam ter o Agente SSM instalado.

•A VM deve executar um sistema operacional compatível

O CWP só pode implantar o produto de proteção ESET em instâncias que executam uma distribuição de sistema operacional compatível. Para obter a lista completa de distribuições de sistema operacional compatíveis, consulte a referência abaixo.

•A VM deve atender aos requisitos do sistema do produto de proteção

Cada VM direcionada para implantação de proteção deve atender aos requisitos mínimos de hardware e software para o produto de proteção ESET.

Windows Server

oProcessador: Intel ou AMD single-core x64

oMemória: 256 MB de RAM livre

oDisco rígido: 700 MB de espaço em disco livre

Linux

oProcessador: Intel/AMD x64 com 2 cores (vCPUs)

oMemória: 2 GB de RAM

oDisco rígido: 700 MB de espaço em disco livre

oGlibc 2.28 ou versão posterior

oKernel Linux versão 4.18 ou posterior

oQualquer localidade de codificação UTF-8

oA Inicialização segura deve estar desativada

ocurl ou wget deve ser instalado

ooutros pacotes dependem do Instalador Live, que precisa ter suas dependências/bibliotecas instaladas para ser executado:

oglibc

olibgcc

oopenssl (libssl)

ocurl (libcurl)

otar

1.Vá para AWS CloudFormation > Stacks.

2.Encontre sua pilha CWP (o nome que você usou ao implantar; o nome padrão é CWPP-Integration).

3.Clique no nome da pilha.

4.Clique no botão Remover.

5.Clique em Excluir pilha para confirmar.

6.Aguarde a conclusão da exclusão (verifique a guia Eventos para monitorar).

1.Vá para AWS S3 > Buckets.

2.Procure nomes de bucket que comecem com eset-cwpp-ct- seguidos pelo ID da sua conta.

1.Navegue até o console do AWS Organizations.

2.No painel de navegação, selecione Serviços.

3.Na lista de serviços, selecione AWS CloudFormation StackSets.

4.Clique em Desativar acesso confiável e confirme a ação.

5.Navegar para IAM > Funções.

6.Localize e exclua a função vinculada ao serviço AWSServiceRoleForCloudFormationStackSetsOrgAdmin.

1.Navegue até o console do AWS Organizations.

2.No painel de navegação, selecione Serviços.

3.Na lista de serviços, selecione Systems Manager.

4.Clique no botão Desativar acesso confiável.

5.Confirme a ação quando solicitado.

1. Navegue até o console do AWS Organizations.

2.No painel de navegação, selecione Serviços.

3.Na lista de serviços, selecione QuickSetup.

4.Clique no botão Desativar acesso confiável.

5.Confirme a ação quando solicitado.

1.Navegar para IAM > Funções.

2.Pesquise por AWS-QuickSetup-SSM-RoleForEnablingExplorer.

3.Quando encontrá-la, clique no nome da função.

4.Clique no botão Excluir função.

5.Confirmar exclusão.

As seguintes funções vinculadas ao serviço podem ter sido criadas:

AWSServiceRoleForAmazonSSM

ServiceRoleForAccountDiscoverySSM

AWSServiceRoleForSSMQuickSetup

Exclua as funções especificadas da mesma forma que você excluiu a função Explorer descrita na etapa anterior.

1.Navegue até AWS Systems Manager > Fleet Manager.

2.Clique em Gerenciamento de conta.

3.Desative a opção Habilitar configuração de gerenciamento de host padrão se o DHMC não for necessário ou selecione uma função do IAM existente se quiser continuar usando o DHMC.

4.Clique em Configurar para salvar as alterações.

5.Repita essas etapas em todas as Regiões AWS.