Amazon Web Services

Эти требования применяются независимо от выбранного шаблона.

Учетная запись находится в стандартном разделе AWS

Поддерживаются только организации и учетные записи AWS в стандартном коммерческом разделе AWS. Учетные записи в других разделах (например, AWS GovCloud или AWS China) не поддерживаются.

Развертывание в поддерживаемом регионе AWS

Разверните шаблон CloudFormation в одном из регионов AWS, которые включены по умолчанию компанией AWS (регионы GovCloud и «Китай» не поддерживаются):

Восток США (Северная Вирджиния) — us-east-1

Восток США (Огайо) — us-east-2

Запад США (Северная Калифорния) — us-west-1

Запад США (Орегон) — us-west-2

Азиатско-Тихоокеанский регион (Мумбаи) — ap-south-1

Азиатско-Тихоокеанский регион (Осака) — ap-northeast-3

Азиатско-Тихоокеанский регион (Сеул) — ap-northeast-2

Азиатско-Тихоокеанский регион (Сингапур) — ap-southeast-1

Азиатско-Тихоокеанский регион (Сидней) — ap-southeast-2

Азиатско-Тихоокеанский регион (Токио) — ap-northeast-1

Канада (центр) — ca-central-1

Европа (Франкфурт) — eu-central-1

Европа (Ирландия) — eu-west-1

Европа (Лондон) — eu-west-2

Европа (Париж) — eu-west-3

Европа (Стокгольм) — eu-north-1

Южная Америка (Сан-Паулу) — sa-east-1

Разрешения учетной записи AWS

Субъект AWS IAM (пользователь или роль), используемый для развертывания стека CloudFormation, должен иметь достаточные разрешения для создания всех ресурсов, предоставляемых шаблоном.

Диапазон обязательных разрешений: AdministratorAccess или пользовательская политика, которая позволяет создавать:

•роли и управляемые политики IAM;

•корзины и политики корзин S3;

•журналы CloudTrail;

•функции Lambda (вызываются как пользовательские ресурсы CloudFormation);

•стеки CloudFormation и наборы StackSets.

Если вы не уверены в достаточности ваших учетных данных, перед продолжением проконсультируйтесь с администратором AWS.

Развертывание стека только один раз для каждой учетной записи или организации

Каждый шаблон создает ресурсы с фиксированными именами (например, CwppServiceRole). Развертывание второго стека в той же учетной записи завершится неудачей из-за ошибки «Ресурс уже существует». Если предыдущее развертывание завершилось неудачей или его необходимо выполнить повторно, сначала удалите существующий стек CloudFormation.

Исключение для служебных ролей CWP в политиках явного запрета

Если ваша учетная запись или организация AWS использует политики управления службами (SCP) или политики на основе ресурсов, которые содержат явное выражение Deny с условием StringNotLike в aws:PrincipalARN, необходимо добавить исключение для роли IAM, которую создает CWP. Без этого исключения политика запрета будет блокировать работу CWP.

Обязательные исключения:

•Все учетные записи

Добавьте следующую роль в списки разрешенных объектов: arn:aws:iam::*:role/CwppServiceRole.

•Учетная запись управления (только развертывание на уровне организации)

Для развертываний на уровне организации необходимо также добавить в списки разрешенных объектов учетной записи управления следующее: arn:aws:iam::*:role/CwppManagementServiceRole.

Эту роль нужно добавить только в политики на основе ресурсов в учетной записи управления. Политики SCP не применяются к учетной записи управления, поэтому для этой роли обновление SCP не требуется.

Пример политики:

{

  "Effect": "Deny",

  "Resource": "*",

  "Condition": {

    "StringNotLike": {

      "aws:PrincipalARN": "arn:aws:iam::*:role/CwppServiceRole"

    }

  }

}

Прежде чем развертывать стек CloudFormation, убедитесь, что в список разрешенных объектов StringNotLike любой такой политики включены обязательные роли.

Роль CwppManagementServiceRole актуальна только для развертываний на уровне организации и только в рамках политик на основе ресурсов учетной записи управления.

Эти дополнительные требования применяются при использовании любого из шаблонов организации.

Развертывание с помощью учетной записи управления

Шаблоны организации необходимо развертывать, когда вы вошли в учетную запись управления AWS Organizations. Вы не можете использовать учетную запись участника для этого развертывания.

Нахождение идентификатора корневого подразделения

Во время развертывания вам будет предложено ввести идентификатор корневого подразделения, который используется для развертывания наборов StackSets во всех учетных записях. Чтобы найти его, выполните следующие действия.

1.Откройте консоль AWS Organizations.

2.Щелкните запись Корень в верхней части организационного дерева.

3.Скопируйте идентификатор. Он имеет формат r-xxxx.

Подробные инструкции см. в документации AWS о навигации по иерархии организации.

Разрешение на активацию доверенного доступа между CloudFormation и Organizations

Шаблон автоматически активирует доверенный доступ между CloudFormation и AWS Organizations (через пользовательский ресурс Lambda). Субъекту, выполняющему развертывание, должно быть разрешено вызывать cloudformation:ActivateOrganizationsAccess. Эта возможность включена в AdministratorAccess. Если вы используете ограниченный набор разрешений, убедитесь, что это действие явно разрешено.

Эти дополнительные требования применяются при использовании любого из вариантов шаблона DHMC.

Отсутствие конфликтующей конфигурации управления хостами по умолчанию (DHMC)

Если ранее вы использовали AWS SSM Quick Setup для настройки DHMC, даже частично, вы не сможете использовать подключение в масштабах всей организации с настройкой DHMC. Эти две конфигурации будут конфликтовать. В этом случае:

1.Используйте подключение организации без DHMC.

2.В существующей конфигурации SSM Quick Setup убедитесь, что функция DHMC активна во всех учетных записях участников и во всех регионах, где будет развернуто средство CWP.

Разрешения для SSM Quick Setup

В дополнение к базовым разрешениям организации для развертывающего субъекта необходимо следующее:

•ssm-quicksetup:UpdateServiceSettings

•organizations:EnableAWSServiceAccess

•Разрешение на создание ролей, связанных со службами

Все это включено в AdministratorAccess. Шаблон создает объект Lambda, который выполняет эти действия автоматически. Вам не нужно запускать какие-либо команды вручную.

Включение защиты виртуальной машины (экземпляра EC2) в CWP для экземпляров AWS EC2 предполагает два уровня требований. Сначала экземпляр EC2 должен быть зарегистрирован как экземпляр под управлением SSM (настройка на уровне учетной записи), а затем каждый отдельный экземпляр должен соответствовать требованиям на уровне виртуальной машины, прежде чем на нем можно будет установить продукт защиты. Другие функции CWP работают в учетных записях, которые не соответствуют этим обязательным условиям.

Обязательные условия для учетной записи

Эти требования применяются на уровне учетной записи AWS. CWP настраивает их автоматически во время подключения, когда используется вариант шаблона DHMC. Для учетных записей, в которых конфигурация DHMC не была настроена во время подключения (или ранее), эти действия необходимо выполнить вручную, прежде чем можно будет включить защиту виртуальных машин.

•Поддерживаемые регионы для развертывания защиты

Защиту виртуальных машин можно развернуть на экземплярах EC2 в следующих регионах AWS без дополнительной ручной настройки конфигурации управления хостами по умолчанию (DHMC):

Восток США (Огайо) — us-east-2

Восток США (Северная Вирджиния) — us-east-1

Запад США (Северная Калифорния) — us-west-1

Запад США (Орегон) — us-west-2

Азиатско-Тихоокеанский регион (Мумбаи) — ap-south-1

Азиатско-Тихоокеанский регион (Сеул) — ap-northeast-2

Азиатско-Тихоокеанский регион (Сингапур) — ap-southeast-1

Азиатско-Тихоокеанский регион (Сидней) — ap-southeast-2

Азиатско-Тихоокеанский регион (Токио) — ap-northeast-1

Канада (центр) — ca-central-1

Европа (Франкфурт) — eu-central-1

Европа (Стокгольм) — eu-north-1

Европа (Ирландия) — eu-west-1

Европа (Лондон) — eu-west-2

Европа (Париж) — eu-west-3

Южная Америка (Сан-Паулу) — sa-east-1

•Экземпляр EC2 должен быть под управлением SSM

CWP развертывает продукт защиты ESET с помощью AWS Systems Manager (SSM). Чтобы средство SSM могло работать с экземпляром EC2, этот экземпляр должен быть зарегистрирован как экземпляр под управлением SSM. Рекомендуемый способ обеспечить это для всех экземпляров учетной записи — включить конфигурацию управления хостами по умолчанию (DHMC), которая автоматически регистрирует каждый экземпляр EC2 в учетной записи и регионе без необходимости в отдельном профиле экземпляра IAM в каждом экземпляре.

DHMC можно включить для каждого региона в консоли AWS в разделе Systems Manager > Fleet Manager > Управление учетной записью или в масштабах всей организации с помощью SSM Quick Setup. Подробности см. в AWSдокументации DHMC.

Требования на уровне виртуальной машины

Эти требования применяются к каждому экземпляру EC2 в отдельности. Если применяется настройка на уровне учетной записи, продукт защиты можно развернуть на экземпляре только в том случае, если он соответствует всем указанным далее условиям.

•Экземпляр EC2 должен иметь исходящий доступ к Интернету

Каждый экземпляр EC2, предназначенный для развертывания защиты, должен иметь исходящий доступ к Интернету. Для экземпляров в частных подсетях без шлюза NAT необходимо настроить исходящий доступ в Интернет, прежде чем можно будет развернуть защиту.

•Агент SSM Agent должен быть установлен и запущен

AWS SSM взаимодействует с экземплярами EC2 через агент SSM Agent. На большинстве предоставляемых компанией AWS AMI (Amazon Linux, Ubuntu Server, Windows Server) агент SSM Agent установлен предварительно. При использовании пользовательских или сторонних AMI убедитесь, что агент установлен и запущен.

Инструкции по установке и проверке состояния агента на запущенном экземпляре см. в документации AWS SSM Agent.

Чтобы развернуть работоспособную защиту на экземплярах EC2 для Linux в AWS, в защищаемой учетной записи или организации должно быть включено средство AWS Systems Manager, а на экземплярах EC2 должен быть установлен агент SSM Agent.

•Виртуальная машина должна работать под управлением поддерживаемой операционной системы

CWP может развертывать продукт защиты ESET только на экземплярах под управлением поддерживаемого дистрибутива ОС. Полный список поддерживаемых дистрибутивов ОС см. ниже.

•Виртуальная машина должна соответствовать системным требованиям продукта защиты

Каждая виртуальная машина, предназначенная для развертывания защиты, должна соответствовать минимальным требованиям к аппаратному и программному обеспечению для продукта защиты ESET.

Windows Server

oПроцессор: Intel или AMD, одноядерный, архитектура x64

oПамять: 256 МБ свободной оперативной памяти

oЖесткий диск: 700 МБ свободного места на диске

Linux

oПроцессор: Intel/AMD, x64 с 2 ядрами (виртуальный ЦП)

oПамять: 2 ГБ ОЗУ

oЖесткий диск: 700 МБ свободного места на диске

oGlibc 2.28 или более поздней версии

oЯдро Linux версии 4.18 или более поздней версии

oЛюбой языковой стандарт в кодировке UTF-8

oБезопасная загрузка должна быть отключена

oДолжны быть установлены curl или wget

oДругие пакеты зависят от интерактивного установщика, для запуска которого должны быть установлены его зависимости/библиотеки:

oglibc

olibgcc

oopenssl (libssl)

ocurl (libcurl)

otar

1.Перейдите в AWS CloudFormation > Stacks.

2.Найдите свой стек CWP (имя, которое вы использовали при развертывании; имя по умолчанию — CWPP-Integration).

3.Щелкните имя стека.

4.Нажмите кнопку Удалить.

5.Нажмите Удалить стек для подтверждения.

6.Дождитесь завершения удаления (для отслеживания перейдите на вкладку События).

1.Перейдите в AWS S3 > Buckets.

2.Ищите имена сегментов, которые начинаются с eset-cwpp-ct-, за которыми следует идентификатор вашей учетной записи.

1.Перейдите в консоль AWS Organizations.

2.В области навигации выберите Службы.

3.В списке сервисов выберите AWS CloudFormation StackSets.

4.Нажмите Отключить доверенный доступ и подтвердите действие.

5.Перейдите в IAM > Роли.

6.Найдите и удалите роль, связанную со службой, AWSServiceRoleForCloudFormationStackSetsOrgAdmin.

1.Перейдите в консоль AWS Organizations.

2.В области навигации выберите Службы.

3.В списке служб выберите Systems Manager.

4.Нажмите кнопку Отключить доверенный доступ.

5.Подтвердите действие по запросу.

1. Перейдите в консоль AWS Organizations.

2.В области навигации выберите Службы.

3.В списке служб выберите QuickSetup.

4.Нажмите кнопку Отключить доверенный доступ.

5.Подтвердите действие при появлении запроса.

1.Перейдите в IAM > Роли.

2.Найдите AWS-QuickSetup-SSM-RoleForEnablingExplorer.

3.Найдя её, щёлкните имя роли.

4.Нажмите кнопку Удалить роль.

5.Подтвердите удаление.

Возможно, были созданы следующие роли, связанные со службами:

AWSServiceRoleForAmazonSSM

ServiceRoleForAccountDiscoverySSM

AWSServiceRoleForSSMQuickSetup

Удалите указанные роли таким же образом, как вы удалили роль Explorer, описанную на предыдущем шаге.

1.Перейдите в раздел AWS Systems Manager > Fleet Manager.

2.Нажмите Управление учетными записями.

3.Отключите параметр Enable Default Host Management Configuration, если DHMC не требуется, или выберите существующую роль IAM, если хотите продолжить использовать DHMC.

4.Нажмите Настроить, чтобы сохранить изменения.

5.Повторите эти действия во всех регионах AWS.