前提条件ステップ 1: ルールを作成するステップ 2: テンプレートを作成するステップ 3: ポリシーを作成するステップ 4: スコープを作成するステップ 5: デプロイを作成して公開するステップ 6: 同期ステータスをモニタリングするステップ 7: クリーンアップする次の手順

最初のネットワークセキュリティ保護をデプロイする

このチュートリアルでは、 AWS Network Security Manager コンソールを使用して AWS WAF ウェブ ACL をデプロイする方法について説明します。次の手順を実行します。

ルールの作成
テンプレートを作成する
ポリシーの作成
スコープを作成する
デプロイを作成して公開する
同期ステータスのモニタリング

このチュートリアルでは、選択したアカウント全体で Application Load Balancer を保護する AWS WAF ウェブ ACL を作成します。このプロセスは、 AWS Network Security Manager でサポートされているすべてのセキュリティサービスとファイアウォールでほぼ同じです。

完了までの時間: 約 10 分

コスト: このチュートリアルでは、料金が発生する可能性のある AWS サービスを使用します。現在の料金については、 AWS ウェブサイトのAWS 「Network Security Manager の料金」を参照してください。

前提条件

開始する前に、次の要件を満たしていることを確認してください。

「」の説明に従って、セットアップ手順を完了しましたAWS Network Security Manager のセットアップ。
AWS Network Security Manager のアクセス許可を持つ AWS Identity and Access Management (IAM) ID。
すべての機能が有効になっている AWS Organizations 組織と、指定された AWS Network Security Manager 管理者アカウント (マルチアカウントデプロイに必要）。
AWS Network Security Manager コンソールへのアクセス。

ステップ 1: ルールを作成する

ルールは、セキュリティ設定の構成要素です。このステップでは、2 つの AWS WAF ルールを作成します。1 つはデフォルトのアクションを設定するルール、もう 1 つは可視性設定を設定するルールです。デフォルトのアクションと VisibilityConfig は AWS 、WAF ウェブ ACL の必須フィールドです。

デフォルトアクションルールを作成するには、次の手順に従います。

https://console.aws.amazon.com/network-security-manager/ で AWS Network Security Manager コンソールを開きます。
ナビゲーションペインで、[概要] を選択します。
概要ページで、ルールの作成を選択します。
ルール名には、などのわかりやすい名前を入力しますmy-default-action-rule。
ルール定義セクションのファイアウォールタイプで AWS WAF を選択します。
Select type of rule で、Configuration を選択します。
「設定タイプの挿入」を選択し、「デフォルトアクション」を選択します。JSON エディタがデフォルト設定で表示されます。
JSON エディタで、 Blockセクションを削除し、 Allowセクションのみを保持します。
[‬ルールを作成]‭ を選択します。

VisibilityConfig ルールを作成するには、次の手順に従います。

ナビゲーションペインで、[概要] を選択します。
概要ページで、ルールの作成を選択します。
ルール名には、などのわかりやすい名前を入力しますmy-visibility-config-rule。
ルール定義セクションのファイアウォールタイプで AWS WAF を選択します。
Select type of rule で、Configuration を選択します。
設定タイプの挿入を選択し、VisibilityConfig を選択します。JSON エディタがデフォルト設定で表示されます。
[‬ルールを作成]‭ を選択します。

AWS CLI の代替

CLI AWS を使用してルールを作成することもできます。


aws network-security-manager create-rule \
    --rule-name "my-default-action-rule" \
    --firewall-type WAF \
    --rule-type CONFIGURATION \
    --configuration '{"DefaultAction": {"Allow": {}}}' \
    --is-published true

aws network-security-manager create-rule \
    --rule-name "my-visibility-config-rule" \
    --firewall-type WAF \
    --rule-type CONFIGURATION \
    --configuration '{"VisibilityConfig": {"SampledRequestsEnabled": true, "CloudWatchMetricsEnabled": true, "MetricName": "my-web-acl-metric"}}' \
    --is-published true

ステップ 2: テンプレートを作成する

テンプレートは、ポリシー間で再利用するために 1 つ以上のルールをグループ化します。このステップでは、ステップ 1 のルールを含むテンプレートを作成します。

ナビゲーションペインで、[概要] を選択します。
概要ページで、テンプレートの作成を選択します。
テンプレート名には、などのわかりやすい名前を入力しますmy-waf-template。
ファイアウォールタイプで、AWS WAF を選択します。
ルールセクションで、ルールの追加を選択し、ステップ 1 で作成したルールを選択します。
[テンプレートを作成] をクリックします。

AWS CLI の代替

CLI AWS を使用してテンプレートを作成することもできます。


aws network-security-manager create-template \
    --template-name "my-waf-template" \
    --firewall-type WAF \
    --associated-rule-list '[{"ruleIdentifier": "rule-arn-from-step-1"}]' \
    --is-published true

ステップ 3: ポリシーを作成する

ポリシーは、テンプレートと強制設定を組み合わせます。このステップでは、テンプレートを参照し、自動修復を有効にするポリシーを作成します。

ナビゲーションペインで、[概要] を選択します。
概要ページで、ポリシーの作成を選択します。
ポリシー名にわかりやすい名前 (my-waf-policy など) を入力します。
ファイアウォールタイプで、AWS WAF を選択します。
ポリシーの優先度セクションには、既存のポリシーとその優先度が表示されます。新しいポリシーの優先度を確認します。調整する必要がある場合は、優先度フィールドを選択し、値を 1または未使用の優先度番号に変更します。
テンプレートとルールセクションで、テンプレートの追加を選択し、ステップ 2 で作成したテンプレートを選択します。
修復で、有効を選択します。
既存のカスタマーウェブ ACL 解決で、修正なしを選択します。
[Create policy] (ポリシーの作成) を選択します。

AWS CLI の代替

CLI AWS を使用してポリシーを作成することもできます。


aws network-security-manager create-policy \
    --policy-name "my-waf-policy" \
    --firewall-type WAF \
    --priority 1 \
    --associated-template-and-rule-list '[{"templateIdentifier": "template-arn-from-step-2"}]' \
    --policy-configuration '{"remediationEnabled": true, "resourcesCleanUp": false, "wafConfig": {"existingCustomerWebACLResolution": "NO_REMEDIATION"}}' \
    --is-published true

ステップ 4: スコープを作成する

スコープは、保護が適用される場所を定義します。このステップでは、アカウントの Application Load Balancer をターゲットとするスコープを作成します。

ナビゲーションペインで、[概要] を選択します。
概要ページで、スコープの作成を選択します。
スコープ名には、などのわかりやすい名前を入力しますmy-alb-scope。
(オプション) アカウントと組織単位の選択セクションで、管理範囲を制御する方法を選択する で、 AWS 組織全体 (すべての OUs とアカウント) の範囲を選択します。シングルアカウントデプロイの場合は、このステップをスキップします。
リソースセクションのリソースタイプで、Application Load Balancer を選択します。
[Create scope] (スコープの作成) を選択します。

AWS CLI の代替

CLI AWS を使用してスコープを作成することもできます。


aws network-security-manager create-scope \
    --scope-name "my-alb-scope" \
    --scope-configuration '{
        "accountFilter": {"includeAll": {}},
        "resourceScopes": {
            "AWS::ElasticLoadBalancingV2::LoadBalancer::application": {
                "includeAll": true
            }
        }
    }' \
    --is-published true

ステップ 5: デプロイを作成して公開する

デプロイはポリシーをスコープにバインドし、適用を有効にします。デプロイを作成して公開するには:

ナビゲーションペインで、[概要] を選択します。
概要ページで、デプロイの作成を選択します。
デプロイ名には、などのわかりやすい名前を入力しますmy-first-deployment。
ポリシーセクションで、ポリシーの追加を選択し、ステップ 3 で作成したポリシーを選択します。
「スコープ」セクションで「スコープの追加」を選択し、ステップ 4 で作成したスコープを選択します。
[デプロイの作成] を選択します。

AWS Network Security Manager は、リソースの検出と保護の適用を開始します。このプロセスは非同期であり、完了までに数分かかる場合があります。

AWS CLI の代替

AWS CLI を使用してデプロイを作成して公開することもできます。


aws network-security-manager create-deployment \
    --deployment-name "my-first-deployment" \
    --associated-policy-list '[{"policyIdentifier": "policy-arn-from-step-3"}]' \
    --associated-scope-list '[{"scopeIdentifier": "scope-arn-from-step-4"}]' \
    --deployment-configuration '{"enableCrossAccountVisibility": true}' \
    --is-published true

ステップ 6: 同期ステータスをモニタリングする

デプロイを公開すると、 AWS Network Security Manager はリソースを検出し、その設定を同期します。各リソースのステータスをモニタリングするには:

ナビゲーションペインで、[概要] を選択します。
[デプロイ] タブを選択します。
ステップ 5 で作成したデプロイを選択します。
同期タブを選択します。
各リソースの同期ステータスを確認します。
- IN_SYNC – リソース設定は、意図した保護設定と一致します。
- OUT_OF_SYNC – リソース設定が一致しません。 AWS Network Security Manager は、修復が有効になっていると、これを自動的に修復します。
- NOT_APPLICABLE – リソースは範囲内ですが、このデプロイでは評価できません。

AWS CLI の代替

AWS CLI で同期ステータスを確認することもできます。


aws network-security-manager list-resource-synchronization-statuses \
    --deployment-identifier "deployment-arn-from-step-5"

ステップ 7: クリーンアップする

作成したリソースが不要になった場合は、逆の順序で削除して適用を停止し、範囲内のリソースから保護を削除します。

これらのリソースは相互を参照するため、逆の順序が重要です。削除する前にリソースに関連付けられているものを確認するには、そのリソースの ARN ListResourceAssociationsを使用してを呼び出します。関連付けられた各リソースの ARN とリソースタイプを返します。詳細については、AWS 「Network Security Manager API リファレンス」を参照してください。

ナビゲーションペインで、[概要] を選択します。[デプロイ] タブを選択します。デプロイを選択し、アクションを選択し、削除を選択します。
スコープタブを選択します。スコープを選択し、アクションを選択し、削除を選択します。
[Policies] タブを選択します。ポリシーを選択し、アクションを選択し、削除を選択します。
[テンプレート] タブを選択します。テンプレートを選択し、アクションを選択し、削除を選択します。
[Rules] (ルール) タブを選択します。ルールを選択し、アクションを選択し、削除を選択します。

AWS CLI の代替

リソースを削除する前に、その関連付けを確認して削除順序を計画します。


aws network-security-manager list-resource-associations \
    --resource-arn "resource-arn"

リソースにまだ関連付けがある場合は、まず関連付けられたリソースを削除または削除します。

CLI AWS を使用してリソースを逆の順序で削除できます。


aws network-security-manager delete-deployment \
    --deployment-identifier "deployment-arn"

aws network-security-manager delete-scope \
    --scope-identifier "scope-arn"

aws network-security-manager delete-policy \
    --policy-identifier "policy-arn"

aws network-security-manager delete-template \
    --template-identifier "template-arn"

aws network-security-manager delete-rule \
    --rule-identifier "rule-arn"

次の手順

正常にデプロイされたので、次の方法を調べてネットワークセキュリティ保護を拡張します。

のリソースモデルとライフサイクルについて説明しますAWS Network Security Manager の仕組み。
ドラフト/公開ワークフローを使用して、変更が有効になる前にステージングします。詳細については、「ドラフトライフサイクルとアクティブライフサイクル」を参照してください。
スナップショットを作成して、既知の正常な設定を保持します。詳細については、「バージョニング」を参照してください。
を使用してGenerateRuleConfiguration、自然言語の説明からルールを作成します。詳細については、AWS 「Network Security Manager API リファレンス」を参照してください。
組織全体での AWS WAF および AWS Shield Advanced 保護の管理について説明します。詳細については、「ファイアウォールとセキュリティサービスの管理」を参照してください。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

AWS Network Security Manager のセットアップ

ファイアウォールとセキュリティサービスの管理