AWS Firewall Manager ポリシーの作成

Firewall Manager 管理者アカウント AWS Management Console を使用して にサインインし、 で Firewall Manager コンソールを開きますhttps://console.aws.amazon.com/wafv2/fmsv2。Firewall Manager 管理者アカウントの設定については、「AWS Firewall Manager 前提条件」を参照してください。

ナビゲーションペインで、[Security policies] (セキュリティポリシー) を選択します。

[Create policy] (ポリシーの作成) を選択します。

[Policy type] (ポリシータイプ) では [AWS WAF] を選択します。

リージョン では、 を選択します AWS リージョン。Amazon CloudFront ディストリビューションを保護するには、 グローバル を選択します。

複数のリージョン ( CloudFront ディストリビューション以外) のリソースを保護するには、リージョンごとに個別の Firewall Manager ポリシーを作成する必要があります。

[Next (次へ)] を選択します。

[Policy name] (ポリシー名) で、わかりやすい名前を入力します。Firewall Manager は、ポリシー名を管理ACLsしているウェブの名前に含めます。ウェブACL名にFMManagedWebACLV2-続いて、ここに入力したポリシー名、-、ウェブACL作成タイムスタンプがUTCミリ秒単位で続きます。例えば、FMManagedWebACLV2-MyWAFPolicyName-1621880374078 と指定します。

[ウェブリクエストボディの検査] では、オプションで本文のサイズ制限を変更してください。価格に関する考慮事項など、ボディ検査のサイズ制限については、「AWS WAF  デベロッパーガイド」の「の本文検査のサイズ制限の管理 AWS WAF」を参照してください。

ポリシールール で、ウェブ で最初と最後に AWS WAF 評価するルールグループを追加しますACL。 AWS WAF マネージドルールグループのバージョニングを使用するには、 バージョニングを有効にする に切り替えます。各アカウントマネージャーは、最初のルールグループと最後のルールグループの間にルールとルールグループを追加できます。の Firewall Manager ポリシーで AWS WAF ルールグループを使用する方法の詳細については AWS WAF、「」を参照してくださいFirewall Manager での AWS WAF ポリシーの使用。

（オプション) ウェブでACLルールグループの使用方法をカスタマイズするには、編集 を選択します。一般的なカスタマイズ設定は次のとおりです。

設定が完了したら、[Save rule] (ルールを保存) を選択します。

ウェブ のデフォルトアクションを設定しますACL。これは、ウェブリクエストが AWS WAFウェブ のルールのいずれとも一致しない場合に実行するアクションですACL。[Allow] (許可) アクションでカスタムヘッダーを追加することや、[Block] (ブロック) アクションのカスタムレスポンスを追加することができます。デフォルトのウェブACLアクションの詳細については、「」を参照してくださいでのウェブACLデフォルトアクションの設定 AWS WAF。カスタムウェブリクエストを設定する方法については、「でカスタマイズされたウェブリクエストとレスポンスを追加する AWS WAF」を参照してください。

[ログ記録設定] で、[ログ記録を有効にする] を選択してログ記録をオンにします。ログ記録は、ウェブ によって分析されるトラフィックに関する詳細情報を提供しますACL。[ログの出力先] を選択し、設定したログ記録の送信先を選択します。名前が aws-waf-logs- で始まるログ記録先を選択する必要があります。 AWS WAF ログ記録の送信先の設定については、「」を参照してくださいFirewall Manager での AWS WAF ポリシーの使用。

(オプション) 特定のフィールドとその値がログに含まれることを希望しない場合には、このフィールドをマスキングします。マスキングするフィールドを選び、[Add] (追加) を選択します。必要に応じて手順を繰り返し、追加のフィールドをマスキングします。マスキングされたフィールドは、ログに REDACTED と表示されます。例えば、 URIフィールドを編集すると、ログの URIフィールドは になりますREDACTED。

(オプション) すべてのリクエストをログに送信しない場合は、フィルタリング条件と動作を追加します。[Filter logs] (ログをフィルタリング) で、適用する各フィルターについて [Add filter] (フィルターを追加) を選択し、次にフィルター基準を選択して、基準に一致するリクエストを保持するかドロップするかを指定します。フィルターの追加が完了したら、必要に応じて、[Default logging behavior] (デフォルトのログ記録動作) を変更します。詳細については、「AWS WAF デベロッパーガイド」の 「ウェブACLレコードの検索」を参照してください。

[Token domain list] (トークンドメインリスト) を定義して、保護されたアプリケーション間でトークンの共有を有効にできます。トークンは によって使用されます。CAPTCHA また、Challenge アクションと を、 AWS WAF 不正コントロールアカウント乗っ取り防止 (ATP) と AWS WAF Bot Control に AWS Managed Rules ルールグループを使用する際に実装SDKsするアプリケーション統合によって実行します。

パブリックサフィックスは許可されません。たとえば、gov.au または co.uk をトークンドメインとして使用することはできません。

デフォルトでは、 は保護されたリソースのドメインに対してのみトークン AWS WAF を受け入れます。このリストにトークンドメインを追加すると、 はリスト内のすべてのドメインと関連付けられたリソースのドメインのトークン AWS WAF を受け入れます。詳細については、「AWS WAF デベロッパーガイド」の 「AWS WAF ウェブACLトークンドメインリストの設定」を参照してください。

既存のウェブ を編集する場合にのみ、ウェブ ACLの CAPTCHAおよびチャレンジイミュニティ時間を変更することができますACL。これらの設定は、Firewall Manager の [ポリシーの詳細] ページで確認できます。これらの設定については、「でのタイムスタンプの有効期限とトークンのイミュニティ時間の設定 AWS WAF」を参照してください。既存のポリシーで関連付け設定 、CAPTCHA、チャレンジ 、またはトークンドメインリスト設定を更新すると、Firewall Manager はローカルウェブを新しい値ACLsで上書きします。ただし、ポリシーの関連付け設定 、CAPTCHA、チャレンジ 、またはトークンドメインリスト設定を更新しない場合、ローカルウェブの値はACLs変更されません。このオプションの詳細については、「AWS WAF デベロッパーガイド」の「使用 CAPTCHA また、Challenge in AWS WAF」を参照してください。

ウェブACL管理 で、Firewall Manager が関連付けられていないウェブ を管理する場合はACLs、関連付けられていないウェブ ACLsの管理を有効にします。このオプションを使用すると、Firewall Manager ACLsは、少なくとも ACLs 1 つのリソースによってウェブが使用される場合にのみ、ポリシー範囲内のアカウントにウェブを作成します。アカウントがポリシー範囲内に入ると、少なくとも 1 つのリソースがウェブ を使用する場合、Firewall Manager はアカウントACL内にウェブを自動的に作成しますACL。このオプションを有効にすると、Firewall Manager はアカウントACLs内の関連付けられていないウェブのクリーンアップを 1 回実行します。このクリーンアッププロセスには、数時間かかることがあります。Firewall Manager がウェブ を作成した後にリソースがポリシースコープを離れるとACL、Firewall Manager はリソースとウェブ の関連付けを解除しますがACL、関連付けられていないウェブ はクリーンアップされませんACL。Firewall Manager は、ポリシーACLsで関連付けられていないウェブの管理を最初に有効にACLsした場合にのみ、関連付けられていないウェブをクリーンアップします。

ポリシーアクション で、組織内の該当するACL各アカウントにウェブを作成し、まだウェブACLをリソースに適用しない場合は、ポリシールールに準拠していないリソースを特定するを選択しますが、自動修正は行わず、関連付けられていないウェブの管理ACLsは選択しません。これらのオプションは後で変更できます。

代わりに、ポリシーを既存の範囲内のリソースに自動的に適用する場合は、[Auto remediate any noncompliant resources] (準拠していないリソースを自動修復する) を選択します。関連付けられていないウェブの管理ACLsが無効になっている場合、Auto remediate any noncompliant resources オプションは、組織内の該当するACL各アカウントにウェブを作成し、そのウェブをアカウントのリソースACLに関連付けます。関連付けられていないウェブの管理ACLsが有効になっている場合、Auto remediate any noncompliant resources オプションは、ウェブ への関連付けの対象となるリソースを持つアカウントACLでのみウェブを作成して関連付けますACL。

非準拠のリソース を自動修正を選択すると、別のアクティブな Firewall Manager ポリシーによって管理ACLsされていないウェブについて、範囲内のリソースから既存のウェブACL関連付けを削除することもできます。このオプションを選択すると、Firewall Manager はまずポリシーのウェブをリソースACLに関連付け、次に以前の関連付けを削除します。リソースに、別のアクティブな Firewall Manager ポリシーによって管理ACLされている別のウェブとの関連付けがある場合、この選択はその関連付けには影響しません。

[Next (次へ)] を選択します。

[AWS アカウント this policy applies to] (このポリシーが適用される ) で、次のようにオプションを選択します。

選択できるオプションは 1 つのみです。

ポリシーを適用すると、Firewall Manager は新しいアカウントを設定と照合して自動的に評価します。例えば、特定のアカウントのみを含めると、Firewall Manager は新しいアカウントにポリシーを適用しません。別の例として、OU を含める場合、OU またはその子 のいずれかにアカウントを追加するとOUs、Firewall Manager は自動的にポリシーを新しいアカウントに適用します。

[Resource type] (リソースタイプ) で、保護するリソースのタイプを選択します。

リソース では、指定したタグでリソースを含めるか除外するかによって、タグ付けを使用してポリシーの範囲を絞り込むことができます。包含または除外を使用できます。両方を使用することはできません。タグの詳細については、「タグエディタの使用」を参照してください。

複数のタグを入力した場合、含めるまたは除外するリソースにはそれらのすべてのタグが付いている必要があります。

リソースタグには NULL 以外の値のみを含めることができます。タグの値を省略すると、Firewall Manager は空の文字列値 「」でタグを保存します。リソースタグは、同じキーと値を持つタグのみと一致します。

[Next (次へ)] を選択します。

ポリシータグ には、Firewall Manager ポリシーリソースに追加する識別タグを追加します。タグの詳細については、「タグエディタの使用」を参照してください。

[Next (次へ)] を選択します。

新しいポリシー設定を確認し、調整が必要なページに戻ります。

ポリシーが完成したら、[Create policy] (ポリシーの作成) を選択します。[AWS Firewall Manager ポリシー] ペインにポリシーが一覧表示されます。おそらく、アカウントの見出しの下に保留中と表示され、自動修復設定のステータスを示します。ポリシーの作成には数分かかることがあります。[Pending] (保留中) ステータスがアカウント数に置き換えられたら、ポリシー名を選択して、アカウントとリソースの準拠ステータスを調べることができます。詳細については、「AWS Firewall Manager ポリシーのコンプライアンス情報の表示」を参照してください。

Firewall Manager 管理者アカウント AWS Management Console を使用して にサインインし、 で Firewall Manager コンソールを開きますhttps://console.aws.amazon.com/wafv2/fmsv2。Firewall Manager 管理者アカウントの設定については、「AWS Firewall Manager 前提条件」を参照してください。

ナビゲーションペインで、[Security policies] (セキュリティポリシー) を選択します。

[Create policy] (ポリシーの作成) を選択します。

[Policy type (ポリシータイプ)] で、[AWS WAF Classic] を選択します。

ポリシーに追加する AWS WAF Classic ルールグループを既に作成している場合は、 AWS Firewall Manager ポリシーの作成 を選択し、既存のルールグループ を追加します。新しいルールグループを作成する場合は、[Create a Firewall Manager policy and add a new rule group] (Firewall Manager ポリシーを作成して新しいルールグループを追加する) を選択します。

リージョン では、 を選択します AWS リージョン。Amazon CloudFront リソースを保護するには、 グローバル を選択します。

複数のリージョン ( CloudFront リソース以外) のリソースを保護するには、リージョンごとに個別の Firewall Manager ポリシーを作成する必要があります。

[Next (次へ)] を選択します。

ルールグループを作成する場合は、AWS WAF Classic ルールグループの作成 の手順に従います。ルールグループを作成したら、次のステップに進みます。

ポリシー名を入力します。

既存のルールグループを追加する場合は、ドロップダウンメニューを使用して追加するルールグループを選択し、[Add rule group] (ルールグループの追加) を選択します。

ポリシーには、[Action set by rule group] (ルールグループによって設定されたアクション) と [Count] (カウント) の 2 つのアクションがあります。ポリシーをテストする場合は、アクションを [Count] (カウント) に設定します。このアクションは、ルールグループのルールで指定されたブロックアクションを上書きします。つまり、ポリシーのアクションが [Count] (カウント) に設定されている場合、リクエストはカウントされ、ブロックされません。逆に、ポリシーのアクションを [Action set by rule group] (ルールグループによって設定されたアクション) に設定すると、ルールグループルールのアクションが使用されます。適切なアクションを選択します。

[Next] (次へ) を選択します。

[AWS アカウント this policy applies to] (このポリシーが適用される ) で、次のようにオプションを選択します。

選択できるオプションは 1 つのみです。

ポリシーを適用すると、Firewall Manager は新しいアカウントを設定と照合して自動的に評価します。例えば、特定のアカウントのみを含めると、Firewall Manager は新しいアカウントにポリシーを適用しません。別の例として、OU を含める場合、OU またはその子 のいずれかにアカウントを追加するとOUs、Firewall Manager は自動的にポリシーを新しいアカウントに適用します。

保護するリソースのタイプを選択します。

リソース では、指定したタグでリソースを含めるか除外するかによって、タグ付けを使用してポリシーの範囲を絞り込むことができます。包含または除外を使用できます。両方を使用することはできません。タグの詳細については、「タグエディタの使用」を参照してください。

複数のタグを入力した場合、含めるまたは除外するリソースにはそれらのすべてのタグが付いている必要があります。

リソースタグには NULL 以外の値のみを含めることができます。タグの値を省略すると、Firewall Manager は空の文字列値 「」でタグを保存します。リソースタグは、同じキーと値を持つタグのみと一致します。

既存のリソースにポリシーを自動的に適用する場合は、[Create and apply this policy to existing and new resources] (既存および新規のリソースにこのポリシーを作成して適用する) を選択します。

このオプションは、組織内の AWS 該当するACL各アカウントにウェブを作成し、そのウェブをアカウントのリソースACLに関連付けます。このオプションは、前述の基準 (リソースタイプとタグ) に一致するすべての新しいリソースにもポリシーを適用します。または、ポリシーの作成を選択し、ポリシーを既存または新しいリソース に適用しない場合、Firewall Manager は組織内の該当するACL各アカウントにウェブを作成しますが、そのウェブはどのリソースACLにも適用しません。ポリシーは後でリソースに適用する必要があります。適切なオプションを選択します。

既存の関連付けられているウェブ を置き換えACLsるには、対象範囲内のリソースに現在定義されているウェブACL関連付けを削除し、このポリシーでACLs作成するウェブへの関連付けに置き換えることができます。デフォルトでは、Firewall Manager は新しいウェブ関連付けを追加する前に既存のウェブACL関連付けを削除しません。既存の関連付けを削除する場合は、このオプションを選択します。

[Next] (次へ) を選択します。

新しいポリシーを確認します。設定を変更するには、[Edit] (編集) を選択します。ポリシーが完成したら、[Create and apply policy] (ポリシーの作成と適用) を選択します。

Firewall Manager 管理者アカウント AWS Management Console を使用して にサインインし、 で Firewall Manager コンソールを開きますhttps://console.aws.amazon.com/wafv2/fmsv2。Firewall Manager 管理者アカウントの設定については、「AWS Firewall Manager 前提条件」を参照してください。

ナビゲーションペインで、[Security policies] (セキュリティポリシー) を選択します。

[Create policy] (ポリシーの作成) を選択します。

[Policy type] (ポリシータイプ) で、[Shield Advanced] を選択します。

Shield Advanced ポリシーを作成するには、Shield Advanced をサブスクライブする必要があります。登録されていない場合は、登録するよう求められます。サブスクリプションの費用については、「AWS Shield Advanced の料金」を参照してください。

リージョン では、 を選択します AWS リージョン。Amazon CloudFront ディストリビューションを保護するには、グローバル を選択します。

[Global] (グローバル) 以外のリージョンを選択する場合、複数のリージョンでリソースを保護するには、各リージョン用に個別の Firewall Manager ポリシーを作成する必要があります。

[Next] (次へ) を選択します。

[Name] (名前) で、わかりやすい名前を入力します。

グローバルリージョンポリシーでのみ、Shield Advanced 自動アプリケーションレイヤーDDoS緩和を管理するかどうかを選択できます。Shield Advanced 機能については、「Shield Advanced によるアプリケーションレイヤーのDDoS緩和の自動化 」を参照してください。

自動緩和を有効または無効にすることを選択でき、あるいは無視することを選択できます。無視することを選択した場合、Firewall Manager は、Shield Advanced 保護のために自動緩和をまったく管理しません。これらのポリシーのオプションの詳細については、「Firewall Manager Shield Advanced ポリシーでのアプリケーションレイヤーの自動DDoS緩和の使用」を参照してください 。

ウェブACL管理 で、Firewall Manager が関連付けられていないウェブ を管理する場合はACLs、関連付けられていないウェブ ACLsの管理を有効にします。このオプションを使用すると、Firewall Manager ACLsは、少なくとも ACLs 1 つのリソースによってウェブが使用される場合にのみ、ポリシー範囲内のアカウントにウェブを作成します。アカウントがポリシー範囲内に入ると、少なくとも 1 つのリソースがウェブ を使用する場合、Firewall Manager はアカウントACL内にウェブを自動的に作成しますACL。このオプションを有効にすると、Firewall Manager はアカウントACLs内の関連付けられていないウェブのクリーンアップを 1 回実行します。このクリーンアッププロセスには、数時間かかることがあります。Firewall Manager がウェブ を作成した後にリソースがポリシースコープを離れた場合ACL、Firewall Manager はウェブ からリソースの関連付けを解除しませんACL。1 回限りのクリーンアップACLにウェブを含めるには、まずウェブからリソースの関連付けを手動で解除してからACL、関連付けられていないウェブの管理ACLsを有効にする必要があります。

[Policy action] (ポリシーアクション) では、準拠していないリソースを自動的に修復しないオプションを使用してポリシーを作成することをお勧めします。自動修復を無効にすると、新しいポリシーを適用する前にその効果を評価できます。変更が適切であることを確認したら、ポリシーを編集し、ポリシーアクションを変更して、自動修復を有効にします。

代わりに、ポリシーを既存の範囲内のリソースに自動的に適用する場合は、[Auto remediate any noncompliant resources] (準拠していないリソースを自動修復する) を選択します。このオプションは、 AWS 組織内の該当する各アカウントとアカウント内の該当する各リソースに Shield Advanced 保護を適用します。

グローバルリージョンポリシーについてのみ、非準拠のリソース を自動修正することを選択した場合、Firewall Manager に既存の AWS WAF Classic ウェブACL関連付けを、最新バージョン AWS WAF (v2) を使用して作成されたウェブへの新しい関連付けに自動的に置き換えACLsさせることもできます。これを選択すると、Firewall Manager は以前のバージョンのウェブとの関連付けを削除ACLsしACLs、ポリシー用にまだ存在しないスコープ内アカウントに新しい空のウェブを作成した後、最新バージョンACLsのウェブ との新しい関連付けを作成します。このオプションの詳細については、「AWS WAF Classic ウェブACLsを最新バージョンのウェブに置き換える ACLs」をご参照ください。

[Next] (次へ) を選択します。

[AWS アカウント this policy applies to] (このポリシーが適用される ) で、次のようにオプションを選択します。

選択できるオプションは 1 つのみです。

ポリシーを適用すると、Firewall Manager は新しいアカウントを設定と照合して自動的に評価します。例えば、特定のアカウントのみを含めると、Firewall Manager は新しいアカウントにポリシーを適用しません。別の例として、OU を含める場合、OU またはその子 のいずれかにアカウントを追加するとOUs、Firewall Manager は自動的にポリシーを新しいアカウントに適用します。

保護するリソースのタイプを選択します。

Firewall Manager は、Amazon Route 53 または AWS Global Acceleratorをサポートしていません。これらのサービスからリソースを保護するために Shield Advanced を使用する必要がある場合、Firewall Manager ポリシーを使用することはできません。代わりに、「AWS リソースへの AWS Shield Advanced 保護の追加」の Shield Advanced のガイダンスに従ってください。

リソース では、指定したタグでリソースを含めるか除外するかによって、タグ付けを使用してポリシーの範囲を絞り込むことができます。包含または除外は使用できますが、両方を使用することはできません。タグの詳細については、「タグエディタの使用」を参照してください。

複数のタグを入力した場合、含めるまたは除外するリソースにはそれらのすべてのタグが付いている必要があります。

リソースタグには NULL 以外の値のみを使用できます。タグの値を省略すると、Firewall Manager は空の文字列値 「」でタグを保存します。リソースタグは、同じキーと値を持つタグのみと一致します。

[Next (次へ)] を選択します。

ポリシータグ には、Firewall Manager ポリシーリソースに追加する識別タグを追加します。タグの詳細については、「タグエディタの使用」を参照してください。

[Next (次へ)] を選択します。

新しいポリシー設定を確認し、調整が必要なページに戻ります。

ポリシーが完成したら、[Create policy] (ポリシーの作成) を選択します。[AWS Firewall Manager ポリシー] ペインにポリシーが一覧表示されます。おそらく、アカウントの見出しの下に保留中と表示され、自動修復設定のステータスを示します。ポリシーの作成には数分かかることがあります。[Pending] (保留中) ステータスがアカウント数に置き換えられたら、ポリシー名を選択して、アカウントとリソースの準拠ステータスを調べることができます。詳細については、「AWS Firewall Manager ポリシーのコンプライアンス情報の表示」を参照してください。

Firewall Manager 管理者アカウント AWS Management Console を使用して にサインインし、 で Firewall Manager コンソールを開きますhttps://console.aws.amazon.com/wafv2/fmsv2。Firewall Manager 管理者アカウントの設定については、「AWS Firewall Manager 前提条件」を参照してください。

ナビゲーションペインで、[Security policies] (セキュリティポリシー) を選択します。

[Create policy] (ポリシーの作成) を選択します。

[Policy type] (ポリシータイプ) で、[Security group] (セキュリティグループ) を選択します。

[Security group policy type] (セキュリティグループポリシータイプ) で、[Common security groups] (共通セキュリティグループ) を選択します。

リージョン では、 を選択します AWS リージョン。

[Next (次へ)] を選択します。

[Policy name](ポリシー名) で、フレンドリ名を入力します。

[Policy rules] (ポリシールール) で、次の操作を行います。

1. ルールオプションから、セキュリティグループルールとポリシーの範囲内にあるリソースに対して適用する制限を選択します。[Distribute tags from the primary security group to the security groups created by this policy] (プライマリセキュリティグループからこのポリシーによって作成されたセキュリティグループにタグを配布) を選択した場合は、[Identify and report when the security groups created by this policy become non-compliant] (このポリシーによって作成されたセキュリティグループが非準拠になったときに識別して報告) も選択する必要があります。

   重要

   Firewall Manager は、 AWS サービスによって追加されたシステムタグをレプリカセキュリティグループに配信しません。システムタグは aws: プレフィックスで始まります。また、ポリシーに組織のタグポリシーと矛盾するタグがある場合は、Firewall Manager が既存のセキュリティグループでのタグ更新や、新しいセキュリティグループの作成を行うことはありません。タグポリシーの詳細については、 AWS Organizations 「 ユーザーガイド」の「タグポリシー」を参照してください。

   セキュリティグループ参照をプライマリセキュリティグループからこのポリシー によって作成されたセキュリティグループに分散することを選択した場合、Firewall Manager は、Amazon でアクティブなピアリング接続がある場合にのみセキュリティグループ参照を分散しますVPC。このオプションの詳細については、「ポリシールールの設定」を参照してください。

2. プライマリセキュリティグループ では、セキュリティグループ を追加 を選択し、使用するセキュリティグループを選択します。Firewall Manager は、Firewall Manager 管理者アカウントのすべての Amazon VPCインスタンスのセキュリティグループのリストを入力します。

   デフォルトでは、ポリシーあたりのプライマリセキュリティグループの最大数は 3 です。この設定についての情報は、「AWS Firewall Manager クォータ」を参照してください。

3. [Policy action] (ポリシーアクション) では、自動的に修復されないオプションを使用してポリシーを作成することをお勧めします。これにより、新しいポリシーを適用する前にその効果を評価できます。変更が適切であることを確認したら、ポリシーを編集し、ポリシーアクションを変更して、準拠していないリソースの自動修復を有効にします。

[Next] (次へ) を選択します。

[AWS アカウント this policy applies to] (このポリシーが適用される ) で、次のようにオプションを選択します。

選択できるオプションは 1 つのみです。

ポリシーを適用すると、Firewall Manager は新しいアカウントを設定と照合して自動的に評価します。例えば、特定のアカウントのみを含めると、Firewall Manager は新しいアカウントにポリシーを適用しません。別の例として、OU を含める場合、OU またはその子 のいずれかにアカウントを追加するとOUs、Firewall Manager は自動的にポリシーを新しいアカウントに適用します。

[Resource type] (リソースタイプ) で、保護するリソースのタイプを選択します。

リソースタイプのEC2インスタンス では、すべての Amazon EC2インスタンスを修復するか、デフォルトのプライマリエラスティックネットワークインターフェイス () のみを持つインスタンスのみを修復するかを選択できますENI。後者のオプションでは、Firewall Manager は追加のENIアタッチメントがあるインスタンスを修正しません。代わりに、自動修復が有効になっている場合、Firewall Manager はこれらのEC2インスタンスのコンプライアンスステータスのみをマークし、修復アクションは適用されません。Amazon EC2リソースタイプのその他の注意事項と制限については、「」を参照してくださいセキュリティグループポリシーの注意事項と制限事項。

リソース では、指定したタグでリソースを含めるか除外するかによって、タグ付けを使用してポリシーの範囲を絞り込むことができます。包含または除外は使用できますが、両方を使用することはできません。タグの詳細については、「タグエディタの使用」を参照してください。

複数のタグを入力した場合、含めるまたは除外するリソースにはそれらのすべてのタグが付いている必要があります。

リソースタグには NULL 以外の値のみを使用できます。タグの値を省略すると、Firewall Manager は空の文字列値 「」でタグを保存します。リソースタグは、同じキーと値を持つタグのみと一致します。

共有VPCリソース では、VPCsアカウントが所有する に加えてVPCs、共有 のリソースにポリシーを適用する場合は、共有 からリソースを含める VPCsを選択します。

[Next (次へ)] を選択します。

ポリシー設定を見直して目的の設定になっていることを確認し、[Create policy] (ポリシーの作成) を選択します。

Firewall Manager 管理者アカウント AWS Management Console を使用して にサインインし、 で Firewall Manager コンソールを開きますhttps://console.aws.amazon.com/wafv2/fmsv2。Firewall Manager 管理者アカウントの設定については、「AWS Firewall Manager 前提条件」を参照してください。

ナビゲーションペインで、[Security policies] (セキュリティポリシー) を選択します。

[Create policy] (ポリシーの作成) を選択します。

[Policy type] (ポリシータイプ) で、[Security group] (セキュリティグループ) を選択します。

[Security group policy type] (セキュリティグループポリシータイプ) で、[Auditing and enforcement of security group rules] (セキュリティグループルールの監査と適用) を選択します。

リージョン では、 を選択します AWS リージョン。

[Next (次へ)] を選択します。

[Policy name](ポリシー名) で、フレンドリ名を入力します。

[Policy rules] (ポリシールール) で、使用するマネージドポリシールールオプションまたはカスタムポリシールールオプションを選択します。

1. [Configure managed audit policy rules] (マネージド監査ポリシールールを設定) で、次の手順を実行します。

   1. [Configure security group rules to audit] (監査するセキュリティグループルールを設定) で、監査ポリシーを適用するセキュリティグループルールの種類を選択します。

   2. セキュリティグループ内のプロトコル、ポート、CIDR範囲設定に基づいて監査ルールなどの操作を行う場合は、過度に許容されているセキュリティグループルールの監査を選択し、必要なオプションを選択します。

      [ルールですべてのトラフィックを許可する] を選択すると、カスタムアプリケーション リストを指定して、監査するアプリケーションを指定できます。カスタムアプリケーションリスト、およびポリシーでのアプリケーションリストの使用方法については、「マネージドリストの使用」および「マネージドリストの使用」を参照してください。

      プロトコルリストを使用する選択では、既存のリストを使用したり、新しいリストを作成したりできます。プロトコルリスト、およびポリシーでのアプリケーションリストの使用方法については、「マネージドリストの使用」および「マネージドリストの使用」を参照してください。

   3. 予約済みまたは予約されていないCIDR範囲へのアクセスに基づいて高リスクを監査する場合は、高リスクアプリケーションの監査を選択し、必要なオプションを選択します。

      次の選択は相互に排他的です。予約済みCIDR範囲 にのみアクセスできるアプリケーションと、予約されていないCIDR範囲 へのアクセスが許可されているアプリケーション。いずれのポリシーでも、選択できるのは最大 1 つです。

      アプリケーションリストを使用する選択では、既存のリストを使用したり、新しいリストを作成したりできます。アプリケーションリスト、およびポリシーでのアプリケーションリストの使用方法については、「マネージドリストの使用」および「マネージドリストの使用」を参照してください。

   4. [Overrides] (上書き) 設定を使用して、ポリシー内の他の設定を明示的に上書きします。ポリシーに設定した他のオプションに準拠しているかどうかにかかわらず、特定のセキュリティグループルールを常に許可するか常に拒否するかを選択できます。

      このオプションでは、許可されたルールまたは拒否されたルールテンプレートとして監査セキュリティグループを指定します。[Audit security groups] (監査セキュリティグループ) で、[Add audit security groups] (監査セキュリティグループを追加) を選択してから、使用するセキュリティグループを選択します。Firewall Manager は、Firewall Manager 管理者アカウントのすべての Amazon VPCインスタンスから監査セキュリティグループのリストを入力します。ポリシーの監査セキュリティグループ数のデフォルト最大クォータは 1 です。クォータを引き上げる方法については、「AWS Firewall Manager クォータ」を参照してください。

2. [Configure custom policy rules] (カスタムポリシールールを設定) で、次の手順を実行します。

   1. ルールオプションから、監査セキュリティグループで定義されたルールのみを許可するか、すべてのルールを拒否するかを選択します。この選択の詳細については、「Firewall Manager でのコンテンツ監査セキュリティグループポリシーの使用」を参照してください。

   2. [Audit security groups] (監査セキュリティグループ) で、[Add audit security groups] (監査セキュリティグループを追加) を選択してから、使用するセキュリティグループを選択します。Firewall Manager は、Firewall Manager 管理者アカウントのすべての Amazon VPCインスタンスから監査セキュリティグループのリストを入力します。ポリシーの監査セキュリティグループ数のデフォルト最大クォータは 1 です。クォータを引き上げる方法については、「AWS Firewall Manager クォータ」を参照してください。

   3. [Policy action] (ポリシーアクション) では、自動的に修復されないオプションを使用してポリシーを作成する必要があります。これにより、新しいポリシーを適用する前にその効果を評価できます。変更が適切であることを確認したら、ポリシーを編集し、ポリシーアクションを変更して、準拠していないリソースの自動修復を有効にします。

[Next] (次へ) を選択します。

[AWS アカウント this policy applies to] (このポリシーが適用される ) で、次のようにオプションを選択します。

選択できるオプションは 1 つのみです。

ポリシーを適用すると、Firewall Manager は新しいアカウントを設定と照合して自動的に評価します。例えば、特定のアカウントのみを含めると、Firewall Manager は新しいアカウントにポリシーを適用しません。別の例として、OU を含める場合、OU またはその子 のいずれかにアカウントを追加するとOUs、Firewall Manager は自動的にポリシーを新しいアカウントに適用します。

[Resource type] (リソースタイプ) で、保護するリソースのタイプを選択します。

リソース では、指定したタグでリソースを含めるか除外するかによって、タグ付けを使用してポリシーの範囲を絞り込むことができます。包含または除外は使用できますが、両方を使用することはできません。タグの詳細については、「タグエディタの使用」を参照してください。

複数のタグを入力した場合、含めるまたは除外するリソースにはそれらのすべてのタグが付いている必要があります。

リソースタグには NULL 以外の値のみを使用できます。タグの値を省略すると、Firewall Manager は空の文字列値 「」でタグを保存します。リソースタグは、同じキーと値を持つタグのみと一致します。

[Next (次へ)] を選択します。

ポリシー設定を見直して目的の設定になっていることを確認し、[Create policy] (ポリシーの作成) を選択します。

Firewall Manager 管理者アカウント AWS Management Console を使用して にサインインし、 で Firewall Manager コンソールを開きますhttps://console.aws.amazon.com/wafv2/fmsv2。Firewall Manager 管理者アカウントの設定については、「AWS Firewall Manager 前提条件」を参照してください。

ナビゲーションペインで、[Security policies] (セキュリティポリシー) を選択します。

[Create policy] (ポリシーの作成) を選択します。

[Policy type] (ポリシータイプ) で、[Security group] (セキュリティグループ) を選択します。

[セキュリティグループポリシータイプ]で、[未使用および冗長セキュリティグループの監査とクリーンアップ]を選択します。

リージョン では、 を選択します AWS リージョン。

[Next (次へ)] を選択します。

[Policy name](ポリシー名) で、フレンドリ名を入力します。

[Policy rules] (ポリシールール) で、使用可能なオプションのいずれかまたは両方を選択します。

[Policy action] (ポリシーアクション) では、自動的に修復されないオプションを使用してポリシーを作成することをお勧めします。これにより、新しいポリシーを適用する前にその効果を評価できます。変更が適切であることを確認したら、ポリシーを編集し、ポリシーアクションを変更して、準拠していないリソースの自動修復を有効にします。

[Next] (次へ) を選択します。

[AWS アカウント this policy applies to] (このポリシーが適用される ) で、次のようにオプションを選択します。

選択できるオプションは 1 つのみです。

ポリシーを適用すると、Firewall Manager は新しいアカウントを設定と照合して自動的に評価します。例えば、特定のアカウントのみを含めると、Firewall Manager は新しいアカウントにポリシーを適用しません。別の例として、OU を含める場合、OU またはその子 のいずれかにアカウントを追加するとOUs、Firewall Manager は自動的にポリシーを新しいアカウントに適用します。

リソース では、指定したタグでリソースを含めるか除外するかによって、タグ付けを使用してポリシーの範囲を絞り込むことができます。包含または除外は使用できますが、両方を使用することはできません。タグの詳細については、「タグエディタの使用」を参照してください。

複数のタグを入力した場合、含めるまたは除外するリソースにはそれらのすべてのタグが付いている必要があります。

リソースタグには NULL 以外の値のみを使用できます。タグの値を省略すると、Firewall Manager は空の文字列値 「」でタグを保存します。リソースタグは、同じキーと値を持つタグのみと一致します。

[Next (次へ)] を選択します。

ポリシーの範囲から Firewall Manager 管理者アカウントを除外していない場合、Firewall Manager によりこれを行うよう求められます。これにより、セキュリティグループは Firewall Manager 管理者アカウントに残ります。このアカウントは、手動コントロール下で、共通セキュリティグループポリシーおよび監査セキュリティグループポリシーに使用します。このダイアログで目的のオプションを選択します。

ポリシー設定を見直して目的の設定になっていることを確認し、[Create policy] (ポリシーの作成) を選択します。

Firewall Manager 管理者アカウント AWS Management Console を使用して にサインインし、 で Firewall Manager コンソールを開きますhttps://console.aws.amazon.com/wafv2/fmsv2。Firewall Manager 管理者アカウントの設定については、「AWS Firewall Manager 前提条件」を参照してください。

ナビゲーションペインで、[Security policies] (セキュリティポリシー) を選択します。

[Create policy] を選択します。

ポリシータイプ の場合は、ネットワーク ACLを選択します。

リージョン では、 を選択します AWS リージョン。

[Next (次へ)] を選択します。

[Policy name] (ポリシー名) で、わかりやすい名前を入力します。

ポリシールール では、Firewall Manager ACLsが管理するネットワークで常に実行するルールを定義します。ネットワークはインバウンドトラフィックとアウトバウンドトラフィックACLsをモニタリングして処理するため、ポリシーでは両方の方向のルールを定義します。

どちらの方向でも、常に最初に実行するルールと、最後に実行するルールを定義します。Firewall Manager ACLsが管理するネットワークでは、アカウント所有者は、これらの最初と最後のルールの間で実行するカスタムルールを定義できます。

ポリシーアクション で、非準拠のサブネットとネットワーク を識別するがACLs、まだ修正アクションを実行しない場合は、ポリシールールに準拠していないリソースの特定を選択しますが、 を自動修正しないでください。これらのオプションは後で変更できます。

代わりに、ポリシーを既存の範囲内サブネットに自動的に適用する場合は、準拠していないリソース を自動修正を選択します。このオプションでは、ポリシールールのトラフィック処理動作がネットワーク にあるカスタムルールと競合した場合に、強制的な修復を行うかどうかも指定しますACL。Firewall Manager は、強制的な修復の有無にかかわらず、コンプライアンス違反で競合するルールを報告します。

[Next (次へ)] を選択します。

[AWS アカウント this policy applies to] (このポリシーが適用される ) で、次のようにオプションを選択します。

選択できるオプションは 1 つのみです。

ポリシーを適用すると、Firewall Manager は新しいアカウントを設定と照合して自動的に評価します。例えば、特定のアカウントのみを含める場合、Firewall Manager はポリシーを別の新しいアカウントに適用しません。別の例として、OU を含める場合、OU またはその子 のいずれかにアカウントを追加するとOUs、Firewall Manager は自動的にポリシーを新しいアカウントに適用します。

リソースタイプ の場合、設定はサブネット に固定されます。

リソース では、指定したタグでリソースを含めるか除外するかによって、タグ付けを使用してポリシーの範囲を絞り込むことができます。包含または除外は使用できますが、両方を使用することはできません。タグの詳細については、「タグエディタの使用」を参照してください。

複数のタグを入力した場合、含めるまたは除外するリソースにはそれらのすべてのタグが付いている必要があります。

リソースタグには NULL 以外の値のみを使用できます。タグの値を省略すると、Firewall Manager は空の文字列値 「」でタグを保存します。リソースタグは、同じキーと値を持つタグのみと一致します。

[Next (次へ)] を選択します。

ポリシー設定を見直して目的の設定になっていることを確認し、[Create policy] (ポリシーの作成) を選択します。

Firewall Manager 管理者アカウント AWS Management Console を使用して にサインインし、 で Firewall Manager コンソールを開きますhttps://console.aws.amazon.com/wafv2/fmsv2。Firewall Manager 管理者アカウントの設定については、「AWS Firewall Manager 前提条件」を参照してください。

ナビゲーションペインで、[Security policies] (セキュリティポリシー) を選択します。

[Create policy] (ポリシーの作成) を選択します。

[Policy type] (ポリシータイプ) では [AWS Network Firewall] を選択します。

[Firewall management type] (ファイアウォールの管理タイプ) で、Firewall Manager にポリシーのファイアウォールをどのように管理させるか選択します。次のオプションから選択します。

リージョン では、 を選択します AWS リージョン。複数のリージョンのリソースを保護するには、各リージョンに別々の ポリシーを作成する必要があります。

[Next] (次へ) を選択します。

[Policy name] (ポリシー名) で、わかりやすい名前を入力します。Firewall Manager は、Network Firewall のファイアウォールおよび作成するファイアウォールポリシーの名前にポリシー名を含めます。

[AWS Network Firewall policy configuration] (ポリシー設定) では、Network Firewall の場合と同じようにファイアウォールポリシーを設定します。ステートレスルールグループおよびステートフルルールグループを追加し、ポリシーのデフォルトアクションを指定します。オプションで、ポリシーのステートフルルール評価順序とデフォルトアクションを設定し、ログ記録設定を行うことができます。Network Firewall のファイアウォールポリシーの管理については、「AWS Network Firewall デベロッパーガイド」の「AWS Network Firewall ファイアウォールポリシー」を参照してください。

Firewall Manager の Network Firewall ポリシーを作成すると、Firewall Manager は、範囲内にあるアカウント用にファイアウォールポリシーを作成します。個々のアカウントマネージャーは、ファイアウォールポリシーにルールグループを追加できますが、ここで指定する設定を変更することはできません。

[Next (次へ)] を選択します。

前のステップで選択した [Firewall management type] (ファイアウォール管理タイプ) に応じて、次のいずれかを実行します。

[Next (次へ)] を選択します。

ポリシーで分散型ファイアウォール管理タイプを使用している場合は、[Route management] (ルート管理) で、Firewall Manager がそれぞれのファイアウォールエンドポイントを経由してルーティングする必要のあるトラフィックをモニタリングおよびアラートするかどうかを選択します。

[Traffic type] (トラフィックタイプ) で、ファイアウォール検査のためにトラフィックをルーティングするトラフィックエンドポイントをオプションで追加します。

[Allow required cross-AZ traffic] (必要なクロス AZ トラフィックを許可) で、このオプションを有効にすると、Firewall Manager は、独自のファイアウォールエンドポイントを持たないアベイラビリティーゾーンの場合、検査のためにアベイラビリティーゾーンからトラフィックを送信する準拠ルーティングとして扱います。エンドポイントを持つアベイラビリティーゾーンでは、常に独自のトラフィックを検査する必要があります。

[Next] (次へ) を選択します。

[Policy scope] (ポリシーの範囲) の [AWS アカウント this policy applies to] (このポリシーが適用される ) で、次のようにオプションを選択します。

選択できるオプションは 1 つのみです。

ポリシーを適用すると、Firewall Manager は新しいアカウントを設定と照合して自動的に評価します。例えば、特定のアカウントのみを含めると、Firewall Manager は新しいアカウントにポリシーを適用しません。別の例として、OU を含める場合、OU またはその子 のいずれかにアカウントを追加するとOUs、Firewall Manager は自動的にポリシーを新しいアカウントに適用します。

Network Firewall ポリシーのリソースタイプは ですVPC。

リソース では、指定したタグでリソースを含めるか除外するかによって、タグ付けを使用してポリシーの範囲を絞り込むことができます。包含または除外は使用できますが、両方を使用することはできません。タグの詳細については、「タグエディタの使用」を参照してください。

複数のタグを入力した場合、含めるまたは除外するリソースにはそれらのすべてのタグが付いている必要があります。

リソースタグには NULL 以外の値のみを使用できます。タグの値を省略すると、Firewall Manager は空の文字列値 「」でタグを保存します。リソースタグは、同じキーと値を持つタグのみと一致します。

[Next (次へ)] を選択します。

ポリシータグ には、Firewall Manager ポリシーリソースに追加する識別タグを追加します。タグの詳細については、「タグエディタの使用」を参照してください。

[Next (次へ)] を選択します。

新しいポリシー設定を確認し、調整が必要なページに戻ります。

ポリシーが完成したら、[Create policy] (ポリシーの作成) を選択します。[AWS Firewall Manager ポリシー] ペインにポリシーが一覧表示されます。おそらく、アカウントの見出しの下に保留中と表示され、自動修復設定のステータスを示します。ポリシーの作成には数分かかることがあります。[Pending] (保留中) ステータスがアカウント数に置き換えられたら、ポリシー名を選択して、アカウントとリソースの準拠ステータスを調べることができます。詳細については、「AWS Firewall Manager ポリシーのコンプライアンス情報の表示」を参照してください。

Firewall Manager 管理者アカウント AWS Management Console を使用して にサインインし、 で Firewall Manager コンソールを開きますhttps://console.aws.amazon.com/wafv2/fmsv2。Firewall Manager 管理者アカウントの設定については、「AWS Firewall Manager 前提条件」を参照してください。

ナビゲーションペインで、[Security policies] (セキュリティポリシー) を選択します。

[Create policy] を選択します。

ポリシータイプ で、Amazon Route 53 Resolver DNSファイアウォール を選択します。

リージョン では、 を選択します AWS リージョン。複数のリージョンのリソースを保護するには、各リージョンに別々の ポリシーを作成する必要があります。

[Next] (次へ) を選択します。

[Policy name] (ポリシー名) で、わかりやすい名前を入力します。

ポリシー設定で、DNSFirewall が VPCsのルールグループ関連付けの中で最初と最後のルールグループを追加します。ポリシーには最大 2 つのルールグループを追加できます。

Firewall Manager DNS Firewall ポリシーを作成すると、Firewall Manager は、範囲内の VPCsおよび アカウントのルールグループの関連付けを、指定した関連付けの優先順位で作成します。個々のアカウントマネージャーは、最初の関連付けと最後の関連付けの間にルールグループの関連付けを追加できますが、お客様がここで定義する関連付けを変更することはできません。詳細については、「DNS Firewall Manager での Amazon Route 53 Resolver Firewall ポリシーの使用」を参照してください。

[Next] (次へ) を選択します。

[AWS アカウント this policy applies to] (このポリシーが適用される ) で、次のようにオプションを選択します。

選択できるオプションは 1 つのみです。

ポリシーを適用すると、Firewall Manager は新しいアカウントを設定と照合して自動的に評価します。例えば、特定のアカウントのみを含めると、Firewall Manager は新しいアカウントにポリシーを適用しません。別の例として、OU を含める場合、OU またはその子 のいずれかにアカウントを追加するとOUs、Firewall Manager は自動的にポリシーを新しいアカウントに適用します。

DNS Firewall ポリシーのリソースタイプは ですVPC。

リソース では、指定したタグでリソースを含めるか除外するかによって、タグ付けを使用してポリシーの範囲を絞り込むことができます。包含または除外は使用できますが、両方を使用することはできません。タグの詳細については、「タグエディタの使用」を参照してください。

複数のタグを入力した場合、含めるまたは除外するリソースにはそれらのすべてのタグが付いている必要があります。

リソースタグには NULL 以外の値のみを使用できます。タグの値を省略すると、Firewall Manager は空の文字列値 「」でタグを保存します。リソースタグは、同じキーと値を持つタグのみと一致します。

[Next (次へ)] を選択します。

ポリシータグ には、Firewall Manager ポリシーリソースに追加する識別タグを追加します。タグの詳細については、「タグエディタの使用」を参照してください。

[Next (次へ)] を選択します。

新しいポリシー設定を確認し、調整が必要なページに戻ります。

ポリシーが完成したら、[Create policy] (ポリシーの作成) を選択します。[AWS Firewall Manager ポリシー] ペインにポリシーが一覧表示されます。おそらく、アカウントの見出しの下に保留中と表示され、自動修復設定のステータスを示します。ポリシーの作成には数分かかることがあります。[Pending] (保留中) ステータスがアカウント数に置き換えられたら、ポリシー名を選択して、アカウントとリソースの準拠ステータスを調べることができます。詳細については、「AWS Firewall Manager ポリシーのコンプライアンス情報の表示」を参照してください。

Firewall Manager 管理者アカウント AWS Management Console を使用して にサインインし、 で Firewall Manager コンソールを開きますhttps://console.aws.amazon.com/wafv2/fmsv2。Firewall Manager 管理者アカウントの設定については、「AWS Firewall Manager 前提条件」を参照してください。

ナビゲーションペインで、[Security policies] (セキュリティポリシー) を選択します。

[Create policy] を選択します。

ポリシータイプ で、Palo Alto Networks Cloud NGFWを選択します。 AWS Marketplace で Palo Alto Networks クラウドNGFWサービスにまだサブスクライブしていない場合は、まずそのサービスを行う必要があります。 AWS Marketplace でサブスクライブするには、View AWS Marketplace details を選択します。

[Deployment model] (デプロイモデル) で、[Distributed model] (分散モデル) または [Centralized model] (集約型モデル) のいずれかを選択します。デプロイモデルによって、Firewall Manager がポリシーのエンドポイントを管理する方法が決まります。分散モデルでは、Firewall Manager VPCはポリシー範囲内の各ファイアウォールエンドポイントを維持します。一元化されたモデルでは、Firewall Manager は検査 で単一のエンドポイントを維持しますVPC。

リージョン では、 を選択します AWS リージョン。複数のリージョンのリソースを保護するには、各リージョンに別々の ポリシーを作成する必要があります。

[Next] (次へ) を選択します。

[Policy name] (ポリシー名) で、わかりやすい名前を入力します。

ポリシー設定で、このポリシーに関連付ける Palo Alto Networks Cloud NGFWファイアウォールポリシーを選択します。Palo Alto Networks Cloud NGFWファイアウォールポリシーのリストには、Palo Alto Networks Cloud NGFWテナントに関連付けられているすべての Palo Alto Networks Cloud NGFWファイアウォールポリシーが含まれています。Palo Alto Networks Cloud NGFWファイアウォールポリシーの作成と管理の詳細については、「デプロイNGFWガイド」の「 トピック AWS を含む」の「Deploy AWS Firewall Manager Palo Alto Networks Cloud NGFW for AWS deployment」を参照してください。

Palo Alto Networks クラウドNGFWログ記録 - オプションで、ポリシーのログに記録する Palo Alto Networks クラウドNGFWログタイプ (複数可) をオプションで選択します。Palo Alto Networks Cloud NGFWログタイプの詳細については、 AWS 「デプロイガイドNGFW」の「Palo Alto Networks Cloud のログ記録の設定NGFW AWS」を参照してください。

[log destination] (ログの宛先) で、Firewall Manager がログを書き込む場合を指定します。

[Next] (次へ) を選択します。

[Configure third-party firewall endpoint] (サードパーティーのファイアウォールエンドポイントを設定) で、ファイアウォールエンドポイントの作成に分散デプロイモデルと集約型デプロイモデルのいずれを使用しているかに応じて、次のいずれかを実行します。

Firewall Manager が のファイアウォールサブネットに使用するCIDRブロックを指定する場合はVPCs、すべて /28 CIDRブロックである必要があります。1 行に 1 つのブロックを入力します。これらを省略すると、Firewall Manager は で使用可能な IP アドレスからユーザーに代わって IP アドレスを選択しますVPCs。

[Next (次へ)] を選択します。

[Policy scope] (ポリシーの範囲) の [AWS アカウント this policy applies to] (このポリシーが適用される ) で、次のようにオプションを選択します。

選択できるオプションは 1 つのみです。

ポリシーを適用すると、Firewall Manager は新しいアカウントを設定と照合して自動的に評価します。例えば、特定のアカウントのみを含めると、Firewall Manager は新しいアカウントにポリシーを適用しません。別の例として、OU を含める場合、OU またはその子 のいずれかにアカウントを追加するとOUs、Firewall Manager は自動的にポリシーを新しいアカウントに適用します。

Network Firewall ポリシーのリソースタイプは ですVPC。

リソース では、指定したタグでリソースを含めるか除外するかによって、タグ付けを使用してポリシーの範囲を絞り込むことができます。包含または除外を使用できます。両方を使用することはできません。タグの詳細については、「タグエディタの使用」を参照してください。

複数のタグを入力した場合、含めるまたは除外するリソースにはそれらのすべてのタグが付いている必要があります。

リソースタグには NULL 以外の値のみを含めることができます。タグの値を省略すると、Firewall Manager は空の文字列値 「」でタグを保存します。リソースタグは、同じキーと値を持つタグのみと一致します。

[Grant cross-account access] (クロスアカウントアクセスを付与) で、[Download AWS CloudFormation template] (テンプレートをダウンロード) を選択します。これにより、 AWS CloudFormation スタックの作成に使用できる AWS CloudFormation テンプレートがダウンロードされます。このスタックは、Palo Alto Networks Cloud NGFWリソースを管理するためのクロスアカウントアクセス許可を Firewall Manager に付与する AWS Identity and Access Management ロールを作成します。スタックの詳細については、「AWS CloudFormation ユーザーガイド」の「StackSets の操作」を参照してください。

[Next (次へ)] を選択します。

ポリシータグ には、Firewall Manager ポリシーリソースに追加する識別タグを追加します。タグの詳細については、「タグエディタの使用」を参照してください。

[Next (次へ)] を選択します。

新しいポリシー設定を確認し、調整が必要なページに戻ります。

ポリシーが完成したら、[Create policy] (ポリシーの作成) を選択します。[AWS Firewall Manager ポリシー] ペインにポリシーが一覧表示されます。おそらく、アカウントの見出しの下に保留中と表示され、自動修復設定のステータスを示します。ポリシーの作成には数分かかることがあります。[Pending] (保留中) ステータスがアカウント数に置き換えられたら、ポリシー名を選択して、アカウントとリソースの準拠ステータスを調べることができます。詳細については、「AWS Firewall Manager ポリシーのコンプライアンス情報の表示」を参照してください。

Firewall Manager 管理者アカウント AWS Management Console を使用して にサインインし、 で Firewall Manager コンソールを開きますhttps://console.aws.amazon.com/wafv2/fmsv2。Firewall Manager 管理者アカウントの設定については、「AWS Firewall Manager 前提条件」を参照してください。

ナビゲーションペインで、[Security policies] (セキュリティポリシー) を選択します。

[Create policy] を選択します。

ポリシータイプ では、Fortigate Cloud Native Firewall (CNF) as a Service を選択します。AWS Marketplace で Fortigate CNFサービスにまだサブスクライブしていない場合は、まずそれを行う必要があります。 AWS Marketplace でサブスクライブするには、View AWS Marketplace details を選択します。

[Deployment model] (デプロイモデル) で、[Distributed model] (分散モデル) または [Centralized model] (集約型モデル) のいずれかを選択します。デプロイモデルによって、Firewall Manager がポリシーのエンドポイントを管理する方法が決まります。分散モデルでは、Firewall Manager VPCはポリシー範囲内の各ファイアウォールエンドポイントを維持します。一元化されたモデルでは、Firewall Manager は検査 で単一のエンドポイントを維持しますVPC。

リージョン では、 を選択します AWS リージョン。複数のリージョンのリソースを保護するには、各リージョンに別々の ポリシーを作成する必要があります。

[Next] (次へ) を選択します。

[Policy name] (ポリシー名) で、わかりやすい名前を入力します。

ポリシー設定で、このポリシーに関連付ける Fortigate CNFファイアウォールポリシーを選択します。Fortigate CNFファイアウォールポリシーのリストには、Fortigate CNFテナントに関連付けられているすべての Fortigate CNFファイアウォールポリシーが含まれます。Fortigate CNFテナントの作成と管理の詳細については、Fortinet ドキュメント を参照してください。

[Next (次へ)] を選択します。

[Configure third-party firewall endpoint] (サードパーティーのファイアウォールエンドポイントを設定) で、ファイアウォールエンドポイントの作成に分散デプロイモデルと集約型デプロイモデルのいずれを使用しているかに応じて、次のいずれかを実行します。

Firewall Manager が のファイアウォールサブネットに使用するCIDRブロックを指定する場合はVPCs、すべて /28 CIDRブロックである必要があります。1 行に 1 つのブロックを入力します。これらを省略すると、Firewall Manager は で使用可能な IP アドレスからユーザーに代わって IP アドレスを選択しますVPCs。

[Next (次へ)] を選択します。

[Policy scope] (ポリシーの範囲) の [AWS アカウント this policy applies to] (このポリシーが適用される ) で、次のようにオプションを選択します。

選択できるオプションは 1 つのみです。

ポリシーを適用すると、Firewall Manager は新しいアカウントを設定と照合して自動的に評価します。例えば、特定のアカウントのみを含めると、Firewall Manager は新しいアカウントにポリシーを適用しません。別の例として、OU を含める場合、OU またはその子 のいずれかにアカウントを追加するとOUs、Firewall Manager は自動的にポリシーを新しいアカウントに適用します。

Network Firewall ポリシーのリソースタイプは ですVPC。

リソース では、指定したタグでリソースを含めるか除外するかによって、タグ付けを使用してポリシーの範囲を絞り込むことができます。包含または除外を使用できます。両方を使用することはできません。タグの詳細については、「タグエディタの使用」を参照してください。

複数のタグを入力した場合、含めるまたは除外するリソースにはそれらのすべてのタグが付いている必要があります。

リソースタグには NULL 以外の値のみを含めることができます。タグの値を省略すると、Firewall Manager は空の文字列値 「」でタグを保存します。リソースタグは、同じキーと値を持つタグのみと一致します。

[Grant cross-account access] (クロスアカウントアクセスを付与) で、[Download AWS CloudFormation template] (テンプレートをダウンロード) を選択します。これにより、 AWS CloudFormation スタックの作成に使用できる AWS CloudFormation テンプレートがダウンロードされます。このスタックは、Fortigate CNFリソースを管理するためのクロスアカウントアクセス許可を Firewall Manager に付与する AWS Identity and Access Management ロールを作成します。スタックの詳細については、「AWS CloudFormation ユーザーガイド」の「StackSets の操作」を参照してください。スタックを作成するには、Fortigate CNF ポータルのアカウント ID が必要です。

[Next (次へ)] を選択します。

ポリシータグ には、Firewall Manager ポリシーリソースに追加する識別タグを追加します。タグの詳細については、「タグエディタの使用」を参照してください。

[Next (次へ)] を選択します。

新しいポリシー設定を確認し、調整が必要なページに戻ります。

ポリシーが完成したら、[Create policy] (ポリシーの作成) を選択します。[AWS Firewall Manager ポリシー] ペインにポリシーが一覧表示されます。おそらく、アカウントの見出しの下に保留中と表示され、自動修復設定のステータスを示します。ポリシーの作成には数分かかることがあります。[Pending] (保留中) ステータスがアカウント数に置き換えられたら、ポリシー名を選択して、アカウントとリソースの準拠ステータスを調べることができます。詳細については、「AWS Firewall Manager ポリシーのコンプライアンス情報の表示」を参照してください。