Como ativar o AWS Config para usar o Firewall Manager - AWS WAF, AWS Firewall Manager, e AWS Shield Advanced

Como ativar o AWS Config para usar o Firewall Manager

Para usar o Firewall Manager, é necessário habilitar o AWS Config.

nota

Você incorre em cobranças para as configurações do AWS Config, de acordo com a definição de preço do AWS Config. Para obter mais informações, consulte o tópico Conceitos básicos sobre a AWS Config.

nota

Para que o Firewall Manager monitore a conformidade com as políticas, o AWS Config deve registrar continuamente as alterações de configuração dos recursos protegidos. Na sua configuração do AWS Config, a frequência de gravação deve ser definida como Contínua, que é a configuração padrão.

Para habilitar AWS Config do Firewall Manager

  1. Ative AWS Config para cada uma de suas contas de membros AWS Organizations, incluindo a conta de administrador do Firewall Manager. Para obter mais informações, consulte o tópico Conceitos básicos sobre a AWS Config.

  2. Habilite o AWS Config para cada Região da AWS que contenha os recursos que você deseja proteger. Você pode habilitar o AWS Config manualmente ou pode usar o modelo do AWS CloudFormation “Habilitar o AWS Config” em Modelos de exemplo de StackSets do AWS CloudFormation.

    Se você não quiser habilitar o AWS Config para todos os recursos, deverá habilitar o seguinte de acordo com o tipo de política do Firewall Manager que você usa:

    • Política do WAF: habilite o Config para os tipos de recursos CloudFront Distribution, Application Load Balancer (escolha ElasticLoadBalancingV2 na lista), API Gateway, WAF WebACL, WAF Regional WebACL e WAFv2 WebACL. Para habilitar AWS Config para proteger uma distribuição de CloudFront, é necessário estar na região Leste dos EUA (Norte da Virgínia). Outras regiões não oferecem o CloudFront como opção.

    • Política do Shield: habilite o Config para os tipos de recursos Shield Protection, ShieldRegional Protection, Application Load Balancer, EC2 EIP, WAF WebACL, WAF Regional WebACL e WAFv2 WebACL.

    • Política de grupo de segurança: habilite o Config para os tipos de recursos EC2 SecurityGroup, EC2 Instance, e EC2 NetworkInterface.

    • Política de ACL de rede: habilita a configuração para os tipos de recursos Amazon EC2 Subnet e Amazon EC2 Network ACL.

    • Política de Network Firewall: habilite o Config para os tipos de recursos NetworkFirewall FirewallPolicy, NetworkFirewall RuleGroup, EC2 VPC, EC2 InternetGateway, EC2 RouteTable, e EC2 Subnet.

    • Política de DNS Firewall: habilite o Config para o tipo de recurso EC2 VPC.

    • Política de firewall de terceiros: habilite o Config para os tipos de recursos Amazon EC2 VPC, Amazon EC2 InternetGateway, Amazon EC2 RouteTable, Amazon EC2 Subnet, e Amazon EC2 VPCendpoint.

    nota

    Se você configurar o gravador do AWS Config para usar um perfil do IAM personalizado, será necessário garantir que a política do IAM tenha as permissões adequadas para efetuar o registro dos tipos de recursos necessários da política do Firewall Manager. Sem as permissões adequadas, os recursos necessários podem não ser registrados, o que impede o Firewall Manager de proteger adequadamente os seus recursos. O Firewall Manager não tem visibilidade dessas configurações incorretas de permissão. Para obter informações sobre como usar o IAM com o AWS Config, consulte IAM for AWS Config.