适用于 AWS Firewall Manager 的 AWS 托管式策略 - AWS WAFAWS Firewall Manager、和 AWS Shield Advanced
AWSFMAdminFullAccessFMSServiceRolePolicyAWSFMAdminReadOnlyAccessAWSFMMemberReadOnlyAccess策略更新

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

适用于 AWS Firewall Manager 的 AWS 托管式策略

AWS 托管式策略是由 AWS 创建和管理的独立策略。AWS 托管式策略旨在为许多常见用例提供权限，以便您可以开始为用户、组和角色分配权限。

请记住，AWS 托管式策略可能不会为您的特定使用场景授予最低权限，因为它们可供所有 AWS 客户使用。我们建议通过定义特定于您的使用场景的客户托管式策略来进一步减少权限。

您无法更改 AWS 托管式策略中定义的权限。如果 AWS 更新在 AWS 托管式策略中定义的权限，则更新会影响该策略所附加到的所有主体身份（用户、组和角色）。当新的 AWS 服务 启动或新的 API 操作可用于现有服务时，AWS 最有可能更新 AWS 托管式策略。

有关更多信息，请参阅《IAM 用户指南》中的 AWS 托管式策略。

AWS 托管式策略：AWSFMAdminFullAccess

使用 AWSFMAdminFullAccess AWS 托管策略以允许您的管理员访问 AWS Firewall Manager 资源，包括所有 Firewall Manager 策略类型。此策略不包括在 AWS Firewall Manager 中设置 Amazon Simple Notification Service 通知的权限。有关如何设置 Amazon Simple Notification Service 的访问权限的信息，请参阅设置 Amazon Simple Notification Service 的访问权限。

有关策略列表和详细信息，请参阅 IAM 控制台中的 AWSFMAdminFullAccess。本节其余部分概述了策略设置。

权限语句

此策略根据权限集分为多个语句。

  • AWS Firewall Manager 策略资源：允许对 AWS Firewall Manager 中的资源（包括所有 Firewall Manager 策略类型）拥有完全管理权限。

  • 将 AWS WAF 日志写入 Amazon Simple Storage Service：允许 Firewall Manager 在 Amazon S3 中写入和读取 AWS WAF 日志。

  • 创建服务相关角色：允许管理员创建服务相关角色，它允许 Firewall Manager 代表您分析其他服务中的资源。此权限允许创建仅供 Firewall Manager 使用的服务关联角色。有关 Firewall Manager 如何使用服务相关角色的更多信息，请参阅 使用 Firewall Manager 的服务相关角色。

  • AWS Organizations：允许管理员将 Firewall Manager 用于 AWS Organizations 中的企业。在 AWS Organizations 为 Firewall Manager 启用可信访问权限后，管理账户的成员可以查看整个组织的调查发现。有关将 AWS Organizations 和 AWS Firewall Manager 结合使用的更多信息，请参阅将 AWS Organizations 用户指南中的 将 AWS Organizations 和其他 AWS 服务结合使用。

权限类别

下面列出了策略中的权限类型及其提供的权限。

  • fms - 使用 AWS Firewall Manager 资源

  • waf 和 waf-regional - 使用 AWS WAF Classic 策略。

  • elasticloadbalancing— 将 AWS WAF Web ACL 关联到弹性负载均衡器。

  • firehose— 查看有关 AWS WAF 日志的信息。

  • organizations— 使用 AWS Organizations 资源。

  • shield— 查看 AWS Shield 策略的订阅状态。

  • route53resolver - 在 Route 53 Private DNS for VPCs 策略中使用 Route 53 Private DNS for VPCs 规则组。

  • wafv2 - 使用 AWS WAFV2 策略。

  • network-firewall - 使用 AWS Network Firewall 策略。

  • ec2— 查看策略的可用区和区域。

  • s3— 查看有关 AWS WAF 日志的信息。

AWS 托管式策略：FMSServiceRolePolicy

此策略允许 AWS Firewall Manager 代表您在 Firewall Manager 和集成服务中管理 AWS 资源。此策略附加到 AWSServiceRoleForFMS 服务相关角色。有关服务相关角色的更多信息，请参阅 使用 Firewall Manager 的服务相关角色。

有关策略的详细信息，请参阅 FMSServiceRolePolicy 上的 IAM 控制台。

AWS 托管策略：AWSFMAdminReadOnlyAccess

授予对所有 AWS Firewall Manager 资源的只读访问权限。

有关策略列表和详细信息，请参阅 IAM 控制台中的 AWSFMAdminReadOnlyAccess。本节其余部分概述了策略设置。

权限类别

下面列出了策略中的权限类型以及这些权限允许以只读形式访问的信息。

  • fms - AWS Firewall Manager 资源。

  • waf 和 waf-regional – AWS WAF Classic 策略。

  • firehose - AWS WAF 日志。

  • organizations— AWS Organitions 资源。

  • shield - AWS Shield 策略。

  • route53resolver - Route 53 Private DNS for VPCs 策略中的 Route 53 Private DNS for VPCs 规则组。

  • wafv2— AWS WAFV2 中提供的 AWS WAFV2 规则组和 AWS 托管规则的规则组。

  • network-firewall – AWS Network Firewall 规则组和规则组元数据。

  • ec2— AWS Network Firewall 策略的可用区和区域。

  • s3 - AWS WAF 日志。

AWS 托管策略：AWSFMMemberReadOnlyAccess

授予对 AWS Firewall Manager 成员资源的只读访问权限。有关策略列表和详细信息，请参阅 IAM 控制台中的 AWSFMMemberReadOnlyAccess。

Firewall Manager 更新到 AWS 托管策略

查看自该服务开始跟踪这些更改以来，有关 Firewall Manager 的 AWS 托管策略更新的详细信息。有关此页面更改的自动提示，请订阅 Firewall Manager 文档历史记录页面上的 RSS 源，网址为 文档历史记录。

更改 描述 日期

FMSServiceRolePolicy – 更新后的策略

向 Firewall Manager 服务角色策略添加了权限。

增加了读取 Network Firewall TLS 配置信息的功能。在 IAM 控制台中查看更新的策略：FMSServiceRolePolicy。

 2024 年 7 月 22 日

FMSServiceRolePolicy – 更新后的策略

添加了管理网络 ACL 的权限。

在 IAM 控制台中查看更新的策略：FMSServiceRolePolicy。

 2024 年 4 月 22 日

FMSServiceRolePolicy – 更新后的策略

添加了允许 Firewall Manager 描述指定 AWS Config 规则是否合规的权限。

在 IAM 控制台中查看更新的策略：FMSServiceRolePolicy。

 2023 年 4 月 21 日

FMSServiceRolePolicy – 更新后的策略

添加了允许 Firewall Manager 描述 Amazon EC2 实例和网络接口属性的权限。

在 IAM 控制台中查看更新的策略：FMSServiceRolePolicy。

 2022 年 11 月 15 日

AWSFMAdminReadOnlyAccess – 更新后的策略

添加了支持 AWS WAFV2、Shield、Network Firewall、DNS Firewall、Amazon VPC 安全组、策略的权限。

在 IAM 控制台中查看更新的策略：AWSFMAdminReadOnlyAccess。

 2022 年 11 月 2 日

AWSFMAdminFullAccess – 更新后的策略

添加了支持 AWS WAFV2、Shield、Network Firewall、DNS Firewall、Amazon VPC 安全组、策略的权限。移除了 Amazon SNS 权限。

在 IAM 控制台中查看更新的策略：AWSFMAdminFullAccess。

 2022 年 10 月 21 日

FMSServiceRolePolicy – AWS Firewall Manager 第三方防火墙策略的新权限

此更改允许 Firewall Manager 创建和删除与第三方防火墙策略关联的 Amazon EC2 VPC 终端节点。

 2022 年 3 月 30 日

FMSServiceRolePolicy – AWS Network Firewall 策略的新权限

添加了新权限，以支持为 Network Firewall 策略部署防火墙。新权限允许为策略范围内的账户检索有关可用区的信息。

 2022 年 2 月 16 日

FMSServiceRolePolicy – AWS Shield 策略的新权限

添加了检索 AWS WAF 区域和 AWS WAF 全局资源标签的新权限。添加了使用资源 ARN 检索 Web ACL 的 AWS WAF 区域权限。添加了权限以支持 Shield 自动应用程序层 DDoS 缓解功能。

 2022 年 1 月 7 日

FMSServiceRolePolicy – AWS Shield 策略的新权限

添加了新权限，以检索 Elastic Load Balancing 资源的标签。

 2021 年 11 月 18 日

FMSServiceRolePolicy – 安全组和 AWS Network Firewall 策略的新权限

添加了新权限，以启用 AWS Network Firewall 策略的集中日志记录。此外，还添加了只读 Amazon EC2 权限，以支持对 Config 服务的更改，这些更改会影响 AWS Firewall Manager 查询资源以获取安全组策略的方式。

 2021 年 9 月 29 日

FMSServiceRolePolicy – AWS WAF 资源的 ARN 格式

更新了 FMSServiceRolePolicy，以实现 AWS WAF 资源 ARN 格式的标准化。更新后的 ARN 格式为 arn:aws:waf:*:*:* 和 arn:aws:waf-regional:*:*:*。

 2021 年 08 月 12 日

FMSServiceRolePolicy – 中国的其他地区

AWS Firewall Manager 已为中国的 BJS 和 ZHY 区域启用 FMSServiceRolePolicy。

 2021 年 08 月 12 日

FMSServiceRolePolicy – 对现有策略的更新

添加了允许 AWS Firewall Manager 管理 Amazon Route 53 Resolver DNS 防火墙的新权限。

此更改允许 Firewall Manager 配置 Amazon Route 53 Resolver DNS 防火墙关联。这允许您在 AWS Organizations 中使用 Firewall Manager 为整个组织中的 VPC 提供 DNS 防火墙保护。

 2021 年 3 月 17 日

Firewall Manager 已开启跟踪更改

Firewall Manager 为其 AWS 托管策略开始跟踪更改。

 2021 年 3 月 2 日