本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

教學課程：使用階層規則建立 AWS Firewall Manager政策

透過 AWS Firewall Manager，您可以建立和套用包含階層規則的 AWS WAF Classic 保護政策。也就是，您可以集中建立並強制執行特定規則，但將帳戶專屬規則的建立和維護作業委派給其他個人。您可以監控集中套用 (通用) 的任何意外刪除或錯誤處理規則，因此可確保一致地套用這些規則。帳戶專屬規則可新增針對個別團隊需求自訂的進一步防護。

下列教學課程說明如何建立防護規則的階層組。

步驟 1：指定 Firewall Manager 管理員帳戶

若要使用 AWS Firewall Manager，您必須將組織中的帳戶指定為 Firewall Manager 管理員帳戶。此帳戶可以是管理帳戶或組織中的成員帳戶。

您可以使用 Firewall Manager 管理員帳戶來建立一組適用於組織中其他帳戶的常見規則。組織中的其他帳戶無法變更集中套用的規則。

若要將 帳戶指定為 Firewall Manager 管理員帳戶，並完成使用 Firewall Manager 的其他先決條件，請參閱 中的說明AWS Firewall Manager 前提。如果您已完成先決條件，則可以跳至此教學課程中的步驟 2。

在本教學課程中，我們將管理員帳戶稱為 Firewall-Administrator-Account。

步驟 2：使用 Firewall Manager 管理員帳戶建立規則群組

接著，使用 Firewall-Administrator-Account 建立一個規則群組。此規則群組包含您將套用至所有成員帳戶的通用規則。這些成員帳戶是以您在下一步中建立的政策管理。僅 Firewall-Administrator-Account 可以變更這些規則和容器規則群組。

在本教學課程中，我們將此容器規則群組稱為 Common-Rule-Group。

若要建立規則群組，請參閱建立 AWS WAF Classic 規則群組中的說明。遵循這些指示時，請記得使用 Firewall Manager 管理員帳戶 （Firewall-Administrator-Account） 登入主控台。

步驟 3：建立 Firewall Manager 政策並連接一般規則群組

使用 Firewall-Administrator-Account建立 Firewall Manager 政策。建立此政策時，您必須執行下列作業：

如需建立政策的說明，請參閱建立 AWS Firewall Manager 政策。

這ACL會在每個指定的帳戶中建立 Web，並Common-Rule-Group新增至每個 Web ACLs。建立政策後，此 Web ACL和一般規則會部署到所有指定的帳戶。

在本教學課程中，我們將此 Web ACL稱為 Administrator-Created-ACL。唯一的 Administrator-Created-ACL 現在存在於組織中各個指定成員帳戶內。

步驟 4：新增帳戶專屬規則

組織中的各成員帳戶現在可以將自己的帳戶專屬規則新增至存在於其帳戶中的 Administrator-Created-ACL。已經在 中的常見規則會Administrator-Created-ACL繼續套用，以及新的帳戶特定規則。 會根據規則出現在 Web 中的順序 AWS WAF 來檢查 Web 請求ACL。這適用於 Administrator-Created-ACL 和帳戶專屬規則。

若要將規則新增至 Administrator-Created-ACL，請參閱 ACL在中編輯網頁 AWS WAF。

結論

您現在有一個 WebACL，其中包含 Firewall Manager 管理員帳戶管理的常見規則，以及每個成員帳戶維護的帳戶特定規則。

各帳戶中的 Administrator-Created-ACL 參照單一 Common-Rule-Group。因此，防火牆管理員帳戶未來的 變更Common-Rule-Group將立即在每個成員帳戶中生效。

會員帳戶無法變更或移除 Common-Rule-Group 中的通用規則。

帳戶專屬規則不會影響其他帳戶。