本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

安全性群組原則

您可以使用 AWS Firewall Manager 安全群組政策來管理中組織的 Amazon Virtual Private Cloud 安全群組 AWS Organizations。您可以將集中控制的安全群組政策套用至整間組織，或選取您的帳戶和資源子集。您也可以監控並管理在您組織中使用的安全群組政策，以及監控稽核和用途安全群組政策。

Firewall Manager 會持續維護您的策略，並在整個組織中新增或更新帳號和資源時，將其套用至帳號和資源。若要取得有關資訊 AWS Organizations，請參閱AWS Organizations 使用指南。

如需有關 Amazon Virtual Private Cloud 安全群組的資訊，請參閱 Amazon VPC 使用者指南中的 VPC 安全群組。

您可以使用 Firewall Manager 員安全性群組原則，在整個 AWS 組織中執行下列作業：

本節說明 Firewall Manager 員安全群組原則的運作方式，並提供使用這些原則的指引。如需建立安全性群組原則的程序，請參閱建立 AWS Firewall Manager 策略。

常見安全群組政策

透過一般安全性群組原則，Firewall Manager 可提供集中控制的安全性群組與組織中帳戶和資源的關聯。您可以指定要在您組織中要套用政策的項目與如何套用。

您可以將一般安全性群組原則套用至下列資源類型：

如需使用主控台建立通用安全性群組原則的指引，請參閱建立常見安全群組政策。

共用的 VPC

在通用安全性群組政策的政策範圍設定中，您可以選擇包含共用 VPC。此選項包括由另一個帳戶擁有且與範圍內帳戶共用的 VPC。一律包含範圍內帳戶擁有的 VPC。如需共用 VPC 的相關資訊，請參閱 Amazon VPC 使用者指南中的使用共用 VPC。

下列警告適用於包括共用 VPC。這些是安全性群組原則的一般注意事項 (位於)。安全性群組原則警告和限制

主要安全群組

針對每個一般安全性群組原則，您會提 AWS Firewall Manager 供一或多個主要安全性群組：

政策規則設定

您可以針對通用安全性群組原則的安全性群組和資源，選擇下列一或多個變更控制行為：

政策建立與管理

建立通用安全群組政策時，Firewall Manager 會將主要安全群組複製到政策範圍內的每個 Amazon VPC 執行個體，並將複製的安全群組與政策範圍內的帳戶和資源建立關聯。當您修改主要安全性群組時，「Firewall Manager 員」會將變更傳播至複本。

刪除常見安全群組政策時，您可以選擇是否要清理依此政策建立的資源。對於 Firewall Manager 員一般安全性群組，這些資源是複本安全性群組。除非您想要在刪除政策後手動管理每個個別複本，否則請選擇清理選項。在大多數情況下，選擇清理是最簡單的方法。

如何管理複本

Amazon VPC 執行個體中的複本安全群組的管理方式與其他 Amazon VPC 安全群組相同。如需詳細資訊，請參閱 Amazon VPC 使用者指南中的 VPC 安全群組。

內容稽核安全群組政策

使用 AWS Firewall Manager 內容稽核安全性群組策略來稽核原則動作，並將其套用至組織安全性群組中使用的規則。內容稽核安全性群組原則會根據您在原則中定義的範圍，套用至 AWS 組織中使用中的所有客戶建立的安全性群組。

如需使用主控台建立內容稽核安全性群組原則的指引，請參閱建立內容稽核安全群組政策。

政策範圍資源類型

您可以將內容稽核安全性群組策略套用至下列資源類型：

如果安全群組明確位於範圍內，或與範圍內的資源相關聯，則會將該安全群組視為在政策範圍內。

策略規則選項

您可以針對每個內容稽核策略使用受管策略規則或自訂策略規則，但不能同時使用兩者。

稽核安全性群組

您必須先使用 Firewall Manager 員管理員帳戶建立稽核安全性群組，才能在策略中使用這些群組。您可以透過 Amazon Virtual Private Cloud (Amazon VPC) 或亞馬遜彈性運算雲 (Amazon EC2) 管理安全群組。如需詳細資訊，請參閱 Amazon VPC 使用者指南中的使用安全群組。

Firewall Manager 只會使用您用於內容稽核安全性群組原則的安全性群組，作為原則範圍內之安全性群組的比較參考。Firewall Manager 員不會將其與組織中的任何資源建立關聯。

您在稽核安全性群組中定義規則的方式取決於您在原則規則設定中的選擇：

政策建立與管理

建立稽核安全群組政策時，您必須停用自動修補。建議的實務為在啟用自動修補前檢閱政策建立的效用。檢閱預期的效用後，您可以編輯政策，並啟用自動修補。啟用自動補救時，Firewall Manager 會更新或移除範圍內安全性群組中不相容的規則。

受稽核安全群組政策影響的安全群組

您組織中由客戶建立的所有安全群組均有資格位於稽核安全群組政策中。

複本安全群組不是由客戶建立，因此沒有直接位於稽核安全群組政策範圍中的資格。不過它們可以隨著政策的自動修補活動而更新。常見安全群組政策的主要安全群組是由客戶建立，因此可以在稽核安全群組政策的範圍內。如果稽核安全性群組原則對主要安全性群組進行變更，Firewall Manager 會自動將這些變更傳播到複本。

用途稽核安全群組政策

使用使 AWS Firewall Manager 用狀況稽核安全性群組原則來監控您的組織是否有未使用和冗餘的安全群組，並選擇性地執 當您啟用此原則的自動修復時，Firewall Manager 員會執行下列動作：

您可以將使用情況稽核安全性群組策略套用至下列資源類型：

如需使用主控台建立使用稽核安全性群組原則的指引，請參閱建立用途稽核安全群組政策。

Firewall Manager 員如何偵測並修復冗餘安全性群組

若要將安全群組視為多餘，它們必須設定完全相同的規則，且位於相同的 Amazon VPC 執行個體中。

若要修復多餘的安全性群組集，Firewall Manager 會選取集合中要保留的其中一個安全性群組，然後將其與集中其他安全性群組關聯的所有資源關聯。然後，「Firewall Manager 員」會將其他安全性群組與其相關聯的資源取消關聯，使其未使用。

Firewall Manager 員如何偵測並修復未使用的安全群組

如果下列兩項都成立，則 Firewall Manager 員會將安全性群組視為未使用：

原則規則期間的預設設定為零分鐘，但您可以將時間增加到 365 天 (525,600 分鐘)，讓自己有時間將新的安全性群組與資源建立關聯。

如果可能，Firewall Manager 會根據您的規則設定從您的帳戶中刪除未使用的安全性群組來修復這些群組。如果「Firewall Manager 員」無法刪除安全性群組，則會將其標示為不符合策略。Firewall Manager 員無法刪除其他安全性群組所參考的安全性群組。

修復的時間會根據您使用的是預設時間週期設定還是自訂設定而有所不同：

預設帳戶規格

當您透過主控台建立使用情況稽核安全性群組原則時，Firewall Manager 會自動選擇 [排除指定的帳戶] 並包含所有其他帳戶。然後，服務會將 Firewall Manager 員管理員帳戶放在清單中以排除。這是建議的方法，可讓您手動管理屬於 Firewall Manager 員管理員帳戶的安全性群組。

安全群組政策的最佳實務

本節列出使用 AWS Firewall Manager管理安全群組的建議。

排除 Firewall Manager 員管理員帳戶

當您設定策略範圍時，請排除 Firewall Manager 員管理員帳戶。當您透過主控台建立用途稽核安全群組政策時，這是預設選項。

從停用自動修補開始

對於內容或用途稽核安全群組政策，請先從停用自動修補開始。檢閱政策詳細資訊，以判定自動修補可能有的效用。當您確認這些變更正是您所需的時，請編輯政策，以啟用自動修補。

如果您也使用外部來源管理安全群組，請避免衝突

如果您使用「Firewall Manager 員」以外的工具或服務來管理安全性群組，請注意避免「Firewall Manager 員」中的設定與外部來源的設定之間發生衝突。如果您使用自動修補且設定有衝突，您可以建立消耗雙方資源的衝突修補循環。

例如，假設您將另一個服務設定為維護一組 AWS 資源的安全性群組，並設定 Firewall Manager 原則，以維護部分或所有相同資源的不同安全性群組。如果您設定任何其他安全群組與範圍內資源相關聯的任何一方，該方將會移除由另一方維護的安全群組關聯。如果雙方都以這種方式進行配置，則最終可能會產生衝突的分離和關聯循環。

此外，假設您建立了 Firewall Manager 稽核原則，以強制執行與其他服務之安全性群組組態衝突的安全性群組組態設定。Firewall Manager 稽核策略套用的補救可以更新或刪除該安全性群組，使其不符合其他服務的規範。如果其他服務設定為監視並自動修復發現的任何問題，則會重新建立或更新安全性群組，使其再次不符合 Firewall Manager 稽核策略。如果 Firewall Manager 稽核策略設定了自動補救，它將再次更新或刪除外部安全性群組，依此類推。

若要避免這類衝突，請在 Firewall Manager 員與任何外部來源之間建立互斥的組態。

您可以使用標記，將外部安全群組排除在 Firewall Manager 員原則的自動修復之外。若要這樣做，請將一或多個標記新增至由外部來源管理的安全群組或其他資源。然後，當您定義 Firewall Manager 員策略範圍時，請在資源規格中排除具有已新增標籤的資源。

同樣地，在您的外部工具或服務中，將 Firewall Manager 管理的安全性群組排除在任何管理或稽核活動之外。請勿匯入 Firewall Manager 員資源，或使用 Firewall Manager 員特定的標記將其排除在外部管理之外。

使用稽核安全性群組原則的最佳作法

當您使用使用稽核安全性群組原則時，請遵循下列準則。

安全性群組原則警告和限制

本節列出使用 Firewall Manager 員安全性群組原則的注意事項和限制：

安全群組政策使用案例

您可以使用一 AWS Firewall Manager 般安全群組政策自動化主機防火牆組態，以便在 Amazon VPC 執行個體之間進行通訊。本節列出標準 Amazon VPC 架構，並說明如何使用 Firewall Manager 員一般安全群組政策保護每個架構。這些安全群組原則可協助您套用一組統一的規則來選取不同帳戶中的資源，並避免 Amazon 彈性運算雲端和 Amazon VPC 中的每個帳戶進行設定。

使用 Firewall Manager 員一般安全群組政策，您可以只標記與另一個 Amazon VPC 中執行個體通訊所需的 EC2 彈性網路界面。然後，相同 Amazon VPC 中的其他執行個體會更加安全和隔離。

使用案例：監視和控制對應用程式負載平衡器和傳統負載平衡器的要求

您可以使用 Firewall Manager 一般安全性群組原則來定義範圍內負載平衡器應提供哪些要求。您可以透過 Firewall Manager 員主控台進行設定。只有符合安全群組輸入規則的要求才能連線到負載平衡器，而且負載平衡器只會分發符合輸出規則的要求。

使用案例：可存取網際網路的公用 Amazon VPC

您可以使用 Firewall Manager 員一般安全群組原則來保護公用 Amazon VPC 的安全，例如，僅允許輸入連接埠 443。此做法與只允許公有 VPC 的傳入 HTTPS 流量相同。您可以在 VPC 內標記公用資源 (例如，為「Public VPC」)，然後將 Firewall Manager 員原則範圍設定為只有具有該標籤的資源。Firewall Manager 員會自動將策略套用至這些資源。

使用案例：公有和私有 Amazon VPC 執行個體

您可以針對可存取網際網路的公有 Amazon VPC 執行個體，對公用資源使用相同的通用安全群組原則，如先前使用案例中所建議的公用資源。您可以使用第二個常見安全群組政策，限制公有資源與私有資源之間的通訊。使用類似「PublicPrivate」的標記公有和私有 Amazon VPC 執行個體中的資源，以將第二個政策套用至這些執行個體。您可以使用第三個政策定義私有資源與其他公司或私有 Amazon VPC 執行個體之間允許的通訊。對於此政策，您可以在私有資源上使用另一個識別標籤。

使用案例：集線器和支點 Amazon VPC 執行個體

您可以使用通用安全群組政策來定義中樞 Amazon VPC 執行個體與支點 Amazon VPC 執行個體之間的通訊。您可以使用第二個政策定義從每個分點 Amazon VPC 執行個體到中樞 Amazon VPC 執行個體的通訊。

使用案例：Amazon EC2 執行個體的預設網路界面

您可以使用常見安全群組政策，只允許標準通訊，例如內部 SSH 和修補程式/作業系統更新服務，並不允許其他不安全通訊。

使用案例：識別具有開放權限的資源

您可以使用稽核安全群組政策，來識別您組織內擁有可與公有 IP 地址進行通訊之許可，或擁有屬於第三方廠商之 IP 地址的所有資源。