AWS Firewall Manager 常見問答集

若要使用 AWS Firewall Manager，需要滿足三個必要先決條件和一個選擇性先決條件。

• AWS Organizations – 您的帳戶必須是 AWS Organizations 的一部分，並且已啟用所有功能。如需詳細資訊，請參閱 AWS Organizations 文件。
• 設定 AWS Firewall Manager 管理員帳戶 – AWS Firewall Manager 必須與您 AWS Organization 的管理帳戶關聯，或與具有適當許可的成員帳戶關聯。與 Firewall Manager 關聯的帳戶稱為 Firewall Manager 管理員帳戶。請參閱文件指南了解詳細資訊。
• 在帳戶上啟用 AWS Config – 為組織中的每個成員帳戶啟用 AWS Config。請參閱 AWS Config 文件。
• 啟用 AWS Resource Access Manager (選擇性) – 若要讓 Firewall Manager 能夠跨帳戶和 VPC 集中設定 AWS Network Firewall 或與 Amazon Route 53 Resolver DNS Firewall 規則關聯，必須首先使用 AWS Resource Access Manager 啟用資源共享。

• 第一，符合上述先決條件。
• 其次，針對 AWS WAF、AWS Shield Advanced、VPC 安全群組、AWS Network Firewall 或 Amazon Route 53 Resolver DNS Firewall 建立政策類型。
• 第三，根據政策指定一組規則或保護。例如，對於 AWS WAF 政策，指定要在多個帳戶中部署的規則群組 (自訂或受管)。同樣的，對於 VPC 安全群組政策，在帳戶中的每個資源中引用要複寫的安全群組。對於 AWS Network Firewall，指定要在您帳戶中各 VPC 上部署的規則群組 (有狀態和無狀態)。對於 Amazon Route 53 Resolver DNS Firewall，在您的帳戶中指定要與您的 VPC 關聯的規則集 (規則群組)。
• 第四，透過選擇要在其中部署政策的帳戶、資源類型以及 (選擇性) 資源標籤來指定政策的範圍。
• 最後，您可以檢查以及建立政策。Firewall Manager 會跨帳戶自動將規則和保護套用於所有資源。完成後，Firewall Manager 還會顯示一個合規儀表板，指示任何不合規和合規的帳戶/資源。

可以的，您可以在兩種模式下設定 Firewall Manager 政策 –

• 自動修復，允許您自動監控政策的偏離，並將規則套用至不合規的資源
• 手動修復，它在每個帳戶中建立新政策和關聯的規則/保護，但不強制針對帳戶的資源執行規則。建立具備手動修復功能的政策後，您可以選擇為每個本機帳戶執行手動操作，或者在任何時候編輯政策來自動修復。

每個 Firewall Manager 政策最多可套用於 2,500 個帳戶，這是 AWS Organizations 中預設的帳戶數量限制。

目前 Firewall Manager 管理的資源數量沒有限制。

不可以，AWS Firewall Manager 安全防護政策有區域上的限制。每個 Firewall Manager 政策只能包含該指定 AWS 區域中的可用資源。您可以為您經營的每個區域建立新政策。

是。您可以排除帳戶。您還可以使用標籤來指定應該從政策範圍中排除的資源。

Firewall Manager 安全防護政策是一組組態，允許客戶指定需要關聯一組防火牆規則的帳戶和資源，並為每種防火牆類型自訂附加組態。Firewall Manager 目前支援 AWS WAF、AWS Shield Advanced、VPC 安全群組、AWS Network Firewall、Amazon Route 53 Resolver DNS Firewall 和 AWS Marketplace 第三方防火牆。

使用 Firewall Manager 時，透過查看政策範圍內包含多少個帳戶以及這些帳戶中有多少帳戶符合要求，便能快速檢視各個政策的合規狀態。此外，在 Firewall Manager 上設定的每個政策都會有一個合規儀表板。中央合規儀表板允許您查看哪些帳戶不符合既定政策、哪些特定資源不合規，還提供特定資源不合規的原因相關資訊。 您還可以在 AWS Security Hub 上查看每個帳戶的不合規事件。

是，您可以建立新的 SNS 通知管道，以便在發現新的不合規資源時收到即時通知。 同樣的，在 AWS Security Hub 上，會將不合規事件通知受 Firewall Manager 政策管控的每個帳戶。

針對每個建立的 Firewall Manager 政策，您可以為規則群組中的每個規則彙整 CloudWatch 指標，以此指示整個組織允許或封鎖的請求數目。這樣您便可以在集中的位置為組織的各種威脅設定提醒。