Étape 3 : activer AWS Config

Pour utiliser Firewall Manager, vous devez l'activer AWS Config.

Note

Vous devez payer des frais pour vos AWS Config paramètres, conformément à la AWS Config tarification. Pour plus d'informations, consultez Getting Started with AWS Config.

Note

Pour que Firewall Manager puisse contrôler le respect des politiques, AWS Config il doit enregistrer en permanence les modifications de configuration des ressources protégées. Dans votre AWS Config configuration, la fréquence d'enregistrement doit être réglée sur Continuous, qui est le réglage par défaut.

AWS Config Pour activer Firewall Manager

1. Activez AWS Config cette option pour chacun de vos comptes AWS Organizations membres, y compris le compte administrateur de Firewall Manager. Pour plus d'informations, consultez Getting Started with AWS Config.

2. Activez Région AWS cette option AWS Config pour chaque élément contenant les ressources que vous souhaitez protéger. Vous pouvez l'activer AWS Config manuellement ou utiliser le AWS CloudFormation modèle « Activer AWS Config » dans la section AWS CloudFormation StackSets Exemples de modèles.

   Si vous ne souhaitez pas activer toutes AWS Config les ressources, vous devez activer les options suivantes en fonction du type de politiques de Firewall Manager que vous utilisez :

   • Politique WAF — Activez Config pour les types de ressources CloudFront Distribution, Application Load Balancer (ElasticLoadBalancingchoisissez V2 dans la liste), API Gateway, WAF WebACL, WAF Regional WebACL et WAFv2 WebACL. AWS Config Pour activer la protection d'une CloudFront distribution, vous devez vous trouver dans la région USA Est (Virginie du Nord). Les autres régions n'ont pas CloudFront d'option.

   • Politique de Shield — Activez Config pour les types de ressources Shield Protection, ShieldRegional Protection, Application Load Balancer, EC2 EIP, WAF WebACL, WAF Regional WebACL et WAFv2 WebACL.

   • Politique de groupe de sécurité — Activez Config pour les types de ressources EC2 SecurityGroup, EC2 Instance et EC2. NetworkInterface

   • Politique ACL réseau — Activez Config pour les types de ressources Amazon EC2 Subnet et Amazon EC2 network ACL.

   • Politique de pare-feu réseau : activez Config pour les types de ressources EC2 VPC NetworkFirewall FirewallPolicy NetworkFirewallRuleGroup, EC2, InternetGateway EC2 et EC2 RouteTable Subnet.

   • Politique de pare-feu DNS — Activez Config pour le type de ressource EC2 VPC.

   • Politique de pare-feu tierce : activez Config pour les types de ressources Amazon EC2 VPC, Amazon EC2, Amazon EC2, Amazon EC2, InternetGateway Amazon EC2 Subnet et Amazon EC2 RouteTable VPCEndpoint.

   Note

   Si vous configurez votre AWS Config enregistreur pour utiliser un rôle IAM personnalisé, vous devez vous assurer que la politique IAM dispose des autorisations appropriées pour enregistrer les types de ressources requis par la politique Firewall Manager. Sans les autorisations appropriées, les ressources requises risquent de ne pas être enregistrées, ce qui empêche Firewall Manager de protéger correctement vos ressources. Firewall Manager n'a aucune visibilité sur ces erreurs de configuration des autorisations. Pour plus d'informations sur l'utilisation d'IAM avec AWS Config, voir IAM for. AWS Config