AWS Firewall Manager および AWS Organizations

AWS Firewall Managerは、ファイアウォールルールやその他の保護を一元的に設定、管理するために利用できるセキュリティ管理サービスです。 AWS アカウント 組織内のアプリケーションを選択します。Firewall Manager を使用して、AWS WAFルール、作成AWS Shield Advanced保護、Amazon Virtual Private Cloud (Amazon VPC) セキュリティグループの設定と監査、デプロイAWS Network Firewall。Firewall Manager を使用して保護を 1 回だけ設定し、新しいリソースやアカウントが追加されているかどうかにかかわらず、組織内のすべてのアカウントやリソースに自動的に適用します。AWS Firewall Manager の詳細については、AWS Firewall Manager 開発者ガイドを参照してください。

以下の情報を参考にして、AWS Firewall ManagerをAWS Organizations。

統合を有効にしたときに作成されるサービスリンクロール

以下のようになりますサービスにリンクされたロールは、信頼されたアクセスを有効にすると、組織の管理カウントに自動的に作成されます。このロールにより、Firewall Manager は、組織内の組織のアカウント内でサポートされている操作を実行できます。

このロールを削除または変更できるのは、Firewall Manager とOrganizations 間の信頼されたアクセスを無効にするか、組織からメンバーアカウントを削除した場合のみです。

• AWSServiceRoleForFMS

サービスにリンクされたロールによって使用されるサービスプリンシパル

前のセクションで説明したサービスリンクロールは、ロールに定義された信頼関係によって承認されたサービスプリンシパルによってのみ引き受けることができます。Firewall Manager が使用するサービスリンクロールは、次のサービスプリンシパルへのアクセスを許可します。

• fms.amazonaws.com

Firewall Manager で信頼されたアクセスを有効にします。

信頼されたアクセスを有効にするには、」を参照してください。信頼されたアクセスを有効にするために必要なアクセス許可。

AWS Firewall Manager コンソールまたは AWS Organizations コンソールのいずれかを使用して、信頼されたアクセスを有効にできます。

重要

可能であれば、「」を使用することを強くお勧めします。AWS Firewall Managerコンソールまたはツールを使用して、Organizations との統合を可能にします。これにより、することができます。AWS Firewall Managerは、サービスに必要なリソースの作成など、必要な構成を実行します。で提供されるツールを使用して統合を有効にできない場合にのみ、これらの手順を実行してください。AWS Firewall Manager詳細については、「」を参照してください。このメモ。

信頼されたアクセスを有効にする場合は、AWS Firewall Managerコンソールまたはツールでは、これらのステップを実行する必要はありません。

[] でサインインする必要があります。AWS Organizations管理アカウントを作成し、組織内のアカウントをAWS Firewall Manager管理者アカウント 詳細については、「」を参照してください。設定:AWS Firewall Manager管理者アカウント()AWS Firewall Manager開発者ガイド。

信頼されたアクセスを有効にするには、AWS Organizationsコンソールを実行することで、AWS CLIコマンドを使用するか、API オペレーションをAWSSDK。

AWS Management Console

Organizations コンソールを使用して信頼されたサービスアクセスを有効にするには

1. AWS Organizations コンソールにサインインします。IAM ユーザーとしてサインインして IAM ロールを引き受けるか、ルートユーザー (非推奨) を組織の管理アカウントに登録します。

2. リポジトリの []サービスページで、AWS Firewall Managerを選択し、サービスの名前を選択してから、信頼されたアクセスの有効化。

3. 確認ダイアログボックスで [] を有効にします。信頼されたアクセスを有効にするためのオプションを表示する「」と入力します。enable[] ボックスの [] で [] を選択します。信頼されたアクセスの有効化。

4. あなただけの管理者である場合AWS Organizationsの管理者にAWS Firewall Managerで、コンソールを使用してそのサービスを有効にできるようになりました。AWS Organizations。

AWS CLI, AWS API

組織CLI/SDK を使用して信頼されたサービスアクセスを有効にするには

以下を使用できます。AWS CLIサービスへの信頼されたアクセスを有効にするには、コマンドまたは API オペレーションを使用できます。

• AWS CLI:aws-service-access

  次のコマンドを実行して、有効にします。AWS Firewall ManagerOrganizations で信頼済みサービスとしてを有効にする

  $ aws organizations enable-aws-service-access \ 
      --service-principal fms.amazonaws.com

  このコマンドが成功した場合、出力は生成されません。

• AWS API: EnableAWSServiceAccess

Firewall Manager で信頼されたアクセスを無効にする

信頼されたアクセスを無効にするアクセス許可の詳細については、」信頼されたアクセスを無効にするために必要なアクセス許可。

信頼されたアクセスを無効にするには、AWS Firewall ManagerまたはAWS Organizationsツール。

重要

可能であれば、「」を使用することを強くお勧めします。AWS Firewall Managerコンソールまたはツールを使用して、Organizations との統合を無効にします。これにより、することができます。AWS Firewall Managerは、サービスで不要になったリソースやアクセスロールの削除など、必要なクリーンアップを実行します。で提供されているツールを使用して統合を無効にできない場合にのみ、これらの手順を実行してください。AWS Firewall Manager。

信頼されたアクセスを無効にする場合は、AWS Firewall Managerコンソールまたはツールでは、これらのステップを実行する必要はありません。

Firewall Manager コンソールを使用して信頼されたアクセスを無効にするには

このオプションは変更または取り消すことができます。AWS Firewall Manager管理者アカウントにログインするには、別のアカウントを [] として指定するAWS Firewall Manager管理者アカウント()AWS Firewall Manager開発者ガイド。

管理者アカウントを無効にするには、AWS Organizations管理アカウントを作成し、新しい管理者アカウントをAWS Firewall Manager。

信頼されたアクセスを無効にするには、AWS Organizationsコンソール、OrganizationsAWS CLIコマンドを使用するか、Organizations の API オペレーションをAWSSDK。

AWS Management Console

Organizations コンソールを使用して信頼されたサービスアクセスを無効にするには

1. AWS Organizations コンソールにサインインします。IAM ユーザーとしてサインインして IAM ロールを引き受けるか、ルートユーザー (非推奨) を組織の管理アカウントに登録します。

2. リポジトリの []サービスページで、AWS Firewall Managerをクリックし、サービスの名前を選択します。

3. 選択信頼されたアクセスの無効化。

4. 確認ダイアログボックスで [] を入力します。disable[] ボックスの [] で [] を選択します。信頼されたアクセスの無効化。

5. あなただけの管理者である場合AWS Organizationsの管理者にAWS Firewall Managerコンソールやツールを使ってそのサービスを無効にできるようになりました。AWS Organizations。

AWS CLI, AWS API

Organizations CLI/SDK を使用して信頼されたサービスアクセスを無効にするには

以下を使用できます。AWS CLIサービスへの信頼されたアクセスを無効にするには、コマンドまたは API オペレーションを使用できます。

• AWS CLI:aws-service-access

  次のコマンドを実行して、無効にします。AWS Firewall ManagerOrganizations で信頼済みサービスとしてを有効にする

  $ aws organizations disable-aws-service-access \
      --service-principal fms.amazonaws.com

  このコマンドが成功した場合、出力は生成されません。

• AWS API: DisableAWSServiceAccess

Firewall Manager への委任管理者アカウントの有効にするには

メンバーアカウントを組織の委任管理者として指定すると、そのアカウントのユーザーおよびロールが Firewall Manager の管理アクションを実行できます。それ以外の場合は、組織の管理アカウントのユーザーまたはロールのみが実行できます。これは、Firewall Manager の管理から組織の管理を分離するのに役立ちます。

最小限必要なアクセス権限

Organizations の Firewall Manager の委任管理者としてメンバーアカウントを設定できるのは、組織管理アカウントの IAM ユーザーまたはロールだけです。

組織のFirewall Manager 管理者としてメンバーアカウントを指定する方法については、」設定:AWS Firewall Manager管理者アカウント()AWS Firewall Manager開発者ガイド。