Firewall Manager の使用 AWS Config を有効にする

Firewall Manager を使用するには、 AWS Configを有効にする必要があります。

注記

AWS Config 料金に従って、 AWS Config 設定に対して料金が発生します。詳細については、「 の開始方法 AWS Config」を参照してください。

注記

Firewall Manager がポリシーコンプライアンスをモニタリングするには、保護されたリソースの設定変更を継続的に記録 AWS Config する必要があります。 AWS Config 設定では、記録頻度をデフォルト設定である Continuous に設定する必要があります。

Firewall Manager AWS Config で を有効にするには

1. Firewall Manager 管理者アカウントを含む、 AWS Organizations メンバーアカウント AWS Config ごとに を有効にします。詳細については、「 の開始方法 AWS Config」を参照してください。

2. 保護するリソース AWS リージョン を含む各 AWS Config に対して を有効にします。 AWS Config を手動で有効にすることも、StackSets サンプル AWS CloudFormation テンプレート AWS Configでテンプレート「有効化」を使用することもできます。 AWS CloudFormation StackSets

   すべてのリソース AWS Config に対して を有効にしない場合は、使用する Firewall Manager ポリシーのタイプに応じて以下を有効にする必要があります。

   • WAF ポリシー – CloudFront Distribution、Application Load Balancer (リストから [ElasticLoadBalancingV2] を選択)、API Gateway、WAF WebACL、WAF Regional WebACL、および WAFv2 WebACL のリソースタイプについて Config を有効にします。 AWS Config が CloudFront ディストリビューションを保護できるようにするには、米国東部 (バージニア北部) リージョンに存在している必要があります。他のリージョンにはオプションとしての CloudFront がありません。

   • Shield ポリシー – Shield Protection、ShieldRegional Protection、Application Load Balancer、EC2 EIP、WAF WebACL、WAF Regional WebACL、および WAFv2 WebACL のリソースタイプについて Config を有効にします。

   • セキュリティグループポリシー – EC2 SecurityGroup、EC2 Instance、および EC2 NetworkInterface のリソースタイプについて Config を有効にします。

   • ネットワーク ACL ポリシー — リソースタイプの Amazon EC2 サブネットと Amazon EC2 ネットワーク ACL の Config を有効にします。

   • Network Firewall ポリシー – NetworkFirewall FirewallPolicy、NetworkFirewall RuleGroup、EC2 VPC、EC2 InternetGateway、EC2 RouteTable、および EC2 Subnetのリソースタイプについて Config を有効にします。

   • DNS Firewall ポリシー - リソースタイプ EC2 VPC の Config を有効にします。

   • サードパーティーファイアウォールポリシー - Amazon EC2 VPC、Amazon EC2 InternetGateway、Amazon EC2 RouteTable、Amazon EC2 サブネット、Amazon EC2 VPCEndpoint のリソースタイプについて Config を有効にします。

   注記

   カスタム IAM ロールを使用するように AWS Config レコーダーを設定する場合は、IAM ポリシーに Firewall Manager ポリシーに必要なリソースタイプを記録するための適切なアクセス許可があることを確認する必要があります。適切なアクセス許可がないと、必要なリソースが記録されず、Firewall Manager がリソースを適切に保護できなくなる可能性があります。Firewall Manager では、これらのアクセス許可の設定ミスを可視化することはできません。で IAM を使用する方法については AWS Config、「IAM forAWS Config」を参照してください。