View a markdown version of this page

AWS Network Security Manager の仕組み - AWS Network Security Manager
AWS Network Security Manager リソースモデルAWS Network Security Manager リソースのライフサイクル、マージ、同期

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS Network Security Manager の仕組み

AWS Network Security Manager リソースモデルを使用して、単一のアカウントまたは組織内の複数のアカウントにわたるリソースのネットワークセキュリティ保護を設計および管理します。この章では、5 つのリソースタイプ、それらが階層を形成する方法、およびそれらの動作を管理する主要な概念について説明します。

AWS Network Security Manager リソースモデル

AWS Network Security Manager は、構成階層に配置された 5 つのリソースタイプを使用します。

ルールとテンプレートは ポリシーに含まれています。デプロイはポリシーをスコープに結合します。

リソースは、階層を通じて相互参照します。ルールはテンプレートとポリシー内で使用されます。テンプレート、ルール、またはその両方がポリシー内で使用されます。スコープは、ポリシーがデプロイ内で保護するリソースを参照します。

以下のセクションでは、階層内の各リソースタイプについて説明します。

ルール – ネットワークセキュリティ設定のアトミックユニット。ルールには、トラフィック検査ルールとファイアウォール設定ルールの 2 種類があります。トラフィック検査では、セキュリティサービスがトラフィックにどのように対処するかに焦点を当てます。設定ルールは、トラフィック検査以外のシステムオペレーションを指定します。ルールの構造は、ファイアウォールのタイプによって異なります。

テンプレート – 1 つのファイアウォールタイプの順序付けされた再利用可能なルールのグループ。テンプレートを使用して、関連するルールをパッケージ化し、複数のポリシー間で共有します。テンプレートはオプションです。

ポリシー – 順序付けられたテンプレートとルールのセットを、ファイアウォールタイプの強制設定と組み合わせます。各ポリシーには優先度があります (数値が低いほど優先度が高いことを示します）。複数のポリシーが同じリソースを保護する場合、優先度によって競合の解決方法が決まります。トラフィック検査ルールの場合、優先度によってルールが集約される順序が決まります。ファイアウォール設定ルールの場合、優先度によって各リソースとその範囲内ポリシーに適用される設定が決まります。

スコープ – 保護が適用される の宣言的な選択。スコープは保護するリソースタイプを指定し、オプションでタグまたは設定属性でリソースをフィルタリングできます。マルチアカウントモードでは、スコープは包含または除外するアカウントまたは OUs も指定します。シングルアカウントモードでは、スコープはアカウント自体に適用されます。スコープのモードは、作成時に修正されます。スコープをどちらの方向でもマルチアカウントモードとシングルアカウントモードの間で切り替えることはできないため、マルチアカウントスコープをシングルアカウントスコープにしたり、逆にしたりすることはできません。

デプロイ — 1 つ以上のポリシーをスコープにバインドします。デプロイを公開すると、適用が有効になります。 AWS Network Security Manager は、スコープ内のリソースを検出し、意図した設定を計算し、オプションでout-of-syncリソースを修復します。

リソース構成の制限については、「」を参照してくださいAWS Network Security Manager のクォータ。

AWS Network Security Manager リソースのライフサイクル、マージ、同期

以下のセクションでは、 AWS Network Security Manager リソースを作成した後の動作とメカニズムについて説明します。

ドラフトライフサイクルとアクティブライフサイクル

ルール、テンプレート、ポリシー、スコープ、デプロイを含むすべての AWS Network Security Manager リソースのステータスは、ドラフトまたはアクティブです。

  • アクティブ – デフォルトのステータス。リソースが公開され、使用できます。他のリソースはそれを参照でき、それを含むデプロイは設定を適用します。

  • 下書き – リソースは保存されますが、まだアクティブではありません。ドラフトリソースは強制されず、他のリソースからは参照できません。リソースを作成または更新するときは、ドラフトを保存を選択してドラフトステータスのままにします。

デフォルトでは、 AWS Network Security Manager はリソースをアクティブとして作成します。API を使用してリソースをドラフトとして作成するには、作成または更新オペレーションfalseで isPublishedパラメータを に設定します。

リソースを更新すると、次のシナリオが適用されます。

現在の状態 アクション 結果
下書き ドラフトの保存を選択する ドラフトを更新する (ドラフトのまま)
下書き 発行を選択する ドラフトを公開する (アクティブになる)
アクティブ 発行を選択する 更新してアクティブのままにする (アクティブ)
アクティブ ドラフトの保存を選択する ドラフトオーバーレイを作成する (下にアクティブリソースがあるドラフトになる)

hasPublishedVersion フィールドがリストに表示され、レスポンスを取得します。このフィールドは、公開された Active リソースがドラフトの下に存在するかどうかを示します。リソースのドラフトステータスが および の場合hasPublishedVersion: true、保留中のドラフトは、公開されているライブアクティブリソースの上に存在します。

別の Active リソースが参照する Active リソースを削除することはできません。

バージョニング

ルール、テンプレート、ポリシー、スコープ、デプロイを含むすべての AWS Network Security Manager リソースをバージョニングできます。アクティブリソースのバージョンを作成するには、リソースを選択し、アクションを選択し、バージョニングされたスナップショットの作成を選択します。バージョンは、すべての更新で自動的に作成されるわけではありません。

AWS CLI の代替

Active リソースの Create{Resource}Snapshot API オペレーションを使用してバージョンを作成することもできます。

キーバージョンのプロパティ:

  • 各バージョンには、一意の数値 (シーケンシャル整数) とバージョン修飾 ARN (例: ) がありますarn:aws:network-security-manager:us-east-1:123456789012:rule:abc123:3。

  • バージョンはイミュータブルです。更新することはできません。

  • リソースごとに最大 10 のバージョンを作成できます。

  • バージョンはタグ付け可能です。

バージョンを使用して、必要な設定バリアントを保持します。リソースをロールバックするには、バージョンを読み、そのバージョンの必要な設定でライブリソースを更新します。

優先度ベースのポリシーマージ

複数のポリシーが同じリソースを保護する場合、 AWS Network Security Manager は設定を 1 つの結果にマージします。優先度の数値が低いほど、優先度が高いことを示します (優先度 1 が優先度 2 よりも優先されます）。 AWS Network Security Manager がトラフィック検査ルールを含むポリシーをマージすると、優先度によってルールが集約される順序が決まります。ファイアウォール設定ルールの場合、優先度の高いポリシーによって、適用される設定が決まります。

AWS Network Security Manager は、次の順序で 2 つのレベルで優先度を評価します。

  1. 管理者の優先度 – AWS Network Security Manager は管理者の優先度を最初に評価します。「」で説明されているように、各組織管理者に優先度が割り当てられます管理者アカウントとメンバーアカウント。 AWS Network Security Manager がポリシーをマージすると、メンバーアカウント独自のシングルアカウントポリシーよりも高い管理者ポリシーがランク付けされます。管理者ポリシーとメンバーアカウントのシングルアカウントポリシーの両方がリソースに適用され、競合する場合、管理者ポリシーの設定が優先されます。メンバーアカウントは、管理者ポリシーをオプトアウト、上書き、または除外することはできません。

  2. ポリシーの優先度 – 各アカウント内で、 AWS Network Security Manager はポリシーの優先度を使用して残りの競合を解決します。ポリシーの優先度値は 1 から始まる整数であり、アカウントごとに一意である必要があります。

管理者の優先度は、PutAdminAccountオペレーションpriorityの必須フィールド、1～10 の整数で設定します。優先度値は一意であるため、2 人の管理者が優先度を共有することはなく、タイブレークは必要ありません。詳細については、AWS 「Network Security Manager API リファレンス」を参照してください。

リソースに適用可能なすべてのポリシーのマージ結果は、有効なファイアウォール設定です。 AWS Network Security Manager は、この設定を計算し、リソースの実際の設定と比較し、差異を同期ステータスとして報告します。

ポリシーが競合すると、 AWS Network Security Manager は各属性を比較し、優先度の高いポリシーの値を適用します。優先度の高いポリシーが属性を定義しない場合、優先度の低いポリシー値が適用されます。有効な設定に一致するリソースは IN_SYNC です。優先度の低いポリシーによって保護され、優先度の高いポリシーによって設定が上書きされたリソースは、優先度の低いデプロイでは OUT_OF_SYNC としてレポートされます。これは失敗ではなく、予想される動作です。

Config AWS を使用したリソース検出

AWS Network Security Manager は、サービスにリンクされた Config AWS 設定レコーダーを使用して、アカウント内の保護されたリソースを検出します。このレコーダーは、そのアカウントがデプロイの範囲に入ると、各アカウントに自動的に作成されます。 AWS Firewall Manager とは異なり、追加のセットアップを実行する必要はありません。 AWS Network Security Manager による AWS Config の使用は AWS 、Network Security Manager のお客様に課金されません。

サービスにリンクされたレコーダーの主な特性:

  • その名前は AWSConfigurationRecorderForNetworkSecurityManager です。

  • これは、アカウントのカスタマー管理設定レコーダーとは別のものです。

  • アクティブなスコープとデプロイに関連するリソースタイプのみを記録します。

  • Config AWS をセットアップしたり、設定レコーダーを作成したりする必要はありません。 AWS Network Security Manager はこれを自動的に管理します。 AWS Network Security Manager による AWS Config の使用料は顧客に請求されません。

  • レコーダーは使用中は変更または削除できません。 AWS Network Security Manager はライフサイクルを自動的に管理します。

AWS Network Security Manager が機能するために、Config AWS を手動で有効化または設定する必要はありません。デプロイを公開すると、サービスはリソース検出を自動的に処理します。

同期と修復

AWS Network Security Manager での強制は非同期で、結果整合性があります。デプロイを公開した後、またはリソースが変更されると、次のステージが発生します。

  1. リソース検出 – AWS Network Security Manager は、サービスにリンクされた Config AWS レコーダーを使用して、範囲内のリソースを検出します。

  2. 設定の計算 – AWS Network Security Manager は、検出されたリソースごとに、該当するすべてのポリシーを優先度別にマージして、有効なファイアウォール設定を計算します。

  3. 同期評価 – AWS Network Security Manager は、有効な設定をリソースの実際の設定と比較し、同期ステータスを記録します。

  4. 修復 (オプション) – ポリシーremediationEnabledで を設定すると、 AWS Network Security Manager out-of-syncリソースを有効な設定に合わせて修正します。

各ステージは非同期です。ワークフローの結果:

  • デプロイの公開とリソースの保護には遅延があります。

  • 範囲内の新しいリソースの作成と保護には遅延があります。

  • 同期ステータスエントリのLast Checkedタイムスタンプは、 AWS Network Security Manager がリソースを最後に評価した日時を示します。

修復とリソースのクリーンアップは、ポリシーレベルの設定です。policyConfiguration オブジェクトのポリシーごとに各ポリシーを設定します。

remediationEnabled

AWS Network Security Manager が非準拠のリソースを自動的に修復するかどうかを指定します。この設定を有効にすると、 AWS Network Security Manager はout-of-syncリソースを修正します。

resourcesCleanUp

AWS Network Security Manager が、不要になったときに作成したリソースを自動的に削除するかどうかを指定します。 AWS Network Security Manager は、デプロイを削除したとき、またはアカウントまたはリソースが範囲外になったときに作成したファイアウォールを削除します。

remediationEnabled と resourcesCleanUpの両方の設定はデフォルトで .false AWS Network Security Manager は、これらの設定を有効にするまでリソースを修復またはクリーンアップしません。policyConfiguration オブジェクトにはwafConfig、 AWS WAF ポリシーに適用される も保持されます。詳細については、AWS 「Network Security Manager API リファレンス」を参照してください。

リソースが同期されていない場合、同期ステータスには、実際の値と比較して予想される値を示す設定ごとの詳細を含むout-of-sync理由が含まれます。理由は、次のカテゴリに分類されます。

  • missingFirewall – ファイアウォール保護はリソースに関連付けられていません。

  • invalidFirewall – ファイアウォールは存在しますが、その設定は有効な設定とは異なります。これには、、incorrectSingleValueConfigurations、missingAppendableConfigurationValues、、unexpectedAppendableConfigurationValues、 missingMergeableConfigurationValuesの 6 incorrectAppendableConfigurationOrderつの詳細バケットが含まれますunexpectedMergeableConfigurationValues。

修復が有効になっていても AWS Network Security Manager がリソースを修正できない場合、 remediationIssuesフィールドにはissueType、、問題messageを説明する 、および解決方法correctiveActionを提案する が表示されます。

AWS Network Security Manager は、管理しない設定を評価しません。フィールドが寄与ルールに表示されない場合、 AWS Network Security Manager は同期評価中にフィールドを無視します。

管理者アカウントとメンバーアカウント

AWS Network Security Manager は、 AWS Organizations 上に構築されたクロスアカウント管理モデルを使用します。

  • 管理者アカウント – AWS Network Security Manager リソース (ルール、テンプレート、ポリシー、スコープ、デプロイ) を作成および管理しているアカウント。優先度が 1～10 の管理者アカウントを 1 つ以上指定します。

  • メンバーアカウント – AWS Network Security Manager がリソースを検出し、同期ステータスを評価し、オプションでout-of-sync設定を修正するアカウント。 AWS Network Security Manager は、サービスにリンクされたロールを介してメンバーアカウントで動作します。詳細については、「サービスにリンクされたロール」を参照してください。

オプションで、各管理者をアカウント、OUs、ファイアウォールタイプのサブセットに絞り込むことができます。この機能を使用して、特定の分野の管理を異なるチームに委任します。

AWS Network Security Manager はリージョナルサービスです。クロスリージョンの依存関係なしで、リージョンごとにリソースとデプロイを作成します。

サービスにリンクされたロール

AWS Network Security Manager は、 という名前の IAM サービスにリンクされたロールAWSServiceRoleForNetworkSecurityManagerを使用して、ユーザーに代わって組織のメンバーアカウントで動作します。このロールはnetwork-security-manager.amazonaws.comサービスプリンシパルを信頼します。NetworkSecurityManagerServiceRolePolicy AWS 管理ポリシーを使用します。

AWS Network Security Manager は、サービスを有効にするとこのロールを自動的に作成するので、手動セットアップはありません。このロールにより、 AWS Network Security Manager は AWS WAF と AWS Shield Advanced の保護を管理し、Config AWS を通じて保護されたリソースを検出し、クロスアカウントオペレーションを実行できます。詳細については、「AWS Network Security Manager のサービスにリンクされたロールの使用」を参照してください。