Como configurar as políticas do Cloud Next Generation Firewall do AWS Firewall Manager da Palo Alto Networks.

Para criar uma política do Firewall Manager para o Cloud NGFW da Palo Alto Networks (console)

1. Faça login no Console de gerenciamento da AWS usando a conta de administrador do Firewall Manager e abra o console do Firewall Manager em https://console.aws.amazon.com/wafv2/fmsv2. Para obter mais informações sobre a configuração de uma conta de administrador do Firewall Manager, consulte AWS Firewall ManagerPré-requisitos do.

   nota

   Para obter mais informações sobre a configuração de uma conta de administrador do Firewall Manager, consulte AWS Firewall ManagerPré-requisitos do.

2. No painel de navegação, escolha Políticas de segurança.

3. Escolha Criar política.

4. Em Tipo de política, escolha Cloud NGFW da Palo Alto Networks. Se ainda não se inscreveu no serviço Cloud NGFW da Palo Alto Networks no Marketplace da AWS, você precisará fazer isso primeiro. Para se inscrever no Marketplace da AWS, escolha Exibir detalhes do Marketplace da AWS.

5. Para Modelo de implantação, escolha o Modelo distribuído ou Modelo centralizado. O modelo de implantação determina como o Firewall Manager gerencia os endpoints da política. Com o modelo distribuído, o Firewall Manager mantém endpoints de firewall em cada VPC que está dentro do escopo da política. Com o modelo centralizado, o Firewall Manager mantém um único endpoint em uma VPC de inspeção.

6. Para Região, escolha uma Região da AWS. Para proteger recursos em várias regiões, crie políticas separadas para cada região.

7. Escolha Próximo.

8. Em Nome da política, insira um nome descritivo.

9. Na configuração da política, escolha a política de firewall do Cloud NGFW da Palo Alto Networks para associar a essa política. A lista de políticas de firewall do Cloud NGFW da Palo Alto Networks contém todas as políticas de firewall do Cloud NGFW da Palo Alto Networks que estão associadas ao seu locatário do Cloud NGFW da Palo Alto Networks. Para obter informações sobre como criar e gerenciar as políticas de firewall do Cloud NGFW da Palo Alto Networks, consulte o tópico Implementar o Cloud NGFW da Palo Alto Networks para a AWS com o AWS Firewall Manager no guia de implantação da AWS do Cloud NGFW da Palo Alto Networks.

10. Para Registro de logs do Cloud NGFW da Palo Alto Networks (opcional), opcionalmente, escolha qual(is) tipo(s) de log do Cloud NGFW da Palo Alto Networks devem ser registrados para sua política. Para obter informações sobre os tipos de log do Cloud NGFW da Palo Alto Networks, consulte Configurar o registro de logs do Cloud NGFW da Palo Alto Networks na AWS no guia de implantação do Cloud NGFW da Palo Alto Networks para AWS.

    Para destino do log, especifique quando o Firewall Manager deve gravar os logs.

11. Escolha Próximo.

12. Em Configurar endpoint de firewall de terceiros, faça o seguinte, dependendo se você está usando o modelo de implantação distribuída ou centralizada para criar seus endpoints de firewall:

    • Se você estiver usando o modelo de implantação distribuído para essa política, em Zonas de disponibilidade, selecione em quais zonas de disponibilidade criar endpoints de firewall. Você pode selecionar Zonas de disponibilidade pelo Nome da zona de disponibilidade ou pelo ID da zona de disponibilidade.

    • Se você estiver usando o modelo de implantação centralizada para essa política, na configuração do endpoint de AWS Firewall Manager, em Configuração da VPC de inspeção, insira a ID da conta da AWS do proprietário da VPC de inspeção e o ID da VPC da inspeção.

      • Em Zonas de disponibilidade, selecione em quais zonas de disponibilidade criar endpoints de firewall. Você pode selecionar Zonas de disponibilidade pelo Nome da zona de disponibilidade ou pelo ID da zona de disponibilidade.

13. Escolha Próximo.

14. Para o Escopo da política, de acordo com as Contas da AWS às quais esta política se aplica, escolha a seguinte opção:

    • Se deseja aplicar a política a todas as contas em sua organização, deixe a seleção padrão, Incluir todas as contas sob minha organização da AWS.

    • Para aplicar a política apenas a contas específicas ou a contas que estão em unidades organizacionais (OUs) específicas do AWS Organizations, escolha Incluir apenas as contas e unidades organizacionais especificadas e adicione as contas e as OUs desejadas. Especificar uma UO é equivalente a especificar todas as contas na UO e em qualquer uma das suas UOs filhas, incluindo todas as UOs e contas filhas que forem adicionadas posteriormente.

    • Para aplicar a política a todas as contas, com exceção de um conjunto específico de contas ou unidades organizacionais (OUs) do AWS Organizations, escolha Excluir as contas e unidades organizacionais especificadas e incluir todas as outras e adicione as contas e OUs que você deseja excluir. Especificar uma UO é equivalente a especificar todas as contas na UO e em qualquer uma das suas UOs filhas, incluindo todas as UOs e contas filhas que forem adicionadas posteriormente.

    É possível escolher apenas uma das opções.

    Depois de aplicar a política, o Firewall Manager avalia automaticamente todas as novas contas em relação às suas configurações. Por exemplo, se você incluir apenas contas específicas, o Firewall Manager não aplicará a política a nenhuma nova conta. Como outro exemplo, se você incluir uma UO, quando adicionar uma conta à UO ou a qualquer uma de suas UOs secundárias, o Firewall Manager aplicará automaticamente a política à nova conta.

    O Tipo de recurso para políticas de Network Firewall é VPC.

15. Para Recursos, você pode restringir o escopo da política usando marcações, incluindo ou excluindo recursos com as tags que você especificar. Você pode usar inclusão ou exclusão, e não ambas. Para obter informações sobre tags para definir escopos de políticas, consulte Usar o escopo de política do AWS Firewall Manager.

    As tags de recursos só podem ter valores não nulos. Se você omitir o valor de uma tag, o Firewall Manager salvará a tag com um valor de string vazio: "". As tags de recursos só correspondem às tags que têm a mesma chave e o mesmo valor.

16. Para Conceder acesso entre contas, escolha Baixar modelo de CloudFormation. Isso baixa um modelo do CloudFormation que você pode usar para criar uma pilha do CloudFormation. Essa pilha cria um perfil AWS Identity and Access Management que concede ao Firewall Manager permissões entre contas para gerenciar os recursos NGFW na nuvem da Palo Alto Networks. Para obter informações sobre as pilhas, consulte Trabalhar com pilhas no Guia do usuário do CloudFormation.

17. Escolha Próximo.

18. Em Tags de política, adicione quaisquer tags de identificação desejadas para o recurso de política do Firewall Manager. Para obter mais informações sobre tags, consulte Trabalhar com o Tag Editor.

19. Escolha Próximo.

20. Revise as novas configurações de política e retorne às páginas em que você precise fazer ajustes.

    Verifique se as Ações da política estão definidas como Identificar recursos que não estão em conformidade com as regras da política, mas não corrigir automaticamente. Isso permite que você revise as alterações que sua política faria antes de ativá-las.

21. Quando estiver satisfeito com a política, escolha Criar política.

    No painel Políticas do AWS Firewall Manager, a política deve estar listada. Ela provavelmente estará indicada como Pendente nos cabeçalhos de contas e indicará o status da configuração Correção automática. A criação de uma política pode levar vários minutos. Depois que o status Pendente for substituído por contagens de conta, será possível escolher o nome da política para explorar o status de conformidade das contas e dos recursos. Para obter mais informações, consulte Visualizando as informações de conformidade de uma política do AWS Firewall Manager