View a markdown version of this page

AWS Network Security Manager 的運作方式 - AWS 網路安全管理員
AWS Network Security Manager 資源模型AWS Network Security Manager 資源生命週期、合併和同步

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

AWS Network Security Manager 的運作方式

使用 AWS Network Security Manager 資源模型來設計和管理單一帳戶中或組織中多個帳戶中資源的網路安全保護。本章說明五種資源類型、它們如何形成階層，以及控管其行為的關鍵概念。

AWS Network Security Manager 資源模型

AWS Network Security Manager 使用在合成階層中配置的五種資源類型：

規則和範本包含在政策中。部署會將政策加入範圍。

資源透過階層互相向上參考。規則用於範本和政策。範本、規則或兩者都在政策中使用。範圍參考政策在部署中保護的資源。

下列各節說明階層中的每個資源類型。

規則 – 網路安全組態的原子單位。規則有兩種類型：流量檢查規則和防火牆組態規則。流量檢查著重於安全服務如何處理流量。組態規則會指定流量檢查以外的系統操作。規則的結構因防火牆類型而異。

範本 – 單一防火牆類型的有序、可重複使用的規則群組。使用 範本將相關規則封裝在一起，並在多個政策之間共用。範本是選用的。

政策 – 結合一組排序的範本和規則與防火牆類型的強制執行設定。每個政策都有優先順序 （數字越小表示優先順序越高）。當多個政策保護相同的資源時，優先順序會決定衝突如何解決。對於流量檢查規則，優先順序會決定彙總規則的順序。對於防火牆組態規則，優先順序會決定適用於每個資源及其範圍內政策的組態。

範圍 – 套用保護的宣告性選擇。範圍會指定要保護的資源類型，而且您可以選擇依標籤或組態屬性篩選資源。在多帳戶模式中，範圍也會指定要包含或排除的帳戶或 OUs。在單一帳戶模式中，範圍適用於帳戶本身。範圍的模式會在您建立時修正。您無法在任一方向的多帳戶和單一帳戶模式之間切換範圍，因此多帳戶範圍永遠無法成為單一帳戶範圍，反之亦然。

部署 – 將一或多個政策繫結至範圍。發佈部署可啟用強制執行。 AWS Network Security Manager 會探索範圍內的資源、計算預期的組態，並選擇性地修復out-of-sync的資源。

如需資源合成限制，請參閱 AWS Network Security Manager 配額。

AWS Network Security Manager 資源生命週期、合併和同步

以下各節說明管理 AWS Network Security Manager 資源在建立後如何運作的行為和機制。

草稿和作用中生命週期

每個 AWS Network Security Manager 資源 - 包括規則、範本、政策、範圍和部署 - 的狀態為草稿或作用中：

  • 作用中 – 預設狀態。資源已發佈並可供使用。其他資源可以參考它，以及包含它強制執行其組態的部署。

  • 草稿 – 資源已儲存但尚未啟用。草稿資源不會強制執行，其他資源也無法參考。當您建立或更新資源時，請選擇儲存草稿以保持草稿狀態。

根據預設， AWS Network Security Manager 會將資源建立為作用中。若要使用 API 將資源建立為草稿，請在建立或更新操作false中將 isPublished 參數設定為 。

當您更新資源時，適用下列案例：

目前狀態 Action 結果
草稿 選擇儲存草稿 更新草稿 （保留草稿）
草稿 選擇發佈 發佈草稿 （變成作用中）
作用中 選擇發佈 更新並保持作用中 （作用中）
作用中 選擇儲存草稿 建立草稿浮水印 （變成下方具有作用中資源的草稿）

hasPublishedVersion 欄位會出現在清單中並取得回應。此欄位會告訴您發佈的作用中資源是否存在於草稿下方。當資源具有草稿狀態 和 時hasPublishedVersion: true，待定草稿位於即時發佈的作用中資源之上。

您無法刪除另一個作用中資源參考的作用中資源。

版本控制

每個 AWS Network Security Manager 資源，包括規則、範本、政策、範圍和部署，都可以進行版本控制。若要建立作用中資源的版本，請選取資源，選擇動作，然後選擇建立版本控制的快照。版本不會在每次更新時自動建立。

AWS CLI 替代方案

您也可以使用作用中資源上的 Create{Resource}Snapshot API 操作來建立版本。

金鑰版本屬性：

  • 每個版本都有唯一的數字 （循序整數） 和符合版本資格的 ARN （例如 arn:aws:network-security-manager:us-east-1:123456789012:rule:abc123:3)。

  • 版本不可變。它們無法更新。

  • 每個資源最多可以建立 10 個版本。

  • 版本可標記。

使用 版本來保留所需的組態變體。若要轉返資源，請閱讀版本，然後使用版本所需的組態更新即時資源。

優先順序型政策合併

當多個政策保護相同的資源時， AWS Network Security Manager 會將其組態合併為單一結果。優先順序較低的數字表示優先順序較高 （優先順序 1 優先於優先順序 2)。當 AWS Network Security Manager 合併包含流量檢查規則的政策時，優先順序會決定彙總規則的順序。對於防火牆組態規則，優先順序較高的政策會決定適用的組態。

AWS Network Security Manager 會以下列順序在兩個層級評估優先順序：

  1. 管理員優先順序 – AWS Network Security Manager 會先評估管理員優先順序。每個組織管理員都會獲指派優先順序，如 中所述管理員和成員帳戶。當 AWS Network Security Manager 合併政策時，它會將管理員政策排名為高於成員帳戶自己的單一帳戶政策。如果管理員政策和成員帳戶的單一帳戶政策都適用於資源和衝突，則管理員政策的組態會獲勝。成員帳戶無法選擇退出、覆寫或豁免管理員政策本身。

  2. 政策優先順序：在每個帳戶中， AWS Network Security Manager 接著會使用政策優先順序來解決剩餘的衝突。政策優先順序值是從 1 開始的整數，且每個帳戶必須是唯一的。

您可以在 PutAdminAccount操作上以必要priority欄位設定管理員優先順序，整數從 1 到 10。優先順序值是唯一的，因此兩個管理員永遠不會共用優先順序，也不需要中斷綁定。如需詳細資訊，請參閱 AWS Network Security Manager API 參考。

資源所有適用政策的合併結果是有效的防火牆組態。 AWS Network Security Manager 會運算此組態、將其與資源的實際組態進行比較，並將任何差異報告為同步狀態。

當政策發生衝突時， AWS Network Security Manager 會比較每個屬性，並套用較高優先順序政策中的值。如果優先順序較高的政策未定義屬性，則會套用優先順序較低的政策值。符合有效組態的資源是 IN_SYNC。受到較低優先順序政策保護的資源，其設定被較高優先順序政策報告為低優先順序部署的 OUT_OF_SYNC。這是預期的行為，而不是失敗。

使用 Config AWS 進行資源探索

AWS Network Security Manager 會使用服務連結的 Config AWS 組態記錄器，探索您帳戶中的受保護資源。此記錄器會在該帳戶進入部署範圍時，在每個帳戶中自動建立。與 AWS Firewall Manager 不同，您不需要執行任何其他 setup. AWS Config 用量， AWS Network Security Manager 不會向 AWS Network Security Manager 客戶收費。

服務連結記錄器的主要特性：

  • 它命名為 AWSConfigurationRecorderForNetworkSecurityManager。

  • 它與帳戶中任何客戶管理的組態記錄器分開。

  • 它只會記錄與作用中範圍和部署相關的資源類型。

  • 您不需要設定 AWS Config 或建立組態記錄器。 AWS Network Security Manager 會自動管理此項目。 AWS Network Security Manager 的 AWS 組態用量不會向客戶收費。

  • 您無法在使用時修改或刪除記錄器。 AWS Network Security Manager 會自動管理其生命週期。

您不需要手動啟用或設定 AWS Config， AWS Network Security Manager 才能運作。服務會在您發佈部署後自動處理資源探索。

同步和修復

AWS Network Security Manager 中的強制執行是非同步且最終一致。發佈部署之後，或資源變更時，會發生下列階段：

  1. 資源探索 – AWS Network Security Manager 會使用服務連結的 Config AWS 記錄器探索範圍內的資源。

  2. 組態運算 – 對於每個探索的資源， AWS Network Security Manager 會依優先順序合併所有適用的政策，以計算有效的防火牆組態。

  3. 同步評估 – AWS Network Security Manager 會將有效組態與資源的實際組態進行比較，並記錄同步狀態。

  4. 修復 （選用） – 如果您在政策remediationEnabled上設定 ， AWS Network Security Manager 會out-of-sync的資源，以符合有效的組態。

每個階段都是非同步的。工作流程的後果：

  • 發佈部署與保護資源之間有延遲。

  • 在範圍內建立新的資源和受保護的資源之間存在延遲。

  • 同步狀態項目上的Last Checked時間戳記會告訴您 AWS Network Security Manager 上次評估資源的時間。

修補和資源清除是政策層級設定。您可以在 policyConfiguration 物件中為每個政策設定每個政策。

remediationEnabled

指定 AWS Network Security Manager 是否自動修復不合規的資源。當您啟用此設定時， AWS Network Security Manager 會out-of-sync的資源，以符合有效的組態。

resourcesCleanUp

指定 AWS Network Security Manager 是否在不再需要資源時自動移除它建立的資源。 AWS Network Security Manager 會刪除它在您移除部署時建立的防火牆，或當帳戶或資源超出範圍時。

remediationEnabled 和 resourcesCleanUp設定都預設為 false。在您啟用這些設定之前， AWS Network Security Manager 不會修復或清除資源。policyConfiguration 物件也會保留 wafConfig，這適用於 AWS WAF 政策。如需詳細資訊，請參閱 AWS Network Security Manager API 參考。

當資源不同步時，同步狀態會包含out-of-sync的原因，其中包含每個設定的詳細資訊，顯示與實際值相比的預期值。原因分為下列類別：

  • missingFirewall – 沒有與資源相關聯的防火牆保護。

  • invalidFirewall – 防火牆存在，但其組態與有效組態不同。這包括六個詳細資訊儲存貯體：incorrectSingleValueConfigurations、missingAppendableConfigurationValues、missingMergeableConfigurationValues、、 unexpectedAppendableConfigurationValues incorrectAppendableConfigurationOrder和 unexpectedMergeableConfigurationValues。

如果啟用修復，但 AWS Network Security Manager 無法修復資源， remediationIssues 欄位會提供 issueType、message描述問題的 ，以及correctiveAction建議如何解決問題。

AWS Network Security Manager 不會評估其未管理的設定。如果欄位未出現在任何貢獻規則中， AWS Network Security Manager 會在同步評估期間忽略該欄位。

管理員和成員帳戶

AWS Network Security Manager 使用以 AWS Organizations 為基礎的跨帳戶管理模型：

  • 管理員帳戶 – 您建立和管理 AWS Network Security Manager 資源 （規則、範本、政策、範圍和部署） 的帳戶。您可以指定一或多個管理員帳戶，每個帳戶的優先順序為 1 到 10。

  • 成員帳戶 – AWS Network Security Manager 探索資源、評估同步狀態，以及選擇性地修復out-of-sync組態的帳戶。 AWS Network Security Manager 透過服務連結角色在成員帳戶中運作。如需詳細資訊，請參閱服務連結角色。

您可以選擇將每個管理員範圍限定為帳戶、OUs 和防火牆類型的子集。使用此功能將特定區域的管理委派給不同的團隊。

AWS Network Security Manager 是一種區域服務。您可以為每個區域建立資源和部署，而不需要跨區域相依性。

服務連結角色

AWS Network Security Manager 使用名為 的 IAM 服務連結角色AWSServiceRoleForNetworkSecurityManager，代表您在組織的成員帳戶中採取行動。此角色信任 network-security-manager.amazonaws.com服務委託人。它使用 NetworkSecurityManagerServiceRolePolicy AWS 受管政策。

AWS Network Security Manager 會在您啟用服務時自動建立此角色，因此不會手動設定。此角色可讓 AWS Network Security Manager 管理 AWS WAF 和 AWS Shield Advanced 保護、透過 AWS Config 探索受保護的資源，以及執行跨帳戶操作。如需詳細資訊，請參閱使用 AWS Network Security Manager 的服務連結角色。