搭配 Firewall Manager 使用用量稽核安全群組政策 - AWS WAFAWS Firewall Manager、 AWS Shield Advanced和 AWS Shield 網路安全主管

推出 的新主控台體驗 AWS WAF

您現在可以使用更新後的體驗，在主控台的任何位置存取 AWS WAF 功能。如需詳細資訊，請參閱使用更新的主控台體驗。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

搭配 Firewall Manager 使用用量稽核安全群組政策

此頁面說明 Firewall Manager 用量稽核安全群組政策的運作方式。

使用 AWS Firewall Manager 用量稽核安全群組政策來監控您的組織是否有未使用的和多餘的安全群組，並選擇性地執行清除。當您啟用此政策的自動修復時，防火牆管理員會執行下列動作：

  1. 整合多餘的安全群組 (如果您已選擇該選項)。

  2. 移除未使用的安全群組 (如果您已選擇該選項)。

您可以將用量稽核安全群組政策套用至下列資源類型：

  • Amazon VPC 安全群組

如需使用 主控台建立用量稽核安全群組政策的指引，請參閱 建立用途稽核安全群組政策。

Firewall Manager 如何偵測和修復備援安全群組

若要將安全群組視為備援，它們必須設定完全相同的規則，且位於相同的 Amazon VPC 執行個體中。

若要修復備援安全群組集，防火牆管理員會選取要保留的集合中的其中一個安全群組，然後將其與集合中與其他安全群組相關聯的所有資源建立關聯。然後， Firewall Manager 會取消其他安全群組與相關資源的關聯，讓這些群組變得未使用。

注意

如果您也選擇移除未使用的安全群組，則 Firewall Manager 會執行此操作。此動作會移除備援組中的安全群組。

Firewall Manager 如何偵測和修復未使用的安全群組

如果下列兩項都為 true，則 Firewall Manager 會將安全群組視為未使用：

  • 任何 Amazon EC2 執行個體或 Amazon EC2 彈性網路介面都不會使用安全群組。

  • Firewall Manager 未在政策規則期間指定的分鐘數內收到其組態項目。

政策規則時段的預設設定為零分鐘，但您可以將時間增加到 365 天 (525，600 分鐘），以便自己有時間將新的安全群組與資源建立關聯。

重要

如果您指定預設值為零以外的分鐘數，則必須在其中啟用間接關係 AWS Config。否則，您的用量稽核安全群組政策將無法如預期般運作。如需有關 中的間接關係的資訊 AWS Config，請參閱《 AWS Config 開發人員指南》中的 中的間接關係 AWS Config。

Firewall Manager 會盡可能根據規則設定從您的帳戶刪除未使用的安全群組，以修復未使用的安全群組。如果 Firewall Manager 無法刪除安全群組，它會將其標記為不合規政策。Firewall Manager 無法刪除另一個安全群組參考的安全群組。

修復的時間取決於您使用的是預設時段設定或自訂設定：

  • 時間區段設定為零，預設值 – 使用此設定時，只要 Amazon EC2 執行個體或彈性網路介面未使用安全群組，就會被視為未使用。

    對於此零時段設定，防火牆管理員會立即修復安全群組。

  • 大於零的時段 – 在此設定中，當 Amazon EC2 執行個體或彈性網路介面未使用安全群組，且 Firewall Manager 未在指定的分鐘數內收到其組態項目時，安全群組即視為未使用。

    對於非零時段設定，防火牆管理員會在安全群組保持未使用的狀態 24 小時後，對其進行修復。

預設帳戶規格

當您透過主控台建立用量稽核安全群組政策時，防火牆管理員會自動選擇排除指定的帳戶並包含所有其他帳戶。然後，服務會將 Firewall Manager 管理員帳戶放入清單中以排除。這是建議的方法，可讓您手動管理屬於 Firewall Manager 管理員帳戶的安全群組。