AWS Organizations で 60 以上の AWS アカウントを管理する金融機関があります。セキュリティポリシーにより、すべての本番環境 VPC はインターネットへの送受信トラフィックを AWS Network

Question

AWS Organizations で 60 以上の AWS アカウントを管理する金融機関があります。セキュリティポリシーにより、すべての本番環境 VPC はインターネットへの送受信トラフィックを AWS Network Firewall 経由にしなければならず、ファイアウォールポリシーは中央のセキュリティチームが一元管理する必要があります。また、新規アカウントや新規 VPC が作成された際には、承認なく自動的にポリシーが適用（自動修復）される必要があります。この要件を最小の運用オーバーヘッドで実現するアーキテクチャはどれですか？

Accepted Answer

正解: AWS Firewall Manager でネットワークファイアウォールポリシーを作成し、Organizations のタグまたは OU（組織単位）ベースのスコーピングで本番 VPC に適用する。自動修復を有効にすることで、新規 VPC にも自動的にポリシーが展開される。正解：
AWS Firewall Manager でネットワークファイアウォールポリシーを作成し、Organizations のタグまたは OU（組織単位）ベースのスコーピングで本番 VPC に適用する。自動修復を有効にすることで、新規 VPC にも自動的にポリシーが展開される。

AWS Firewall Manager は、AWS Organizations と統合して複数アカウントにまたがるセキュリティポリシーを中央管理するためのマネージドサービスです。AWS Network Firewall ポリシーをネイティブにサポートし、タグや OU 単位でスコープを定義できます。自動修復機能を有効にすると、新規アカウントや新規 VPC に対しても自動的にポリシーが適用され、継続的なコンプライアンス状態が維持されます。中央ポリシーの変更は全対象アカウントに自動伝播されます。

選択肢Bは EventBridge＋Lambda によるカスタムソリューションは開発・テスト・保守のコストが高く、エラーが発生しやすいため最小オーバーヘッドの要件を満たしません。
選択肢Cは AWS CloudFormation StackSets はインフラデプロイには有効ですが、継続的なコンプライアンス監視や自動修復機能を持たず、中央ポリシーの変更伝播も手動オペレーションが必要です。
選択肢Dは AWS Config と Systems Manager Automation の組み合わせは Network Firewall 専用ではなく複雑なカスタム実装が必要で、Firewall Manager と比較して運用コストが大幅に高くなります。

Answer

Amazon EventBridge で VPC 作成の CloudTrail イベントを検知し、AWS Lambda で Network Firewall を自動プロビジョニングするカスタムソリューションを各アカウントに展開する — EventBridge＋Lambda によるカスタムソリューションは開発・テスト・保守のコストが高く、エラーが発生しやすいため最小オーバーヘッドの要件を満たしません。

Answer

AWS CloudFormation StackSets を使用して全アカウントに Network Firewall スタックをデプロイし、Organizations の新規アカウント追加フックで自動デプロイを設定する — AWS CloudFormation StackSets はインフラデプロイには有効ですが、継続的なコンプライアンス監視や自動修復機能を持たず、中央ポリシーの変更伝播も手動オペレーションが必要です。

Answer

AWS Config のカスタムルールで非準拠 VPC を検出し、AWS Systems Manager Automation の修復アクションで Network Firewall をプロビジョニングする — AWS Config と Systems Manager Automation の組み合わせは Network Firewall 専用ではなく複雑なカスタム実装が必要で、Firewall Manager と比較して運用コストが大幅に高くなります。

解説

解説