AWS Organizations で 20 アカウントを管理する金融機関が、全 VPC を通過するトラフィックにドメイン名フィルタリングとシグネチャベースの侵入防止機能を全アカウントで統一適用したい。新規アカウントが

Question

AWS Organizations で 20 アカウントを管理する金融機関が、全 VPC を通過するトラフィックにドメイン名フィルタリングとシグネチャベースの侵入防止機能を全アカウントで統一適用したい。新規アカウントが Organizations に加わった際も手動設定なしにポリシーが自動適用され、セキュリティチームが単一コンソールでポリシーを一元管理できる構成はどれか。

Accepted Answer

正解: AWS Firewall Manager で Network Firewall ポリシーを OU 単位で Organizations に適用し、新規アカウントへ自動でエンドポイントをプロビジョニングする。Firewall ManagerはOrganizations OU単位でNetwork Firewallポリシーを一元管理し、新規アカウント追加時に自動でエンドポイントをプロビジョニングする。ドメインフィルタリングとIPS機能を提供する。

Answer

AWS Firewall Manager で Network Firewall ポリシーをアカウントタグ条件で適用し、新規アカウントへの展開は管理アカウントが手動でトリガーする — Firewall Manager のタグベース適用は新規アカウントへの自動展開を保証せず、手動トリガーが必要なため自動化要件を満たさない。

Answer

AWS Config アグリゲーターで全アカウントのネットワーク設定を集約評価し、非準拠アカウントへ Systems Manager Automation で Network Firewall を自動設定する — AWS Config アグリゲーターと Systems Manager Automation の組み合わせでは、ドメインフィルタリングや IPS ルールの一元管理・自動展開はできない。

Answer

AWS Config アグリゲーターで全アカウントのネットワーク設定を集約評価し、非準拠アカウントに Organizations SCP を動的適用してトラフィックを制限する — Organizations SCP は IAM アクションの制御に使用するものであり、VPC を流れるトラフィックの検査や侵入防止機能を提供しない。

解説