AWS Firewall Manager 入門 - セキュリティポリシーの一元管理
AWSアカウントやVPCが増えてくると、「すべてのWebアプリにWAFが適用されているか？」「セキュリティグループで22番ポートが全開放されていないか？」といった状態を個別にチェックするのは困難になります。 AWS Firewall Managerは、組織全体のファイアウォールルールを一元的に設定・管理・監査するサービスです。
AWS Firewall Manager とは
AWS Organizationsと連携し、組織内のすべてのアカウントとリソースに対して、セキュリティポリシーを自動的に適用するガバナンスツールです。 新しいアカウントやリソースが作成されると、自動的にファイアウォールルールが適用されるため、設定漏れを防ぐことができます。
管理できるリソース
Firewall Managerでは、以下のサービスのルールを一元管理できます：
- AWS WAF: Web ACLの強制適用
- AWS Shield Advanced: DDoS保護の自動有効化
- VPCセキュリティグループ: 許可/拒否ルールの監査と修復
- AWS Network Firewall: ファイアウォールポリシーの展開
- Amazon Route 53 Resolver DNS Firewall: DNSフィルタリングルールの適用
主な機能とユースケース
1. セキュリティグループの監査と修復
「SSH (22) や RDP (3389) が 0.0.0.0/0 で許可されていないか」といった一般的なセキュリティリスクを監査します。 違反しているセキュリティグループを検知して通知するだけでなく、自動的にルールを削除（修復）することも可能です。
2. WAFルールの標準化
全社のWebアプリケーションに対して、「SQLインジェクション対策」や「GeoIP制限」などの共通ルールを強制適用します。 各プロジェクトチームは、共通ルールに加えて、アプリケーション固有のルールを追加することができます。
3. 未保護リソースの発見
「WAFが適用されていないALB」や「Shield Advancedが無効なCloudFront」など、ポリシーに準拠していないリソースをダッシュボードで一覧表示します。
導入の前提条件
AWS Firewall Managerを利用するには、以下の準備が必要です：
- AWS Organizations の利用: 組織管理が有効になっていること
- AWS Config の有効化: 全アカウント・全リージョンでConfigが有効であること
- 管理者の委任: 管理アカウント以外のセキュリティ専用アカウントを「FMS管理者」として委任することが推奨されます
料金
Firewall Manager自体の利用料金は、ポリシー（リージョンごと）あたり月額 $100 です。 ※ただし、AWS Shield Advancedを利用している場合、Firewall ManagerとAWS Configの利用料は無料になります。
まとめ
AWS Firewall Managerは、マルチアカウント環境における「セキュリティのベースライン」を維持するために不可欠なツールです。 開発チームに自由を与えつつ、組織として守るべき最低限のガードレール（SSH全開放の禁止やWAFの必須化）を強制するために活用しましょう。