AWS はじめの一歩
言語日本語
セキュリティ

AWS Firewall Manager

読み方: ファイアウォールマネージャー

Organizations 配下の複数アカウント / リソースに対して WAF、Shield Advanced、Security Group、Network Firewall のルールを一元的に適用 / 管理するセキュリティ管理サービス

約 2 分で読めます

概要

AWS Firewall Manager は、AWS Organizations と連携して複数の AWS アカウントにまたがるファイアウォールルールを一元管理するサービスです。WAF ルール、Shield Advanced 保護、VPC セキュリティグループ、Network Firewall ポリシー、Route 53 Resolver DNS Firewall ルールを、セキュリティポリシーとして定義し、指定した OU やアカウントに自動的に適用します。新しいアカウントやリソースが追加された場合も、ポリシーが自動的に適用されるため、セキュリティの一貫性が保証されます。

セキュリティポリシーの種類と適用範囲

Firewall Manager のセキュリティポリシーは種類ごとに作成し、保護対象のリソースタイプに応じて種類を選びます。WAF ポリシーは CloudFront ディストリビューション、ALB、API Gateway、AppSync に WAF ルールグループを一括適用します。全アカウントの ALB に共通の WAF ルール (SQL インジェクション防御、レートリミット) を強制する場合に使います。Shield Advanced ポリシーは DDoS 保護を EC2、ELB、CloudFront、Global Accelerator、Route 53 に適用します。セキュリティグループポリシーは VPC のセキュリティグループを管理し、ポリシーに準拠しないルールの検出と自動修復が可能です。Network Firewall ポリシーは VPC に Network Firewall を自動デプロイし、ステートフルなトラフィック検査ルールを適用します。DNS Firewall ポリシーは Route 53 Resolver に DNS フィルタリングルールを適用し、悪意のあるドメインへの DNS クエリをブロックします。各ポリシーの適用範囲は、Organizations の OU 単位、アカウント単位、リソースタグ単位で指定でき、除外ルールも設定可能です。

WAF ルールの一元管理と自動修復

Firewall Manager の代表的な使い方の 1 つは、WAF ルールの一元管理です。セキュリティチームが Firewall Manager で WAF ポリシーを定義すると、対象アカウントの対象リソースに Web ACL が自動的に作成 / 関連付けされます。ポリシーには「最初のルールグループ」と「最後のルールグループ」を指定でき、各アカウントの管理者はその間にアカウント固有のルールを追加できます。これにより、組織共通のセキュリティベースライン (OWASP Top 10 対策、ボット対策、レートリミット) を強制しつつ、アカウントごとのカスタマイズ余地を残せます。自動修復機能を有効にすると、ポリシーに準拠していないリソース (WAF が関連付けられていない ALB など) を自動的に修復します。新しい ALB が作成された場合も、Firewall Manager が検知して WAF を自動的に関連付けます。コンプライアンスダッシュボードでは、全アカウントのポリシー準拠状況を一覧で確認できます。

導入の前提条件とコスト構造

Firewall Manager を初めて使う前の主な準備は次のとおりで、使うポリシーの種類やリージョンによっては追加の手順があります。第一に、AWS Organizations が有効で、すべての機能 (All Features) が有効化されていること。第二に、組織の管理アカウントから Firewall Manager の既定の管理者アカウントが作成されていること。第三に、AWS Config が対象アカウントで有効化されていること (Firewall Manager がリソースの準拠状況を評価するために必要)。料金は、保護ポリシーごと / リージョンごとの月額料金に加え、Firewall Manager が作成するリソース (WAF Web ACL、Network Firewall エンドポイントなど) と AWS Config ルールの料金がかかります。単価は AWS 公式の料金ページを参照してください (2026 年 10 月時点)。

参考資料 (AWS 公式)

本ページの一次情報は AWS 公式サイトと公式ドキュメントです。最新の仕様と料金は次の公式ページで確認できます。

本ページと公式ドキュメントの記述が食い違う場合は、公式ドキュメントを正としてください。

共有する

関連する用語

AWS WAFAWS Network FirewallAWS OrganizationsAWS Security HubAWS Config

関連するサービス

AWS WAFAWS Network FirewallAWS OrganizationsAWS Config

関連する記事

AWS Artifact でコンプライアンスレポートを取得 - 監査対応と契約管理SOC / PCI DSS / ISO の監査レポートをオンデマンドで取得し、BAA や GDPR DPA を Organizations 全体に一括適用する手順を紹介します。タグの設計が運用を決める - AWS リソースタグ戦略の雑学と実践的な命名規則AWS リソースタグが単なるラベルではなくコスト配分、アクセス制御、自動化の基盤である理由、タグキーの命名規則、タグの上限 50 個の使い方、タグポリシーによるガバナンスを解説します。AWS Config で実現する継続的コンプライアンス監視 - ルール評価と自動修復AWS Config によるリソース構成の記録、Config ルールによるコンプライアンス評価、自動修復アクションの設定を解説します。AWS Control Tower で構築するマルチアカウント環境 - ランディングゾーンとガードレールランディングゾーンの自動構築とガードレールによるポリシー適用で、マルチアカウント環境のガバナンスを確立する。Account Factory によるアカウント自動作成も紹介します。AWS Firewall Manager で一元管理するセキュリティルール - WAF と Security Group の組織展開Organizations 全体の WAF ルール、Security Group、Network Firewall ポリシーを一元管理し、新規アカウントへの自動適用で組織全体のセキュリティベースラインを維持する方法を解説します。

内容が近い用語 / 記事

AWS Firewall Manager で一元管理するセキュリティルール - WAF と Security Group の組織展開Organizations 全体の WAF ルール、Security Group、Network Firewall ポリシーを一元管理し、新規アカウントへの自動適用で組織全体のセキュリティベースラインを維持する方法を解説します。AWS Firewall ManagerAWS Organizations 全体のファイアウォールルールを一元管理するサービスAWS Network Firewall による VPC トラフィック制御 - ステートフルルールとドメインフィルタリングステートフル/ステートレスルールとドメインフィルタリングで VPC トラフィックを制御する。Suricata 互換ルールとマネージドルールの活用を紹介します。AWS Organizations で実現するマルチアカウント管理 - OU 設計と SCP によるガバナンスOU 階層の設計と SCP によるアクセス制御でマルチアカウント環境のガバナンスを確立する。一括請求によるコスト管理も紹介します。