通过 AWS Firewall Manager 集中管理安全规则 - WAF 与 Security Group 的组织级部署
讲解如何集中管理整个 Organizations 的 WAF 规则、Security Group 和 Network Firewall 策略。同时讲解如何通过自动应用到新账户来维护整个组织的安全基线。
Firewall Manager 概述
AWS Firewall Manager 是一项集中管理整个 Organizations 防火墙规则的安全管理服务。可以将 WAF 规则、Shield Advanced 保护和 Security Group 规则一次性应用到整个组织。Network Firewall 策略和 Route 53 Resolver DNS Firewall 规则同样可以一次性应用到整个组织。添加新的账户或资源时，已定义的安全策略会自动应用，因此安全基线的维护得以确保。在各个账户中手动管理 WAF 规则和 Security Group 时，容易出现配置遗漏和不一致。Firewall Manager 在组织层面解决这一问题。
安全策略的设计
Firewall Manager 的安全策略按策略类型（WAF、Shield、Security Group、Network Firewall、DNS Firewall）分别创建。在 WAF 策略中，组合托管规则组（AWS Managed Rules、Marketplace 的规则）与自定义规则进行定义。该策略会自动应用到 CloudFront、ALB 和 API Gateway。在 Security Group 策略中，定义允许的入站 / 出站规则，还提供自动修复违反策略的 Security Group（删除不合规规则）的选项。在 Network Firewall 策略中，定义 VPC 的流量过滤规则，并自动在新的 VPC 中部署 Network Firewall 端点。策略的应用范围可以通过 OU、标签和账户 ID 进行控制，并可以限定应用于特定环境（仅限生产环境、仅限特定区域）。
合规与自动修复
在 Firewall Manager 的合规仪表板中，实时监控各账户 / 资源的策略合规状况。不合规的资源可以通过自动修复（强制应用策略中定义的规则）或仅通知（向管理员发出告警）中的任一方式来处理。通过与 Security Hub 集成，将 Firewall Manager 的检测结果与其他安全服务的检测结果统一管理。通过与 Config 规则联动，还可以将 Firewall Manager 策略的应用状况纳入合规报告。
Firewall Manager 的费用
Firewall Manager 的费用为每个策略每月约 100 美元（截至 2026 年 8 月）。由于 1 个策略可以应用到整个组织（数百个账户），账户数越多，每个账户的成本就越低。策略所应用的 WAF、Shield Advanced、Network Firewall 等各项服务的费用另行产生。Firewall Manager 本身的费用是固定的，但需要注意，各项服务的按量计费会随应用的规则数量和流量增加。
前提条件与启用步骤
使用 Firewall Manager 需要先准备好几项前提。首先在 Organizations 中构建组织，并指定受委派管理 Firewall Manager 的管理员账户。许多策略类型依赖 AWS Config，因此在目标账户中启用 Config。将安全运维集中到专用账户，便于权限分离和审计。在准备好这些基础之后再创建策略，就可以形成即使有新账户加入组织，已定义的保护也会自动应用的状态。重要的是在采用初期确定这一设计。
DDoS 保护的集中管理
Firewall Manager 还可以跨组织应用 Shield Advanced 的 DDoS 保护。按条件指定应当保护的资源（CloudFront、ALB、Global Accelerator、Elastic IP 等），并将保护自动扩展到新创建的资源。即使各个团队忘记了保护设置，也可以由组织的策略覆盖，因此可以防止遗漏应当保护的公开端点。能够集中掌握重要的公开服务并维持一致的保护水平，是大规模环境中 DDoS 防护的一大优势。
安全地推广规则更新
对整个组织一次性应用的策略影响范围广，因此谨慎地推广。引入新规则时，不立即启用自动修复，而是先在仅检测违规并发出通知的模式下观察影响，这样做是安全的。通过 OU 或标签缩小应用范围，在有限的环境中确认行为后再扩展到整体。逐步验证是否会误拦正常的通信、是否与现有的 Security Group 保持一致。正因为是作用范围广的设置，遵循小规模试验并加以确认的步骤，能带来防止事故的效果。
多层防御中的分工
Firewall Manager 管理的各项功能处于不同的防御层。WAF 在应用层拦截恶意请求，Security Group 控制实例级别的通信。Network Firewall 过滤 VPC 的流量，DNS Firewall 阻止对恶意域名的名称解析。将这些叠加起来，可以构建在一层漏过的威胁由另一层拦截的多层防御。Firewall Manager 是在整个组织中一致地应用这些功能的机制，理解各层的作用并进行设计，是稳固安全态势的关键。
总结
AWS Firewall Manager 是一项集中管理整个 Organizations 的 WAF / Security Group / Network Firewall 策略的服务。它通过自动应用到新账户 / 资源来维护安全基线。借助合规仪表板和自动修复功能，持续监控和改善整个组织的安全态势。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。