AWS Firewall Manager
对 Organizations 下多个账户和资源统一应用和管理 WAF、Shield Advanced、Security Group、Network Firewall 规则的安全管理服务
概述
AWS Firewall Manager 是与 AWS Organizations 协同工作，统一管理跨多个 AWS 账户的防火墙规则的服务。将 WAF 规则、Shield Advanced 保护、VPC 安全组、Network Firewall 策略、Route 53 Resolver DNS Firewall 规则定义为安全策略，自动应用到指定的 OU 或账户。新账户或资源添加时策略也会自动应用，确保安全一致性。
安全策略的类型与适用范围
Firewall Manager 的每个安全策略对应一种策略类型，根据保护对象的资源类型选择类型。WAF 策略将 WAF 规则组批量应用到 CloudFront 分配、ALB、API Gateway、AppSync。用于对所有账户的 ALB 强制应用通用 WAF 规则 (SQL 注入防御、速率限制)。Shield Advanced 策略将 DDoS 保护应用到 EC2、ELB、CloudFront、Global Accelerator、Route 53。安全组策略管理 VPC 安全组，可检测并自动修复不符合策略的规则。Network Firewall 策略自动在 VPC 中部署 Network Firewall，应用有状态流量检查规则。DNS Firewall 策略将 DNS 过滤规则应用到 Route 53 Resolver，阻止对恶意域名的 DNS 查询。各策略的适用范围可按 Organizations 的 OU 单位、账户单位、资源标签单位指定，也可设置排除规则。
WAF 规则的统一管理与自动修复
Firewall Manager 的代表性用法之一是 WAF 规则的统一管理。安全团队在 Firewall Manager 中定义 WAF 策略后，Web ACL 自动创建并关联到目标账户的目标资源。策略可指定「第一规则组」和「最后规则组」，各账户管理员可在其间添加账户特有规则。这样既能强制组织通用的安全基线 (OWASP Top 10 防护、机器人防护、速率限制)，又保留账户级自定义空间。启用自动修复功能后，不符合策略的资源 (如未关联 WAF 的 ALB) 会被自动修复。新 ALB 创建时 Firewall Manager 也会检测并自动关联 WAF。合规仪表板可一览所有账户的策略合规状况。
导入前提条件与成本结构
首次使用 Firewall Manager 前的主要准备如下，部分策略类型和区域还需要额外的步骤。第一，AWS Organizations 已启用且所有功能 (All Features) 已激活。第二，已从组织的管理账户创建 Firewall Manager 默认管理员账户。第三，目标账户已启用 AWS Config (Firewall Manager 评估资源合规状况所需)。费用由每个保护策略按区域计收的月费，加上 Firewall Manager 创建的资源 (WAF Web ACL、Network Firewall 端点等) 和 AWS Config 规则的费用构成，单价请参阅 AWS 官方定价页面 (截至 2026 年 10 月)。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。