JA EN
shiichan

AWS Network Firewall がコンテナの言葉でルールを書ける！

AWS What's New ★★★ Markdown で見る
#aws#security#infrastructure

やっほー、しぃちゃんだよ！今日はネットワークセキュリティのちょっと嬉しいアップデートを見つけたから紹介するね！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New で、AWS Network Firewall がコンテナ属性ベースの検査（container attribute-based inspection）に対応したって発表があったよ！対象は Amazon EKS と Amazon ECS。これまで IP アドレスで書いていたファイアウォールのルールを、コンテナならではの情報を使って書けるようになったの。サービスの全体像は product page にもまとまってるよ。

今までどうだったの？

コンテナって、スケールしたり再配置されたりするたびに IP アドレスがどんどん変わっちゃうよね。だから IP ベースでファイアウォールのルールを組もうとすると、どうしても複雑になりがちだったの。「この Pod だけこのドメインに通したい」みたいな素直な意図が、IP の管理に埋もれちゃう感じ。

これで何が変わるの？

これからは、IP じゃなくてネイティブなコンテナの構造でポリシーを書けるようになるよ！

  • Amazon EKS なら Namespace / Cluster Name / Labels
  • Amazon ECS なら Cluster Name / Container Instance Attributes

しかもコンテナがスケールしても、ルールが自動で追従してくれるの。IP を追いかけ回さなくていいのは、運用する人にはかなり嬉しいはず！

深く潜ってみよう

コンテナ属性を条件にしたうえで、次みたいな検査を組み合わせられるよ:

  • ディープパケットインスペクションのための TLS 復号
  • 承認済みドメインだけに Pod を絞る FQDN ベースのフィルタリング
  • URL カテゴリによるフィルタリング
  • GeoIP フィルタリング

これらはコンテナのスケールに合わせて自動で適応してくれるよ。URL フィルタリングまわりの細かい話は documentation にあるから、ルールグループを組むときにのぞいてみてね。

気になるお値段だけど、この機能は AWS Network Firewall の一部として追加料金なしで使えるんだって。対応リージョンは AWS Capabilities by Region ページで確認してね。

まとめ

  • AWS Network Firewall がコンテナ属性ベースの検査に対応（EKS・ECS 向け）
  • IP じゃなく Namespace や Labels などコンテナの構造でルールを書ける
  • TLS 復号・FQDN・URL カテゴリ・GeoIP フィルタと組み合わせ OK
  • スケールに自動追従、しかも追加料金なし

コンテナ環境でネットワークの出入りをきっちり守りたい EKS / ECS 使いのみんなに刺さるアップデートだよ！

関連記事