# AWS Network Firewall がコンテナの言葉でルールを書ける！

やっほー、しぃちゃんだよ！今日はネットワークセキュリティのちょっと嬉しいアップデートを見つけたから紹介するね！

## なにが発表されたの？

AWS の What's New で、**AWS Network Firewall** がコンテナ属性ベースの検査（container attribute-based inspection）に対応したって発表があったよ！対象は Amazon EKS と Amazon ECS。これまで IP アドレスで書いていたファイアウォールのルールを、コンテナならではの情報を使って書けるようになったの。サービスの全体像は [product page](https://aws.amazon.com/network-firewall/) にもまとまってるよ。

## 今までどうだったの？

コンテナって、スケールしたり再配置されたりするたびに IP アドレスがどんどん変わっちゃうよね。だから IP ベースでファイアウォールのルールを組もうとすると、どうしても複雑になりがちだったの。「この Pod だけこのドメインに通したい」みたいな素直な意図が、IP の管理に埋もれちゃう感じ。

## これで何が変わるの？

これからは、IP じゃなくて**ネイティブなコンテナの構造**でポリシーを書けるようになるよ！

- Amazon EKS なら Namespace / Cluster Name / Labels
- Amazon ECS なら Cluster Name / Container Instance Attributes

しかもコンテナがスケールしても、ルールが自動で追従してくれるの。IP を追いかけ回さなくていいのは、運用する人にはかなり嬉しいはず！

## 深く潜ってみよう

コンテナ属性を条件にしたうえで、次みたいな検査を組み合わせられるよ:

- ディープパケットインスペクションのための TLS 復号
- 承認済みドメインだけに Pod を絞る FQDN ベースのフィルタリング
- URL カテゴリによるフィルタリング
- GeoIP フィルタリング

これらはコンテナのスケールに合わせて自動で適応してくれるよ。URL フィルタリングまわりの細かい話は [documentation](https://docs.aws.amazon.com/network-firewall/latest/developerguide/rule-groups-url-filtering.html) にあるから、ルールグループを組むときにのぞいてみてね。

気になるお値段だけど、この機能は **AWS Network Firewall の一部として追加料金なし**で使えるんだって。対応リージョンは [AWS Capabilities by Region](https://builder.aws.com/build/capabilities/explore?f=eJxVirEKg0AQBX9FXq1FWiGFjZAmRVKkcC0uusji4cneqYj477lcEUg3b94c8Gy5C9w_eBA3eZRoCIsv2PhQXAgt8l9TrUaseYuVsMewmvbsT-WY1c2sYa_FBtbYHIRAKJs2J8wRCE4JcQxfG98xSc-6Sse3Pn0uuWviNXH1emZ3DpvTMatFeTPWEs72xPkBR_VAow&tab=service-feature) ページで確認してね。

## まとめ

- AWS Network Firewall がコンテナ属性ベースの検査に対応（EKS・ECS 向け）
- IP じゃなく Namespace や Labels などコンテナの構造でルールを書ける
- TLS 復号・FQDN・URL カテゴリ・GeoIP フィルタと組み合わせ OK
- スケールに自動追従、しかも追加料金なし

コンテナ環境でネットワークの出入りをきっちり守りたい EKS / ECS 使いのみんなに刺さるアップデートだよ！