69 lines
2.7 KiB
Markdown
69 lines
2.7 KiB
Markdown
---
|
||
title: "Security Group Policy"
|
||
type: concept
|
||
tags:
|
||
- AWS
|
||
- Security
|
||
- Security-Group
|
||
- Firewall-Manager
|
||
- Compliance
|
||
sources:
|
||
- ctp-topic-55-aws-firewall-manager
|
||
last_updated: 2026-04-14
|
||
---
|
||
|
||
## Definition
|
||
|
||
Security Group Policy 是 AWS Firewall Manager 中的安全组策略类型，用于在组织级别对安全组进行集中化管理和合规性控制。Policy 定义在 Firewall Manager 管理员账户中，通过 AWS Config + Lambda 机制自动分发和强制执行到目标账户的 EC2 实例。
|
||
|
||
## Policy Types
|
||
|
||
### 1. Common Security Group Policy（通用安全组策略）
|
||
- **作用**：将基线安全组附加到所有目标账户的 EC2 实例
|
||
- **特点**：允许产品团队在基线之上继续添加自定义安全组规则
|
||
- **适用场景**：需要统一安全基线但保留团队灵活性的场景
|
||
|
||
### 2. Audit & Enforcement Security Group Policy（审计与强制执行策略）
|
||
- **作用**：检测并拒绝过度宽松（over-permissive）的安全组规则
|
||
- **两种修复模式**：
|
||
- **手动修复（Manual Remediation）**：仅告警，由管理员手动处理
|
||
- **自动修复（Auto Remediation）**：通过 Lambda 自动纠正不合规规则
|
||
- **适用场景**：强制最小权限原则，防止安全组配置错误导致风险暴露
|
||
|
||
### 3. Cleanup Security Group Policy（清理策略）
|
||
- **作用**：自动识别并清理未使用的冗余安全组
|
||
- **适用场景**：减少安全组管理复杂度，避免过期规则堆积
|
||
|
||
## Policy Lifecycle
|
||
```
|
||
Policy Created in Firewall Manager Admin Account
|
||
↓
|
||
Target Account / OU Association
|
||
↓
|
||
AWS Config Compliance Check
|
||
├── Compliant → No Action
|
||
└── Non-Compliant → Lambda Triggered
|
||
↓
|
||
Auto-Remediation (if enabled)
|
||
↓
|
||
New EC2 Instance → Auto-attach Security Group
|
||
Policy Deleted → Auto-detach Security Group from all instances
|
||
```
|
||
|
||
## Prerequisites
|
||
- Firewall Manager 管理员账户已配置
|
||
- 目标账户必须启用 AWS Config
|
||
- 目标账户所在 OU 必须授予 Firewall Manager 管理员相应权限
|
||
|
||
## Relationship with Other Concepts
|
||
- **[[AWS Firewall Manager]]**：Security Group Policy 的上层管理平台
|
||
- **[[AWS Config]]**：提供合规性评估数据
|
||
- **[[AWS Lambda]]**：执行自动化修复逻辑
|
||
- **[[Prefix List]]**：定义允许的 IP CIDR 范围，供安全组规则引用
|
||
- **[[AWS RAM]]**：跨账户共享 Prefix List
|
||
|
||
## Design Patterns
|
||
- **分层叠加模式**：Common SG（基线）+ 产品团队自定义 SG（叠加）= 完整安全策略
|
||
- **黑名单模式**：Audit & Enforcement Policy 拒绝特定危险规则（如 0.0.0.0/0 全开放）
|
||
- **白名单模式**：只允许明确声明的 CIDR 范围访问
|