Amazon 的托管策略 Amazon Firewall Manager - Amazon WAFAmazon Firewall Manager、和 Amazon Shield Advanced
AWSFMAdminFullAccessFMSServiceRolePolicyAWSFMAdminReadOnlyAccessAWSFMMemberReadOnlyAccess策略更新
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon 的托管策略 Amazon Firewall Manager

Amazon 托管策略是由创建和管理的独立策略 Amazon。 Amazon 托管式策略可用于针对很多常见使用案例提供权限，以便您可以开始为用户、组和角色分配权限。

请记住， Amazon 托管策略可能不会为您的特定使用场景授予最低权限，因为它们可供所有 Amazon 客户使用。我们建议通过定义特定于您的使用场景的客户管理型策略来进一步减少权限。

您无法更改 Amazon 托管策略中定义的权限。如果 Amazon 更新在 Amazon 托管式策略中定义的权限，则更新会影响该策略附加到的所有主体身份（用户、组和角色）。 Amazon 当启动新策略或新 Amazon Web Services 服务 的 API 操作可用时，最有可能会更新 Amazon 托管式策略。

有关更多信息，请参阅《IAM 用户指南》中的 Amazon 托管策略。

Amazon 托管策略：AWSFMAdminFullAccess

使用AWSFMAdminFullAccess Amazon 托管策略以允许您的管理员访问 Amazon Firewall Manager 资源，包括所有 Firewall Manager 策略类型。此策略不包括在 Amazon Firewall Manager中设置 Amazon Simple Notification Service 通知的权限。有关如何设置 Amazon Simple Notification Service 的访问权限的信息，请参阅设置 Amazon Simple Notification Service 的访问权限。

有关策略列表和详细信息，请参阅 IAM 控制台，网址为AWSFMAdminFullAccess。本节其余部分概述了策略设置。

权限语句

此策略根据权限集分为多个语句。

  • Amazon Firewall Manager 策略资源：允许对中的 Amazon Firewall Manager资源（包括所有 Firewall Manager 策略类型）拥有完全管理权限。

  • 将 Amazon WAF 日志写入 Amazon Simple Storage Servic e：允许 Firewall Manager 在 Amazon S3 中写入和读取 Amazon WAF 日志。

  • 创建服务相关角色：允许管理员创建服务相关角色，它允许 Firewall Manager 代表您分析其他服务中的资源。此权限允许创建仅供 Firewall Manager 使用的服务关联角色。有关 Firewall Manager 如何使用服务相关角色的更多信息，请参阅 使用 Firewall Manager 的服务相关角色。

  • Amazon Organizations：允许管理员将 Firewall Manager 用于 Amazon Organizations中的企业。在为 Firewall Manager 启用可信访问权限后 Amazon Organizations，管理账户的成员可以查看整个组织的调查发现。有关 Amazon Organizations 与一起使用的信息 Amazon Firewall Manager，请参阅《Amazon Organizations 用户指南》中的Amazon Organizations 与其他 Amazon 服务一起使用。

权限类别

下面列出了策略中的权限类型及其提供的权限。

  • fms— 使用 Amazon Firewall Manager 资源。

  • waf 和 waf-regional：使用 Amazon WAF Classic 策略。

  • elasticloadbalancing— 关联 Amazon WAF Web ACLsto 弹性负载均衡器。

  • firehose— 查看有关 Amazon WAF 日志的信息。

  • organizations— 使用 Organiz Amazon ations 资源。

  • shield：查看 Amazon Shield 策略的订阅状态。

  • route53resolver— 在 Route 53 Private DNS for Route 53 Private DNS。 VPCs VPCs

  • wafv2— 使用 Amazon WAFV2 策略。

  • network-firewall— 使用 Amazon Network Firewall 策略。

  • ec2：查看策略的可用区和区域。

  • s3— 查看有关 Amazon WAF 日志的信息。

Amazon 托管策略：FMSServiceRolePolicy

此策略允许 Amazon Firewall Manager 代表您在 Amazon Firewall Manager 和集成服务中管理资源。此策略附加到 AWSServiceRoleForFMS 服务相关角色。有关服务相关角色的更多信息，请参阅 使用 Firewall Manager 的服务相关角色。

有关政策的详细信息，请参阅 IAM 控制台，网址为FMSServiceRolePolicy。

Amazon 托管策略： AWSFMAdminReadOnlyAccess

授予对所有 Fi Amazon rewall Manager 资源的只读访问权限。

有关策略列表和详细信息，请参阅 IAM 控制台，网址为AWSFMAdminReadOnlyAccess。本节其余部分概述了策略设置。

权限类别

下面列出了策略中的权限类型以及这些权限允许以只读形式访问的信息。

  • fms— Amazon Firewall Manager 资源。

  • waf和 waf-regional — Amazon WAF 经典策略。

  • firehose— Amazon WAF 日志。

  • organizations— Amazon Organitions 资源。

  • shield— Amazon Shield 政策。

  • route53resolver— Route 53 Privat VPCs e DNS：Route 53 Private DNS。 VPCs

  • wafv2— 中提供的 Amazon WAFV2 规则组和 Amazon 托管规则规则组 Amazon WAFV2。

  • network-firewall— Amazon Network Firewall 规则组和规则组元数据。

  • ec2— Amazon Network Firewall 政策可用区和区域。

  • s3— Amazon WAF 日志。

Amazon 托管策略： AWSFMMemberReadOnlyAccess

授予对 Amazon Firewall Manager 成员资源的只读访问权限。有关策略列表和详细信息，请参阅 IAM 控制台，网址为AWSFMMemberReadOnlyAccess。

Firewall Manager 对 Amazon 托管策略的更新

查看自该服务开始跟踪这些更改以来，有关 Firewall Manager 的 Amazon 托式策略更新的详细信息。有关此页面更改的自动提示，请订阅 Firewall Manager 文档历史记录页面上的 RSS 源，网址为 文档历史记录。

更改 描述 日期

FMSServiceRolePolicy - 更新的策略

向 Firewall Manager 服务策略添加了权限。

添加了Amazon 所需的以下权限 CloudFront：

  • cloudfront:AssociateDistributionWebACL— 授予将 Amazon WAF Web ACL 与 CloudFront 分配关联的权限

  • cloudfront:DisassociateDistributionWebACL— 授予解除 Amazon WAF Web ACL 与分配关联的 CloudFront 权限

 2025 年 5 月 5 月 21 日

FMSServiceRolePolicy - 更新的策略

向 Firewall Manager 服务策略添加了权限。

增加了批量获取资源配置状态的BatchGetResourceConfig权限。在 IAM 控制台中查看更新的政策：FMSServiceRolePolicy。

 2025 年 2 月 10 日

FMSServiceRolePolicy - 更新的策略

向 Firewall Manager 服务角色策略添加了权限。

增加了读取 Network Firewall TLS 配置信息的功能。在 IAM 控制台中查看更新的政策：FMSServiceRolePolicy。

 2024 年 7 月 7 月 22 日

FMSServiceRolePolicy - 更新的策略

添加了管理网络的权限 ACLs。

在 IAM 控制台中查看更新的政策：FMSServiceRolePolicy。

 发布时间：2024 月 4 月 22 日

FMSServiceRolePolicy - 更新的策略

添加了允许 Firewall Manager 描述指定 Amazon Config 规则是否合规的权限。

在 IAM 控制台中查看更新的政策：FMSServiceRolePolicy。

 2023 年 4 月 21 日

FMSServiceRolePolicy - 更新的策略

添加了允许 Firewall Manager 描述 Amazon EC2 实例和网络接口属性的权限。

在 IAM 控制台中查看更新的政策：FMSServiceRolePolicy。

 2022 年 11 月 15 日

AWSFMAdminReadOnlyAccess - 更新的策略

添加了支持 Amazon WAFV2、Shield、Network Firewall、DNS Firewall、Amazon VPC 安全组、策略的权限。

在 IAM 控制台中查看更新的政策：AWSFMAdminReadOnlyAccess。

 2022 年 11 月 2 日

AWSFMAdminFullAccess - 更新的策略

添加了支持 Amazon WAFV2、Shield、Network Firewall、DNS Firewall、Amazon VPC 安全组、策略的权限。移除了 Amazon SNS 权限。

在 IAM 控制台中查看更新的政策：AWSFMAdminFullAccess。

 2022 年 10 月 21 日

FMSServiceRolePolicy— Amazon Firewall Manager 第三方防火墙策略的新权限

此更改允许 Firewall Manager 创建和删除与第三方防火墙策略关联的 Amazon EC2 VPC 终端节点。

 2022 年 3 月 30 日

FMSServiceRolePolicy— Amazon Network Firewall 策略的新权限

添加了新权限，以支持为 Network Firewall 策略部署防火墙。新权限允许为策略范围内的账户检索有关可用区的信息。

 发布时间：2022 月 2 月 16 日

FMSServiceRolePolicy— Amazon Shield 策略的新权限

添加了检索 Amazon WAF 区域和 Amazon WAF 全局资源标签的新权限。添加了 ACLs 使用资源 ARN 检索 Web 的 Amazon WAF 区域权限。添加了权限以支持 Shield 自动应用程序层 DDo S 缓解功能。

 2022 年 1 月 7 日

FMSServiceRolePolicy— Amazon Shield 策略的新权限

添加了新权限，以检索 Elastic Load Balancing 资源的标签。

 2021 年 11 月 18 日

FMSServiceRolePolicy— 安全组和 Amazon Network Firewall 策略的新权限

添加了新权限，以启用 Amazon Network Firewall 策略的集中日志记录。此外，还添加了只读 Amazon 只读 EC2 权限，以支持对 Config 服务的更改，这些更改会影响 Amazon Firewall Manager 查询资源以获取安全组策略的方式。

 2021 年 9 月 29 日

FMSServiceRolePolicy— 资源的 ARN 格式 Amazon WAF

更新了 FMSServiceRolePolicy，以实现 Amazon WAF 资源 ARN 格式的标准化。更新后的 ARN 格式为 arn:aws:waf:*:*:* 和 arn:aws:waf-regional:*:*:*。

 2021 年 8 月 12 日

FMSServiceRolePolicy – 中国的其他地区

Amazon Firewall Manager 已FMSServiceRolePolicy为中国的 BJS 和 ZHY 区域启用。

 2021 年 8 月 12 日

FMSServiceRolePolicy – 对现有策略的更新

添加了允许 Amazon Firewall Manager 管理 Amazon Route 53 Resolver DNS 防火墙的新权限。

此更改允许 Firewall Manager 配置 Amazon Route 53 Resolver DNS 防火墙关联。这允许您在中使用 Firewall Manager 为 VPCs 整个组织提供 DNS 防火墙保护 Amazon Organizations。

 2021 年 3 月 17 日

Firewall Manager 已开启跟踪更改

Firewall Manager 为其 Amazon 托管策略开始跟踪更改。

 2021 年 3 月 2 日