Un'azienda necessita di una soluzione per gestire le regole AWS WAF su più account AWS organizzati in diverse OU. Gli amministratori devono essere in grado di aggiungere o rimuovere account o OU dai set di regole WAF gestiti e aggiornare/correggere automaticamente le regole WAF non conformi su tutti gli account con un sovraccarico operativo minimo. Quale soluzione soddisfa questi requisiti?

La soluzione corretta sfrutta AWS Firewall Manager, progettato specificamente per la gestione centralizzata delle policy di sicurezza, inclusi i set di regole AWS WAF, su più account e OU in un'organizzazione AWS. L'uso di Parameter Store per i numeri di account/OU e di EventBridge/Lambda per automatizzare gli aggiornamenti della policy di Firewall Manager garantisce un sovraccarico operativo minimo e la conformità automatica. Le opzioni errate presentano le seguenti problematiche: La distribuzione di regole AWS Config con CloudFormation StackSets può gestire la conformità e la distribuzione, ma non offre la gestione centralizzata e automatica delle policy WAF su larga scala come Firewall Manager. La creazione di regole WAF nell'account di gestione e l'uso di Lambda con variabili d'ambiente per la gestione cross-account è un approccio manuale e scalabile con difficoltà, non adatto a un'organizzazione complessa con frequenti modifiche. AWS Control Tower non è uno strumento per la gestione diretta delle regole WAF. L'uso di KMS per archiviare i numeri di account e le chiavi di accesso IAM per la gestione cross-account è un approccio insicuro e non standard per questo tipo di automazione.