AIエージェントがアクセスできるドメインを制御する

aws network-firewall create-rule-group \ --rule-group-name browser-allowed-domains \ --type STATEFUL \ --capacity 100 \ --rule-group file://allowlist-rules.json \ --region us-east-2 重要: ブラウザがAWSサービスへのアクセスを必要とする場合、allowlistに.amazonaws.comを含めるか、代替としてVPCエンドポイントを使用してください。 セキュリティ上の考慮事項: .amazonaws.comドメインは、パブリックなAmazon Simple Storage Service（Amazon S3）バケット、Amazon API Gatewayエンドポイント、AWS Lambda関数URLを含む、AWS上のホストされたエンドポイントへのアクセスを許可する広範なallowlistです。より厳格な制御のためには、AWSサービスへのアクセスにはVPCエンドポイントを使用し、エージェントが必要とする特定の外部ドメインのみをallowlistに含めてください。 Code Interpreterの場合: pipパッケージのインストールが必要な場合は、「.pypi.org」と「.pythonhosted.org」を追加することを検討してください。一般的なパッケージの多くは事前にインストールされているため、これらのドメインはユースケースによってはオプションです。 ステップ4: ファイアウォールポリシーを設定する ファイアウォールポリシーは、デフォルトアクションとしてaws:drop_establishedを使用する必要があります。これにより、TCPハンドシェイクは完了し（TLS SNI検査に必要）、許可されていないドメインへの接続はドロップされます: cat > firewall-policy.json - ファイアウォール同期ステータスがIN_SYNCを示していること（ルール変更には数分かかります） - ドメインエントリに先頭のドットが含まれていること（.wikipedia.orgであってwikipedia.orgではない） - ルートテーブルが対称ルーティング用に正しく設定されていること - 許可されたドメインでHTTP 403エラーが発生する場合、これは通常、宛先サイトによるボット検出であり、ファイアウォールブロックではありません。ブロックされた接続には明示的なアラートエントリがあるため、CloudWatch ALERTログを確認して確認してください。 ## ベストプラクティス - STRICT_ORDER評価を使用する: これにより、allowlistsとdenylistsを組み合わせる際の予測可能なルール処理が容易になります。 - AWSサービスアクセス用に.amazonaws.comを含める: または、AWS API呼び出しがインターネット経由でルーティングされるのを避けるためにVPCエンドポイントを使用してください。 - IGW（インターネットゲートウェイ）イングレスルートテーブルを設定する: これは対称ルーティングにとって重要です。これがないと、戻りトラフィックはファイアウォールをバイパスします。 - ALERTログとFLOWログの両方を有効にする: ALERTログはブロックされた接続をキャプチャします。FLOWログはトラフィックの接続メタデータを提供します。 - ファイアウォール同期を待つ: ルール変更が伝播するには数分かかります。テスト前にConfigurationSyncStateSummary: IN_SYNCを確認してください。 - マルチVPCアーキテクチャ用にHOME_NETを設定する: デフォルトでは、Network Firewallのドメイン検査は、デプロイメントVPCのCIDR（Classless Inter-Domain Routing）範囲から発信されるトラフィックのみをフィルタリングします。AWS Transit Gatewayを使用して複数のVPCからのトラフィックを検査する集中型ファイアウォールを使用する場合は、ルールグループのHOME_NET変数を設定して、送信元CIDR範囲を含める必要があります。これがないと、他のVPCからのトラフィックはドメインフィルタリングをバイパスする可能性があります。 ## 制限事項とコスト

AIエージェントがアクセスできるドメインを制御する

背景や根拠まで確認しますか？

調べる

選ぶ

サイト