Day 4 - 멀티계정 보안 운영: Firewall Manager, 중앙 정책 배포, 비용·태그 거버넌스, 보안 베이스라인 자동화

거버넌스 천장(SCP), 베이스라인 자동화(Control Tower), 증거 수집(Audit Manager)을 갖췄다면, 남은 것은 일상 운영이다. 수백 개 계정에 방화벽 정책을 일관되게 깔고, 태그·비용을 통제하고, 새 계정이 태어날 때마다 보안 도구가 자동으로 켜지게 하는 운영 평면이다. 이 날의 핵심은 AWS Firewall Manager(중앙 방화벽 정책 배포), 태그·비용 거버넌스, 그리고 보안 베이스라인 자동화다.

AWS Firewall Manager: 방화벽 정책의 중앙 배포기

WAF·Shield·Security Group·Network Firewall·Route 53 Resolver DNS Firewall를 계정마다 손으로 설정하면 누락과 드리프트가 불가피하다. **Firewall Manager(FMS)**는 조직 전역에 방화벽 정책을 한 번 정의해 자동 배포·강제하는 서비스다.

전제 조건이 중요하다(시험 단골):

1. AWS Organizations 활성화 (FMS는 조직 기반 서비스)
2. Firewall Manager 관리자 계정 지정 — 관리 계정이 위임 관리자 계정(통상 Security 계정)을 FMS 관리자로 지정
3. AWS Config 활성화 — FMS는 Config로 리소스를 평가해 준수 여부를 판단
4. WAF/Shield 정책이면 해당 서비스 사전 활성화