[アップデート] AWS Network Firewallのステータスの変化をAmazon EventBridgeイベントとして受け取れるようになりました

はじめに

おのやんです。

AWS Network Firewall（以下、Network Firewall）がAmazon EventBridge（以下、EventBridge）と統合され、Network Firewallのステータス変化をEventBridgeイベントとして受け取れるようになりました。

https://aws.amazon.com/jp/about-aws/whats-new/2026/02/firewall-state-change-notifications/

Network FirewallがEventBridgeのイベントバスに送信するイベントを、ドキュメントからまとめています。

https://docs.aws.amazon.com/network-firewall/latest/developerguide/eventbridge-events.html

Network Firewallは設定変更が即座に反映されるリソースではないため、設定変更時のステータスの遷移をEventBridge経由で逐次追いたいケースもあると思います。また、意図しない設定変更・削除を検知したいといったケースでも採用できますね。

やってみた

ということで実際にやってみます。今回、Network Firewall用のVPC・サブネットは先に作っておきます。

まずメール通知用のSNSトピックを作成し、サブスクリプションを追加します。登録したメールアドレスに確認メールが届くので、リンクをクリックして有効化しておきます。

次に、Network Firewallのステータス変化を受け取るEventBridgeルールを作成し、SNSトピックをターゲットに設定します。

EventBridgeルールのイベントパターンはこちらで設定します。

{
  "source": ["aws.network-firewall"],
  "detail-type": ["Firewall Configuration Changed", "Firewall Attachment Status Changed", "Firewall Transit Gateway Attachment Status Changed"]
}

EventBridgeがSNSトピックにパブリッシュできるよう、SNSリソースポリシーを設定します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "events.amazonaws.com"
      },
      "Action": "SNS:Publish",
      "Resource": "arn:aws:sns:ap-northeast-1:123456789012:aws-test-topic-nfw-eventbridge",
      "Condition": {
        "ArnLike": {
          "aws:SourceArn": "arn:aws:events:ap-northeast-1:123456789012:rule/aws-test-rule-nfw-state-change"
        }
      }
    }
  ]

次に、ルールグループを持たない最小構成のファイアウォールポリシーを作成します。今回は検証用途なので、トラフィック制御ルールは設定しません。

以上が準備できましたら、Network Firewallを作成します。

作成完了後に、Firewall Attachment Status ChangedのCREATING、Firewall Configuration ChangedのIN_SYNC、Firewall Attachment Status ChangedのREADYの、合計3通のメールが届きました。

Firewall Attachment Status ChangedのCREATINGのメール

Firewall Configuration ChangedのIN_SYNCのメール

Firewall Attachment Status ChangedのREADYのメール

続いて、Network Firewallポリシーの説明を変更し、Firewall Configuration Changedイベントを発行させてみます。

ポリシーの更新後、ファイアウォールとポリシーの同期が始まります。Firewall Configuration ChangedのPENDING、Firewall Configuration ChangedのIN_SYNCの、合計2通のメールが届きました。

Firewall Configuration ChangedのPENDINGのメール

Firewall Configuration ChangedのIN_SYNCのメール

最後に、Network Firewallを削除してみます。Firewall Attachment Status ChangedのDELETINGのメールが届きました。

Firewall Attachment Status ChangedのDELETINGのメール

まとめ

Network Firewallのステータス変化をEventBridgeイベントとして受け取れるようになりました。

ステータス変化自体を追いたいケースは存在するため、要件によってはけっこう便利なアップデートではないでしょうか。では！