AWS Network Firewall ใช้ Wildcard จับกลุ่ม Container บน EKS และ ECS ได้

AWS ประกาศวันที่ 8 ตุลาคม 2026 ว่า Network Firewall รองรับ wildcard ในตัวกรอง container attributes สำหรับ workload บน Amazon EKS และ ECS แล้ว ทีมที่มี container หลายตัวซึ่งใช้รูปแบบชื่อหรือ tag ร่วมกันสามารถกำหนดกฎเดียวให้ครอบคลุมหลาย variant ได้ ลดงานเพิ่ม association ทีละ container เมื่อ deployment ขยายจำนวน

ตัวอย่างที่ประกาศยกมา

รูปแบบ app=payments-* ใช้จับ workload อย่าง payments-api, payments-worker และ payments-cron ในกฎเดียว ประโยชน์คือ workload ใหม่ที่เข้ากับรูปแบบอาจได้รับการตรวจตามกฎโดยไม่ต้องแก้รายการ association ทุกครั้ง แต่ wildcard ที่กว้างเกินไปก็อาจจับ container ที่ไม่ได้ตั้งใจหรือทำให้กฎเฉพาะของบริการหนึ่งถูกใช้กับอีกบริการหนึ่ง ทีมจึงควรทบทวน naming convention ก่อนนำไปใช้

ความสามารถนี้อยู่ใน container attribute-based inspection filters ของ AWS Network Firewall และใช้ได้ใน Region ที่ฟีเจอร์ตรวจ container attributes รองรับอยู่แล้ว ไม่ใช่การขยาย Network Firewall ให้ครอบคลุมทุก Region โดยอัตโนมัติ ควรตรวจ Region ของ production และเงื่อนไขของ EKS/ECS ที่ใช้งานกับเอกสารบริการล่าสุด

ขั้นตอนทดลองอย่างปลอดภัย

รวบรวมค่า attribute จริงจาก workload ใน namespace หรือ service ที่ต้องดูแล แยกกลุ่มที่ควรใช้ policy เดียวกัน และเขียนตัวอย่างชื่อที่ควร match กับไม่ควร match ให้ครบก่อนสร้าง wildcard เช่น payments-api ควรเข้า แต่ payments-admin อาจต้องใช้กฎเข้มกว่า หาก attribute มีค่าไม่สม่ำเสมอระหว่าง environment ให้แก้การติดป้ายก่อน ไม่ควรชดเชยด้วย pattern ที่กว้างขึ้นเรื่อย ๆ

ทดลองกับ workload ชุดเล็กแล้วตรวจทั้ง rule match, traffic log และผลปลายทางของแอป โดยเฉพาะการเชื่อมต่อที่ควรผ่านและควรถูกปฏิเสธ เก็บตัวอย่างก่อนและหลังเปลี่ยนกฎเพื่อใช้ในการ review เมื่อมีการเพิ่ม container ใหม่ให้ CI หรือขั้นตอน deploy ตรวจว่า attribute ของมันตั้งถูก ไม่ปล่อยให้ wildcard กลายเป็นช่องให้บริการใหม่เลี่ยง policy

ผลต่อการดูแลระยะยาว

wildcard ลดจำนวนกฎที่ต้องแก้เอง แต่เพิ่มความสำคัญของการตั้งชื่อและการทบทวนขอบเขตเป็นระยะ ควรกำหนดเจ้าของ pattern และบันทึกเหตุผลของกฎไว้กับการเปลี่ยนแปลง ตรวจอัตราการ match และ false positive หลัง rollout และมีวิธี rollback หาก traffic ถูกจับผิดกลุ่ม

อ่านประกาศต้นทาง: AWS Network Firewall รองรับ wildcard ใน container attribute filters, 8 ตุลาคม 2026