Organizations では、1 つのアカウントでセキュリティポリシーを作成し、Organization 内の他のアカウントへ共有できます。設定を手作業で複製しなくても、すべてのアカウントで一貫したセキュリティ態勢を保てます。
ポリシー共有の動作は、Enterprise と MSSP/Distributor のどちらの Organizations でも同じです。
WAF と Gateway のポリシーに加え、Organizations は IdP federation にも対応しています。1 つのアカウントで単一の ID プロバイダー（Okta や Entra ID など）を設定し、Organization 内のすべてのアカウントへ共有できます。共有された IdP 接続は、受け取り側アカウントでは読み取り専用です。アカウントが Organization に参加または離脱すると、自動でプロビジョニングまたは削除されます。
ポリシー共有には、関係するアカウントに適切な製品エンタイトルメントが必要です。Organizations は WAF や Gateway 機能へのアクセスを付与しません。アカウント側に、必要な SKU がすでに必要です。
- WAF ポリシー共有 には、ソースアカウントと宛先アカウントの両方に Enterprise WAF のエンタイトルメントが必要です。
- Gateway ポリシー共有 には、ソースアカウントと宛先アカウントの両方に Zero Trust Gateway のエンタイトルメントが必要です。
1 つのアカウントで WAF カスタムルールセットを作成し、Organization 内の他のアカウントへ共有します。
- ソースアカウント で WAF カスタムルールセットを作成します。ルールの作成と管理を行うアカウントです。
- Organization 内の 1 つ以上の 宛先アカウント へルールセットを共有します。
- 共有されたルールセットは、宛先アカウントに 読み取り専用 ポリシーとして表示されます。
- ソースアカウントでルールセットを変更すると、すべての宛先アカウントへ自動で反映されます。
- 宛先アカウントでは読み取り専用: 共有された WAF ポリシーは、受け取り側アカウントでは編集できません。ルールを変更するには、ソースアカウントで更新します。
- ソースアカウントがポリシーを所有: ソースアカウントが Organization から外れると、共有ポリシーはすべての宛先アカウントから削除されます。
- Organization をまたぐ共有は不可: ポリシーは 1 つの Organization 内でのみ共有できます。別の Organizations 間では共有できません。
- 複数のルールセット: 同じソースアカウント、または異なるソースアカウントから、複数の WAF カスタムルールセットを共有できます。
- ソースアカウントで Security > WAF > Custom rules を開きます。
- カスタムルールセットを作成するか、既存のものを選択します。
- ルールセットのアクションメニューから Share を選択します。
- 共有ダイアログで、1 つ以上の宛先アカウントを選択します。
- Share を選択します。
共有されたルールセットは、宛先アカウントの WAF カスタムルールに表示されます。
Organization 内のアカウント間で、Zero Trust Gateway ポリシーを共有します。Gateway ポリシー共有は、次のポリシータイプに対応しています。
- DNS ポリシー — DNS クエリをフィルタリングしてブロックします。
- Network ポリシー — ネットワークレベルのトラフィックを制御します。
- HTTP ポリシー — HTTP トラフィックを検査してフィルタリングします。
- Resolver ポリシー — DNS 解決の動作をカスタマイズします。
- ソースアカウント で Gateway ポリシーを作成します。
- Organization 内の 1 つ以上の 宛先アカウント へポリシーを共有します。
- 共有されたポリシーは、宛先アカウントに 読み取り専用 ポリシーとして表示されます。
- ソースアカウントでポリシーを変更すると、すべての宛先アカウントへ自動で反映されます。
- 宛先アカウントでは読み取り専用: 共有された Gateway ポリシーは、受け取り側アカウントでは編集できません。ポリシーを変更するには、ソースアカウントで更新します。
- ソースアカウントがポリシーを所有: ソースアカウントが Organization から外れると、共有ポリシーはすべての宛先アカウントから削除されます。
- すべての Gateway ポリシータイプに対応: DNS、Network、HTTP、Resolver の各ポリシーを共有できます。
- Zero Trust シートの要件: 宛先アカウントには、独自の Zero Trust シートと Gateway エンタイトルメントが必要です。
Organization の概要から、どのポリシーがどのアカウントへ共有されているかを確認できます。共有ポリシーは、宛先アカウントのポリシー一覧で共有インジケーター付きで表示されます。
宛先アカウントへのポリシー共有を停止する手順は次のとおりです。
- ソースアカウントで、共有ポリシーを開きます。
- Manage sharing を選択します。
- 共有リストから宛先アカウントを削除します。
ポリシーは宛先アカウントからすぐに削除されます。
- ポリシー作成を集約する: ポリシーのソースアカウントを 1 つまたは 2 つ指定します。管理が簡単になり、一貫性を保てます。
- わかりやすい名前を使う: 共有ポリシーには明確な名前を付けます（例: "Org-Wide OWASP Rules" や "Global DNS Block List"）。宛先アカウントの管理者が、ポリシーの内容を把握しやすくなります。
- 共有前にテストする: すべての宛先アカウントへ共有する前に、ソースアカウントでポリシーを検証し、意図しないブロックやルール競合を避けます。
- 共有ポリシーの適用状況を確認する: 共有ポリシーが適用されているアカウントを定期的に見直し、重要なセキュリティルールが欠けているアカウントがないようにします。