AWS DevOps Agentは、管理者がログを調査し、ファイアウォールルールやネットワークパスを確認し、AWS Network Firewallがトラフィックをブロックした原因となった構成変更を特定し、接続を復旧するのを支援します。
このサービスは、DevOpsおよびSREチーム向けにアプリケーションおよびインフラの問題を調査・トラブルシューティングするAI搭載の運用アシスタントです。監視ツール、ログ、コードリポジトリ、デプロイパイプラインと連携し、インシデントを分析して根本原因の可能性を特定した上で、修正策や予防的な改善策を提案します。AWS環境だけでなく、マルチクラウドやオンプレミス環境にも対応しています。
AWS Network Firewallに関する調査では、このエージェントがAWS API経由でファイアウォールログ、VPCフローログ、ルートテーブル、ファイアウォールポリシー、直近のAWS CloudTraveイベントを読み取り、根本原因を特定した上で、レビュー用の緩和策プランを提示します。
サンプルワークロード（出典: AWS）
Network Firewallのトラブルシューティングシナリオ
AWSは、DevOps AgentがAWS Network Firewallの一般的な接続問題をどのようにトラブルシューティングするか、3つの事例を紹介しています。ドメイン拒否リスト、ステートレスルールの優先順位に関する問題、そしてアベイラビリティーゾーン間の非対称ルーティングです。各シナリオにおいて、エージェントは根本原因を特定し、修正策を提案します。これらの事例は、ファイアウォールの問題を検出する2つの方法（Network Firewallの組み込みメトリクスとアプリケーションのヘルスメトリクス）を示しており、いずれも同一のアラートパイプラインを使用しています。
アラートパイプラインの仕組み
各シナリオは同じワークフローに沿って進みます。CloudWatchアラームがALARM状態になると、Amazon SNSトピックに通知が送信されます。Amazon SNSがAWS Lambda関数を呼び出すと、この関数はAWS Secrets Managerからウェブフック URLと署名シークレットを取得し、アラームのペイロードに署名した上でDevOps Agentのウェブフックに送信します。そしてエージェントが収集したデータを分析し、接続問題の原因を特定します。Amazon SNSは、メッセージの再試行、複数の購読者へのファンアウト、アカウントをまたいだメッセージ配信の管理も担います。
デプロイに関する知見と推奨事項
「エージェントにはさらに多くの情報を与えることもできます。DevOps AgentはソースリポジトリやCI/CDパイプラインと連携し、GitHub（GitHub Enterprise Serverを含む）およびGitLab Self-Managedとプライベート接続を通じて統合されます。AWSリソースを、AWS CloudFormation、AWS CDK、Amazon Elastic Container Registry（Amazon ECR）イメージ、Terraformのデプロイと関連付けることも可能です」と、AWSのシニアテクニカルアカウントマネージャーであるSalman Ahmed氏は説明しています。
デプロイ済みの構成と直近のデプロイイベントを利用することで、エージェントは障害の発生と、その原因となった変更とを関連付け、本来意図されていた設計に沿った修正策を提案します。
DevOps Agentは、将来のインシデント防止にも役立ちます。過去の調査を分析し、Network Firewallのルール変更に関するCI/CDパイプラインへのガードレール追加など、繰り返し発生する問題を減らすための改善策を提案します。これらの推奨事項は、DevOps Agent OperatorのWebアプリケーション内にあるImprovementsページで確認できます。
翻訳元: https://www.helpnetsecurity.com/2026/07/27/aws-devops-agent-network-firewall-troubleshooting/
