Schützen Sie Ihr Gateway mit AWS WAF

Sie können AWS WAF mit Amazon Bedrock AgentCore Gateway verwenden, um Ihr Gateway vor Web-Exploits, Bot-Traffic und volumetrischen Angriffen zu schützen. AWS WAF bietet eine Inline-Sicherheitsebene, die alle eingehenden Anfragen bewertet, bevor sie Ihre Ziele erreichen.

Wenn Sie Ihrem Gateway eine AWS WAF Web Access Control List (Web ACL) zuordnen, überprüft AWS WAF jede eingehende Anfrage und wendet die von Ihnen konfigurierten Regeln an. Anfragen, die einer Blockregel entsprechen, werden abgelehnt, bevor sie ein Ziel erreichen. Sie ordnen eine Web-ACL auf Gateway-Ebene mit einer Web-ACL pro Gateway zu.

Wie AWS WAF funktioniert mit Ihrem Gateway

Wenn Sie Ihrem Gateway eine Web-ACL zuordnen, erfolgt der folgende Anforderungsablauf:

AWS WAF wertet jede eingehende Anfrage inline aus. Wenn Ihrem Gateway keine Web-ACL zugeordnet ist, entsteht kein Overhead und es findet keine AWS WAF-Auswertung statt.

Voraussetzungen

Bevor Sie Ihrem Gateway eine Web-ACL zuordnen, stellen Sie sicher, dass Sie die folgenden Anforderungen erfüllen:

Ihrem Gateway eine Web-ACL zuordnen

Sie können Ihrem Gateway mithilfe der AWS WAF-Konsole oder der AWS CLI eine Web-ACL zuordnen. Ein Gateway kann höchstens eine Web-ACL haben. Eine Web-ACL kann jedoch mehreren Gateways zugeordnet werden. Um die mit Ihrem Gateway verknüpfte Web-ACL zu ändern, ordnen Sie eine neue Web-ACL zu. Die neue Zuordnung ersetzt die bestehende.

Führen Sie den folgenden Befehl aus, um Ihrem Gateway mithilfe der AWS CLI eine Web-ACL zuzuordnen:

aws wafv2 associate-web-acl \
    --web-acl-arn arn:aws:wafv2:us-east-1:123456789012:regional/webacl/my-web-acl/a1b2c3d4-5678-90ab-cdef-example11111 \
    --resource-arn arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/my-gateway-id

Ersetzen Sie die ARN-Werte durch Ihren Web-ACL-ARN und Gateway-ARN.

Trennen einer Web-ACL von Ihrem Gateway

Um den AWS WAF-Schutz von Ihrem Gateway zu entfernen, trennen Sie die Web-ACL. Sie müssen alle Web-ACLS von Ihrem Gateway trennen, bevor Sie das Gateway löschen können.

Führen Sie den folgenden Befehl aus, um eine Web-ACL mithilfe der AWS CLI von Ihrem Gateway zu trennen:

aws wafv2 disassociate-web-acl \
    --resource-arn arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/my-gateway-id

Ersetzen Sie den ARN-Wert durch Ihren Gateway-ARN.

Konfigurieren von AWS WAF-Fehlermodus

Wenn AWS WAF während der Anforderungsauswertung nicht erreichbar ist oder ein Timeout auftritt, verwendet das Gateway den konfigurierten Fehlermodus, um zu bestimmen, ob die Anfrage blockiert oder zugelassen werden soll.

Verwenden Sie die UpdateGateway API mit dem folgenden wafConfiguration Parameter, um den Fehlermodus zu konfigurieren:

aws bedrock-agentcore-control update-gateway \
    --gateway-identifier my-gateway-id \
    --name my-gateway \
    --role-arn arn:aws:iam::123456789012:role/my-gateway-service-role \
    --authorizer-type CUSTOM_JWT \
    --authorizer-configuration '{
      "customJWTAuthorizer": {
        "discoveryUrl": "https://cognito-idp.us-east-1.amazonaws.com/my-user-pool/.well-known/openid-configuration",
        "allowedClients": ["clientId"]
      }
    }' \
    --waf-configuration '{"failureMode": "FAIL_OPEN"}'

AWS Bearbeitung von WAF-Antworten

Wenn AWS WAF eine Anfrage blockiert, hängt die Fehlerantwort von Ihrem Zieltyp ab:

Wenn AWS WAF bei der FAIL_CLOSE Konfiguration das Timeout überschreitet, gibt das Gateway denselben Fehler zurück wie bei einer blockierten Anfrage. Wenn AWS WAF einen 5xx-Fehler zurückgibt, erhalten MCP-Ziele einen JSON-RPC Fehler mit Code -32603 und der Nachricht. "Internal error - Server error"

Überwachen AWS WAF-Aktivität

Sie können die AWS WAF-Aktivität für Ihr Gateway mithilfe von CloudWatch Amazon-Metriken überwachen.

Die folgenden Metriken sind im AWS/Bedrock-AgentCore Namespace verfügbar:

Verwenden Sie die WAF-Protokollierung, um Details zu blockierten Anfragen auf Regelebene zu erhalten. AWS Sie können die Anforderungs-ID in Ihren Gateway-Protokollen mit den WAF-Protokollen korrelieren. AWS

Kontingente und Einschränkungen

Die folgenden Kontingente und Einschränkungen gelten für die AWS WAF-Integration mit Ihrem Gateway:

Bewährte Methoden

Wir empfehlen die folgenden Methoden, wenn Sie AWS WAF mit Ihrem Gateway verwenden: