Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Proteja su puerta de enlace con AWS WAF

Puede usar AWS WAF con Amazon Bedrock AgentCore Gateway para proteger su puerta de enlace contra los ataques volumétricos, el tráfico de bots y los ataques web. AWS El WAF proporciona una capa de seguridad en línea que evalúa todas las solicitudes entrantes antes de que lleguen a sus objetivos.

Cuando asocias una lista de control de acceso web (ACL web) de AWS WAF a tu puerta de enlace, AWS WAF inspecciona todas las solicitudes entrantes y aplica las reglas que configuras. Las solicitudes que cumplen una regla de bloqueo se rechazan antes de que lleguen a cualquier destino. Se asocia una ACL web a nivel de puerta de enlace, con una ACL web por puerta de enlace.

Cómo AWS El WAF funciona con su puerta de enlace

Cuando asocias una ACL web a tu puerta de enlace, se produce el siguiente flujo de solicitudes:

AWS WAF evalúa cada solicitud entrante en línea. Cuando no hay ninguna ACL web asociada a su puerta de enlace, no hay ninguna sobrecarga y no se realiza ninguna AWS evaluación del WAF.

Requisitos previos

Antes de asociar una ACL web a su puerta de enlace, asegúrese de cumplir los siguientes requisitos:

Asociar una ACL web a su puerta de enlace

Puede asociar una ACL web a su puerta de enlace mediante la consola AWS WAF o la AWS CLI. Una puerta de enlace puede tener como máximo una ACL web. Sin embargo, una ACL web se puede asociar a varias puertas de enlace. Para cambiar la ACL web asociada a su puerta de enlace, asocie una nueva ACL web. La nueva asociación reemplaza a la existente.

Para asociar una ACL web a su puerta de enlace mediante la AWS CLI, ejecute el siguiente comando:

aws wafv2 associate-web-acl \
    --web-acl-arn arn:aws:wafv2:us-east-1:123456789012:regional/webacl/my-web-acl/a1b2c3d4-5678-90ab-cdef-example11111 \
    --resource-arn arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/my-gateway-id

Sustituya los valores de ARN por el ARN de la ACL web y el ARN de la puerta de enlace.

Cómo desasociar una ACL web de su puerta de enlace

Para eliminar la protección AWS WAF de su puerta de enlace, desasocie la ACL web. Debe desvincular cualquier ACL web de su puerta de enlace antes de poder eliminar la puerta de enlace.

Para desvincular una ACL web de su puerta de enlace mediante la AWS CLI, ejecute el siguiente comando:

aws wafv2 disassociate-web-acl \
    --resource-arn arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/my-gateway-id

Sustituya el valor ARN por el ARN de la puerta de enlace.

Configuración de la de AWS Modo de fallo del WAF

Si no se puede acceder al AWS WAF o se agota el tiempo de espera durante la evaluación de la solicitud, la puerta de enlace utiliza el modo de error configurado para determinar si se bloquea o se permite la solicitud.

Para configurar el modo de error, utilice la UpdateGateway API con el wafConfiguration parámetro:

aws bedrock-agentcore-control update-gateway \
    --gateway-identifier my-gateway-id \
    --name my-gateway \
    --role-arn arn:aws:iam::123456789012:role/my-gateway-service-role \
    --authorizer-type CUSTOM_JWT \
    --authorizer-configuration '{
      "customJWTAuthorizer": {
        "discoveryUrl": "https://cognito-idp.us-east-1.amazonaws.com/my-user-pool/.well-known/openid-configuration",
        "allowedClients": ["clientId"]
      }
    }' \
    --waf-configuration '{"failureMode": "FAIL_OPEN"}'

AWS Gestión de respuestas de WAF

Cuando el AWS WAF bloquea una solicitud, la respuesta de error depende del tipo de destino:

Si se agota el tiempo de espera del AWS WAF mientras FAIL_CLOSE está configurado, la puerta de enlace devuelve el mismo error que una solicitud bloqueada. Si el AWS WAF devuelve un error 5xx, los destinos MCP reciben un JSON-RPC error con el código -32603 y el mensaje. "Internal error - Server error"

Supervisión AWS Actividad de WAF

Puedes supervisar la actividad de AWS WAF en tu puerta de enlace mediante las métricas de Amazon CloudWatch .

Las siguientes métricas están disponibles en el espacio de AWS/Bedrock-AgentCore nombres:

Para obtener información detallada a nivel de regla sobre las solicitudes bloqueadas, utilice el registro de WAF. AWS Puedes correlacionar el ID de solicitud de los registros de tu pasarela con los registros de WAF. AWS

Cuotas y limitaciones

Se aplican las siguientes cuotas y limitaciones a la integración de AWS WAF con su puerta de enlace:

Prácticas recomendadas

Recomendamos las siguientes prácticas al usar AWS WAF con su puerta de enlace: