AWS WAF Classic Regional exemples utilisant AWS CLI

Pour associer un site Web ACL à une ressource

La associate-web-acl commande suivante associe un site WebACL, spécifié par le web-acl-id, à une ressource spécifiée par le resource-arn. La ressource ARN peut faire référence à un équilibreur de charge d'application ou à une API passerelle :

aws waf-regional associate-web-acl \
    --web-acl-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --resource-arn 12cs345-67cd-890b-1cd2-c3a4567d89f1

Pour plus d'informations, consultez la section Travailler avec le Web ACLs dans le guide du AWS WAF développeur.

Pour créer une configuration de journalisation pour le Web ACL ARN avec le flux Kinesis Firehose spécifié ARN

L'put-logging-configurationexemple suivant affiche la configuration de journalisation pour WAF withALB/APIGatewayin Regionus-east-1.

aws waf-regional put-logging-configuration \
    --logging-configuration ResourceArn=arn:aws:waf-regional:us-east-1:123456789012:webacl/3bffd3ed-fa2e-445e-869f-a6a7cf153fd3,LogDestinationConfigs=arn:aws:firehose:us-east-1:123456789012:deliverystream/aws-waf-logs-firehose-stream,RedactedFields=[] \
    --region us-east-1

Sortie :

{
    "LoggingConfiguration": {
        "ResourceArn": "arn:aws:waf-regional:us-east-1:123456789012:webacl/3bffd3ed-fa2e-445e-869f-a6a7cf153fd3",
        "LogDestinationConfigs": [
            "arn:aws:firehose:us-east-1:123456789012:deliverystream/aws-waf-logs-firehose-stream"
        ]
    }
}

Pour mettre à jour un jeu de correspondances d'octets

La update-byte-match-set commande suivante supprime un ByteMatchTuple objet (filtre) dans unByteMatchSet. Comme la updates valeur comporte des guillemets doubles, vous devez l'entourer de guillemets simples.

aws waf-regional update-byte-match-set \
    --byte-match-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="DELETE",ByteMatchTuple={FieldToMatch={Type="HEADER",Data="referer"},TargetString="badrefer1",TextTransformation="NONE",PositionalConstraint="CONTAINS"}'

Pour plus d'informations, consultez la section Travailler avec des conditions de correspondance de chaînes dans le manuel du AWS WAF développeur.

Pour mettre à jour un ensemble d'adresses IP

La update-ip-set commande suivante met à jour une IPSet IPv4 adresse et la supprime. IPv6 Obtenez la valeur pour change-token en exécutant la get-change-token commande. Comme la valeur des mises à jour inclut des guillemets doubles intégrés, vous devez l'entourer de guillemets simples.

aws waf update-ip-set \
    --ip-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="INSERT",IPSetDescriptor={Type="IPV4",Value="12.34.56.78/16"},Action="DELETE",IPSetDescriptor={Type="IPV6",Value="1111:0000:0000:0000:0000:0000:0000:0111/128"}'

Vous pouvez également utiliser un JSON fichier pour spécifier l'entrée. Par exemple :

aws waf-regional update-ip-set \
    --ip-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1  \
    --updates file://change.json

Contenu du change.json

[
    {
        "Action": "INSERT",
        "IPSetDescriptor":
        {
            "Type": "IPV4",
            "Value": "12.34.56.78/16"
        }
    },
    {
        "Action": "DELETE",
        "IPSetDescriptor":
        {
            "Type": "IPV6",
            "Value": "1111:0000:0000:0000:0000:0000:0000:0111/128"
        }
    }
]

Pour plus d'informations, consultez la section Travailler avec les conditions de correspondance IP dans le guide du AWS WAF développeur.

Pour mettre à jour une règle

La update-rule commande suivante supprime un Predicate objet dans une règle. Comme la updates valeur comporte des guillemets doubles, vous devez entourer la valeur entière de guillemets simples.

aws waf-regional update-rule \
    --rule-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="DELETE",Predicate={Negated=false,Type="ByteMatch",DataId="MyByteMatchSetID"}'

Pour plus d'informations, consultez la section Utilisation des règles dans le guide du AWS WAF développeur.

Pour mettre à jour un ensemble de contraintes de taille

La update-size-constraint-set commande suivante supprime un objet SizeConstraint `(filtres) dans un ensemble de contraintes de taille. Comme la updates valeur contient des guillemets doubles intégrés, vous devez entourer la valeur entière de guillemets simples.

aws waf-regional update-size-constraint-set \
    --size-constraint-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="DELETE",SizeConstraint={FieldToMatch={Type="QUERY_STRING"},TextTransformation="NONE",ComparisonOperator="GT",Size=0}'

Pour plus d'informations, consultez la section Travailler avec des conditions de contrainte de taille dans le manuel du AWS WAF développeur.

Pour mettre à jour un ensemble SQL d'injections

La update-sql-injection-match-set commande suivante supprime un SqlInjectionMatchTuple objet (filtres) dans un jeu de correspondances SQL par injection. Comme la updates valeur contient des guillemets doubles intégrés, vous devez entourer la valeur entière de guillemets simples. :

aws waf-regional update-sql-injection-match -set -- sql-injection-match-set -id a123fae4-b567-8e90-1234-5ab67ac8ca90 --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 --updates 'Action= » «, = {= {Type= » _ «}, = » _ «} 'DELETESqlInjectionMatchTupleFieldToMatchQUERYSTRINGTextTransformationURLDECODE

Pour plus d'informations, consultez la section Travailler avec des conditions de correspondance SQL par injection dans le manuel du AWS WAF développeur.

Pour mettre à jour un site Web ACL

La update-web-acl commande suivante supprime un ActivatedRule objet sur un site WebACL. Comme la updates valeur contient des guillemets doubles intégrés, vous devez entourer la valeur entière de guillemets simples.

aws waf-regional update-web-acl \
    --web-acl-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates Action="DELETE",ActivatedRule='{Priority=1,RuleId="WAFRule-1-Example",Action={Type="ALLOW"},Type="ALLOW"}'

Pour plus d'informations, consultez la section Travailler avec le Web ACLs dans le guide du AWS WAF développeur.

Pour mettre à jour un XSSMatchSet

La update-xss-match-set commande suivante supprime un XssMatchTuple objet (filtres) dans unXssMatchSet. Comme la updates valeur contient des guillemets doubles intégrés, vous devez entourer la valeur entière de guillemets simples.

aws waf-regional update-xss-match-set \
    --xss-match-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="DELETE",XssMatchTuple={FieldToMatch={Type="QUERY_STRING"},TextTransformation="URL_DECODE"}'

Pour plus d'informations, consultez la section Travailler avec les conditions de correspondance des scripts intersites dans le guide du AWS WAFdéveloppeur.