Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
AWS WAF adalah firewall aplikasi web yang dapat Anda gunakan untuk mengamankan layanan App Runner Anda. Dengan daftar kontrol akses AWS WAF web (web ACLs), Anda dapat melindungi titik akhir layanan App Runner dari eksploitasi web umum dan bot yang tidak diinginkan.
ACL web memberi Anda kontrol halus atas semua permintaan web yang masuk ke layanan App Runner Anda. Anda dapat menentukan aturan dalam ACL web untuk mengizinkan, memblokir, atau memantau lalu lintas web, untuk memastikan bahwa hanya permintaan yang sah dan sah yang mencapai aplikasi web Anda dan APIs. Anda dapat menyesuaikan aturan ACL web berdasarkan kebutuhan bisnis dan keamanan spesifik Anda. Untuk mempelajari lebih lanjut tentang keamanan infrastruktur dan praktik terbaik untuk menerapkan jaringan ACLs, lihat Mengontrol lalu lintas jaringan di Panduan Pengguna Amazon VPC.
penting
Aturan IP sumber untuk layanan pribadi App Runner yang terkait dengan web WAF ACLs tidak mematuhi aturan berbasis IP. Ini karena saat ini kami tidak mendukung penerusan data IP sumber permintaan ke layanan pribadi App Runner yang terkait dengan WAF. Jika aplikasi App Runner Anda memerlukan aturan kontrol lalu lintas masuk IP/CIDR sumber, Anda harus menggunakan aturan grup keamanan untuk titik akhir pribadi, bukan web WAF. ACLs
Alur permintaan web yang masuk
Saat ACL AWS WAF web dikaitkan dengan layanan App Runner, permintaan web yang masuk akan melalui proses berikut:
-
App Runner meneruskan konten permintaan asal ke. AWS WAF
-
AWS WAF memeriksa permintaan dan membandingkan isinya dengan aturan yang Anda tentukan di ACL web Anda.
-
Berdasarkan pemeriksaannya, AWS WAF mengembalikan
allowataublockrespons ke App Runner.-
Jika
allowrespons dikembalikan, App Runner meneruskan permintaan ke aplikasi Anda. -
Jika
blockrespons dikembalikan, App Runner memblokir permintaan agar tidak mencapai aplikasi web Anda. Ini meneruskanblockrespons dari AWS WAF ke aplikasi Anda.catatan
Secara default App Runner memblokir permintaan jika tidak ada respons yang dikembalikan. AWS WAF
-
Untuk informasi selengkapnya tentang AWS WAF web ACLs, lihat Daftar kontrol akses Web (web ACLs) di Panduan AWS WAF Pengembang.
catatan
Anda membayar AWS WAF harga standar. Anda tidak dikenakan biaya tambahan untuk menggunakan AWS WAF web ACLs untuk layanan App Runner Anda. Untuk informasi selengkapnya tentang harga, lihat AWS WAF Harga
Mengaitkan web WAF ACLs ke layanan App Runner Anda
Berikut ini adalah proses tingkat tinggi untuk mengaitkan ACL AWS WAF web dengan layanan App Runner Anda:
-
Buat ACL web di AWS WAF konsol. Untuk informasi selengkapnya, lihat Membuat ACL web di Panduan AWS WAF Pengembang.
-
Perbarui izin AWS Identity and Access Management (IAM) Anda untuk. AWS WAF Untuk informasi selengkapnya, lihat Izin.
-
Kaitkan ACL web dengan layanan App Runner menggunakan salah satu metode berikut:
-
Konsol App Runner: Kaitkan ACL web yang ada menggunakan konsol App Runner saat Anda membuat atau memperbarui layanan App Runner. Untuk petunjuk, lihat Mengelola AWS WAF web ACLs.
-
AWS WAF console: Kaitkan ACL web menggunakan AWS WAF konsol untuk layanan App Runner yang ada. Untuk informasi selengkapnya, lihat Mengaitkan atau memisahkan ACL web dengan sumber daya AWS di Panduan Pengembang.AWS WAF
-
AWS CLI: Kaitkan ACL web menggunakan AWS WAF publik APIs. Untuk informasi selengkapnya tentang AWS WAF publik APIs, lihat AssociateWebACL di Panduan Referensi AWS WAF API.
-
Pertimbangan
-
Aturan IP sumber untuk layanan pribadi App Runner yang terkait dengan web WAF ACLs tidak mematuhi aturan berbasis IP. Ini karena saat ini kami tidak mendukung penerusan data IP sumber permintaan ke layanan pribadi App Runner yang terkait dengan WAF. Jika aplikasi App Runner Anda memerlukan aturan kontrol lalu lintas masuk IP/CIDR sumber, Anda harus menggunakan aturan grup keamanan untuk titik akhir pribadi, bukan web WAF. ACLs
-
Layanan App Runner hanya dapat dikaitkan dengan satu ACL web. Namun, Anda dapat mengaitkan satu ACL web dengan beberapa layanan App Runner dan dengan beberapa AWS sumber daya. Contohnya termasuk kumpulan pengguna Amazon Cognito dan sumber daya Application Load Balancer.
-
Saat Anda membuat ACL web, sejumlah kecil waktu berlalu sebelum ACL web sepenuhnya menyebar dan tersedia untuk App Runner. Waktu propagasi bisa dari beberapa detik hingga beberapa menit. AWS WAF mengembalikan a
WAFUnavailableEntityExceptionketika Anda mencoba mengaitkan ACL web sebelum sepenuhnya disebarkan.Jika Anda menyegarkan browser atau menjauh dari konsol App Runner sebelum ACL web disebarkan sepenuhnya, asosiasi gagal terjadi. Namun, Anda dapat menavigasi di dalam konsol App Runner.
-
AWS WAF mengembalikan
WAFNonexistentItemExceptionkesalahan saat Anda memanggil salah satu dari berikut ini AWS WAF APIs untuk layanan App Runner yang dalam keadaan tidak valid:-
AssociateWebACL -
DisassociateWebACL -
GetWebACLForResource
Status tidak valid untuk layanan App Runner Anda meliputi:
-
CREATE_FAILED -
DELETE_FAILED -
DELETED -
OPERATION_IN_PROGRESScatatan
OPERATION_IN_PROGRESSstatus tidak valid hanya jika layanan App Runner Anda sedang dihapus.
-
-
Permintaan Anda mungkin menghasilkan muatan yang lebih besar dari batas apa yang AWS WAF dapat diperiksa. Untuk informasi selengkapnya tentang cara AWS WAF menangani permintaan oversize dari App Runner, lihat Penanganan komponen permintaan Oversize di Panduan AWS WAF Pengembang untuk mempelajari cara AWS WAF menangani permintaan oversize dari App Runner.
-
Jika Anda tidak menetapkan aturan yang sesuai atau pola lalu lintas Anda berubah, ACL web mungkin tidak seefektif mengamankan aplikasi Anda.
Izin
Untuk bekerja dengan ACL web AWS App Runner, tambahkan izin IAM berikut untuk: AWS WAF
-
apprunner:ListAssociatedServicesForWebAcl -
apprunner:DescribeWebAclForService -
apprunner:AssociateWebAcl -
apprunner:DisassociateWebAcl
Untuk informasi selengkapnya tentang izin IAM, lihat Kebijakan dan izin di IAM di Panduan Pengguna IAM.
Berikut ini adalah contoh kebijakan IAM yang diperbarui untuk AWS WAF. Kebijakan IAM ini mencakup izin yang diperlukan untuk bekerja dengan layanan App Runner.
{
{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Action":[
"wafv2:ListResourcesForWebACL",
"wafv2:GetWebACLForResource",
"wafv2:AssociateWebACL",
"wafv2:DisassociateWebACL",
"apprunner:ListAssociatedServicesForWebAcl",
"apprunner:DescribeWebAclForService",
"apprunner:AssociateWebAcl",
"apprunner:DisassociateWebAcl"
],
"Resource":"*"
}
]
}catatan
Meskipun Anda harus memberikan izin IAM, tindakan yang tercantum hanya izin dan tidak sesuai dengan operasi API.
