Mengaitkan AWS WAF web ACL dengan kumpulan pengguna

AWS WAF adalah firewall aplikasi web. Dengan daftar kontrol akses AWS WAF web (webACL), Anda dapat melindungi kumpulan pengguna dari permintaan yang tidak diinginkan ke UI yang dihosting dan titik akhir API layanan Amazon Cognito. Web ACL memberi Anda kontrol halus atas semua permintaan HTTPS web yang ditanggapi oleh kumpulan pengguna Anda. Untuk informasi selengkapnya tentang AWS WAF webACLs, lihat Mengelola dan menggunakan daftar kontrol akses web (webACL) di Panduan AWS WAF Pengembang.

Jika Anda memiliki AWS WAF web yang ACL terkait dengan kumpulan pengguna, Amazon Cognito meneruskan header dan konten permintaan non-rahasia yang dipilih dari pengguna Anda. AWS WAF AWS WAF memeriksa isi permintaan, membandingkannya dengan aturan yang Anda tentukan di web AndaACL, dan mengembalikan respons ke Amazon Cognito.

Hal-hal yang perlu diketahui tentang AWS WAF web ACLs dan Amazon Cognito

AWS WAF memeriksa permintaan ke titik akhir berikut.

Anda dapat mengonfigurasi aturan di web Anda ACL dengan tindakan aturan yang Menghitung, Mengizinkan, Memblokir, atau menyajikan sebagai CAPTCHArespons terhadap permintaan yang cocok dengan aturan. Untuk informasi selengkapnya, lihat AWS WAF aturan di Panduan AWS WAF Pengembang. Bergantung pada tindakan aturan, Anda dapat menyesuaikan respons yang dikembalikan Amazon Cognito ke pengguna Anda.

Mengaitkan web ACL dengan kumpulan pengguna Anda

Untuk bekerja dengan web ACL di kumpulan pengguna Anda, prinsipal AWS Identity and Access Management (IAM) Anda harus memiliki Amazon Cognito dan AWS WAF izin berikut. Untuk informasi tentang AWS WAF izin, lihat AWS WAF APIizin di Panduan AWS WAF Pengembang.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AllowWebACLUserPool",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:ListResourcesForWebACL",
				"cognito-idp:GetWebACLForResource",
				"cognito-idp:AssociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		},
		{
			"Sid": "AllowWebACLUserPoolWAFv2",
			"Effect": "Allow",
			"Action": [
				"wafv2:ListResourcesForWebACL",
				"wafv2:AssociateWebACL",
				"wafv2:DisassociateWebACL",
				"wafv2:GetWebACLForResource"
			],
			"Resource": "arn:aws:wafv2:*:123456789012:*/webacl/*/*"
		},
		{
			"Sid": "DisassociateWebACL1",
			"Effect": "Allow",
			"Action": "wafv2:DisassociateWebACL",
			"Resource": "*"
		},
		{
			"Sid": "DisassociateWebACL2",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:DisassociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		}
	]
}

Meskipun Anda harus memberikan IAM izin, tindakan yang tercantum hanya izin dan tidak sesuai dengan operasi. API

Untuk mengaitkan web secara terprogram ACL dengan kumpulan pengguna Anda di AWS Command Line Interface atau anSDK, gunakan AssociateWebACLdari file. AWS WAF API Amazon Cognito tidak memiliki API operasi terpisah yang mengaitkan web. ACL

Pengujian dan pencatatan AWS WAF web ACLs

Saat Anda menetapkan tindakan aturan ke Count di web AndaACL, AWS WAF tambahkan permintaan ke hitungan permintaan yang cocok dengan aturan. Untuk menguji web ACL dengan kumpulan pengguna Anda, tetapkan tindakan aturan ke Hitung dan pertimbangkan volume permintaan yang cocok dengan setiap aturan. Misalnya, jika aturan yang ingin disetel ke tindakan Blokir cocok dengan sejumlah besar permintaan yang Anda tentukan sebagai lalu lintas pengguna normal, Anda mungkin perlu mengonfigurasi ulang aturan Anda. Untuk informasi selengkapnya, lihat Menguji dan menyetel AWS WAF perlindungan Anda di Panduan AWS WAF Pengembang.

Anda juga dapat mengonfigurasi header permintaan log AWS WAF ke grup CloudWatch log Amazon Logs, bucket Amazon Simple Storage Service (Amazon S3), atau Amazon Data Firehose. Anda dapat mengidentifikasi permintaan Amazon Cognito yang Anda buat dengan kumpulan pengguna API oleh dan. x-amzn-cognito-client-id x-amzn-cognito-operation-name Permintaan UI yang di-host hanya menyertakan x-amzn-cognito-client-id header. Untuk informasi selengkapnya, lihat Mencatat ACL lalu lintas web di Panduan AWS WAF Pengembang.

AWS WAF web ACLs tidak tunduk pada harga untuk fitur keamanan lanjutan Amazon Cognito. Fitur keamanan AWS WAF melengkapi fitur keamanan canggih Amazon Cognito. Anda dapat mengaktifkan kedua fitur di kumpulan pengguna. AWS WAF tagihan secara terpisah untuk pemeriksaan permintaan kumpulan pengguna. Untuk informasi selengkapnya, silakan lihat Harga AWS WAF.

Data AWS WAF permintaan logging tunduk pada penagihan tambahan oleh layanan tempat Anda menargetkan log Anda. Untuk informasi selengkapnya, lihat Harga untuk mencatat informasi ACL lalu lintas web di Panduan AWS WAF Pengembang.