Associazione di un AWS WAF Web a un pool di utenti ACL

AWS WAF è un firewall per applicazioni Web. Con una AWS WAF lista di controllo degli accessi Web (webACL), puoi proteggere il tuo pool di utenti da richieste indesiderate all'interfaccia utente ospitata e agli endpoint del API servizio Amazon Cognito. Un Web ti ACL offre un controllo dettagliato su tutte le richieste HTTPS Web a cui risponde il tuo pool di utenti. Per ulteriori informazioni sul AWS WAF webACLs, consulta Gestione e utilizzo di una lista di controllo degli accessi Web (webACL) nella Guida per gli sviluppatori.AWS WAF

Quando hai un AWS WAF Web ACL associato a un pool di utenti, Amazon Cognito inoltra le intestazioni e i contenuti selezionati non riservati delle richieste degli utenti a. AWS WAF AWS WAF esamina il contenuto della richiesta, la confronta con le regole che hai specificato nel tuo sito Web ACL e restituisce una risposta ad Amazon Cognito.

Cose da sapere sul AWS WAF Web ACLs e Amazon Cognito

AWS WAF esamina le richieste ai seguenti endpoint.

Puoi configurare le regole nel tuo Web ACL con azioni che contano, consentono, bloccano o presentano una CAPTCHAin risposta a una richiesta che corrisponde a una regola. Per ulteriori informazioni, consulta Regole personalizzate AWS WAF nella Guida per gli sviluppatori di AWS WAF . A seconda dell'operazione della regola, è possibile personalizzare la risposta che Amazon Cognito restituisce agli utenti.

Associazione di un Web ACL al pool di utenti

Per lavorare con un Web ACL nel tuo pool di utenti, il tuo AWS Identity and Access Management (IAM) principal deve disporre dei seguenti Amazon Cognito e AWS WAF delle seguenti autorizzazioni. Per informazioni sulle AWS WAF autorizzazioni, consulta le autorizzazioni nella AWS WAF APIGuida per gli sviluppatori.AWS WAF

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AllowWebACLUserPool",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:ListResourcesForWebACL",
				"cognito-idp:GetWebACLForResource",
				"cognito-idp:AssociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		},
		{
			"Sid": "AllowWebACLUserPoolWAFv2",
			"Effect": "Allow",
			"Action": [
				"wafv2:ListResourcesForWebACL",
				"wafv2:AssociateWebACL",
				"wafv2:DisassociateWebACL",
				"wafv2:GetWebACLForResource"
			],
			"Resource": "arn:aws:wafv2:*:123456789012:*/webacl/*/*"
		},
		{
			"Sid": "DisassociateWebACL1",
			"Effect": "Allow",
			"Action": "wafv2:DisassociateWebACL",
			"Resource": "*"
		},
		{
			"Sid": "DisassociateWebACL2",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:DisassociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		}
	]
}

Sebbene sia necessario concedere IAM le autorizzazioni, le azioni elencate riguardano solo le autorizzazioni e non corrispondono a un'operazione. API

Per associare a livello di codice un Web ACL al tuo pool di utenti in AWS Command Line Interface or anSDK, usa AssociateWebACLfrom. AWS WAF API Amazon Cognito non dispone di un'APIoperazione separata che associ un Web. ACL

Test e registrazione web AWS WAF ACLs

Quando imposti un'azione della regola su Count nel tuo sito webACL, AWS WAF aggiunge la richiesta a un conteggio di richieste che corrispondono alla regola. Per testare un sito Web ACL con il tuo pool di utenti, imposta le azioni della regola su Count e considera il volume di richieste che corrispondono a ciascuna regola. Ad esempio, se una regola che desideri impostare sull'operazione Block (Blocca) corrisponde a un gran numero di richieste che si ritiene sia un normale traffico utente, potrebbe essere necessario riconfigurare la regola. Per ulteriori informazioni, consulta Testare e ottimizzare AWS WAF le protezioni nella Guida per gli AWS WAF sviluppatori.

Puoi anche configurare AWS WAF per registrare le intestazioni delle richieste in un gruppo di log di Amazon CloudWatch Logs, un bucket Amazon Simple Storage Service (Amazon S3) o un Amazon Data Firehose. Puoi identificare le richieste Amazon Cognito che effettui con i pool API di utenti alla x-amzn-cognito-client-id fine. x-amzn-cognito-operation-name Le richieste di interfaccia utente ospitate includono solo l'intestazione x-amzn-cognito-client-id. Per ulteriori informazioni, consulta la sezione Registrazione ACL del traffico web nella AWS WAF Developer Guide.

AWS WAF il web ACLs non è soggetto ai prezzi delle funzionalità di sicurezza avanzate di Amazon Cognito. Le funzionalità di sicurezza AWS WAF completano le funzionalità di sicurezza avanzate di Amazon Cognito. Puoi attivare entrambe le funzionalità in un pool di utenti. AWS WAF fattura separatamente per l'ispezione delle richieste del pool di utenti. Per ulteriori informazioni, consultare AWS WAF Prezzi.

I dati della AWS WAF richiesta di registrazione sono soggetti a una fatturazione aggiuntiva da parte del servizio a cui vengono indirizzati i log. Per ulteriori informazioni, consulta la sezione Prezzi per la registrazione delle informazioni sul ACL traffico web nella Guida per gli sviluppatori.AWS WAF