AWS WAF ウェブとユーザープールACLの関連付け

AWS WAF はウェブアプリケーションファイアウォールです。 AWS WAF ウェブアクセスコントロールリスト (ウェブ ACL) を使用すると、ホストされた UI および Amazon Cognito APIサービスエンドポイントへの不要なリクエストからユーザープールを保護できます。ウェブACLを使用すると、ユーザープールが応答するすべてのHTTPSウェブリクエストをきめ細かく制御できます。 AWS WAF ウェブ の詳細についてはACLs、「 AWS WAF デベロッパーガイド」の「ウェブアクセスコントロールリスト (ウェブACL) の管理と使用」を参照してください。

ユーザープールACLに関連付けられた AWS WAF ウェブがある場合、Amazon Cognito はユーザーからのリクエストの選択された非機密ヘッダーとコンテンツを に転送します AWS WAF。 はリクエストの内容 AWS WAF を検査し、ウェブ で指定したルールと比較しACL、Amazon Cognito にレスポンスを返します。

AWS WAF ウェブACLsと Amazon Cognito について知っておくべきこと

AWS WAF は、次のエンドポイントへのリクエストを検査します。

ルールに一致するリクエストCAPTCHAに応じて、 をカウント、許可、ブロック、または提示するルールアクションACLを使用して、ウェブ内のルールを設定できます。詳細については、AWS WAF デベロッパーガイドの「AWS WAF のルール」を参照してください。ルールアクションに応じて、Amazon Cognito からユーザーに返す応答をカスタマイズできます。

ウェブとユーザープールACLの関連付け

ユーザープールACLでウェブを操作するには、 AWS Identity and Access Management （IAM) プリンシパルに次の Amazon Cognito と AWS WAF アクセス許可が必要です。アクセス AWS WAF 許可の詳細については、「 デベロッパーガイド」のAWS WAF API「アクセス許可」を参照してください。 AWS WAF

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AllowWebACLUserPool",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:ListResourcesForWebACL",
				"cognito-idp:GetWebACLForResource",
				"cognito-idp:AssociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		},
		{
			"Sid": "AllowWebACLUserPoolWAFv2",
			"Effect": "Allow",
			"Action": [
				"wafv2:ListResourcesForWebACL",
				"wafv2:AssociateWebACL",
				"wafv2:DisassociateWebACL",
				"wafv2:GetWebACLForResource"
			],
			"Resource": "arn:aws:wafv2:*:123456789012:*/webacl/*/*"
		},
		{
			"Sid": "DisassociateWebACL1",
			"Effect": "Allow",
			"Action": "wafv2:DisassociateWebACL",
			"Resource": "*"
		},
		{
			"Sid": "DisassociateWebACL2",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:DisassociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		}
	]
}

アクセスIAM許可を付与する必要がありますが、リストされているアクションはアクセス許可のみであり、 API オペレーション に対応していません。

ウェブを AWS Command Line Interface または のユーザープールACLにプログラムで関連付けるにはSDK、 AssociateWebACLから を使用します AWS WAF API。Amazon Cognito には、ウェブ を関連付ける個別のAPIオペレーションはありませんACL。

AWS WAF ウェブのテストとログ記録 ACLs

ウェブ でルールアクションをカウントに設定するとACL、 はルールに一致するリクエストの数にリクエスト AWS WAF を追加します。ユーザープールACLでウェブをテストするには、ルールアクションをカウントに設定し、各ルールに一致するリクエストの量を考慮します。例えば、ルールをブロックアクションに設定した場合に、通常のユーザートラフィックと判断される多数のリクエストと一致するときは、ルールの再設定が必要になる場合があります。詳細については、「 デベロッパーガイド」のAWS WAF 「保護のテストと調整」を参照してください。 AWS WAF

リクエストヘッダーを Amazon CloudWatch Logs ロググループ、Amazon Simple Storage Service (Amazon S3) バケット、または Amazon Data Firehose にログ AWS WAF 記録するように を設定することもできます。ユーザープールで実行する Amazon Cognito リクエストは、 x-amzn-cognito-client-idと APIによって識別できますx-amzn-cognito-operation-name。ホストされた UI リクエストには、x-amzn-cognito-client-id ヘッダーのみが含まれます。詳細については、「 デベロッパーガイド」の「ウェブACLトラフィックのログ記録」を参照してください。 AWS WAF

AWS WAF ウェブACLsは、Amazon Cognito の高度なセキュリティ機能 の料金の対象ではありません。のセキュリティ機能は、Amazon Cognito の高度なセキュリティ機能を AWS WAF 補完します。ユーザープールリクエストの検査のために、ユーザー pool. AWS WAF bills で両方の機能を個別にアクティブ化できます。詳細については、「AWS WAF 料金」を参照してください。

ログ記録 AWS WAF リクエストデータには、ログをターゲットとするサービスによる追加請求が適用されます。詳細については、AWS WAF 「 デベロッパーガイド」の「ウェブACLトラフィック情報のログ記録の料金」を参照してください。