コンテンツセキュリティポリシーでの JavaScript API の使用

このセクションでは、AWS WAF apex ドメインを一覧表示するための設定例を示します。

コンテンツセキュリティポリシー (CSP) をリソースに適用する場合、JavaScript 実装が機能するためには、AWS WAF apex ドメイン awswaf.com を許可リストに登録する必要があります。JavaScript SDK は異なる AWS WAF エンドポイントを呼び出すため、このドメインを許可リストに登録すると、SDK の動作に必要な権限が付与されます。

AWS WAF apex ドメインを許可リストに登録する場合の設定例を次に示します。

connect-src 'self' https://*.awswaf.com;
script-src 'self' https://*.awswaf.com;
script-src-elem 'self' https://*.awswaf.com;

CSP を使用するリソースで JavaScript SDK を使用しようとして、AWS WAF ドメインを許可リストに登録していなかった場合、次のようなエラーが表示されます。

Refused to load the script ...awswaf.com/<> because it violates the following Content Security Policy directive: “script-src ‘self’