Associar uma ACL da web do AWS WAF a um grupo de usuários

O AWS WAF é um firewall da aplicação web. Com uma lista de controle de acesso web (ACL da web) do AWS WAF, você pode proteger o grupo de usuários contra solicitações indesejadas à interface do usuário hospedada e a endpoints do serviço de API do Amazon Cognito. A ACL da web oferece controle detalhado sobre todas as solicitações web HTTPS às quais o grupo de usuários responde. Para obter mais informações sobre ACLs da web do AWS WAF, consulte “Gerenciar e usar uma lista de controle de acesso web (ACL da web)” no Guia do desenvolvedor do AWS WAF.

Quando você tem uma ACL da web do AWS WAF associada a um grupo de usuários, o Amazon Cognito encaminha cabeçalhos não confidenciais selecionados e conteúdos de solicitações dos usuários ao AWS WAF. O AWS WAF inspeciona o conteúdo da solicitação, o compara com as regras especificadas na ACL da web e retorna uma resposta ao Amazon Cognito.

Fatos sobre ACLs da web do AWS WAF e o Amazon Cognito

O AWS WAF inspeciona as solicitações aos endpoints a seguir.

É possível configurar as regras na ACL da web com ações como Count (Contar), Allow (Permitir), Block (Bloquear) ou apresentar um CAPTCHA em resposta a uma solicitação correspondente a uma regra. Para ter mais informações, consulte Regras do AWS WAF no Guia do desenvolvedor do AWS WAF. Dependendo da ação da regra, você pode personalizar a resposta que o Amazon Cognito retorna aos usuários.

Associar uma ACL da web ao grupo de usuários

Para trabalhar com uma ACL da web no grupo de usuários, sua entidade principal do AWS Identity and Access Management (IAM) deve ter as permissões a seguir do Amazon Cognito. Para obter mais informações sobre permissões do AWS WAF, consulte AWS WAF API permissions (Permissões de API do AWS WAF) no Guia do usuário do .

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AllowWebACLUserPool",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:ListResourcesForWebACL",
				"cognito-idp:GetWebACLForResource",
				"cognito-idp:AssociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		},
		{
			"Sid": "AllowWebACLUserPoolWAFv2",
			"Effect": "Allow",
			"Action": [
				"wafv2:ListResourcesForWebACL",
				"wafv2:AssociateWebACL",
				"wafv2:DisassociateWebACL",
				"wafv2:GetWebACLForResource"
			],
			"Resource": "arn:aws:wafv2:*:123456789012:*/webacl/*/*"
		},
		{
			"Sid": "DisassociateWebACL1",
			"Effect": "Allow",
			"Action": "wafv2:DisassociateWebACL",
			"Resource": "*"
		},
		{
			"Sid": "DisassociateWebACL2",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:DisassociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		}
	]
}

Embora você deva conceder permissões do IAM, as ações listadas são somente com permissão e não correspondem a uma operação de API.

Para associar programaticamente uma ACL da web ao grupo de usuários na AWS Command Line Interface ou em um SDK, use AssociateWebACL da API do AWS WAF. O Amazon Cognito não tem uma operação de API separada que associe uma ACL da web.

Testar e registrar ACLs da web do AWS WAF

Quando você define uma ação de regra como Count (Contar) na ACL da web, o AWS WAF adiciona a solicitação a uma contagem de solicitações correspondentes à regra. Para testar uma ACL da web com o grupo de usuários, defina as ações da regra como Count (Contar) e considere o volume de solicitações correspondentes a cada regra. Por exemplo, se uma regra que você deseja definir como uma ação Block (Bloquear) corresponder a um grande número de solicitações que você considera tráfego normal de usuários, talvez seja necessário reconfigurar sua regra. Para ter mais informações, consulte Testar e ajustar suas proteções do AWS WAF no Guia do desenvolvedor do AWS WAF.

É possível configurar o AWS WAF para registrar em log os cabeçalhos das solicitações em um grupo de logs do Amazon CloudWatch Logs, um bucket do Amazon Simple Storage Service (Amazon S3) ou um Amazon Data Firehose. Você pode identificar as solicitações do Amazon Cognito realizadas com a API de grupos de usuários pelo x-amzn-cognito-client-id e pelo x-amzn-cognito-operation-name. As solicitações da interface do usuário hospedada incluem somente o cabeçalho do x-amzn-cognito-client-id. Para obter mais informações, consulte Logging web ACL traffic (Registrar em log o tráfego da ACL da web) no Guia do desenvolvedor do AWS WAF.

As ACLs da web do AWS WAF não estão sujeitas à definição de preço dos recursos de segurança avançada do Amazon Cognito. Os recursos de segurança do AWS WAF complementam os recursos de segurança avançada do Amazon Cognito. É possível ativar os dois recursos em um grupo de usuários. O AWS WAF cobra separadamente pela inspeção das solicitações do grupo de usuários. Para obter mais informações, consulte Preços do AWS WAF.

O registro em log dos dados das solicitações do AWS WAF está sujeito a cobrança adicional pelo serviço ao qual você direciona seus logs. Para obter mais informações, consulte Definição de preço para registrar informações de tráfego da ACL da Web no Guia do desenvolvedor do AWS WAF.