在 API Gateway 中使用 AWS WAF 保护 REST API - Amazon API Gateway
使用 API Gateway 控制台将 AWS WAF Web ACL 与 API Gateway API 阶段相关联使用 AWS CLI 将 AWS WAF Web ACL 与 API Gateway API 阶段相关联使用 AWS WAF REST API 将 AWS WAF Web ACL 与 API 阶段相关联

在 API Gateway 中使用 AWS WAF 保护 REST API

AWS WAF 是一个 Web 应用程序防火墙，可帮助保护 Web 应用程序和 API 免受攻击。通过它，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止或统计 Web 请求。有关更多信息，请参阅 AWS WAF 的工作原理。

您可以使用 AWS WAF 保护 API Gateway REST API 免受常见的 Web 漏洞攻击，例如 SQL 注入和跨站脚本攻击（XSS）。这些威胁可能会影响 API 的可用性和性能、损害安全性或消耗过多的资源。例如，您可以创建规则以允许或阻止以下请求：来自指定 IP 地址范围的请求；来自 CIDR 块的请求；源自特定国家/地区或区域的请求；包含恶意 SQL 代码的请求；或者包含恶意脚本的请求。

您还可以创建与 HTTP 标头、方法、查询字符串、URI 和请求正文中的指定字符串或正则表达式模式匹配的规则（限制为前 64 KB）。此外，您可以创建规则来阻止来自特定用户代理、恶意机器人和内容抓取程序的攻击。例如，您可以使用基于速率的规则来指定每个客户端 IP 在尾随的、不断更新的 5 分钟期间内允许的 Web 请求数。

重要

AWS WAF 是抵御 Web 漏洞攻击的第一道防线。在 API 上启用 AWS WAF 时，会先评估 AWS WAF 规则，然后再评估其他访问控制特征，例如资源策略、IAM 策略、Lambda 授权方和 Amazon Cognito 授权方。例如，如果 AWS WAF 阻止从资源策略允许的 CIDR 块进行访问，AWS WAF 将优先进行并且不评估资源策略。

要为 API 启用 AWS WAF，您需要执行以下操作：

  1. 使用 AWS WAF 控制台、AWS SDK 或 CLI 创建一个 Web ACL，其中包含 AWS WAF 托管式规则和您自己的自定义规则的所需组合。有关更多信息，请参阅 Getting Started with AWS WAF 和 Web access control lists (web ACLs)。

    重要

    API Gateway 需要区域应用程序的 AWS WAFV2 Web ACL 或 AWS WAF Classic Regional Web ACL。

  2. 将 AWS WAF Web ACL 与 API 阶段关联。您可以使用 AWS WAF 控制台、AWS SDK、CLI 或使用 API Gateway 控制台来完成此操作。

使用 API Gateway 控制台将 AWS WAF Web ACL 与 API Gateway API 阶段相关联

要使用 API Gateway 控制台将 AWS WAF Web ACL 与现有的 API Gateway API 阶段相关联，请按以下步骤操作：

  1. 通过以下网址登录到 Amazon API Gateway 控制台：https://console.aws.amazon.com/apigateway。

  2. 选择现有 API 或者创建新 API。

  3. 在主导航窗格中，选择阶段，然后选择一个阶段。

  4. 在阶段详细信息部分中，选择编辑。

  5. 在 Web 应用程序防火墙（AWS WAF）下，选择您的 Web ACL。

    如果您正在使用 AWS WAFV2，请为区域应用程序选择 AWS WAFV2 Web ACL。Web ACL 及其使用的任何其它 AWS WAFV2 资源都必须与您的 API 位于同一区域中。

    如果您使用的是 AWS WAF Classic Regional，请选择区域 Web ACL。

  6. 选择 Save changes（保存更改）。

使用 AWS CLI 将 AWS WAF Web ACL 与 API Gateway API 阶段相关联

要使用 AWS CLI 将区域应用程序的 AWS WAFV2 Web ACL 与现有的 API Gateway API 阶段相关联，请调用 associate-web-acl 命令，如以下示例中所示：

aws wafv2 associate-web-acl \
--web-acl-arn  arn:aws:wafv2:{region}:111122223333:regional/webacl/test-cli/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111 \
--resource-arn arn:aws:apigateway:{region}::/restapis/4wk1k4onj3/stages/prod

要使用 AWS CLI 将 AWS WAF Classic Regional Web ACL 与现有的 API Gateway API 阶段相关联，请调用 associate-web-acl 命令，如以下示例中所示：

aws waf-regional associate-web-acl \
--web-acl-id 'aabc123a-fb4f-4fc6-becb-2b00831cadcf' \
--resource-arn 'arn:aws:apigateway:{region}::/restapis/4wk1k4onj3/stages/prod'

使用 AWS WAF REST API 将 AWS WAF Web ACL 与 API 阶段相关联

要使用 AWS WAFV2 REST API 将区域应用程序的 AWS WAFV2 Web ACL 与现有的 API Gateway API 阶段相关联，请使用 AssociateWebACL 命令，如以下示例中所示：

import boto3
 
wafv2 = boto3.client('wafv2')

wafv2.associate_web_acl(
    WebACLArn='arn:aws:wafv2:{region}:111122223333:regional/webacl/test/abc6aa3b-fc33-4841-b3db-0ef3d3825b25',
    ResourceArn='arn:aws:apigateway:{region}::/restapis/4wk1k4onj3/stages/prod'
)

要使用 AWS WAF REST API 将 AWS WAF Classic Regional Web ACL 与现有的 API Gateway API 阶段相关联，请使用 AssociateWebACL 命令，如以下示例中所示：

import boto3
 
waf = boto3.client('waf-regional')
 
waf.associate_web_acl(
    WebACLId='aabc123a-fb4f-4fc6-becb-2b00831cadcf',
    ResourceArn='arn:aws:apigateway:{region}::/restapis/4wk1k4onj3/stages/prod'
)