将 AWS WAF Web ACL 与用户池关联

AWS WAF 是 Web 应用程序防火墙。借助 AWS WAF Web 访问控制列表 (WebACL)，您可以保护您的用户池免受对托管用户界面和 Amazon Cognito API 服务终端节点的不必要请求的影响。Web ACL 可让您精细控制用户池响应的所有HTTPS网络请求。有关 AWS WAF Web 的更多信息ACLs，请参阅《AWS WAF 开发人员指南》中的管理和使用 Web 访问控制列表 (WebACL)。

当您的 AWS WAF 网站ACL与用户池关联时，Amazon Cognito 会将您的用户请求中选定的非机密标头和内容转发到。 AWS WAF AWS WAF 检查请求的内容，将其与您在网站中指定的规则进行比较ACL，然后向 Amazon Cognito 返回响应。

关于 AWS WAF 网络ACLs和亚马逊 Cognito 的注意事项

AWS WAF 检查对以下端点的请求。

您可以使用 “计数”、“允许”、“阻止” 或 “显示规则” 操作来配置 Web ACL CAPTCHA中的规则，以响应与规则匹配的请求。有关更多信息，请参阅 AWS WAF 开发人员指南 中的 AWS WAF 规则。根据规则操作，您可以自定义 Amazon Cognito 返回给用户的响应。

将网站ACL与您的用户池关联

要在您的用户池ACL中使用网站，您的 AWS Identity and Access Management (IAM) 委托人必须拥有以下 Amazon Cognito 和 AWS WAF 权限。有关 AWS WAF 权限的信息，请参阅《AWS WAF 开发者指南》中的AWS WAF API权限。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AllowWebACLUserPool",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:ListResourcesForWebACL",
				"cognito-idp:GetWebACLForResource",
				"cognito-idp:AssociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		},
		{
			"Sid": "AllowWebACLUserPoolWAFv2",
			"Effect": "Allow",
			"Action": [
				"wafv2:ListResourcesForWebACL",
				"wafv2:AssociateWebACL",
				"wafv2:DisassociateWebACL",
				"wafv2:GetWebACLForResource"
			],
			"Resource": "arn:aws:wafv2:*:123456789012:*/webacl/*/*"
		},
		{
			"Sid": "DisassociateWebACL1",
			"Effect": "Allow",
			"Action": "wafv2:DisassociateWebACL",
			"Resource": "*"
		},
		{
			"Sid": "DisassociateWebACL2",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:DisassociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		}
	]
}

尽管必须授予IAM权限，但列出的操作仅限权限，与操作不对API应。

要在 AWS Command Line Interface 或中以编程方式将 Web ACL 与您的用户池相关联SDK，请使用 f AssociateWebACLrom。 AWS WAF APIAmazon Cognito 没有单独的API操作来关联网页。ACL

测试和记录 AWS WAF 网页 ACLs

当您在网站中将规则操作设置为 “计数” 时ACL， AWS WAF 会将该请求添加到与该规则匹配的请求计数中。要ACL使用您的用户池测试网站，请将规则操作设置为计数，然后考虑与每条规则匹配的请求量。例如，如果您要设置为阻止操作的规则与您确定为正常用户流量的大量请求相匹配，则您可能需要重新配置规则。有关更多信息，请参阅《AWS WAF 开发者指南》中的测试和调整 AWS WAF 保护措施。

您还可以配置 AWS WAF 为将请求标头记录到亚马逊 CloudWatch 日志组、亚马逊简单存储服务 (Amazon S3) 存储桶或亚马逊数据 Firehose。您可以通过和来识别您向用户池API发出的 Amazon Cognito 请求。x-amzn-cognito-client-id x-amzn-cognito-operation-name托管的 UI 请求仅包含 x-amzn-cognito-client-id 标头。有关更多信息，请参阅《AWS WAF 开发者指南》中的记录网络ACL流量。

AWS WAF 网络ACLs不受 Amazon Cognito 高级安全功能定价的约束。的安全功能 AWS WAF 补充了 Amazon Cognito 的高级安全功能。您可以在用户池中激活这两项功能。 AWS WAF 单独开具账单，用于检查用户池请求。有关更多信息，请参阅AWS WAF 定价。

日志 AWS WAF 请求数据需要按您定位日志的服务收取额外费用。有关更多信息，请参阅AWS WAF 开发者指南中的记录网络ACL流量信息的定价。