将 AWS WAF Web ACL 与用户池关联

AWS WAF 是 Web 应用程序防火墙。借助 AWS WAF 网络访问控制列表 (Web ACL)，您可以保护您的用户池免受对经典托管用户界面和 Amazon Cognito API 服务终端节点的不必要请求的影响。Web ACL 使您可以对用户池响应的所有 HTTPS Web 请求进行精细控制。有关 AWS WAF Web 的更多信息 ACLs，请参阅《AWS WAF 开发人员指南》中的管理和使用 Web 访问控制列表 (Web ACL)。

当您的 AWS WAF Web ACL 与用户池关联时，Amazon Cognito 会将您的用户请求中选定的非机密标头和内容转发到。 AWS WAF AWS WAF 检查请求的内容，将其与您在网页 ACL 中指定的规则进行比较，然后向 Amazon Cognito 返回响应。

关于 AWS WAF 网络 ACLs 和亚马逊 Cognito 的注意事项

AWS WAF 检查对以下端点的请求。

您可以使用以下规则操作在 Web ACL 中配置规则：计数、允许、阻止，或者提供一个验证码以响应符合规则的请求。有关更多信息，请参阅 AWS WAF 开发人员指南 中的 AWS WAF 规则。根据规则操作，您可以自定义 Amazon Cognito 返回给用户的响应。

将 Web ACL 与您的用户池相关联

要在您的用户池中使用网络 ACL，您的 AWS Identity and Access Management (IAM) 委托人必须具有以下 Amazon Cognito 和 AWS WAF 权限。有关 AWS WAF 权限的信息，请参阅《AWS WAF 开发者指南》中的 AWS WAF API 权限。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AllowWebACLUserPool",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:ListResourcesForWebACL",
				"cognito-idp:GetWebACLForResource",
				"cognito-idp:AssociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		},
		{
			"Sid": "AllowWebACLUserPoolWAFv2",
			"Effect": "Allow",
			"Action": [
				"wafv2:ListResourcesForWebACL",
				"wafv2:AssociateWebACL",
				"wafv2:DisassociateWebACL",
				"wafv2:GetWebACLForResource"
			],
			"Resource": "arn:aws:wafv2:*:123456789012:*/webacl/*/*"
		},
		{
			"Sid": "DisassociateWebACL1",
			"Effect": "Allow",
			"Action": "wafv2:DisassociateWebACL",
			"Resource": "*"
		},
		{
			"Sid": "DisassociateWebACL2",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:DisassociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		}
	]
}

尽管您必须授予 IAM 权限，但列出的操作仅用于说明权限，不对应于 API 操作。

要以编程方式将 Web ACL 与 AWS Command Line Interface 或 SDK 中的用户池关联，请使用 AWS WAF API AssociateWeb中的 ACL。Amazon Cognito 没有可关联 Web ACL 的单独 API 操作。

测试和记录 AWS WAF 网页 ACLs

当您在 Web ACL 中将规则操作设置为 C ou nt 时， AWS WAF 会将该请求添加到与该规则匹配的请求计数中。要使用您的用户池测试 Web ACL，请将规则操作设置为计数，并考虑与每条规则匹配的请求数量。例如，如果您要设置为阻止操作的规则与您确定为正常用户流量的大量请求相匹配，则您可能需要重新配置规则。有关更多信息，请参阅《AWS WAF 开发人员指南》中的测试和调整您的 AWS WAF 保护。

您还可以配置 AWS WAF 为将请求标头记录到亚马逊 CloudWatch 日志组、亚马逊简单存储服务 (Amazon S3) 存储桶或亚马逊数据 Firehose。您可以通过 x-amzn-cognito-client-id 和 x-amzn-cognito-operation-name 识别您使用用户池 API 发出的 Amazon Cognito 请求。托管的 UI 请求仅包含 x-amzn-cognito-client-id 标头。有关更多信息，请参阅 AWS WAF 开发人员指南 中的记录 Web ACL 流量。

AWS WAF web ACLs 在所有用户池功能计划中都可用。的安全功能 AWS WAF 补充了 Amazon Cognito 威胁防护。您可以在用户池中激活这两项功能。 AWS WAF 对用户池请求的检查单独收费。有关更多信息，请参阅AWS WAF 定价。

日志 AWS WAF 请求数据需要按您定位日志的服务收取额外费用。有关更多信息，请参阅 AWS WAF 开发人员指南 中的记录 Web ACL 流量信息的定价。