使用 AWS WAF 保護您的閘道

您可以搭配 Amazon Bedrock AgentCore Gateway 使用 AWS WAF 來保護閘道免受 Web 入侵、機器人流量和磁碟區攻擊。 AWS WAF 提供內嵌安全層，可在所有傳入請求到達目標之前對其進行評估。

當您將 AWS WAF Web 存取控制清單 (Web ACL) 與閘道建立關聯時， AWS WAF 會檢查每個傳入請求，並套用您設定的規則。符合封鎖規則的請求會在到達任何目標之前遭到拒絕。您可以將閘道層級的 Web ACL 與每個閘道的一個 Web ACL 建立關聯。

AWS WAF 如何與您的閘道搭配使用

當您將 Web ACL 與閘道建立關聯時，會發生下列請求流程：

AWS WAF 會評估內嵌的每個傳入請求。當沒有 Web ACL 與您的閘道相關聯時，不會產生額外負荷，也不會發生 AWS WAF 評估。

先決條件

將 Web ACL 與閘道建立關聯之前，請確定您符合下列要求：

將 Web ACL 與您的閘道建立關聯

您可以使用 AWS WAF 主控台或 CLI 將 Web ACL AWS 與閘道建立關聯。一個閘道最多可以有一個 Web ACL。不過，一個 Web ACL 可以與多個閘道建立關聯。若要變更與閘道相關聯的 Web ACL，請關聯新的 Web ACL。新的關聯會取代現有的關聯。

若要使用 CLI 將 Web ACL AWS 與您的閘道建立關聯，請執行下列命令：

aws wafv2 associate-web-acl \
    --web-acl-arn arn:aws:wafv2:us-east-1:123456789012:regional/webacl/my-web-acl/a1b2c3d4-5678-90ab-cdef-example11111 \
    --resource-arn arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/my-gateway-id

將 ARN 值取代為您的 Web ACL ARN 和閘道 ARN。

取消 Web ACL 與閘道的關聯

若要從閘道移除 AWS WAF 保護，請取消 Web ACL 的關聯。您必須先取消任何 Web ACL 與閘道的關聯，才能刪除閘道。

若要使用 AWS CLI 取消 Web ACL 與閘道的關聯，請執行下列命令：

aws wafv2 disassociate-web-acl \
    --resource-arn arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/my-gateway-id

將 ARN 值取代為您的閘道 ARN。

設定 AWS WAF 失敗模式

如果 AWS WAF 在請求評估期間無法連線或逾時，閘道會使用設定的失敗模式來決定是否封鎖或允許請求。

若要設定失敗模式，請使用 UpdateGateway API 搭配 wafConfiguration 參數：

aws bedrock-agentcore-control update-gateway \
    --gateway-identifier my-gateway-id \
    --name my-gateway \
    --role-arn arn:aws:iam::123456789012:role/my-gateway-service-role \
    --authorizer-type CUSTOM_JWT \
    --authorizer-configuration '{
      "customJWTAuthorizer": {
        "discoveryUrl": "https://cognito-idp.us-east-1.amazonaws.com/my-user-pool/.well-known/openid-configuration",
        "allowedClients": ["clientId"]
      }
    }' \
    --waf-configuration '{"failureMode": "FAIL_OPEN"}'

AWS WAF 回應處理

當 AWS WAF 封鎖請求時，錯誤回應取決於您的目標類型：

如果已FAIL_CLOSE設定 AWS WAF 逾時，閘道會傳回與封鎖請求相同的錯誤。如果 AWS WAF 傳回 5xx 錯誤，MCP 目標會收到 JSON-RPC 錯誤，其中包含程式碼-32603和訊息 "Internal error - Server error"。

監控 AWS WAF 活動

您可以使用 Amazon CloudWatch 指標監控閘道的 AWS WAF 活動。

AWS/Bedrock-AgentCore 命名空間提供下列指標：

若要取得有關封鎖請求的規則層級詳細資訊，請使用 AWS WAF 記錄。您可以將閘道日誌中的請求 ID 與 AWS WAF 日誌建立關聯。

限制和配額

下列配額和限制適用於 AWS WAF 與您的閘道整合：

最佳實務

將 AWS WAF 與閘道搭配使用時，我們建議您採用下列實務：