將 AWS WAF Web ACL與使用者集區建立關聯

AWS WAF 是 Web 應用程式防火牆。使用 AWS WAF Web 存取控制清單 （Web ACL），您可以保護您的使用者集區免於對託管 UI 和 Amazon Cognito API服務端點提出不必要的請求。Web ACL可讓您精細控制使用者集區回應的所有 HTTPS Web 請求。如需 AWS WAF Web 的詳細資訊ACLs，請參閱 AWS WAF 開發人員指南 中的管理和使用 Web 存取控制清單 （Web ACL）。

當您有與使用者集區ACL相關聯的 AWS WAF Web 時，Amazon Cognito 會將使用者所選取之非機密標頭和請求內容轉送至 AWS WAF。 AWS WAF 會檢查請求的內容、將其與您在 Web 中指定的規則進行比較ACL，並將回應傳回給 Amazon Cognito

AWS WAF Web ACLs和 Amazon Cognito 相關須知

AWS WAF 會檢查對下列端點的請求。

您可以使用計數 、允許 、封鎖 或呈現 的ACL規則動作，在 Web 中設定規則CAPTCHA，以回應符合規則的請求。如需詳細資訊，請參閱《AWS WAF 開發人員指南》中的 AWS WAF 規則。依據規則動作，您可自訂 Amazon Cognito 傳回給使用者的回應。

將 Web ACL與您的使用者集區建立關聯

若要在使用者集ACL區中使用 Web，您的 AWS Identity and Access Management （IAM） 主體必須具有下列 Amazon Cognito 和 AWS WAF 許可。如需 AWS WAF 許可的相關資訊，請參閱 AWS WAF 開發人員指南 中的AWS WAF API許可。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AllowWebACLUserPool",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:ListResourcesForWebACL",
				"cognito-idp:GetWebACLForResource",
				"cognito-idp:AssociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		},
		{
			"Sid": "AllowWebACLUserPoolWAFv2",
			"Effect": "Allow",
			"Action": [
				"wafv2:ListResourcesForWebACL",
				"wafv2:AssociateWebACL",
				"wafv2:DisassociateWebACL",
				"wafv2:GetWebACLForResource"
			],
			"Resource": "arn:aws:wafv2:*:123456789012:*/webacl/*/*"
		},
		{
			"Sid": "DisassociateWebACL1",
			"Effect": "Allow",
			"Action": "wafv2:DisassociateWebACL",
			"Resource": "*"
		},
		{
			"Sid": "DisassociateWebACL2",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:DisassociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		}
	]
}

雖然您必須授予IAM許可，但列出的動作僅限許可，不對應至API操作 。

若要以程式設計方式將 Web ACL與 AWS Command Line Interface 或 中的使用者集區建立關聯SDK，請使用 AssociateWebACL 中的 AWS WAF API。Amazon Cognito 沒有與 Web 建立關聯的個別API操作ACL。

測試和記錄 AWS WAF Web ACLs

當您將規則動作設定為 Web 中的計數時ACL， 會將請求 AWS WAF 新增至符合規則的請求計數。若要ACL使用使用者集區測試 Web，請將規則動作設定為計數，並考慮符合每個規則的請求量。例如，若您要設定為 Block (封鎖) 動作的規則與您確定為正常使用者流量的大量請求相符合，您可能需要重新設定您的規則。如需詳細資訊，請參閱 開發人員指南中的測試和調校您的 AWS WAF 保護。 AWS WAF

您也可以設定 AWS WAF 將請求標頭記錄至 Amazon CloudWatch Logs 日誌群組、Amazon Simple Storage Service （Amazon S3） 儲存貯體或 Amazon Data Firehose。您可以API藉由 x-amzn-cognito-client-id和 識別您使用使用者集區提出的 Amazon Cognito 請求x-amzn-cognito-operation-name。託管的 UI 請求僅包括 x-amzn-cognito-client-id 標題。如需詳細資訊，請參閱 AWS WAF 開發人員指南 中的記錄 Web ACL流量。

AWS WAF Web ACLs 不受 Amazon Cognito 進階安全功能 定價的限制。 AWS WAF 補充 Amazon Cognito 進階安全功能的安全功能。您可以 AWS WAF 個別啟用使用者集區中的兩項功能，以檢查使用者集區請求。如需詳細資訊，請參閱 AWS WAF 定價。

記錄 AWS WAF 請求資料會受到您以日誌為目標之服務的額外計費。如需詳細資訊，請參閱 AWS WAF 開發人員指南 中的記錄 Web ACL流量資訊的定價。