政策最佳實務使用主控台允許使用者檢視他們自己的許可授予唯讀存取權 AWS WAF CloudFront、和 CloudWatch 授予完整存取權 AWS WAF CloudFront、和 CloudWatch 授予單一存取權 AWS 帳戶授予對單個 Web 的訪問權限 ACL 授與 CLI Web ACL 和規則群組的存取權

以身分識別為基礎的原則範例 AWS WAF

本節提供以識別為基礎的原則範例 AWS WAF.

根據預設，使用者和角色沒有建立或修改的權限 AWS WAF 的費用。他們也無法執行任務使用 AWS Management Console, AWS Command Line Interface (AWS CLI)，或 AWS API。若要授與使用者對所需資源執行動作的權限，IAM管理員可以建立IAM策略。然後，系統管理員可以將IAM原則新增至角色，使用者可以擔任這些角色。

若要瞭解如何使用這些範例原則文件來建立以IAM身分識別為基礎的JSON策略，請參閱使用指南中的IAM建立IAM策略。

有關由定義的動作和資源類型的詳細資訊 AWS WAF，包括每個資源類型的格式，請參閱的動作、資源和條件索引鍵 ARNs AWS WAF服務授權參考中的 V2。

政策最佳實務

以身分識別為基礎的原則會決定某人是否可以建立、存取或刪除 AWS WAF 您帳戶中的資源。這些動作可能會為您帶來成本 AWS 帳戶。建立或編輯以身分識別為基礎的原則時，請遵循下列準則和建議：

開始使用 AWS 受管原則並朝著最低權限權限移轉 — 若要開始授與使用者和工作負載的權限，請使用 AWS 授與許多常見使用案例權限的受管理策略。他們是可用的 AWS 帳戶。我們建議您透過定義來進一步減少使用權限 AWS 針對您的使用案例特定的客戶管理政策。如需詳細資訊，請參閱 AWS 受管理的策略或 AWS 《使用者指南》中針對工作職能的IAM管理策略。
套用最低權限權限 — 當您使用原則設定權限時，IAM只授與執行工作所需的權限。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為最低權限許可。如需有關使用套用權限IAM的詳細資訊，請參閱《使用指南》IAM中的IAM《策略與權限》。
使用IAM策略中的條件進一步限制存取 — 您可以在策略中新增條件，以限制對動作和資源的存取。例如，您可以撰寫政策條件，以指定必須使用傳送所有要求SSL。如果服務動作是透過特定使用條件，您也可以使用條件來授與對服務動作的存取權 AWS 服務，例如， AWS CloudFormation。如需詳細資訊，請參閱《IAM使用指南》中的IAMJSON策略元素：條件。
使用 IAM Access Analyzer 驗證您的原IAM則，以確保安全和功能性的權限 — IAM Access Analyzer 會驗證新的和現有的原則，以便原則遵循IAM原則語言 (JSON) 和IAM最佳做法。IAMAccess Analyzer 提供超過 100 項原則檢查和可行的建議，協助您撰寫安全且功能正常的原則。如需詳細資訊，請參閱IAM使IAM用指南中的存取分析器原則驗證。
需要多因素驗證 (MFA) — 如果您的案例需要使IAM用者或 root 使用者 AWS 帳戶，請開啟MFA以獲得額外的安全性。若要在呼叫API作業MFA時需要，請在原則中新增MFA條件。如需詳細資訊，請參閱《IAM使用指南》中的＜設定MFA受保護的API存取＞。

如需中最佳作法的詳細資訊IAM，請參閱《IAM使用指南》IAM中的「安全性最佳作法」。

使用 AWS WAF 主控台

若要存取 AWS WAF 控制台中，您必須具有最低限度的權限集。這些權限必須允許您列出並檢視有關 AWS WAF 在您的資源 AWS 帳戶。如果您建立的以身分識別為基礎的原則比所需的最低權限更嚴格，則控制台將無法如預期用於具有該原則的實體 (使用者或角色) 運作。

您不需要針對只撥打電話的使用者允許最低主控台權限 AWS CLI 或 AWS API。而是只允許存取符合他們嘗試執行之API作業的動作。

若要確保使用者和角色可以使用 AWS WAF 控制台，也至少連接 AWS WAF AWSWAFConsoleReadOnlyAccess AWS 對實體的管理策略。如需有關此受管理原則的資訊，請參閱AWS 受管理的策略： AWSWAFConsoleReadOnlyAccess。如需有關將受管理策略附加至使用者的詳細資訊，請參閱《使用指南》中的〈將權限新增至IAM使用者〉。

允許使用者檢視他們自己的許可

此範例顯示如何建立原則，讓使IAM用者檢視附加至其使用者身分識別的內嵌和受管理原則。此原則包含在主控台上完成此動作的權限，或以程式設計方式使用 AWS CLI 或 AWS API.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

授予唯讀存取權 AWS WAF CloudFront、和 CloudWatch

下列政策授與使用者的唯讀存取權 AWS WAF 資源，Amazon CloudFront 網絡分發和 Amazon CloudWatch 指標。這對於需要查看設置的權限的用戶非常有用 AWS WAF 條件、規則和 Web，ACLs以查看哪個分發與 Web 相關聯ACL，以及監視中的指標和請求樣本 CloudWatch。這些使用者無法建立、更新或刪除 AWS WAF 的費用。


{
   "Version":"2012-10-17",
   "Statement": [
      {
         "Action": [
            "wafv2:Get*",
            "wafv2:List*",
            "cloudfront:GetDistribution",
            "cloudfront:GetDistributionConfig",
            "cloudfront:ListDistributions",
            "cloudfront:ListDistributionsByWebACLId",
            "cloudwatch:ListMetrics",
            "cloudwatch:GetMetricStatistics",
            "ec2:DescribeRegions"
         ],
         "Effect": "Allow",
         "Resource": "*"
      }
   ]
}

授予完整存取權 AWS WAF CloudFront、和 CloudWatch

下列原則可讓使用者執行任何 AWS WAF 操作，對 CloudFront Web 分發執行任何操作，並監視中的指標和請求樣本 CloudWatch。這是有用的用戶誰是 AWS WAF 管理員。


{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Action": [
            "wafv2:*",
            "cloudfront:CreateDistribution",
            "cloudfront:GetDistribution",
            "cloudfront:GetDistributionConfig",
            "cloudfront:UpdateDistribution",
            "cloudfront:ListDistributions",
            "cloudfront:ListDistributionsByWebACLId",
            "cloudfront:DeleteDistribution",
            "cloudwatch:ListMetrics",
            "cloudwatch:GetMetricStatistics",
            "ec2:DescribeRegions"
         ],
         "Effect": "Allow",
         "Resource": "*"
      }
   ]
}

強烈建議您為具有系統管理權限的使用者設定多重要素驗證 (MFA)。如需詳細資訊，請參閱搭配使用多重要素驗證 (MFA) 裝置 AWS (在 IAM 使用者指南中)

授予單一存取權 AWS 帳戶

此原則會將下列權限授與帳戶 444455556666：

完全訪問所有 AWS WAF 作業和資源。
讀取和更新對所有 CloudFront 發行版的訪問權限，這使您可以將 Web ACLs 和 CloudFront 發行版關聯起來。
所有測 CloudWatch 量結果和測量結果統計 CloudWatch 資料的讀取存取權，以便您可以在 AWS WAF 控制台。


{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Action": [
            "wafv2:*"
         ],
         "Resource": [
            "arn:aws:wafv2:us-east-1:444455556666:*"
         ]
      },
      {
         "Effect": "Allow",
         "Action": [
            "cloudfront:GetDistribution",
            "cloudfront:GetDistributionConfig",
            "cloudfront:ListDistributions",
            "cloudfront:ListDistributionsByWebACLId",
            "cloudfront:UpdateDistribution",
            "cloudwatch:ListMetrics",
            "cloudwatch:GetMetricStatistics",
            "ec2:DescribeRegions"
         ],
         "Resource": [
            "*"
         ]
      }
   ]
}

授予對單個 Web 的訪問權限 ACL

下列原則可讓使用者執行任何 AWS WAF 通過帳戶ACL中特定網絡上的控制台進行操作444455556666。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "wafv2:*"
            ],
            "Resource": [
                "arn:aws:wafv2:us-east-1:444455556666:regional/webacl/test123/112233d7c-86b2-458b-af83-51c51example",
            ]
        },
        {
            "Sid": "consoleAccess",
            "Effect": "Allow",
            "Action": [
                "wafv2:ListWebACLs",
                "ec2:DescribeRegions"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

授與 CLI Web ACL 和規則群組的存取權

下列原則可讓使用者執行任何 AWS WAF 通過在特定 Web ACL 和帳戶中的特定規則組CLI上進行操作444455556666。


{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Action": [
            "wafv2:*"
         ],
         "Resource": [
        "arn:aws:wafv2:us-east-1:444455556666:regional/webacl/test123/112233d7c-86b2-458b-af83-51c51example",
        "arn:aws:wafv2:us-east-1:444455556666:regional/rulegroup/test123rulegroup/555555555-6666-1234-abcd-00d11example"
         ]
      }
   ]
}

下列原則可讓使用者執行任何 AWS WAF 通過帳戶ACL中特定網絡上的控制台進行操作444455556666。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "wafv2:*"
            ],
            "Resource": [
                "arn:aws:wafv2:us-east-1:444455556666:regional/webacl/test123/112233d7c-86b2-458b-af83-51c51example",
            ]
        },
        {
            "Sid": "consoleAccess",
            "Effect": "Allow",
            "Action": [
                "wafv2:ListWebACLs",
                "ec2:DescribeRegions"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

您的瀏覽器已停用或無法使用 Javascript。

您必須啟用 Javascript，才能使用 AWS 文件。請參閱您的瀏覽器說明頁以取得說明。

文件慣用形式

方法 AWS WAF 與工作 IAM

AWS 受管政策