Как добавить AWS WAF в ALB через CloudFormation

Question

Я не могу найти никаких примеров или документации о том, как связать WAF с ALB через CloudFormation. Предположительно, это возможно благодаря этому новостному сообщению https://aws.amazon.com/about-aws/whats-new/2017/05/cloudformation-support-for-aws-waf-on-alb/ но ничего нет Я нашел, что показывает, как. Использование CloudFront вместо ALB хорошо документировано, но я не нашел ни одного примера в отношении использования ALB (через CloudFormation).

Обновление: мне не нужен полный пример, который выполняет всю настройку для меня, но, по крайней мере, фрагмент, который указывает, как WAF узнает, как связаться с ALB или наоборот. Ссылка отсутствует.

Answer 1

Чтобы решить эту проблему, я просмотрел историю их выпуска и нашел ресурсы CloudFormation, которые были обновлены для поддержки WAF & ALB http://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/ReleaseHistory.html Оттуда я смог вывести что связующий компонент является ассоциацией WebACLA, которая отображает WAF и ALB. Но для этого также необходимо, чтобы вместо обычного WebACL вы использовали WAFRegional. Пока что это означает только изменение:: WAF на::WAFRegional во всем вашем коде.

WAFRegional (AWS::WAFRegional:: WebACL): http://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-resource-wafregional-webacl.html

"MyWebACL": {
  "Type": "AWS::WAFRegional::WebACL",
  "Properties": {
    "Name": "WebACL to with three rules",
    "DefaultAction": {
      "Type": "ALLOW"
    },
    "MetricName" : "MyWebACL",
    "Rules": [
      {
        "Action" : {
          "Type" : "BLOCK"
        },
        "Priority" : 1,
        "RuleId" : { "Ref" : "MyRule" }
      },
      {
        "Action" : {
          "Type" : "BLOCK"
        },
        "Priority" : 2,
        "RuleId" : { "Ref" : "BadReferersRule" }
      },
      {
        "Action" : {
          "Type" : "BLOCK"
        },
        "Priority" : 3,
        "RuleId" : { "Ref" : "SqlInjRule" }
      }
    ]
  }      
}

WebACLAssociation (AWS::WAFRegional:: WebACLAssociation) http://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-resource-wafregional-webaclassociation.html

    "MyWebACLAssociation": {
  "Type": "AWS::WAFRegional::WebACLAssociation",
  "Properties": {
    "ResourceArn": { "Ref": "MyLoadBalancer" },
    "WebACLId": { "Ref": "MyWebACL" }
  }
}

Answer 2

Ниже приведен пример в формате YAML.

   Resources:
    WafAcldev:
     DependsOn: Whitelist
     DependsOn: WafRule
     Type: AWS::WAF::WebACL
     Condition: CreateDEVResources
     Properties:
      DefaultAction:
        Type: "BLOCK"
      MetricName: test
      Name: test
      Rules:
        -
          Action:
            Type: "ALLOW"
          Priority: 1
          RuleId: !Ref WafRule

    WafRule:
        DependsOn: WhitelistIPdev
        Type: AWS::WAF::Rule
        Condition: CreateDEVResources
        Properties:
          MetricName: test
          Name: test
          Predicates:
            -
              DataId:
               Ref: "Whitelist"
              Negated: false
              Type: "IPMatch"

    MyWebACLAssociation:
          Type: "AWS::WAFRegional::WebACLAssociation"
          Properties:
            ResourceArn: arn:aws:elasticloadbalancing:us-east-2:123456789012:listener/app/my-load-balancer/1234567890123456/1234567890123456
            WebACLId:
              Ref: WafAcldev
    Whitelist:
        Type: AWS::WAF::IPSet
        Condition: CreateDEVResources
        Properties:
          Name: "IPSet for Whitelisted IP adresses"
          IPSetDescriptors:
            -
             Type: "IPV4"
             Value: "213.126.223.11/32"
            -

Answer 3

Я обнаружил, что самый простой способ связать WebACL с ALB — просто использовать интерфейс командной строки AWS. В моем сценарии WebACL является общим ресурсом и, следовательно, принадлежит стеку CloudFormation, отличному от ALB. После развертывания стека ALB скрипт развертывания просто делает это...

      aws wafv2 associate-web-acl --web-acl-arn <WEB_ACL_ARN> --resource-arn <ALB_ARN>