Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Verwaltung von Web-ACLs für AWS WAF
Mit AWS Network Security Manager können Sie AWS WAF-Web-Zugriffskontrolllisten (Web-ACLs) für Konten und Ressourcen in Ihrem Unternehmen zentral konfigurieren und bereitstellen. Sie können AWS Network Security Manager-Regeln für AWS WAF definieren, sie in Schutzvorlagen gruppieren und sie mithilfe von AWS Network Security Manager-Richtlinien und -Bereitstellungen in großem Umfang durchsetzen.
## AWS WAF-Konzepte
Die folgenden Konzepte sind spezifisch für die Verwendung von AWS Network Security Manager mit AWS WAF. Weitere Informationen zur Funktionsweise von AWS Network Security Manager finden Sie unter[Wie AWS Network Security Manager funktioniert](concepts.md).
### AWS WAF-Regeltypen
Für AWS WAF gibt es zwei Arten von Regeln:
+ **INSPEKTION** — Enthält eine Regelgruppendefinition mit `PreProcessFirewallManagerRuleGroups` (Regeln, die vor kundendefinierten Regeln ausgeführt werden) oder `PostProcessFirewallManagerRuleGroups` (Regeln, die danach ausgeführt werden).
+ **KONFIGURATION** — Enthält eine einzige Web-ACL-Konfigurationseinstellung. Die Konfigurations-JSON muss genau einen Schlüssel der obersten Ebene enthalten, der einer unterstützten Einstellung entspricht (z. B. `Description` `DefaultAction``VisibilityConfig`,`LoggingConfiguration`,`CaptchaConfig`,,`ChallengeConfig`,`CustomResponseBodies`,`DataProtectionConfig`,`AssociationConfig`, `OnSourceDDoSProtectionConfig``TokenDomains`, oder`MonetizationConfig`).
Die meisten Web-ACL-Konfigurationseinstellungen entsprechen den Parametern des AWS WAF-Vorgangs`CreateWebACL`. Weitere Informationen zu diesen Einstellungen und ihren Definitionen finden Sie unter [CreateWebACL](https://docs.aws.amazon.com/waf/latest/APIReference/API_CreateWebACL.html) in der *AWS WAF-API-Referenz*.
Die Ausnahme ist`LoggingConfiguration`, was Sie separat konfigurieren. Weitere Informationen finden Sie unter [Protokollieren des ACL-Datenverkehrs](#managing-waf-logging).
### AWS Zusammenführung von WAF-Richtlinien
Für AWS WAF verwendet jede Konfigurationseinstellung eine der folgenden Zusammenführungsstrategien:
SingleValue
Einstellungen, die nur einen Wert haben können. Die Richtlinie mit der höchsten Priorität gewinnt. Prioritätswerte sind einzigartig, sodass zwei Richtlinien nicht unterschiedliche Werte mit derselben Priorität definieren können. Weitere Informationen darüber, wie AWS Network Security Manager Prioritäten löst, finden Sie unter[Priority-based Zusammenführung von Richtlinien](concepts.md#concepts-priority). Die folgenden Einstellungen verwenden SingleValue:`DefaultAction`,`VisibilityConfig`,`CaptchaConfig`,`ChallengeConfig`,`OnSourceDDoSProtectionConfig`, `LoggingConfiguration``MonetizationConfig`, und`Description`.
Anhängen (und AppendAndSort)
Einträge aus allen Richtlinien werden in der Reihenfolge ihrer Priorität an die Liste angehängt. `TokenDomains`und `DataProtectionConfig.DataProtections` verwenden Sie Append. `PreProcessFirewallManagerRuleGroups`und `PostProcessFirewallManagerRuleGroups` use AppendAndSort, wodurch Regelgruppen aus allen Richtlinien angehängt und nach Priorität sortiert werden. Die Reihenfolge ist wichtig, da die AWS WAF Regelgruppen sequentiell auswertet.
Mischen von
Einträge aus allen Richtlinien werden unabhängig von ihrer Priorität zu einem einzigen Satz zusammengeführt. `CustomResponseBodies`und `AssociationConfig.RequestBody` verwenden Sie Merge.
Die Strategien Append AppendAndSort, Merge und Append entfernen doppelte Einträge. Wenn zwei Richtlinien zur identischen Konfiguration beitragen, behält AWS Network Security Manager den Eintrag aus der Richtlinie mit der höheren Priorität bei. Die tatsächliche Konfiguration enthält daher eine Kopie dieses Eintrags, nicht eine Kopie pro beitragender Richtlinie.
### Bestehende Web-ACL-Auflösung
Verwenden Sie die `existingCustomerWebACLResolution` Einstellung für eine AWS WAF-Richtlinie, um anzugeben, wie AWS Network Security Manager mit Ressourcen umgeht, die bereits über eine vom Kunden verwaltete Web-ACL verfügen:
+ `RETROFIT`— Aktualisieren Sie Ihre bestehende Web-ACL, um sie an die aktuelle Konfiguration anzupassen.
+ `OVERRIDE_ASSOCIATION`— Ordnen Sie der Ressource stattdessen eine von AWS Network Security Manager verwaltete Web-ACL zu.
+ `NO_REMEDIATION`— Korrigieren Sie nicht, wenn Ihre Web-ACL vorhanden ist.
### Protokollieren des ACL-Datenverkehrs
Sie steuern die Web-ACL-Protokollierung mit der `LoggingConfiguration` Einstellung in einer Richtlinie. AWS Network Security Manager wendet diese Einstellung mithilfe der AWS `PutLoggingConfiguration` WAF-Operation an. Sie können ein Protokollierungs-Ziel pro Web-ACL definieren. Weitere Informationen finden Sie [PutLoggingConfiguration](https://docs.aws.amazon.com/waf/latest/APIReference/API_PutLoggingConfiguration.html)in der *AWS WAF-API-Referenz*.
Jede in den Geltungsbereich fallende Web-ACL, die von der Richtlinie verwaltet wird, sendet ihre Protokolle an das in der Richtlinie angegebene Ziel. Auf diese Weise erhalten Sie eine zentralisierte Protokollierung aller Konten in Ihrer Organisation. Verwenden Sie es, um detaillierte Informationen über den Datenverkehr zu erhalten, den Ihre Web-ACLs unternehmensweit analysieren.
Für eine zentralisierte Protokollierung über mehrere Konten hinweg können Sie Protokolle an einen Amazon S3 S3-Bucket oder einen Amazon Data Firehose-Lieferstream senden. Für jeden Zieltyp ist eine zusätzliche Konfiguration erforderlich, die Sie abschließen müssen, bevor AWS Network Security Manager die AWS WAF-Protokollierung für Ihre Ressourcen und Konten verwalten kann. Der Zielname muss mit beginnen. `aws-waf-logs-`
Amazon Data Firehose
Erstellen Sie den Delivery Stream mit den folgenden Eigenschaften:
+ Mit Ihrem AWS Network Security Manager-Administratorkonto erstellt
+ Ein Name, der `aws-waf-logs-` beispielsweise mit beginnt `aws-waf-logs-network-security-manager-central`
+ Eine `PUT` Quelle
+ Erstellt in der Region, in der Sie tätig sind, oder in der Region USA Ost (Nord-Virginia), wenn Sie Logs für Amazon erfassen CloudFront
Bevor Sie den Delivery Stream verwenden, testen Sie ihn, um sicherzustellen, dass er über einen ausreichenden Durchsatz für die Logs Ihrer Organisation verfügt. Weitere Informationen finden Sie unter [Creating a Amazon Data Firehose Delivery Stream](https://docs.aws.amazon.com/firehose/latest/dev/basic-create.html) im *Amazon Data Firehose Developer Guide*.
Amazon S3
Erstellen Sie den Bucket gemäß der Amazon S3 S3-Anleitung im *AWS WAF Developer Guide*. Sie müssen den Bucket auch mit den Berechtigungen konfigurieren, die es der Protokollzustellung ermöglichen, in ihn zu schreiben. Die folgende Bucket-Richtlinie gewährt diese Berechtigungen.
```
{
"Version":"2012-10-17",
"Id": "AWSLogDeliveryForNetworkSecurityManager",
"Statement": [
{
"Sid": "AWSLogDeliveryAclCheckNetworkSecurityManager",
"Effect": "Allow",
"Principal": {
"Service": "delivery.logs.amazonaws.com"
},
"Action": "s3:GetBucketAcl",
"Resource": "arn:aws:s3:::aws-waf-logs-{{bucket-suffix}}"
},
{
"Sid": "AWSLogDeliveryWriteNetworkSecurityManager",
"Effect": "Allow",
"Principal": {
"Service": "delivery.logs.amazonaws.com"
},
"Action": "s3:PutObject",
"Resource": "arn:aws:s3:::aws-waf-logs-{{bucket-suffix}}/{{policy-id}}/AWSLogs/*",
"Condition": {
"StringEquals": {
"s3:x-amz-acl": "bucket-owner-full-control"
}
}
}
]
}
```
{{bucket-suffix}}Ersetzen Sie es durch Ihr eigenes Bucket-Namensuffix und {{policy-id}} ersetzen Sie es durch die ID Ihrer Richtlinie.
**CloudWatch Logs unterstützt nur die Verwendung eines einzelnen Kontos**
Wenn Sie AWS Network Security Manager für mehrere Konten verwenden, können Sie keine Amazon CloudWatch Logs-Protokollgruppe als Protokollierungsziel verwenden. Die Protokollgruppe muss sich im selben AWS Konto und in derselben Region wie die Web-ACL befinden. Verwenden Sie für Bereitstellungen mit mehreren Konten stattdessen einen Amazon S3 S3-Bucket oder einen Amazon Data Firehose-Lieferstream.