Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
# Gestion des ACL Web pour AWS WAF
Avec AWS Network Security Manager, vous configurez et déployez de manière centralisée les listes de contrôle d'accès Web (ACL Web) AWS WAF sur les comptes et les ressources de votre organisation. Vous pouvez définir des règles AWS Network Security Manager pour le AWS WAF, les regrouper dans des modèles de protection et les appliquer à grande échelle grâce aux politiques et aux déploiements de AWS Network Security Manager.
## AWS Concepts du WAF
Les concepts suivants sont spécifiques à l'utilisation de AWS Network Security Manager avec AWS WAF. Pour plus d'informations sur le fonctionnement de AWS Network Security Manager, consultez[Comment ? AWS Network Security Manager fonctionne](concepts.md).
### AWS Types de règles WAF
Pour AWS WAF, une règle est de deux types :
+ **INSPECTION** — Contient une définition de groupe de règles utilisant `PreProcessFirewallManagerRuleGroups` (règles exécutées avant les règles définies par le client) ou `PostProcessFirewallManagerRuleGroups` (règles exécutées après).
+ **CONFIGURATION** — Contient un seul paramètre de configuration ACL Web. Le JSON de configuration doit contenir exactement une clé de niveau supérieur correspondant à un paramètre pris en charge (par exemple `Description` `DefaultAction` `VisibilityConfig` `LoggingConfiguration``CaptchaConfig`,,`ChallengeConfig`,`CustomResponseBodies`,`DataProtectionConfig`,`AssociationConfig`, `OnSourceDDoSProtectionConfig``TokenDomains`, ou`MonetizationConfig`).
La plupart des paramètres de configuration ACL Web correspondent aux paramètres de l'`CreateWebACL`opération AWS WAF. Pour plus d'informations sur ces paramètres et leurs définitions, consultez la section [CreateWebACL](https://docs.aws.amazon.com/waf/latest/APIReference/API_CreateWebACL.html) dans la *référence de l'API AWS WAF*.
L'exception est `LoggingConfiguration` que vous configurez séparément. Pour plus d’informations, consultez [Journalisation du trafic ACL Web](#managing-waf-logging).
### AWS Fusion des politiques du WAF
Pour AWS WAF, chaque paramètre de configuration utilise l'une des stratégies de fusion suivantes :
SingleValue
Réglages ne pouvant avoir qu'une seule valeur. La politique la plus prioritaire l'emporte. Les valeurs de priorité étant uniques, deux politiques ne peuvent pas définir des valeurs différentes avec la même priorité. Pour plus d'informations sur la façon dont AWS Network Security Manager résout les problèmes de priorité, consultez[Priority-based fusion de politiques](concepts.md#concepts-priority). Les paramètres suivants utilisent SingleValue : `DefaultAction``VisibilityConfig`,`CaptchaConfig`,`ChallengeConfig`,`OnSourceDDoSProtectionConfig`,`LoggingConfiguration`,`MonetizationConfig`, et`Description`.
Ajouter (et AppendAndSort)
Les entrées de toutes les politiques sont ajoutées à la liste par ordre de priorité. `TokenDomains`et `DataProtectionConfig.DataProtections` utilisez Ajouter. `PreProcessFirewallManagerRuleGroups`et `PostProcessFirewallManagerRuleGroups` use AppendAndSort, qui ajoute des groupes de règles à toutes les politiques et les trie par priorité. L'ordre est important car le AWS WAF évalue les groupes de règles de manière séquentielle.
Fusionner
Les entrées de toutes les politiques sont fusionnées en un seul ensemble, quelle que soit leur priorité. `CustomResponseBodies`et `AssociationConfig.RequestBody` utilisez Merge.
Les stratégies Ajouter et Fusionner suppriment les doublons. AppendAndSort Lorsque deux politiques fournissent une configuration identique, AWS Network Security Manager conserve l'entrée de la stratégie de priorité la plus élevée. La configuration effective contient donc une copie de cette entrée, et non une copie par politique contributive.
### Résolution ACL Web existante
Utilisez le `existingCustomerWebACLResolution` paramètre d'une politique AWS WAF pour spécifier comment AWS Network Security Manager gère les ressources qui disposent déjà d'une ACL Web gérée par le client :
+ `RETROFIT`— Mettez à jour votre ACL Web existante pour l'aligner sur la configuration effective.
+ `OVERRIDE_ASSOCIATION`— Associez plutôt une ACL Web gérée par AWS Network Security Manager à la ressource.
+ `NO_REMEDIATION`— Ne corrigez pas si votre ACL Web existe.
### Journalisation du trafic ACL Web
Vous contrôlez la journalisation des ACL Web à l'aide du `LoggingConfiguration` paramètre d'une politique. AWS Network Security Manager applique ce paramètre à l'aide de l'`PutLoggingConfiguration`opération AWS WAF. Vous pouvez définir une destination de journalisation par liste ACL web. Pour plus d'informations, consultez [PutLoggingConfiguration](https://docs.aws.amazon.com/waf/latest/APIReference/API_PutLoggingConfiguration.html)la *référence de l'API AWS WAF*.
Chaque ACL Web intégrée gérée par la politique envoie ses journaux à la destination spécifiée par la politique. Cela vous permet de centraliser la journalisation entre les comptes de votre organisation. Utilisez-le pour obtenir des informations détaillées sur le trafic que vos ACL Web analysent à l'échelle de l'organisation.
Pour une journalisation centralisée sur plusieurs comptes, vous pouvez envoyer les journaux vers un compartiment Amazon S3 ou un flux de diffusion Amazon Data Firehose. Chaque type de destination nécessite une configuration supplémentaire, que vous devez effectuer avant que AWS Network Security Manager puisse gérer la journalisation AWS WAF sur l'ensemble de vos ressources et comptes concernés. Le nom de destination doit commencer par`aws-waf-logs-`.
Amazon Data Firehose
Créez le flux de diffusion avec les caractéristiques suivantes :
+ Créé à l'aide de votre compte administrateur AWS Network Security Manager
+ Un nom commençant par`aws-waf-logs-`, par exemple `aws-waf-logs-network-security-manager-central`
+ Une `PUT` source
+ Créé dans la région où vous exercez vos activités, ou dans la région de l'est des États-Unis (Virginie du Nord) si vous capturez des journaux pour Amazon CloudFront
Avant d'utiliser le flux de diffusion, testez-le pour vérifier qu'il dispose d'un débit suffisant pour les journaux de votre organisation. Pour plus d'informations, consultez la section [Création d'un flux de diffusion Amazon Data Firehose](https://docs.aws.amazon.com/firehose/latest/dev/basic-create.html) dans le manuel du développeur *Amazon Data Firehose*.
Amazon S3
Créez le compartiment en suivant les instructions Amazon S3 du *guide du développeur AWS WAF*. Vous devez également configurer le compartiment avec les autorisations permettant à la livraison du journal d'y écrire. La politique de compartiment suivante accorde ces autorisations.
```
{
"Version":"2012-10-17",
"Id": "AWSLogDeliveryForNetworkSecurityManager",
"Statement": [
{
"Sid": "AWSLogDeliveryAclCheckNetworkSecurityManager",
"Effect": "Allow",
"Principal": {
"Service": "delivery.logs.amazonaws.com"
},
"Action": "s3:GetBucketAcl",
"Resource": "arn:aws:s3:::aws-waf-logs-{{bucket-suffix}}"
},
{
"Sid": "AWSLogDeliveryWriteNetworkSecurityManager",
"Effect": "Allow",
"Principal": {
"Service": "delivery.logs.amazonaws.com"
},
"Action": "s3:PutObject",
"Resource": "arn:aws:s3:::aws-waf-logs-{{bucket-suffix}}/{{policy-id}}/AWSLogs/*",
"Condition": {
"StringEquals": {
"s3:x-amz-acl": "bucket-owner-full-control"
}
}
}
]
}
```
{{bucket-suffix}}Remplacez-le par votre propre suffixe de nom de compartiment et remplacez-le {{policy-id}} par l'ID de votre politique.
**CloudWatch Logs ne prend en charge que l'utilisation d'un seul compte**
Si vous utilisez AWS Network Security Manager sur plusieurs comptes, vous ne pouvez pas utiliser un groupe de CloudWatch journaux Amazon Logs comme destination de journalisation. Le groupe de journaux doit se trouver dans le même AWS compte et dans la même région que l'ACL Web. Pour les déploiements multicomptes, utilisez plutôt un compartiment Amazon S3 ou un flux de diffusion Amazon Data Firehose.