AWS マネージドルールのリリース候補デプロイ - AWS WAF、 AWS Firewall Manager、および AWS Shield Advanced

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS マネージドルールのリリース候補デプロイ

AWS マネージドルールグループのルール変更候補セットがある場合は、一時的なリリース候補デプロイメントでそれらをテストします。 AWS 本番環境のトラフィックに対してカウントモードで候補ルールを評価し、誤検出の軽減を含む最終的な調整作業を行います。 AWS テストでは、デフォルトバージョンのルールグループを使用するすべての顧客を対象に、この方法で候補ルールをリリースします。リリース候補のデプロイは、ルールグループの静的バージョンを使用するお客様には適用されません。

デフォルトバージョンを使用する場合、リリース候補のデプロイは、ルールグループによるウェブトラフィックの管理方法を変更しません。候補ルールがテストされている間、次のことに気づくかもしれません。

  • デフォルトバージョン名が Default (using Version_X.Y) から Default (using Version_X.Y_PLUS_RC_COUNT) に変更された。

  • CloudWatch RC_COUNT名前にが付いているAmazonのその他のカウントメトリックス。これらはリリース候補ルールによって生成されます。

AWS リリース候補を約 1 週間テストしてから削除し、デフォルトバージョンを現在推奨されている静的バージョンにリセットします。

AWS リリース候補のデプロイメントに対して以下のステップを実行します。

  1. リリース候補の作成 — 現在推奨されている静的バージョン、 AWS つまりデフォルトが指しているバージョンに基づいてリリース候補を追加します。

    リリース候補の名前は、静的バージョン名に _PLUS_RC_COUNT が付加されたものです。例えば、現在推奨されている静的バージョンが Version_2.1 である場合、リリース候補の名前は Version_2.1_PLUS_RC_COUNT になります。

    リリース候補には次のルールが含まれています。

    • ルール設定を変更せずに、現在推奨されている静的バージョンから正確にコピーされたルール。

    • ルールアクションが Count に設定され、名前が _RC_COUNT で終わる候補の新しいルール。

      ほとんどの候補ルールは、ルールグループに既に存在するルールに対して提案された改善を提供します。これらの各ルールの名前は、既存のルールの名前に _RC_COUNT が付加されたものです。

  2. デフォルトバージョンをリリース候補に設定してテスト — AWS 新しいリリース候補を参照するようにデフォルトバージョンを設定し、本番環境のトラフィックに対してテストを実行します。通常、テストには約 1 週間かかります。

    デフォルトバージョンの名前が、静的バージョンのみを示すもの (Default (using Version_1.4) など) から、静的バージョンとリリース候補ルールを示すもの (Default (using Version_1.4_PLUS_RC_COUNT) など) に変更されます。この命名スキームにより、ウェブトラフィックの管理に使用している静的バージョンを特定できます。

    次の図は、この時点でのサンプルルールグループバージョンの状態を示しています。

    図の上部には、スタックされた静的バージョンが 3 つ表示され、Version_1.4 が一番上にあります。静的バージョンスのタックとは別に、Version_1.4_PLUS_RC_COUNT バージョンがあります。このバージョンには、Version_1.4 のルールが含まれており、RuleB_RC_COUNT と RuleZ_RC_COUNT の 2 つのリリース候補ルールも含まれ、どちらもカウントアクションがあります。デフォルトのバージョンインジケータは Version_1.4_PLUS_RC_COUNT を指します。

    リリース候補ルールは常に Count アクションで設定されているため、ルールグループがウェブトラフィックを管理する方法が変更されることはありません。

    リリース候補ルールは、 AWS 動作の検証と誤検出の特定に使用する Amazon CloudWatch カウントメトリクスを生成します。 AWS 必要に応じて調整を行い、リリース候補のカウントルールの動作を調整します。

    リリース候補バージョンは静的バージョンではないため、静的ルールグループバージョンのリストから選択することはできません。デフォルトバージョンの仕様では、リリース候補バージョンの名前のみが表示されます。

  3. デフォルトバージョンを推奨の静的バージョンに戻す — リリース候補ルールをテストした後、 AWS デフォルトバージョンを現在の推奨静的バージョンに戻します。_PLUS_RC_COUNTデフォルトのバージョン名設定では末尾が削除され、 CloudWatch ルールグループはリリース候補ルールのカウントメトリックの生成を停止します。これはサイレント変更であり、デフォルトバージョンロールバックのデプロイとは異なります。

    次の図は、リリース候補のテストが完了した後のサンプルルールグループのバージョンの状態を示しています。

    これは典型的なバージョンの状態図です。Version_1.2、Version_1.3、および Version_1.4 の 3 つの静的バージョンがスタックされ、Version_1.4 が一番上に表示されます。Version_1.4 には、RuleA と RuleB という 2 つのルールがあり、どちらも稼働アクションがあります。デフォルトのバージョンインジケータは Version_1.4 を指します。
タイミングと通知

AWS ルールグループの改善をテストするために、必要に応じてリリース候補バージョンをデプロイします。

  • SNS — AWS デプロイの開始時に SNS 通知を送信します。通知には、リリース候補がテストされる推定時間が表示されます。テストが完了すると、2 AWS 回目の通知なしで、デフォルトを静的なバージョン設定に戻します。

  • 変更ログ — このタイプのデプロイでは、 AWS 変更ログや本ガイドの他の部分は更新されません。