As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
# Gerenciando ACLs da web para AWS WAF
Com o AWS Network Security Manager, você configura e implanta centralmente as listas de controle de acesso à web (ACLs da web) do AWS WAF em todas as contas e recursos da sua organização. Você pode definir as regras do AWS Network Security Manager para o AWS WAF, agrupá-las em modelos de proteção e aplicá-las em grande escala por meio de políticas e implantações do AWS Network Security Manager.
## AWS Conceitos do WAF
Os conceitos a seguir são específicos para usar o AWS Network Security Manager com o AWS WAF. Para obter mais informações sobre como o AWS Network Security Manager funciona, consulte[Como AWS O Network Security Manager funciona](concepts.md).
### AWS Tipos de regras do WAF
Para o AWS WAF, uma regra é de dois tipos:
+ **INSPEÇÃO** — Contém uma definição de grupo de regras usando `PreProcessFirewallManagerRuleGroups` (regras que são executadas antes das regras definidas pelo cliente) ou `PostProcessFirewallManagerRuleGroups` (regras que são executadas depois).
+ **CONFIGURAÇÃO** — Contém uma única configuração de ACL da web. O JSON de configuração deve conter exatamente uma chave de nível superior correspondente a uma configuração compatível (por exemplo`Description`,`DefaultAction`,`VisibilityConfig`,`LoggingConfiguration`,`CaptchaConfig`,`ChallengeConfig`,`CustomResponseBodies`,,`DataProtectionConfig`, `AssociationConfig` `OnSourceDDoSProtectionConfig``TokenDomains`, ou`MonetizationConfig`).
A maioria das configurações da Web ACL corresponde aos parâmetros da operação do AWS WAF. `CreateWebACL` Para obter mais informações sobre essas configurações e suas definições, consulte [CreateWebACL na Referência](https://docs.aws.amazon.com/waf/latest/APIReference/API_CreateWebACL.html) da *API AWS WAF*.
A exceção é`LoggingConfiguration`, que você configura separadamente. Para obter mais informações, consulte [Log de tráfego da web ACL](#managing-waf-logging).
### AWS Fusão de políticas do WAF
Para o AWS WAF, cada configuração usa uma das seguintes estratégias de mesclagem:
SingleValue
Configurações que podem ter somente um valor. A política de maior prioridade vence. Os valores de prioridade são exclusivos, portanto, duas políticas não podem definir valores diferentes na mesma prioridade. Para obter mais informações sobre como o AWS Network Security Manager resolve a prioridade, consulte[Priority-based fusão de políticas](concepts.md#concepts-priority). As configurações a seguir usam SingleValue: `DefaultAction` `VisibilityConfig``CaptchaConfig`,`ChallengeConfig`,`OnSourceDDoSProtectionConfig`,`LoggingConfiguration`,`MonetizationConfig`,, `Description` e.
Anexar (e) AppendAndSort
As entradas de todas as políticas são anexadas à lista em ordem de prioridade. `TokenDomains`e `DataProtectionConfig.DataProtections` use Append. `PreProcessFirewallManagerRuleGroups`e `PostProcessFirewallManagerRuleGroups` use AppendAndSort, que acrescenta grupos de regras de todas as políticas e os classifica por prioridade. A ordem é importante porque o AWS WAF avalia grupos de regras sequencialmente.
Mesclar
As entradas de todas as políticas se mesclam em um único conjunto, independentemente da prioridade. `CustomResponseBodies`e `AssociationConfig.RequestBody` use Merge.
As estratégias Anexar AppendAndSort, e Mesclar removem entradas duplicadas. Quando duas políticas contribuem com uma configuração idêntica, o AWS Network Security Manager mantém a entrada da política de maior prioridade. Portanto, a configuração efetiva contém uma cópia dessa entrada, não uma cópia por política de contribuição.
### Resolução de ACL da web existente
Use a `existingCustomerWebACLResolution` configuração em uma política de AWS WAF para especificar como o AWS Network Security Manager lida com recursos que já têm uma Web ACL gerenciada pelo cliente:
+ `RETROFIT`— Atualize sua ACL da web existente para se alinhar à configuração efetiva.
+ `OVERRIDE_ASSOCIATION`— Em vez disso, associe uma ACL da web gerenciada pelo AWS Network Security Manager ao recurso.
+ `NO_REMEDIATION`— Não corrija se sua ACL da web existir.
### Log de tráfego da web ACL
Você controla o registro de ACL da web com a `LoggingConfiguration` configuração de uma política. AWS O Network Security Manager aplica essa configuração usando a `PutLoggingConfiguration` operação AWS WAF. É possível definir um destino de registro em log por ACL da Web. Para obter mais informações, consulte [PutLoggingConfiguration](https://docs.aws.amazon.com/waf/latest/APIReference/API_PutLoggingConfiguration.html)a *Referência da API AWS WAF*.
Cada ACL da web dentro do escopo que a política gerencia envia seus registros para o destino especificado pela política. Isso proporciona um registro centralizado em todas as contas da sua organização. Use-o para obter informações detalhadas sobre o tráfego que suas ACLs da web analisam em toda a organização.
Para o registro centralizado em várias contas, você pode enviar registros para um bucket do Amazon S3 ou para um stream de entrega do Amazon Data Firehose. Cada tipo de destino requer configuração adicional, que você deve concluir antes que o AWS Network Security Manager possa gerenciar o registro do AWS WAF em seus recursos e contas dentro do escopo. O nome do destino deve começar com`aws-waf-logs-`.
Amazon Data Firehose
Crie o fluxo de entrega com as seguintes características:
+ Criado usando sua conta de administrador do AWS Network Security Manager
+ Um nome que começa com`aws-waf-logs-`, por exemplo `aws-waf-logs-network-security-manager-central`
+ Uma `PUT` fonte
+ Criado na região em que você opera ou na região Leste dos EUA (Norte da Virgínia) se você capturar registros para a Amazon CloudFront
Antes de usar o stream de entrega, teste-o para confirmar se ele tem taxa de transferência suficiente para os registros da sua organização. Para obter mais informações, consulte [Criação de um stream de entrega do Amazon Data Firehose no Guia](https://docs.aws.amazon.com/firehose/latest/dev/basic-create.html) do desenvolvedor do *Amazon Data Firehose*.
Amazon S3
Crie o bucket seguindo as orientações do Amazon S3 no Guia do desenvolvedor do *AWS WAF*. Você também deve configurar o bucket com as permissões que permitem que a entrega do log grave nele. A política de bucket a seguir concede essas permissões.
```
{
"Version":"2012-10-17",
"Id": "AWSLogDeliveryForNetworkSecurityManager",
"Statement": [
{
"Sid": "AWSLogDeliveryAclCheckNetworkSecurityManager",
"Effect": "Allow",
"Principal": {
"Service": "delivery.logs.amazonaws.com"
},
"Action": "s3:GetBucketAcl",
"Resource": "arn:aws:s3:::aws-waf-logs-{{bucket-suffix}}"
},
{
"Sid": "AWSLogDeliveryWriteNetworkSecurityManager",
"Effect": "Allow",
"Principal": {
"Service": "delivery.logs.amazonaws.com"
},
"Action": "s3:PutObject",
"Resource": "arn:aws:s3:::aws-waf-logs-{{bucket-suffix}}/{{policy-id}}/AWSLogs/*",
"Condition": {
"StringEquals": {
"s3:x-amz-acl": "bucket-owner-full-control"
}
}
}
]
}
```
{{bucket-suffix}}Substitua pelo seu próprio sufixo de nome de bucket e {{policy-id}} substitua pelo ID da sua política.
**CloudWatch O Logs suporta somente o uso de uma única conta**
Se você usa o AWS Network Security Manager em várias contas, não pode usar um grupo de CloudWatch logs do Amazon Logs como destino de registro. O grupo de registros deve estar na mesma AWS conta e na mesma região da ACL da web. Para implantações com várias contas, use um bucket Amazon S3 ou um stream de entrega do Amazon Data Firehose em vez disso.