View a markdown version of this page

快速创建 AWS WAF - AWS 网络安全经理

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

快速创建 AWS WAF

借助 Quick Create，您可以在单个指导式工作流程中定义和部署 AWS WAF 保护。如果要在一个会话中设置从规则到部署的完整 Web ACL 保护，请使用 Quick Create。

要使用 Quick Create 定义和部署 AWS WAF 保护，请按顺序完成以下步骤。

创建策略并添加保护

  1. 打开 AWS 网络安全管理器控制台，网址为https://console.aws.amazon.com/network-security-manager/。

  2. 在导航窗格中，选择概述。

  3. 在 “概述” 页面的右上角，选择 “快速创建和部署”。“快速创建和部署” 页面将显示多个窗格。

  4. 在策略详细信息窗格中，为名称输入策略名称。（可选）对于描述，输入描述。

  5. 在 “定义保护” 窗格中，选择要使用的防火墙类型。选择 AWS WAF。将出现 “模板和规则” 子窗格，您可以在其中添加规则或模板。

  6. 要添加规则，请选择添加或管理规则。在出现的窗口中，对于 “选择规则类型”，选择以下选项之一：

    • AWS 托管规则-该表显示了 AWS WAF 支持的所有 AWS 托管规则。

    • 规则-该表显示了您拥有的 AWS WAF 规则组（ AWS 托管规则除外）。

    选中要添加到策略中的规则对应的复选框。然后选择添加规则。

  7. 要添加模板，请选择添加模板。在出现的 “添加模板” 窗口中，该表格显示了所有可用的模板。选择所需的模板以及要包含在策略中的版本。然后选择 “添加模板”。

配置策略

  1. 在 “模板和规则” 表格中查看您的选择。位置列中的整数决定了规则和模板的评估顺序。要更改评估顺序，请在 “位置” 列中选择位置值。使用箭头更改值。要接受更改，请选择确认。要恢复更改，请选择 “取消”。

  2. 在 “定义保护” 窗格的 “策略配置” 下，决定 AWS 网络安全管理器在目标范围内自动执行的操作：

    • 修复会将定义的策略应用于其安全状态与 AWS 网络安全管理器中描述的所需状态不同步的所有资源。

    • 资源清理会在删除部署或帐户或资源超出范围时删除 AWS Network Security Manager 为该资源创建的防火墙。

    • 现有客户 WebACL 解决方案决定了如何解决您正在定义的策略与可能已部署的策略之间的冲突。从菜单中选择以下选项之一：

      • 任何补救措施都不会跳过对任何已有 Web ACL 的资源的修复。

      • 覆盖关联将现有的 Web ACL 替换为 AWS 网络安全管理员创建的 Web ACL。

      • Retrofit 将其规则改造到每个现有的 Web ACL 上，并保持 Web ACL 与资源相关联。

  3. 在策略优先级窗格中，设置优先级。 AWS 网络安全管理器根据策略的优先级评估策略以解决冲突。位置越低（整数越低）的优先级越高。要编辑优先级，请选择位置值。然后用箭头将其递增，或者直接输入一个值。要确认选择，请选择确认。要放弃更改，请选择 “取消”。

要设置范围

  1. 在设置范围窗格中，定义策略适用的资产集。在范围名称中，输入一个名称。（可选）对于描述，输入描述。

  2. Multi-account 仅限模式

    此步骤仅适用于多账户模式。在多账户模式下，使用账户和组织单位选择子窗格来选择要包含或排除哪些账户或组织单位。在单账户模式下，此子窗格不会出现在控制台中，因此请跳过此步骤。

    在账户和组织单位选择子窗格中，选择以下选项之一：

    • 范围涵盖整个 AWS 组织。无需进一步定义。

    • 范围涵盖整个 AWS 组织，但不包括特定的 OU 和账户。将出现 “组织单位” 子窗格和 “帐户” 子窗格。要排除组织单位，请选择添加 OU。在组织树中选择组织单位，然后选择添加 OU。要排除个人账户，请选择添加账户。在组织树中选择帐户，然后选择添加帐户。

    • 不要将范围扩大到整个 AWS 组织，而只包括特定的 OU 和账户。使用相同的 “添加 OU” 和 “添加帐户” 机制来包含所需的组织单位和帐户。

  3. 在资源子窗格中，对于资源类型，选择所有或特定的 AWS WAF 资源类型。这些选项是以下一个或多个选项：

    • 应用程序负载均衡器

    • 亚马逊 API Gateway REST API

    • CloudFront 分配

    CloudFront 区域要求

    要保护CloudFront 分销资源，请使用美国东部（弗吉尼亚北部）区域 (us-east-1)。

    全球和区域资源类型

    您可以选择全球资源类型（CloudFront 分配）或区域资源类型（Application Loa d Balancer 和 Amazon API Gateway REST API），但不能同时选择两者。选择资源类型后，更新配置时无法在CloudFront 分发资源类型和区域资源类型之间切换。

    非托管资源 CloudFront

    AWS Network Security Manager 不管理使用 CloudFront统一费率定价计划或 CloudFront 分期分配的 CloudFront 分配。这些资源显示为不同步。

  4. 对于每种选定的资源类型，请选择以下互斥选项之一：

    • 包含所有资源

    • 包括特定资源

    • 排除特定资源

  5. 如果您选择 “包括特定资源”，请选择以下表达式类型之一，然后构建适当的标签或 ARN 组合：

    • 单一标准

    • 匹配所有条件 (AND)

    • 匹配任何标准 (OR)

    • 不是

    所有资源类型都有标签和 ARN 包含标准。如果选择 “标签”，请输入密钥和可选值。您可以识别多个标签。如果您的资源类型是 App lication Load Balancer，则会显示其他配置标准。在 “配置” 中，选择一个方案，其中包含选项Internet-facing或 “内部”。

查看和部署策略

  1. 在查看和部署窗格中，在部署名称中输入名称。（可选）对于描述，输入描述。要确定您的部署内容是否对组织中的其他账户可见，请选择为此部署启用跨账户可见性。

  2. （可选）要向资源添加标签，请选择添加新标签，然后输入密钥和可选值组合。

  3. 要运行您定义的内容，请选择创建并部署。该过程完成后，将出现 “部署” 页面，您可以在其中查看已创建内容的详细信息。

部署可能会产生费用

部署创建网络安全服务并将其附加到受保护的资源。 AWS 网络安全管理器对受保护的资源收费。安全服务本身会保护资源，这会产生额外费用。在部署之前，请查看AWS 网络安全管理器定价页面和 AWS WAF 定价页面。