Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Associa un AWS WAF ACL web con un pool di utenti

AWS WAF è un firewall per applicazioni Web. Con una AWS WAF lista di controllo degli accessi Web (Web ACL), puoi proteggere il tuo pool di utenti da richieste indesiderate all'interfaccia utente ospitata classica, all'accesso gestito e agli endpoint del servizio API Amazon Cognito. Una ACL Web offre un controllo granulare su tutte le richieste Web HTTPS a cui risponde il pool di utenti. Per ulteriori informazioni sulle ACL Web AWS WAF , consulta Gestione e utilizzo di una lista di controllo degli accessi Web (ACL Web) nella Guida per gli sviluppatori di AWS WAF .

Quando hai un ACL AWS WAF Web associato a un pool di utenti, Amazon Cognito inoltra le intestazioni e i contenuti selezionati non riservati delle richieste degli utenti a. AWS WAF AWS WAF ispeziona il contenuto della richiesta, la confronta con le regole che hai specificato nell'ACL web e restituisce una risposta ad Amazon Cognito. I componenti della richiesta inoltrati da Amazon Cognito AWS WAF dipendono dal tipo di richiesta. Per l'accesso gestito e l'interfaccia utente ospitata classica, Amazon Cognito non inoltra il corpo della richiesta. Per ulteriori informazioni, consulta Cose da sapere AWS WAF ACL web e Amazon Cognito.

Cose da sapere AWS WAF ACL web e Amazon Cognito

AWS WAF esamina le richieste ai seguenti endpoint.

È possibile configurare le regole nell'ACL Web con operazioni di regole Count (Conteggio), Allow (Consenti), Block (Blocca), oppure che presentano un CAPTCHA in risposta a una richiesta che corrisponde a una regola. Per ulteriori informazioni, consulta Regole personalizzate AWS WAF nella Guida per gli sviluppatori di AWS WAF . A seconda dell'operazione della regola, è possibile personalizzare la risposta che Amazon Cognito restituisce agli utenti.

Content-Security-Policy sulle risposte personalizzate ai blocchi

Se la risposta ai blocchi personalizzata si basa su script, questa politica può influire sul suo comportamento. Quando una regola ACL Web restituisce una risposta di blocco personalizzata all'accesso gestito o alla classica interfaccia utente ospitata, Amazon Cognito aggiunge Content-Security-Policy un'intestazione (CSP) a tale risposta. Il CSP è un meccanismo di sicurezza del browser che limita gli script e le altre risorse che una pagina può caricare. La politica limita la risposta come segue:

Qualsiasi altro script in linea e qualsiasi script ospitato su un dominio diverso dal dominio del pool di utenti non viene eseguito. Ciò include uno script utilizzato da un corpo di risposta personalizzato per reindirizzare l'utente, inviare un modulo o inviare una richiesta di rete.

Se la risposta personalizzata deve reindirizzare l'utente, restituisci un codice di stato HTTP 3xx e un'Locationintestazione anziché un reindirizzamento basato su script. Questo modello non dipende dall'esecuzione dello script e non è influenzato dal CSP.

Questo comportamento si applica a tutti i Regioni AWS casi in cui è possibile associare un ACL Web a un pool di utenti.

Codici di stato nelle risposte ai blocchi personalizzate

Amazon Cognito non restituisce i codici di 5xx stato delle risposte ai blocchi AWS WAF personalizzate. Quando una regola Web ACL restituisce una risposta di blocco personalizzata con un codice di stato pari o superiore a 500, Amazon Cognito risponde invece con 403 (Forbidden) un codice di stato. La risposta include ancora le intestazioni e il corpo della risposta personalizzata. Questo comportamento si applica come segue:

Associazione di una ACL Web al pool di utenti

Per utilizzare un ACL Web nel tuo pool di utenti, il tuo principale AWS Identity and Access Management (IAM) deve disporre dei seguenti Amazon Cognito AWS WAF e delle autorizzazioni seguenti. Per informazioni sulle AWS WAF autorizzazioni, consulta le autorizzazioni AWS WAF API nella Guida per gli sviluppatori.AWS WAF

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Sid": "AllowWebACLUserPool",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:ListResourcesForWebACL",
				"cognito-idp:GetWebACLForResource",
				"cognito-idp:AssociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		},
		{
			"Sid": "AllowWebACLUserPoolWAFv2",
			"Effect": "Allow",
			"Action": [
				"wafv2:ListResourcesForWebACL",
				"wafv2:AssociateWebACL",
				"wafv2:DisassociateWebACL",
				"wafv2:GetWebACLForResource"
			],
			"Resource": "arn:aws:wafv2:*:123456789012:*/webacl/*/*"
		},
		{
			"Sid": "DisassociateWebACL1",
			"Effect": "Allow",
			"Action": "wafv2:DisassociateWebACL",
			"Resource": "*"
		},
		{
			"Sid": "DisassociateWebACL2",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:DisassociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		}
	]
}

Sebbene sia necessario concedere le autorizzazioni IAM, le azioni elencate riguardano solo le autorizzazioni e non corrispondono a nessuna operazione API.

Per associare a livello di codice un ACL Web al tuo pool di utenti in AWS Command Line Interface o in un SDK, utilizza ACL dell'API. AssociateWeb AWS WAF Amazon Cognito non dispone di un'operazione API distinta che associ una lista ACL Web.

Test e registrazione AWS WAF ACL web

Quando imposti un'azione della regola su Count nell'ACL web, AWS WAF aggiunge la richiesta a un conteggio di richieste che corrispondono alla regola. Per testare una ACL Web con il pool di utenti, impostare le operazioni delle regole su Count (Conteggio) e considerare il volume di richieste che corrispondono a ciascuna regola. Ad esempio, se una regola che desideri impostare sull'operazione Block (Blocca) corrisponde a un gran numero di richieste che si ritiene sia un normale traffico utente, potrebbe essere necessario riconfigurare la regola. Per ulteriori informazioni, consulta Testare e ottimizzare AWS WAF le protezioni nella Guida per gli AWS WAF sviluppatori.

Puoi anche configurare AWS WAF per registrare le intestazioni delle richieste in un gruppo di log di Amazon CloudWatch Logs, un bucket Amazon Simple Storage Service (Amazon S3) o un Amazon Data Firehose. Puoi identificare le richieste Amazon Cognito effettuate con l'API dei pool di utenti tramite x-amzn-cognito-client-id e x-amzn-cognito-operation-name. Le richieste di accesso gestite includono solo l'intestazione. x-amzn-cognito-client-id Per ulteriori informazioni, consulta Registrazione del traffico ACL Web nella Guida per gli sviluppatori di AWS WAF .

AWS WAF gli ACL web sono disponibili in tutti i piani di funzionalità del pool di utenti. Le funzionalità di sicurezza AWS WAF completano la protezione dalle minacce di Amazon Cognito. È possibile attivare entrambe le caratteristiche in un pool di utenti. AWS WAF fattura separatamente per l'ispezione delle richieste del pool di utenti. Per ulteriori informazioni, consulta AWS WAF Prezzi.

I dati della AWS WAF richiesta di registrazione sono soggetti a una fatturazione aggiuntiva da parte del servizio a cui vengono indirizzati i log. Per ulteriori informazioni, consulta Prezzi per la registrazione delle informazioni sul traffico ACL web nella Guida per gli sviluppatori di AWS WAF .