Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Ordnen Sie einen zu AWS WAF Web-ACL mit einem Benutzerpool

AWS WAF ist eine Firewall für Webanwendungen. Mit einer AWS WAF Web-Zugriffskontrollliste (Web ACL) können Sie Ihren Benutzerpool vor unerwünschten Anfragen an Ihre klassische gehostete Benutzeroberfläche, verwaltete Anmeldung und Amazon Cognito API-Serviceendpunkte schützen. Eine Web-ACL ermöglicht eine differenziertere Kontrolle aller HTTPS-Webanforderungen, auf die Ihr Benutzerpool reagiert. Weitere Informationen zu AWS WAF -Web-ACLs finden Sie unter Verwalten und Verwenden von Web-Zugriffskontrolllisten (Web-ACL) im Entwicklerhandbuch zu AWS WAF .

Wenn Sie eine AWS WAF Web-ACL mit einem Benutzerpool verknüpft haben, leitet Amazon Cognito ausgewählte nicht vertrauliche Header und Inhalte von Anfragen Ihrer Benutzer an weiter. AWS WAF AWS WAF untersucht den Inhalt der Anfrage, vergleicht sie mit den Regeln, die Sie in Ihrer Web-ACL angegeben haben, und gibt eine Antwort an Amazon Cognito zurück. Die Anforderungskomponenten, an die Amazon Cognito weiterleitet, AWS WAF hängen von der Art der Anfrage ab. Bei verwalteter Anmeldung und der klassischen gehosteten Benutzeroberfläche leitet Amazon Cognito den Anfragetext nicht weiter. Weitere Informationen finden Sie unter Dinge, über die Sie Bescheid wissen sollten AWS WAF Web-ACLs und Amazon Cognito.

Dinge, über die Sie Bescheid wissen sollten AWS WAF Web-ACLs und Amazon Cognito

AWS WAF untersucht Anfragen an die folgenden Endpunkte.

Sie können die Regeln in Ihrer Web-ACL mit den Regelaktionen Count (Zählen), Allow (Zulassen) und Block (Blockieren) konfigurieren oder ein CAPTCHA als Antwort auf eine Anfrage anzeigen, die mit einer Regel übereinstimmt. Weitere Informationen finden Sie unter AWS WAF -Regeln im Entwicklerhandbuch zu AWS WAF . Abhängig von der Regelaktion können Sie die Antwort anpassen, die Amazon Cognito an Ihre Benutzer zurückgibt.

Content-Security-Policy bei benutzerdefinierten Blockantworten

Wenn Ihre benutzerdefinierte Blockantwort auf Skripten basiert, kann sich diese Richtlinie auf ihr Verhalten auswirken. Wenn eine Web-ACL-Regel eine benutzerdefinierte Blockantwort auf die verwaltete Anmeldung oder die klassische gehostete Benutzeroberfläche zurückgibt, fügt Amazon Cognito dieser Antwort einen Content-Security-Policy (CSP-) Header hinzu. CSP ist ein Browser-Sicherheitsmechanismus, der einschränkt, welche Skripte und andere Ressourcen eine Seite laden kann. Die Richtlinie schränkt die Antwort wie folgt ein:

Jedes andere Inline-Skript und jedes Skript, das auf einer anderen Domain als Ihrer Benutzerpool-Domain gehostet wird, wird nicht ausgeführt. Dazu gehört ein Skript, das ein benutzerdefinierter Antworttext verwendet, um den Benutzer umzuleiten, ein Formular zu senden oder eine Netzwerkanfrage zu senden.

Wenn Ihre benutzerdefinierte Antwort den Benutzer umleiten muss, geben Sie statt einer skriptbasierten Weiterleitung einen HTTP 3xx-Statuscode und einen Location Header zurück. Dieses Muster hängt nicht von der Ausführung des Skripts ab und wird auch nicht vom CSP beeinflusst.

Dieses Verhalten gilt überall AWS-Regionen dort, wo Sie eine Web-ACL einem Benutzerpool zuordnen können.

Statuscodes in benutzerdefinierten Blockantworten

Amazon Cognito gibt keine 5xx Statuscodes von AWS WAF benutzerdefinierten Blockantworten zurück. Wenn eine Web-ACL-Regel eine benutzerdefinierte Blockantwort mit einem Statuscode von 500 oder höher zurückgibt, antwortet Amazon Cognito stattdessen mit einem 403 (Forbidden) Statuscode. Die Antwort enthält weiterhin die Kopfzeilen und den Text Ihrer benutzerdefinierten Antwort. Dieses Verhalten gilt wie folgt:

Zuordnen einer Web-ACL zu Ihrem Benutzerpool

Um mit einer Web-ACL in Ihrem Benutzerpool arbeiten zu können, muss Ihr AWS Identity and Access Management (IAM-) Principal über die folgenden Amazon Cognito- und AWS WAF Berechtigungen verfügen. Informationen zu AWS WAF Berechtigungen finden Sie unter AWS WAF API-Berechtigungen im AWS WAF Entwicklerhandbuch.

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Sid": "AllowWebACLUserPool",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:ListResourcesForWebACL",
				"cognito-idp:GetWebACLForResource",
				"cognito-idp:AssociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		},
		{
			"Sid": "AllowWebACLUserPoolWAFv2",
			"Effect": "Allow",
			"Action": [
				"wafv2:ListResourcesForWebACL",
				"wafv2:AssociateWebACL",
				"wafv2:DisassociateWebACL",
				"wafv2:GetWebACLForResource"
			],
			"Resource": "arn:aws:wafv2:*:123456789012:*/webacl/*/*"
		},
		{
			"Sid": "DisassociateWebACL1",
			"Effect": "Allow",
			"Action": "wafv2:DisassociateWebACL",
			"Resource": "*"
		},
		{
			"Sid": "DisassociateWebACL2",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:DisassociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		}
	]
}

Sie müssen zwar IAM-Berechtigungen gewähren, aber die aufgelisteten Aktionen sind nur für Genehmigungen bestimmt und entsprechen keinem API-Vorgang.

Verwenden Sie ACL aus der API, um Ihrem Benutzerpool im AWS Command Line Interface oder einem SDK programmgesteuert eine AssociateWebWeb-ACL zuzuordnen. AWS WAF Amazon Cognito verfügt nicht über eine separaten API-Operation zum Zuordnen einer Web-ACL.

Testen und Protokollieren AWS WAF Web-ACLs

Wenn Sie eine Regelaktion in Ihrer Web-ACL auf Count setzen, wird die Anfrage zu einer Anzahl von Anfragen AWS WAF hinzugefügt, die der Regel entsprechen. Setzen Sie zum Testen einer Web-ACL mit Ihrem Benutzerpool die Regelaktionen auf Count (Zählen) und berücksichtigen Sie das Volumen der Anforderungen, die mit den einzelnen Regeln übereinstimmen. Wenn beispielsweise eine Regel, die Sie auf die Aktion Block (Blockieren) setzen möchten, mit einer großen Anzahl von Anforderungen übereinstimmt, die Sie als normalen Benutzerverkehr einstufen. müssen Sie Ihre Regel möglicherweise neu konfigurieren. Weitere Informationen finden Sie im AWS WAF Entwicklerhandbuch unter Testen und Optimieren Ihres AWS WAF Schutzes.

Sie können auch so konfigurieren AWS WAF , dass Anforderungsheader in einer Amazon CloudWatch Logs-Protokollgruppe, einem Amazon Simple Storage Service (Amazon S3) -Bucket oder einer Amazon Data Firehose protokolliert werden. Sie können die Amazon-Cognito-Anforderungen, die Sie mit der Benutzerpool-API vornehmen, anhand von x-amzn-cognito-client-id und x-amzn-cognito-operation-name identifizieren. Verwaltete Anmeldeanfragen enthalten nur den x-amzn-cognito-client-id Header. Weitere Informationen finden Sie unter Protokollieren des Web-ACL-Datenverkehrs im Entwicklerhandbuch zu AWS WAF .

AWS WAF Web-ACLs sind in allen Featureplänen für Benutzerpools verfügbar. Die Sicherheitsfunktionen von AWS WAF ergänzen den Bedrohungsschutz von Amazon Cognito. Sie können beide Funktionen in einem Benutzerpool aktivieren. AWS WAF berechnet die Überprüfung von Benutzerpool-Anforderungen separat. Weitere Informationen finden Sie unter AWS WAF  – Preise.

Die Protokollierung von AWS WAF Anforderungsdaten unterliegt einer zusätzlichen Abrechnung durch den Dienst, für den Sie Ihre Protokolle verwenden. Weitere Informationen finden Sie unter Preise für die Protokollierung von Web-ACL-Datenverkehrsinformationen im Entwicklerhandbuch zu AWS WAF .