本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

將 AWS WAF Web ACL 與使用者集區建立關聯

AWS WAF 是 Web 應用程式防火牆。使用 AWS WAF Web 存取控制清單 (Web ACL)，您可以保護您的使用者集區免於對傳統託管 UI、受管登入和 Amazon Cognito API 服務端點提出不必要的請求。Web ACL 可讓您對使用者集區回應的所有 HTTPS Web 要求進行精細控制。如需有關 AWS WAF Web ACL 的詳細資訊，請參閱 AWS WAF 開發人員指南中的管理和使用 Web 存取控制清單 (Web ACL)。

當您有與使用者集區相關聯的 AWS WAF Web ACL 時，Amazon Cognito 會將來自使用者之所選非機密標頭和請求內容轉送至 AWS WAF。 會 AWS WAF 檢查請求的內容，將其與您在 Web ACL 中指定的規則進行比較，並將回應傳回給 Amazon Cognito。Amazon Cognito 轉送的請求元件 AWS WAF 取決於請求類型。對於受管登入和傳統託管 UI，Amazon Cognito 不會轉送請求內文。如需詳細資訊，請參閱AWS WAF Web ACLs 和 Amazon Cognito 的須知事項。

AWS WAF Web ACLs 和 Amazon Cognito 的須知事項

AWS WAF 會檢查對下列端點的請求。

您可使用 Count (計數)、Allow (允許)、Block (封鎖) 或顯示 CAPTCHA (驗證碼) 以回應與規則相符之請求的規則作業，來設定 Web ACL 中的規則。如需詳細資訊，請參閱《AWS WAF 開發人員指南》中的 AWS WAF 規則。依據規則動作，您可自訂 Amazon Cognito 傳回給使用者的回應。

自訂區塊回應上的 Content-Security-Policy

如果您的自訂區塊回應依賴指令碼，此政策可能會影響其行為。當 Web ACL 規則傳回自訂區塊回應至受管登入或傳統託管 UI 時，Amazon Cognito 會將 Content-Security-Policy (CSP) 標頭新增至該回應。CSP 是一種瀏覽器安全機制，可限制頁面可以載入哪些指令碼和其他資源。此政策會限制回應，如下所示：

不會執行任何其他內嵌指令碼，以及在使用者集區網域以外的網域上託管的任何指令碼。這包括自訂回應內文用來重新導向使用者、提交表單或傳送網路請求的指令碼。

如果您的自訂回應需要重新導向使用者，請傳回 HTTP 3xx 狀態碼和Location標頭，而不是以指令碼為基礎的重新導向。此模式不依賴於指令碼執行，也不受 CSP 影響。

此行為適用於 AWS 區域 您可以將 Web ACL 與使用者集區建立關聯的所有 。

自訂區塊回應中的狀態碼

Amazon Cognito 不會從 AWS WAF 自訂區塊回應傳回5xx狀態碼。當 Web ACL 規則傳回狀態碼為 500 或更高的自訂區塊回應時，Amazon Cognito 會改為使用403 (Forbidden)狀態碼回應。回應仍然包含自訂回應中的標頭和內文。此行為適用如下：

將 Web ACL 與您的使用者集區建立關聯

若要在使用者集區中使用 Web ACL，您的 AWS Identity and Access Management (IAM) 主體必須具有下列 Amazon Cognito 和 AWS WAF 許可。如需 AWS WAF 許可的相關資訊，請參閱《 AWS WAF 開發人員指南》中的 AWS WAF API 許可。

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Sid": "AllowWebACLUserPool",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:ListResourcesForWebACL",
				"cognito-idp:GetWebACLForResource",
				"cognito-idp:AssociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		},
		{
			"Sid": "AllowWebACLUserPoolWAFv2",
			"Effect": "Allow",
			"Action": [
				"wafv2:ListResourcesForWebACL",
				"wafv2:AssociateWebACL",
				"wafv2:DisassociateWebACL",
				"wafv2:GetWebACLForResource"
			],
			"Resource": "arn:aws:wafv2:*:123456789012:*/webacl/*/*"
		},
		{
			"Sid": "DisassociateWebACL1",
			"Effect": "Allow",
			"Action": "wafv2:DisassociateWebACL",
			"Resource": "*"
		},
		{
			"Sid": "DisassociateWebACL2",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:DisassociateWebACL"
			],
			"Resource": [
				"arn:aws:cognito-idp:*:123456789012:userpool/*"
			]
		}
	]
}

雖然您必須授予 IAM 許可，但列出的動作僅限許可，不會對應至任何 API 操作。

若要以程式設計方式將 Web ACL 與 AWS Command Line Interface 或 SDK 中的使用者集區建立關聯，請從 AWS WAF API 使用 AssociateWebACL。Amazon Cognito 沒有關聯 Web ACL 的單獨 API 操作。

測試和記錄 AWS WAF Web ACLs

當您將規則動作設定為 Web ACL 中的計數時， 會將請求 AWS WAF 新增至符合規則的請求計數。如要使用您的使用者集區測試 Web ACL，請將規則動作設定為 Count (計數)，並考慮與每個規則相符的請求量。例如，若您要設定為 Block (封鎖) 動作的規則與您確定為正常使用者流量的大量請求相符合，您可能需要重新設定您的規則。如需詳細資訊，請參閱《 開發人員指南》中的測試和調校您的 AWS WAF 保護。 AWS WAF

您也可以設定 AWS WAF 將請求標頭記錄到 Amazon CloudWatch Logs 日誌群組、Amazon Simple Storage Service (Amazon S3) 儲存貯體或 Amazon Data Firehose。您可透過 x-amzn-cognito-client-id 和 x-amzn-cognito-operation-name 識別您使用使用者集區 API 提出的 Amazon Cognito 請求。受管登入請求僅包含 x-amzn-cognito-client-id標頭。如需詳細資訊，請參閱《AWS WAF 開發人員指南》中的記錄 Web ACL 流量。

AWS WAF Web ACLs可在所有使用者集區功能計劃中使用。的安全功能可 AWS WAF 補充 Amazon Cognito 威脅防護。您可於使用者集區中啟動這兩項功能。 AWS WAF 會單獨用於檢查使用者集區請求的帳單。如需詳細資訊，請參閱AWS WAF 定價。

記錄 AWS WAF 請求資料需由您以日誌為目標的服務額外計費。如需詳細資訊，請參閱《AWS WAF 開發人員指南》中的記錄 Web ACL 流量資訊的定價。