Alibaba Cloud Service Mesh:Coraza Wasm プラグインを使用して ASM イングレスゲートウェイで WAF を有効にする

仕組み

1. Coraza Wasm バイナリを OCI イメージとしてパッケージ化し、コンテナレジストリにプッシュします。

2. ASM ゲートウェイがイメージをプルできるように、Kubernetes Secret を作成します。

3. プラグインをゲートウェイの Envoy フィルターチェーンにロードし、SecRule ディレクティブを構成する WasmPlugin リソースを適用します。

4. ゲートウェイは、構成されたルールに対してすべてのインバウンドリクエストを評価し、拒否ルールに一致するリクエストに対して 403 Forbidden を返します。

前提条件

開始する前に、次のことを確認してください。

• Container Service for Kubernetes (ACK) クラスターが追加された ASM インスタンス v1.18 以降。詳細については、「ASM インスタンスへのクラスター追加」をご参照ください。

• 自動サイドカープロキシ注入が有効になっていること。詳細については、「グローバル名前空間の管理」をご参照ください。

• HTTPBin アプリケーションがデプロイされ、アクセス可能であること。詳細については、「HTTPBin アプリケーションのデプロイ」をご参照ください。

• イングレスゲートウェイがデプロイされていること。

• Container Registry Enterprise Edition インスタンス (OCI イメージをサポート)。詳細については、「Container Registry Enterprise Edition インスタンスの作成」をご参照ください。

• Docker がインストール済みであること。詳細については、「Docker の入手」をご参照ください。

Wasm プラグインのロード方法

ASM は、Wasm プラグインをロードする 3 つの方法をサポートしています。このチュートリアルでは、OCI イメージ方式を使用します。

ステップ 1: Coraza Wasm OCI イメージのビルドとプッシュ

ステップ 2: イメージプル用の Secret の作成

リポジトリは非公開であるため、ASM ゲートウェイが Wasm イメージをプルするには認証情報が必要です。レジストリ認証情報を含む Kubernetes Secret を作成します。

kubectl create secret docker-registry coraza-wasm-proxy \
  -n istio-system \
  --docker-server=<your-registry-endpoint>.cr.aliyuncs.com \
  --docker-username=<your-username> \
  --docker-password=<your-password>

Secret を検証します。

kubectl -n istio-system get secret coraza-wasm-proxy

ステップ 3: WasmPlugin リソースの適用

WasmPlugin リソースは、ロードするプラグイン、Envoy フィルターチェーンに挿入する場所、および構成方法を宣言します。

1. 次の内容で wasm-plugin.yaml という名前のファイルを作成します。次の表は主要フィールドを説明しています。この例では、default ディレクティブセットは Coraza ルールエンジンを有効にし、単一のルールを定義します。x-user-type ヘッダーが baned と等しいすべてのリクエストを拒否します。

   フィールド	説明
   spec.url	タグを含む OCI イメージアドレス。oci://、file://、および http[s]:// スキームをサポートします。
   spec.imagePullSecret	レジストリ認証情報を含む Kubernetes Secret の名前。
   spec.imagePullPolicy	イメージプルポリシー。
   spec.selector	このプラグインをロードするワークロードを決定するラベルセレクター。ここではイングレスゲートウェイをターゲットにします。
   spec.phase	フィルターチェーンにプラグインを挿入する場所。AUTHN は認証フィルターの前に配置するため、リクエストは可能な限り早く検査されます。
   spec.pluginConfig	Coraza 固有の構成。directives_map は SecRule 構文を使用して名前付きルールセットを定義します。default_directives は、デフォルトで適用するルールセットを指定します。

      apiVersion: extensions.istio.io/v1alpha1
      kind: WasmPlugin
      metadata:
        name: coraza-proxy-wasm
        namespace: istio-system
      spec:
        imagePullPolicy: IfNotPresent
        imagePullSecret: coraza-wasm-proxy
        selector:
          matchLabels:
            istio: ingressgateway
        url: oci://<your-registry-endpoint>.cr.aliyuncs.com/wasm/coraza-proxy-wasm:latest
        phase: AUTHN
        pluginConfig:
          directives_map:
            default:
              - "SecDebugLogLevel 9"
              - "SecRuleEngine On"
              - "SecRule REQUEST_HEADERS:x-user-type \"@streq baned\" \"id:101,phase:1,t:lowercase,deny,msg:'denied by header'\""
          default_directives: default

2. kubectl で ASM インスタンスに接続し、リソースを適用します。

      kubectl apply -f wasm-plugin.yaml

ステップ 4: WAF プラグインの検証

プラグインが機能していることを確認するために、許可されたリクエストとブロックされたリクエストの両方をテストします。

1. イングレスゲートウェイ経由で HTTPBin アプリケーションに通常のリクエストを送信します。<gateway-ip> をご利用のイングレスゲートウェイの IP アドレスに置き換えます。詳細については、「イングレスゲートウェイの IP アドレスの取得」をご参照ください。期待される結果: ゲートウェイは 200 OK を返します。

      curl -v http://<gateway-ip>/

      > GET / HTTP/1.1
      > Host: <gateway-ip>
      ...
      < HTTP/1.1 200 OK
      < server: istio-envoy
      ...

2. ブロックされたヘッダーを含むリクエストを送信します。期待される結果: ゲートウェイは 403 Forbidden を返します。403 応答は、Coraza WAF プラグインがアクティブであり、構成されたルールを適用していることを確認します。

      curl -v -H 'x-user-type: baned' http://<gateway-ip>/

      > GET / HTTP/1.1
      > Host: <gateway-ip>
      > x-user-type: baned
      ...
      < HTTP/1.1 403 Forbidden
      < server: istio-envoy
      ...