Function Compute のカスタムドメイン名に対する WAF 保護の有効化 - Web Application Firewall

カスタムドメイン名にバインドされた Function Compute (FC) 関数を Web 攻撃から保護するには、Web Application Firewall (WAF) 保護を有効にします。このソリューションは、既存のネットワークアーキテクチャや DNS 設定を変更することなく、アプリケーションに低レイテンシーかつ高可用性の Web セキュリティ機能を提供します。

仕組み

Function Compute のカスタムドメイン名をクラウド製品と統合する場合、その統合は SDK 統合 を通じて実装されます。SDK はクラウド製品に組み込まれ、トラフィックの抽出、検出、保護を担当します。WAF はトラフィック転送に関与しないため、追加の転送レイヤーによって引き起こされる互換性や安定性の問題を回避できます。

適用範囲

お使いの Function Compute のカスタムドメイン名が以下の要件を満たさない場合は、代わりに CNAME 統合を使用してください。

アカウント要件：FC のカスタムドメイン名と WAF インスタンスは、同じ Alibaba Cloud アカウントに属している必要があります (エンタープライズアカウント間の一元管理が設定されているシナリオを除く)。
リージョン要件：WAF 保護は、China (Hangzhou)、China (Shanghai)、China (Beijing)、China (Zhangjiakou)、China (Shenzhen) リージョンにある FC のカスタムドメイン名に対してのみ有効にできます。

操作手順

コンソールへの移動：
Web Application Firewall 3.0 コンソールにログインします。上部メニューで、WAF インスタンスのリソースグループとリージョン ([中国本土]) を選択します。左側のナビゲーションウィンドウで、アクセス管理 をクリックします。クラウドプロダクトアクセス タブをクリックします。左側のクラウド製品タイプリストで、Function Compute (FC) を選択します。
クラウド製品の権限付与 (まだ権限を付与していない場合)：
画面の指示に従い、今すぐ許可する をクリックしてクラウド製品の権限付与を完了します。RAM コンソールの アイデンティティ > ロール ページに移動すると、作成されたサービスリンクロール AliyunServiceRoleForWAF を確認できます。
FC のカスタムドメイン名の統合：
1. アクセス をクリックします。Function Compute コンソールにリダイレクトされます。
2. 上部メニューで、リージョン China (Hangzhou)、China (Shanghai)、China (Beijing)、China (Zhangjiakou)、China (Shenzhen) を選択します。左側のナビゲーションウィンドウで、関数管理 > ドメイン名 を選択します。対象のカスタムドメイン名を探し、操作列の編集をクリックします。
3. カスタムドメイン名の変更 ページで、Web Application Firewall (WAF) を 有効化 に設定し、保存をクリックします。
  説明
  Function Compute でカスタムドメイン名を作成していない場合は、「カスタムドメインの設定」をご参照ください。
保護効果の検証：
ドメイン名 ページに戻ります。対象のカスタムドメイン名の Web Application Firewall (WAF) 列に 起動しました と表示されたら、統合は成功です。この時点で、ブラウザーにカスタムドメイン名と Web 攻撃コードを入力して検証します (例：<お使いのドメイン名>/alert(xss)、ここで alert(xss) はテスト用のクロスサイトスクリプティング攻撃コードです)。403 ブロックページが返された場合、攻撃は正常にブロックされ、WAF 保護が有効になっています。

次のステップ

保護ルールの表示と設定

統合が完了すると、WAF は自動的に -fc サフィックスを持つ保護対象を作成し、デフォルトでその保護対象の保護ルール (コア Web 保護モジュールのルールを含む) を有効にします。WAF コンソールの 保護設定 > 保護対象 ページで保護対象を確認できます。デフォルトの保護ルールがビジネス要件を満たさない場合は、保護ルールを作成または編集できます。詳細については、「保護設定の概要」をご参照ください。

統合のロールバック

WAF 保護の一時的な無効化：統合後に多数の誤検出などの問題が発生し、WAF 保護を一時的に無効にする必要がある場合は、WAF コンソールの 保護対象 ページに移動し、WAF 保護ステータス スイッチをオフにすることができます。詳細については、「WAF 保護を無効にする」をご参照ください。
統合の削除：WAF を使用して FC のカスタムドメイン名を保護する必要がなくなった場合は、Function Compute コンソールに移動し、関数管理 > ドメイン名 を選択し、対象のカスタムドメイン名を探し、操作列の編集をクリックします。カスタムドメイン名の変更 ページで、Web Application Firewall (WAF) を 無効化 に設定し、保存をクリックします。
重要
- 統合が削除されると、ビジネストラフィックは WAF によって保護されなくなり、セキュリティレポートに関連トラフィックの保護データが含まれなくなります。
- お使いの WAF インスタンスが従量課金制の場合、統合を削除した後はリクエスト処理料金は発生しません。ただし、WAF インスタンス自体およびその他の保護ルールにより、関数料金は引き続き発生します。WAF の使用を終了し、WAF の課金を停止したい場合は、「WAF サービスを解約する」をご参照ください。

クォータと制限

統合インスタンス数：WAF インスタンスの仕様で定められた上限数以下。
- サブスクリプション WAF インスタンス：Basic edition は最大 300、Advanced edition は最大 600、Enterprise edition は最大 2,500、Ultimate edition は最大 10,000。
- 従量課金 WAF インスタンス：最大 10,000。
サポートされていない機能：Function Compute を介して統合した保護対象では、Web サイト改ざん防止、機密データ保護、ボット管理、API セキュリティの機能はサポートされていません。

よくある質問

なぜ有効化スイッチは、Web Application Firewall (WAF) で利用できないのですか？

これは、FC のカスタムドメイン名が適用範囲を満たしていないためです。現在、クラウド製品統合方式による統合がサポートされているのは、特定の中国本土リージョンにあるカスタムドメイン名のみです。この統合方式を使用するには、統合用に 中国本土 の WAF インスタンスを購入するか、代わりに CNAME 統合を使用する必要があります。

WAF におけるクラウド製品統合と CNAME 統合の違いは何ですか？併用は可能ですか？

WAF は、クラウド製品統合と CNAME 統合の 2 つの統合方式をサポートしています。

クラウド製品統合 (このトピックで説明する方法)：アカウント内の Alibaba Cloud 製品インスタンスを迅速に統合するための方式です。
CNAME 統合：ドメイン名を統合するための方式です。この方法は幅広いシナリオに適用でき、アカウント間およびクラウド間のシナリオをサポートします。

2 つの方法を同時に使用することはできません。各ドメイン名は 1 つの統合方法のみを使用できます。設定が重複すると、トラフィック転送の競合が発生し、保護に失敗します。詳細については、「概要」をご参照ください。

仕組み