Web Application Firewall:クラウドネイティブ API Gateway インスタンスの WAF 保護の有効化

仕組み

クラウドネイティブ API Gateway は SDK 統合を使用します。SDK はクラウド製品に直接埋め込まれ、トラフィックを抽出、検出し、保護します。WAF はトラフィックを転送しないため、追加の転送レイヤーによる互換性や安定性の問題を回避できます。

適用範囲

ご利用の APIG インスタンスが以下の要件を満たさない場合は、代わりに CNAME 統合 を使用してください。

• アカウント要件：マルチアカウント管理機能が設定されていない限り、APIG と WAF のインスタンスは同じ Alibaba Cloud アカウントに属している必要があります。

• リージョン要件：WAF 保護は、中国 (杭州)、中国 (上海)、中国 (北京)、中国 (深セン)、中国 (ウランチャブ)、中国 (張家口)、中国 (青島)、中国 (成都)、中国 (香港)、シンガポール、インドネシア (ジャカルタ)、日本 (東京)、ドイツ (フランクフルト)、米国 (シリコンバレー)、および米国 (バージニア) のリージョンにある APIG インスタンスでのみ有効にできます。

操作手順

1. コンソールへのアクセス：

   Web Application Firewall 3.0 コンソールにログインします。トップメニューバーで、WAF インスタンスのリソースグループとリージョン (中国本土) を選択します。左側のナビゲーションウィンドウで、アクセス管理 をクリックします。クラウドプロダクトアクセス タブを選択し、左側のクラウド製品タイプリストで Cloud Native API Gateway (APIG） を選択します。

2. クラウド製品の承認 (初回のみ)：

   今すぐ許可する をクリックして権限付与を完了します。サービスリンクロール AliyunServiceRoleForWAF が作成され、RAM コンソールの アイデンティティ > ロール ページで確認できます。

3. Cloud Native API Gateway (APIG） インスタンスへの接続：

   1. アクセス をクリックします。ページが クラウドネイティブ API Gateway コンソールにリダイレクトされます。

   2. 左側のナビゲーションウィンドウで Instance をクリックします。次に、WAF 保護を有効にします。

      インスタンスレベルの保護の有効化

      1. Instance ページで、Instance ID/Name 列にある対象のゲートウェイをクリックします。

      2. Basic Information タブの Network Information エリアで、WAF 保護の Enable をクリックします。表示されるパネルで、Continue to enable instance-level WAF protection (recommended) を選択します。

      ルートレベルの保護の有効化

      1. Instance ページで、対象のゲートウェイの 操作 列にある API Management をクリックします。

      2. [API] ページで、API Name 列にある対象の API をクリックします。ポリシーの設定 タブを選択します。

      3. Inbound Processing エリアで、Enable Policy/Plug-in をクリックします。[WAF ポリシー] カードを選択します。

      4. Enable Route-level WAF Protection (Recommended) をクリックします。表示されるダイアログボックスで、OK をクリックします。

4. 保護の検証：

   送信先インスタンスの Basic Information ページの WAF 保護ステータスが Enabled と表示されるか、送信先ルートの ポリシーの設定 ページの WAF ステータスが Enabled と表示されたら、統合は成功です。検証するには、ブラウザで Web 攻撃ペイロードを含むドメイン名を入力します (例：<your-domain-name>/alert(xss)、ここで alert(xss) は XSS テストペイロードです)。405 ブロックページが表示されれば、WAF がアクティブであることが確認できます。

次のステップ

保護ルールの表示と設定

統合後、WAF は接尾辞 -apig を持つ保護対象を作成し、デフォルトで Web コア保護ルールやその他のモジュールルールを有効にします。これらの設定は 保護設定 > 保護対象 ページで確認できます。ルールをカスタマイズするには、「緩和設定の概要」をご参照ください。

ロールバック (保護の無効化)

• WAF 保護の一時的な無効化：統合後に問題 (誤検知など) が発生した場合は、保護対象 ページの WAF 保護ステータス スイッチをオフにします。WAF 保護のワンクリック無効化機能。

• オンボーディングのキャンセル：APIG インスタンスから WAF 保護を削除するには、クラウドネイティブ API Gateway コンソールに移動し、Instance をクリックして WAF 保護を無効にします。

  インスタンスレベルの保護の無効化

  1. Instance ページで、Instance ID/Name 列にある対象のゲートウェイをクリックします。

  2. Basic Information タブの Network Information エリアで、WAF 保護の Disable をクリックします。表示されるパネルで、Continue to disable instance-level WAF protection (not recommended) を選択します。

  ルートレベルの保護の無効化

  1. Instance ページで、対象のゲートウェイの 操作 列にある API Management をクリックします。

  2. [API] ページで、API Name 列にある対象の API をクリックします。ポリシーの設定 タブを選択します。

  3. Inbound Processing エリアで、Waf の後にある アイコンをクリックし、次にポップアップダイアログボックスで Delete をクリックします。

  重要

  • 無効化後、WAF はサービストラフィックの保護を停止し、セキュリティレポートにはそのトラフィックのデータが含まれなくなります。

  • 従量課金の WAF インスタンスの場合、無効化後にリクエスト処理料金は停止しますが、WAF インスタンスと既存の保護ルールの機能料金は継続します。すべての WAF 課金を停止するには、「WAF の無効化」をご参照ください。

クォータと制限

• 接続インスタンス数：ご利用の WAF エディションの上限を超えてはなりません。

  • サブスクリプション WAF インスタンス：Basic Edition：最大 300、Pro Edition：最大 600、Enterprise Edition：最大 2,500、Ultimate Edition：最大 10,000。

  • 従量課金 WAF インスタンス：最大 10,000。

• サポートされていない機能：

  • Web ページ改ざん防止。

  • データ漏洩防止。

  • ボット管理の Web クローラー保護シナリオにおける Web SDK の自動統合。

WAF のクラウドネイティブ統合と CNAME 統合の違いは何ですか？併用できますか？

WAF は、クラウド製品統合と CNAME 統合の 2 種類の統合タイプをサポートしています。

• クラウドネイティブ統合 (このトピック)：現在のアカウント配下にある Alibaba Cloud 製品インスタンスを統合します。

• CNAME 統合：ドメイン名を統合します。アカウント間およびクラウド間のシナリオをサポートします。

2 つの方法は同時に使用できません。各ドメインは 1 つの方法のみをサポートします。設定が重複すると、トラフィック転送の競合が発生し、保護が有効でなくなります。詳細については、「統合の概要」をご参照ください。