边缘安全加速：使用Terraform为ESA站点添加WAF的托管规则

获取规则集ID

您可以通过阿里云OpenAPI工具调用ListWafRulesets接口获取已有的规则集ID。

1. 在ESA控制台选择站点管理，在站点列单击目标站点。

2. 进入ListSites调试页面，在参数配置页的SiteName参数中填入站点名，并点击发起调用获取SiteId。

3. 进入ListWafRulesets调试页面，在参数配置页填写以下参数，并点击发起调用：

   • SiteId：填写您的站点ID，即上一步所复制的信息，如8709xxxxxx30192

   • Phase：WAF运行阶段，填写http_managed

4. 发起调用后，即可在右侧调用结果页签中展示调用结果。返回的数据集中Rulesets集合中的Id字段对应的即已有的规则集ID。

禁用所有托管规则

若需要禁用所有托管规则，可将status字段更改为off同时将protection_level字段设置为0。

1. 修改main.tf，进行如下修改：

   1. 在resource "alicloud_esa_waf_rule" "managed_deny"集合中增加ruleset_id字段，对应值填入获取的规则集ID。

   2. 将config中的status字段值更改为off。

   3. 将所有managed_rulesets集合中的protection_level字段值都更改为0-关闭。

   # 1. 输入需要进行配置的站点名称
   data "alicloud_esa_sites" "default" {
     site_name = "DOMAIN"  # 将在DOMAIN处填入实际已接入ESA的站点，如example.com
   }
   
   # 2. 配置托管规则：禁用所有规则集
   resource "alicloud_esa_waf_rule" "managed_deny" {
     ruleset_id   = RULESET_ID # 已有的规则集ID
     site_id      = data.alicloud_esa_sites.default.sites[0].site_id
     phase        = "http_managed"
     site_version = "0"
   
     config {
       status       = "off"  # 规则状态，off-关闭规则
       type         = "http_managed"  # 规则集类型，托管规则
       expression   = "true"  # 请求传入类型，true-所有传入请求，也可以直接输入具体规则表达式
   
       # 批量配置托管规则 - 应用于下列所有规则
       managed_rulesets {
         protection_level = 0  # 防护等级，详细释义可参考文末说明
         action           = "deny"  # 执行动作，deny-拦截，monitor-观察
         attack_type      = 11  # 攻击类型，详细释义可参考文末说明
       }
       managed_rulesets {
         protection_level = 0
         action           = "deny"
         attack_type      = 12
       }
       managed_rulesets {
         protection_level = 0
         action           = "deny"
         attack_type      = 13
       }
     }
   }

2. 执行如下命令，验证Terraform语法与配置。

   terraform validate

3. 执行如下命令，预览执行结果。

   terraform plan

4. 执行如下命令，执行Terraform脚本。

   terraform apply

5. 依据提示输入yes确认执行即可。

6. 进入控制台可验证托管规则已被关闭。

开启或禁用特定规则

若需要开启或禁用规则集中特定的托管规则，将protection_level设置为-1，并在managed_rules中设置各规则的状态字段status。

1. 修改main.tf，进行如下修改：

   1. 在resource "alicloud_esa_waf_rule" "managed_deny"集合中增加ruleset_id字段，对应值填入获取的规则集ID。

   2. 将对应managed_rulesets集合中的protection_level字段值都更改为-1-自定义。

   3. 在对应managed_rulesets集合中增加需要操作的具体托管规则的managed_rules集合：

      • id：规则ID，可在控制台查看。

      • action：规则的处置动作，deny-拦截，monitor-观察。

      • status：规则状态，on-启用，off-关闭。

   # 1. 输入需要进行配置的站点名称
   data "alicloud_esa_sites" "default" {
     site_name = "DOMAIN"  # 将在DOMAIN处填入实际已接入ESA的站点，如example.com
   }
   
   # 2. 配置托管规则：启用SQL注入集中的SQL时间盲注、帆软报表模板注入致代码执行规则，禁用SQL注入盲注Waitfor Delay规则。
   resource "alicloud_esa_waf_rule" "managed_deny" {
     ruleset_id   = RULESET_ID # 已有的规则集ID
     site_id      = data.alicloud_esa_sites.default.sites[0].site_id
     phase        = "http_managed"
     site_version = "0"
   
     config {
       status       = "on"  # 规则状态，on-开启规则
       type         = "http_managed"  # 规则集类型，托管规则
       expression   = "true"  # 请求传入类型，true-所有传入请求，也可以直接输入具体规则表达式
   
       # 批量配置托管规则 - 应用于下列所有规则
       managed_rulesets {
         protection_level = -1  # 防护等级，详细释义可参考文末说明
         action           = "deny"  # 执行动作，deny-拦截，monitor-观察
         attack_type      = 11  # 攻击类型，详细释义可参考文末说明
         managed_rules {
           action = "deny"
           id     = 901032
           status = "on"
         }
         managed_rules {
           action = "deny"
           id     = 901031
           status = "on"
         }
         managed_rules {
           action = "deny"
           id     = 900661
           status = "off"
         }
       }
       managed_rulesets {
         protection_level = 0
         action           = "deny"
         attack_type      = 12
       }
       managed_rulesets {
         protection_level = 0
         action           = "deny"
         attack_type      = 13
       }
     }
   }

2. 执行如下命令，验证Terraform语法与配置。

   terraform validate

3. 执行如下命令，预览执行结果。

   terraform plan

4. 执行如下命令，执行Terraform脚本。

   terraform apply

5. 依据提示输入yes确认执行即可。

6. 进入控制台查看规则详情即可验证。

   

phase 参数说明

Terraform的 alicloud_esa_waf_ruleset和 alicloud_esa_waf_rule资源中，phase 字段用于指定WAF运行阶段，取值说明如下表所示。

防护等级说明

Terraform的alicloud_esa_waf_ruleset资源中，protection_level字段取值与实际等级的映射关系可参考：

规则集攻击类型说明

Terraform的alicloud_esa_waf_ruleset资源中，attack_type字段取值与实际攻击类型的映射关系可参考：