Come posso risolvere i problemi della mia ACL web in una policy di Gestione dei firewall per AWS WAF?

Risoluzione

Il comportamento di associazione di un'ACL web a una policy di Gestione dei firewall per AWS WAF dipende dalle seguenti impostazioni:

• Come configuri la correzione automatica
• Se un'ACL web è già associata alla risorsa nell'ambito

Controlla le impostazioni di configurazione

Per associare l'ACL web alle risorse nell'ambito, attiva entrambe le seguenti impostazioni:

• Correzione automatica di eventuali risorse non conformi
• Sostituzione delle ACL web attualmente associate alle risorse nell'ambito con le ACL web create dalla policy

Verifica che il comportamento dell'ACL web sia quello atteso

Quando disattivi la correzione automatica delle risorse non conformi, l'ACL web non viene associata alle risorse nell'ambito.

Quando attivi solo la correzione automatica delle risorse non conformi, Gestione dei firewall esegue queste azioni:

• Crea un'ACL web per gli account AWS non conformi che rientrano nell'ambito della policy. Il nome dell'ACL web inizia con FMManagedWebACLV2 e contiene i gruppi di regole definiti dalla policy.
• Associa l'ACL web a tutte le risorse non conformi negli account che non sono già associate a un'ACL web.

Quando attivi sia la correzione automatica che la sostituzione delle ACL web, Gestione dei firewall esegue l'associazione alle ACL web nei seguenti modi:

• Se una risorsa ha un'ACL web di AWS WAF Classic personalizzata, l'ACL web di Gestione dei firewall sostituisce l'ACL web esistente.
• Per una risorsa con un'ACL web di AWS WAF personalizzata: se la risorsa è inclusa in una policy di AWS WAF Classic, l'ACL web di Gestione dei firewall non sostituisce l'ACL web esistente. Se la risorsa è inclusa in una policy di AWS WAF, l'ACL web di Gestione dei firewall sostituisce l'ACL web esistente.
• Le ACL web di Gestione dei firewall sostituiscono le associazioni alle ACL web di AWS WAF presenti nelle risorse, anche quelle associate come parte di una policy di Shield Advanced quando la mitigazione automatica del livello di applicazione non è abilitata.

Se una risorsa ha la mitigazione automatica del livello di applicazione di Shield Advanced abilitata, Gestione dei firewall non può sostituire l'ACL web esistente che contiene i gruppi di regole di mitigazione gestiti da Shield. In questo caso, Gestione dei firewall contrassegna la risorsa come non conforme e non applica la policy di AWS WAF finché non disabiliti la mitigazione automatica del livello di applicazione.

• Le ACL web di Gestione dei firewall non sostituiscono le ACL web della policy di Gestione dei firewall per AWS WAF Classic esistenti.
• Le ACL web di Gestione dei firewall non sostituiscono le ACL web della policy di Gestione dei firewall per AWS WAF esistenti.

Per modificare la policy di una risorsa, controlla se l'ACL web di Gestione dei firewall sostituisce le ACL web esistenti. Se non sostituisce le ACL web esistenti, devi prima aggiornare la policy esistente per escludere la risorsa.

Esempio 1

Hai la Policy A e la Policy B per AWS WAF Classic. Entrambe le policy hanno risorse. Hai una risorsa che rientra nell'ambito della Policy A. Desideri sostituire l'associazione a un'ACL web creata dalla Policy B. Per sostituire l'associazione, modifica l'ambito della Policy A in modo da escludere la risorsa specifica. Dopo aver escluso la risorsa, la Policy A rimuove l'associazione all'ACL web. Se ora la risorsa è nell'ambito della Policy B, la Policy B la associa alla sua ACL web.

Esempio 2

Hai la Policy A e la Policy B per AWS WAF. Entrambe le policy hanno risorse nell'ambito. Per la pulizia delle risorse, hai disattivato Automatically remove protections from resources that leave the policy scope (Rimuovi automaticamente le protezioni dalle risorse che escono dall'ambito della policy).

Si verificano i seguenti comportamenti:

• Quando la risorsa esce dall'ambito della policy, la Policy A non dissocia automaticamente l'ACL web creata dalla risorsa.
• Crei una nuova policy di AWS WAF, la Policy B, con una risorsa nell'ambito. La nuova policy sostituisce la precedente ACL web della policy di AWS WAF.
• Crei una nuova policy di AWS WAF Classic, la Policy B, con una risorsa nell'ambito. La nuova policy non sostituisce la precedente ACL web della policy di AWS WAF.

Per ulteriori informazioni sulle opzioni di ambito delle policy, consulta Utilizzo dell'ambito della policy di Gestione dei firewall AWS.

Informazioni correlate

Creazione di una policy in Gestione dei firewall AWS per AWS WAF Classic

Creazione di una policy in Gestione dei firewall AWS per AWS WAF

Utilizzo della mitigazione automatica DDoS del livello di applicazione con policy di Gestione dei firewall per Shield Advanced