AWS WAF を使用し、特定の国または地理的位置からのリクエストを許可または拒否する方法を教えてください。

簡単な説明

特定の国からのサイトへのアクセスをブロックしたり、アクセスを特定の国のみに限定したりするには、地理的一致ルールステートメントを使用します。

まず、許可する国からのウェブリクエストを許可するための地理的一致ルールステートメントを追加します。次に、2 番目の地理的一致ルールステートメントを追加し、ブロックする国を指定します。

注: ある国からのコンテンツへのアクセスを、Amazon CloudFront の地理的制限を使用してブロックした場合は、CloudFront はその国からのすべてのリクエストをブロックします。CloudFront は該当するリクエストを AWS WAF に転送しません。地域に基づいてリクエストを許可または拒否するのに AWS WAF の基準を使用する場合は、代わりに AWS WAF の地理的一致ルールステートメントを使用してください。

解決策

次の手順を実行します。

1. AWS WAF コンソールを開きます。
2. ナビゲーションペインの [AWS WAF] で、[ウェブ ACL] を選択します。
3. [リージョン] で、ウェブアクセスコントロールリスト (ウェブ ACL) を作成した AWS リージョンを選択します。
   注: ウェブ ACL が CloudFront 用に設定されている場合は、[グローバル] を選択します。
4. ウェブ ACL を選択します。
5. [ルール] で [ルールを追加] を選択し、[独自のルールとルールグループを追加] を選択します。
6. [ルールタイプ] で [ルールビルダー] を選択します。
7. 名前 に、ルール名を入力します。
8. [タイプ] で [レギュラールール] を選択します。
9. [リクエストの条件] で [ステートメントと一致] を選択します。
10. [検査オプションの選択] で [送信元の国] を選択します。
11. [国コードの選択] で許可またはブロックする国を選択します。
12. (オプション) [送信元 IP アドレス] または [ヘッダーの IP アドレス] を選択し、リクエスト元の国を定義します。
    重要: リクエストがコンテンツ配信ネットワーク (CDN) またはその他のプロキシネットワークを経由する場合、ソース IP アドレスによりプロキシが決まります。この場合、リクエストは本来の IP アドレスをヘッダーで送信します。プロキシがヘッダーを一貫性のない方法で管理したり、変更したりした場合、検査がバイパスされる可能性があります。
13. [アクション] で [許可] または [ブロック] を選択します。
    注: ウェブ ACL のデフォルトアクションが [ブロック] の場合は、ルールアクションを [許可] に設定します。この設定では、AWS WAF はリクエストを検査できません。デフォルトアクションが [許可] の場合は、ルールアクションを [ブロック] に設定し、NOT ステートメントを追加してブロックしない国を指定します。
14. [ルールを追加] を選択します。
15. (オプション) [ルール優先度の設定] でルールを選択し、ルールの優先度を設定します。
16. [保存] を選択します。