如何解決 Firewall Manager AWS WAF 政策中的 Web ACL 問題？

解決方法

以下設定會決定 Firewall Manager AWS WAF 政策如何關聯 Web ACL：

• 您為自動修復選用的設定
• 政策範圍內的資源目前是否已有 Web ACL 關聯

確認組態中的設定

請將以下兩項設定一併開啟，讓政策範圍內的資源與 Web ACL 建立關聯：

• 自動修復任何不合規資源
• 以此政策建立的 Web ACL 替換目前與政策範圍內資源關聯的 Web ACL

確認 Web ACL 的實際運作符合預期

停用自動修復任何不合規資源後，政策範圍內的資源便不會與 Web ACL 建立關聯。

僅啟用自動修復任何不合規資源時，Firewall Manager 會進行以下處理：

• 針對政策涵蓋但不合規的 AWS 帳戶建立 Web ACL。Web ACL 的名稱以 FMManagedWebACLV2 為開頭，並包含該政策定義的規則群組。
• 把 Web ACL 關聯至這些帳戶中所有不合規且尚無 Web ACL 關聯的資源。

同時啟用自動修復與替換 Web ACL 時，Firewall Manager 會按照以下方式建立 Web ACL 關聯：

• 資源若具有自訂 AWS WAF Classic Web ACL，Firewall Manager Web ACL 便會替換原有 Web ACL。
• 資源具有自訂 AWS WAF Web ACL 時：若該資源位於 AWS WAF Classic 政策範圍內，Firewall Manager Web ACL 不會替換原有 Web ACL。若資源屬於 AWS WAF 政策範圍，Firewall Manager Web ACL 將替換原有 Web ACL。
• Firewall Manager Web ACL 會替換資源上既有的 AWS WAF Web ACL 關聯。若未啟用自動應用程式層緩解，此替換範圍也包含透過 Shield Advanced 政策建立的關聯。

當資源已啟用 Shield Advanced 自動應用程式層緩解時，Firewall Manager 無法替換含有 Shield 管理之緩解規則群組的既有 WebACL。此時，Firewall Manager 會將資源標記為不合規；在您停用自動應用程式層緩解之前，不會套用 AWS WAF 政策。

• Firewall Manager Web ACL 不會替換由既有 Firewall Manager AWS WAF Classic 政策建立的 Web ACL。
• Firewall Manager Web ACL 不會替換由既有 Firewall Manager AWS WAF 政策建立的 Web ACL。

如要調整資源套用的政策，請先確認 Firewall Manager Web ACL 能否替換既有 Web ACL。若無法替換，您必須先修改既有政策，將該資源排除在範圍之外。

案例 1

您已為 AWS WAF Classic 設定政策 A與政策 B。兩項政策均涵蓋資源。有一項資源位於政策 A的範圍內。您想改為關聯政策 B所建立的 Web ACL。若要改換關聯，請調整政策 A的政策範圍，排除指定資源。將資源排除後，政策 A便會解除 Web ACL 關聯。若該資源接著落入政策 B的範圍，政策 B便會將自己的 Web ACL 關聯至該資源。

案例 2

您已為 AWS WAF 設定政策 A與政策 B。兩項政策都涵蓋位於各自範圍內的資源。為了清理資源，您已停用 Automatically remove protections from resources that leave the policy scope (自動移除離開政策範圍之資源的保護)。

因此會產生以下行為：

• 資源離開政策範圍後，政策 A不會自動解除其所建立 Web ACL 與該資源的關聯。
• 您建立名為政策 B的新 AWS WAF 政策，且該政策涵蓋一項資源。新政策會替換上一項 AWS WAF 政策的 Web ACL。
• 您建立名為政策 B的新 AWS WAF Classic 政策，且該政策涵蓋一項資源。新政策不會替換上一項 AWS WAF 政策的 Web ACL。

有關政策範圍選項的說明，請參閱使用 AWS Firewall Manager 政策範圍。

相關資訊

建立適用於 AWS WAF Classic 的 AWS Firewall Manager 政策

建立適用於 AWS WAF 的 AWS Firewall Manager 政策

搭配 Firewall Manager Shield Advanced 政策使用自動應用程式層 DDoS 緩解