保護オブジェクトおよび保護オブジェクトグループは、保護ルールが有効になる単位です。 保護オブジェクトまたは保護オブジェクトグループを保護テンプレートに関連付けて、Web Application Firewall (WAF) 保護を実装できます。 このトピックでは、保護オブジェクトと保護オブジェクトグループを追加および管理する方法について説明します。
背景情報
保護されたオブジェクト
保護対象オブジェクトは、WAF保護ルールが有効になる最小単位です。 保護されたオブジェクトは、クラウドサービスインスタンスまたはドメイン名です。
保護されたオブジェクトをWAFに追加するには、次のいずれかの方法を使用します。
自動追加: クラウドサービスインスタンスのWAF保護を有効にするか、CNAMEレコードモードでドメイン名をWAFに追加すると、インスタンスまたはドメイン名が保護対象オブジェクトとして自動的に追加されます。
手動追加: WAF保護を有効にするApplication Load Balancer (ALB) インスタンス、Classic Load Balancer (CLB) インスタンス、またはElastic Compute Service (ECS) インスタンスのドメイン名レベルの保護ルールを設定する場合は、ドメイン名を保護されたオブジェクトとして手動で追加できます。 詳細については、「保護対象オブジェクトの手動追加」をご参照ください。
さまざまなアクセスモードで、さまざまな方法を使用して保護対象オブジェクトをWAFに追加できます。
モード | 自動追加 | マニュアル追加 | 制限事項 |
クラウドネイティブモード (ALBインスタンスのWAF保護の有効化) | ALBインスタンスのWAF保護を有効にすると、インスタンスは自動的に保護対象オブジェクトとして追加されます。 | インスタンス関連のドメイン名を保護オブジェクトとして手動で追加できます。 |
|
クラウドネイティブモード (MSEインスタンスのWAF保護の有効化) | Microservices Engine (MSE) インスタンスのWAF保護を有効にすると、インスタンスは自動的に保護対象オブジェクトとして追加されます。 インスタンスのルートも保護オブジェクトとして追加されます。 | 手動追加はサポートされていません。 | |
クラウドネイティブモード (Function Computeでwebアプリケーションにバインドされたカスタムドメイン名のWAF保護を有効にする) | Function Computeでカスタムドメイン名のWAF保護を有効にすると、ドメイン名が保護対象オブジェクトとして自動的に追加されます。 | 手動追加はサポートされていません。 | |
クラウドネイティブモード (WAFにレイヤー7 CLBインスタンスを追加、WAFにレイヤー4 CLBインスタンスを追加、WAFにECSインスタンスを追加) | CLBまたはECSインスタンスをWAFに追加すると、インスタンスは自動的に保護オブジェクトとして追加されます。 | インスタンス関連のドメイン名を保護オブジェクトとして手動で追加できます。 | |
ドメイン名をWAFに追加すると、ドメイン名は保護されたオブジェクトとして自動的に追加されます。 | 手動追加はサポートされていません。 | ||
自動追加はサポートされていません。 | 保護されたオブジェクトとしてWAFに追加されるドメイン名を手動で追加できます。 |
保護されたオブジェクトグループ
保護オブジェクトグループは、保護オブジェクトのグループである。 保護対象オブジェクトグループは、WAF保護ルールが有効になる単位です。 保護対象オブジェクトグループに複数の保護対象オブジェクトを追加し、保護対象オブジェクトグループの保護ルールを設定できます。 保護ルールは、グループ内のすべての保護オブジェクトに対して有効になります。
保護オブジェクトは、1つの保護オブジェクトグループにのみ属することができます。
前提条件
WAF 3.0インスタンスを購入しました。 詳細については、「サブスクリプションWAF 3.0インスタンスの購入」および「従量課金WAF 3.0インスタンスの購入」をご参照ください。
Webサービスは、アクセス管理 ページでWAFに追加されます。 詳細については、「Webサイト設定の概要」をご参照ください。
CLBまたはECS関連のドメイン名を保護されたオブジェクトとして手動で追加し、ドメイン名が中国本土にある場合は、ドメイン名のインターネットコンテンツプロバイダ (ICP) 申請を申請する必要があります。
説明Alibaba Cloud ICPファイリングシステムでICPファイリングを申請すると、指定したWebサイト情報に基づいて必要な操作が表示されます。
保護対象オブジェクトの手動追加
次の条件を満たすドメイン名の保護ルールを設定する場合は、次の手順を実行して、ドメイン名を保護オブジェクトとして手動で追加します。
ドメイン名は、ALBまたはCLBインスタンスを指すように設定されるか、ECSインスタンスでホストされ、インスタンスはクラウドネイティブモードでWAFに追加されます。
ハイブリッドクラウド-SDK統合モードでは、ドメイン名がWAFに追加されます。
WAF 3.0コンソールにログインします。 上部のナビゲーションバーで、WAFインスタンスがデプロイされているリソースグループとリージョンを選択します。 中国本土 または 中国本土以外 を選択します。
左側のナビゲーションウィンドウで、 を選択します。
保護対象タブで保護対象の追加 をクリックします。
[保護されたオブジェクトの追加] ダイアログボックスで、保護対象タイプ パラメーターおよびその他のパラメーターを設定します。 そして、OK をクリックします。 設定する必要があるその他のパラメーターは、Protected Object Typeパラメーターの値によって異なります。
クラウドサービス
ALB、CLB、またはECS関連のドメイン名を保護オブジェクトとして追加する場合は、保護対象タイプパラメーターをクラウドサービスに設定します。 次に、その他のパラメーターを設定します。 下表に、各パラメーターを説明します。
パラメーター
説明
ドメイン名
WAFに追加するドメイン名。
www.aliyundoc.comなどの完全一致ドメイン名、または* .aliyundoc.comなどのワイルドカードドメイン名を入力できます。説明ワイルドカードドメイン名を入力した場合、WAFはワイルドカードドメイン名のプライマリドメイン名と一致しません。 たとえば、
* .aliyundoc.comと入力した場合、WAFはaliyundoc.comと一致しません。ワイルドカードドメイン名を入力した場合、WAFは異なるレベルのワイルドカードドメイン名のサブドメインと一致しません。 たとえば、
* .aliyundoc.comと入力した場合、WAFはwww.example.aliyundoc.comと一致しません。ワイルドカードドメイン名を入力すると、WAFはワイルドカードドメイン名のすべてのサブドメインを同じレベルで自動的に照合します。 たとえば、
* .aliyundoc.comと入力した場合、WAFはwww.aliyundoc.comやexample.aliyundoc.comなどのサブドメインと一致します。完全一致ドメイン名とワイルドカードドメイン名を入力した場合、完全一致ドメイン名の保護ルールが優先されます。
クラウドサービス
配信元サーバーがデプロイされているクラウドサービス。 有効な値：
ALB: ALBサービス
CLB4: レイヤー4 CLBサービス
CLB7: レイヤー7 CLBサービス
ECS: ECSサービス
インスタンス
クラウドサービスインスタンスのID。 このパラメーターは、クラウドサービスパラメーターをALBに設定した場合にのみ必要です。
説明ALBインスタンスがドロップダウンリストに存在しない場合は、まずインスタンスをWAFに追加します。 詳細については、「WAFへのALBインスタンスの追加」をご参照ください。
保護されたオブジェクトグループに追加
保護オブジェクトを追加する保護オブジェクトグループ。 複数の保護対象オブジェクトを保護対象オブジェクトグループに追加し、同時に保護対象オブジェクトの保護ルールを設定できます。
保護オブジェクトを保護オブジェクトグループに追加した後、保護オブジェクトグループの保護ルールを設定することによってのみ、保護オブジェクトの保護ルールを設定できます。 保護対象オブジェクトの保護ルールを個別に設定することはできません。 保護オブジェクトの保護ルールを個別に設定する場合は、このパラメーターをスキップします。
説明ドロップダウンリストに保護オブジェクトグループが存在しない場合は、このパラメーターをスキップします。 保護オブジェクトグループを作成した後、保護オブジェクトを保護オブジェクトグループに追加できます。 保護オブジェクトグループの作成方法の詳細については、「保護オブジェクトグループの作成」をご参照ください。
SDKベースのトラフィックミラーリング
ハイブリッドクラウド-SDK統合モードでWAF 3.0に追加されたドメイン名を保護オブジェクトとして追加する場合は、保護対象タイプパラメーターをハイブリッドクラウド SDK の統合に設定します。 次に、その他のパラメーターを設定します。 下表に、各パラメーターを説明します。
パラメーター
説明
保護対象名
WAFに追加する保護されたオブジェクトの名前。
ドメイン名 /IPアドレス
WAFに追加するドメイン名またはIPアドレス。
www.aliyundoc.comなどの完全一致ドメイン名、または* .aliyundoc.comなどのワイルドカードドメイン名を入力できます。説明ワイルドカードドメイン名を入力した場合、WAFはワイルドカードドメイン名のプライマリドメイン名と一致しません。 たとえば、
* .aliyundoc.comと入力した場合、WAFはaliyundoc.comと一致しません。ワイルドカードドメイン名を入力した場合、WAFは異なるレベルのワイルドカードドメイン名のサブドメインと一致しません。 たとえば、
* .aliyundoc.comと入力した場合、WAFはwww.example.aliyundoc.comと一致しません。ワイルドカードドメイン名を入力すると、WAFはワイルドカードドメイン名のすべてのサブドメインを同じレベルで自動的に照合します。 たとえば、
* .aliyundoc.comと入力した場合、WAFはwww.aliyundoc.comやexample.aliyundoc.comなどのサブドメインと一致します。完全一致ドメイン名とワイルドカードドメイン名を入力した場合、完全一致ドメイン名の保護ルールが優先されます。
URL
WAFに追加するURL。
保護されたオブジェクトグループに追加
保護オブジェクトを追加する保護オブジェクトグループ。 複数の保護対象オブジェクトを保護対象オブジェクトグループに追加し、同時に保護対象オブジェクトの保護ルールを設定できます。
保護オブジェクトを保護オブジェクトグループに追加した後、保護オブジェクトグループの保護ルールを設定することによってのみ、保護オブジェクトの保護ルールを設定できます。 保護対象オブジェクトの保護ルールを個別に設定することはできません。 保護オブジェクトの保護ルールを個別に設定する場合は、このパラメーターをスキップします。
説明ドロップダウンリストに保護オブジェクトグループが存在しない場合は、このパラメーターをスキップします。 保護オブジェクトグループを作成した後、保護オブジェクトを保護オブジェクトグループに追加できます。 保護オブジェクトグループの作成方法の詳細については、「保護オブジェクトグループの作成」をご参照ください。
WAFに保護オブジェクトを追加した後、保護オブジェクトリストで保護オブジェクトを表示および管理できます。 詳細については、「保護されたオブジェクトの管理」をご参照ください。
保護されたオブジェクトグループの作成
保護オブジェクトグループを作成し、保護オブジェクトを保護オブジェクトグループに関連付け、複数の保護オブジェクトの保護ルールを同時に設定できます。
WAF 3.0コンソールにログインします。 上部のナビゲーションバーで、WAFインスタンスがデプロイされているリソースグループとリージョンを選択します。 中国本土 または 中国本土以外 を選択します。
左側のナビゲーションウィンドウで、 を選択します。
On the保護されたオブジェクトグループタブをクリックします。作成.
[保護オブジェクトグループの作成] ダイアログボックスで、[名前] 、[保護オブジェクトの関連付け] 、および [説明] パラメーターを設定します。 次に、[OK] をクリックします。
説明保護対象オブジェクトグループに属しておらず、デフォルトの保護テンプレートを使用している保護対象オブジェクトのみが、保護対象オブジェクトの下の [選択するオブジェクト] セクションに表示されます。
保護オブジェクトが保護オブジェクトグループに既に存在する場合、保護オブジェクトを現在の保護オブジェクトグループに追加する前に、保護オブジェクトグループから保護オブジェクトを削除する必要があります。 詳細については、「保護対象オブジェクトグループの変更」をご参照ください。
保護オブジェクトグループを作成した後、[保護オブジェクトグループ] タブで保護オブジェクトグループを管理できます。 詳細については、「保護されたオブジェクトグループの管理」をご参照ください。
保護されたオブジェクトの管理
保護対象 タブで、保護されたオブジェクトを表示および管理できます。
機能 | 説明 | |
設定 | クライアント IP アドレスの設定 | レイヤ7プロキシがWAFの前にデプロイされている場合、WAFがクライアントのIPアドレスを取得するために使用する方法を指定できます。 レイヤー7プロキシには、Anti-DDoS ProxyとAlibaba Cloud CDNが含まれます。 このようにして、WAFはクライアントの送信元IPアドレスを取得し、要求をIPアドレスブラックリストルールなどの保護ルールと照合し、送信元IPアドレスなどの詳細をセキュリティレポートに表示できます。 管理する保護対象オブジェクトを見つけて、操作 列の 設定 をクリックします。 設定パネルで、Anti-DDoS Pro、Anti-DDoS Premium、Alibaba Cloud CDNなどのレイヤー7プロキシをWAFの前面にデプロイするかどうか、およびクライアントの実際のIPアドレスを取得パラメーターを設定します。 詳細については、レイヤー7プロキシ (Anti-DDoS Pro、Anti-DDoS Premium、またはAlibaba Cloud CDNなど) がWAFの前にデプロイされるかどうかパラメーターの説明をご参照ください。 説明
|
Cookie の設定 | HTTPフラッド保護機能とスキャン保護機能が有効になっている場合、WAFは
| |
スライダー Cookie | リクエストがスライダーCAPTCHA検証に合格した場合、WAFは 重要
| |
保護ルールの表示と設定 | 管理する保護対象オブジェクトを見つけて、[操作] 列の [保護ルールの表示] をクリックします。 [保護ルール] ページで、保護されたオブジェクトの保護ルールを設定します。 | |
保護対象オブジェクトグループへの保護対象オブジェクトの追加 | 管理する保護対象オブジェクトを見つけ、[操作] 列の 保護対象オブジェクトグループに複数の保護対象オブジェクトを同時に追加する場合は、保護対象オブジェクトを選択し、リストの下にある [保護対象オブジェクトグループに追加] をクリックします。 | |
保護ログの表示 | 保護ログを表示する保護オブジェクトを見つけ、[操作] 列の | |
WAFからの保護対象オブジェクトの削除 | 管理する保護対象オブジェクトを見つけ、[操作] 列で 説明
| |
保護されたオブジェクトへのタグの追加またはタグの削除 | タグを使用して、WAFコンソールで特定のリソースを検索できます。
| |
> [保護対象オブジェクトグループに追加]
アイコンの上にポインターを移動し、[編集] をクリックします。 保護されたオブジェクトグループの管理
保護対象グループ タブで、保護オブジェクトグループを表示および管理できます。
機能 | 説明 | |
保護されたオブジェクトグループの変更 | 変更する保護対象オブジェクトグループを見つけて、[操作] 列の [編集] をクリックします。 表示されるダイアログボックスで、保護されたオブジェクトを 選択待ちの対象 セクションから 選択した対象グループ セクションに移動するか、選択した対象グループ セクションから [選択するオブジェクト] セクションに移動します。 説明
| |
保護ルールの表示と設定 | 管理する保護対象オブジェクトグループを見つけて、[操作] 列の [ルールの設定] をクリックします。 [保護ルール] ページで、保護対象オブジェクトグループの保護ルールを設定します。 保護対象オブジェクトグループの保護ルールを設定した場合、そのルールはグループ内のすべての保護対象オブジェクトに対して有効になります。 | |
保護されたオブジェクトグループの削除 | 削除する保護対象オブジェクトグループを見つけて、[操作] 列の 削除 をクリックします。 説明 保護対象オブジェクトグループを削除すると、グループ内のすべての保護対象オブジェクトのグループからの関連付けが解除され、既定の保護テンプレートが保護対象オブジェクトに適用されます。 | |