Web Application Firewall (WAF) は、WAF 2.0 インスタンスを WAF 3.0 にアップグレードするために使用できるセルフサービスアップグレードツールをコンソールで提供しています。このトピックでは、前提条件、アップグレード後の変更点、およびアップグレード手順について説明します。
セルフサービスアップグレードツールはカナリアリリース中です。
Web Application Firewall コンソールの左側にあるナビゲーションウィンドウの下部に WAF3.0 アップグレードのエントリー ボタンが表示される場合、セルフサービスでアップグレードできます。
インスタンスを WAF 3.0 にアップグレードする場合で、WAF3.0 アップグレードのエントリー ボタンが表示されていない場合は、アカウントマネージャーに連絡してアップグレード申請を送信してください。申請が承認されると、セルフサービスアップグレードを実行できます。
前提条件
Application Load Balancer (ALB) インスタンスに透過プロキシモードを使用しているインスタンスは、直接アップグレードできません。このようなインスタンスをアップグレードするには、トラフィックリダイレクトを無効にし、Web サイト設定を削除してから、セルフサービスアップグレードを実行する必要があります。詳細については、「FAQ」をご参照ください。
Alibaba Cloud は、毎日 00:00 から 03:00 までクラウドサービス資産を同期します。この期間中は、透過プロキシモードを使用するインスタンスをアップグレードしないでください。
インスタンスは、サブスクリプション Pro、Business、または Enterprise エディション、Hybrid Cloud WAF Exclusive エディションです。
インスタンスは、データ可視化サービスを使用しておらず、カスタム機能も有効になっていません。
インスタンスの有効期限が 15 日以内に切れません。
アップグレード操作には、AliyunYundunWAFFullAccess 権限が必要です。
アカウントに支払い遅延はありません。
アップグレードの前に
サービスへの影響
ビジネス継続性：アップグレードはスムーズなプロセスであり、一時的な切断が発生したり、サービスに影響を与えたりすることはありません。アップグレード後も、WAF 2.0 によって提供される CNAME ドメイン名と構成済みのオリジン URL は変更されません。CNAME レコードリスト ページで関連情報を確認できます。
アップグレード時間：アップグレードには約 15 分かかります。ワンクリックフルアップグレード方式は、包括的なシステム事前チェックが含まれているため、通常、手動バッチアップグレード方式よりも時間がかかります。
アップグレード後の変更点
アップグレードプロセスの概要
接続されているオブジェクトのアップグレードに関する注意事項：
透過プロキシモードを使用するドメイン名をアップグレードすると、WAF はバインドされたクラウドサービス（レイヤー 7 SLB、レイヤー 4 SLB、または ECS）のトラフィックリダイレクトポートからのトラフィックを対応するクラウドネイティブモードにアップグレードします。WAF はまた、サービスインスタンスを保護対象オブジェクトとして、ドメイン名をカスタム保護対象オブジェクトとして追加します。
ハイブリッドクラウド接続のトラフィックをアップグレードすると、WAF はデフォルトでトラフィックをハイブリッドクラウドリバースプロキシモードにアップグレードし、保護対象オブジェクトを生成します。
カナリアリリース機能の紹介：
手動バッチアップグレードを選択すると、ドメイン名に対してカナリアリリース機能を有効にできます。この機能を使用すると、最初にトラフィックの一部を WAF 3.0 に転送できます。その後、必要に応じて、すべてのトラフィックが WAF 3.0 に移行されるまで、トラフィックの割合を徐々に増やすことができます。
カナリアリリースでサポートされているトラフィックの割合は、1%、5%、10%、20%、30%、50%、70%、90%、および 100% です。カスタムの割合はサポートされていません。割合は増やすことのみ可能です（たとえば、10% から 20%）。割合を減らすことはできません。
データ漏洩防止 (DLP) 機能はカナリアリリースをサポートしていません。移行タスクが開始されると、データ漏洩防止のヒットが WAF 3.0 に記録されます。
手順
Web Application Firewall コンソール にログインします。トップメニューバーで、WAF インスタンスのリソースグループとリージョン（[中国本土] または [中国本土以外]）を選択します。左側のナビゲーションウィンドウの下部にある WAF3.0 アップグレードのエントリー をクリックします。
インスタンスがアップグレード要件を満たしている場合は、アップグレードの注意事項 パネルで注意事項を読み、承認してから、アップグレードに関する注意事項を理解しました。アップグレードを始めます をクリックして アップグレードツール ページを開き、アップグレードを開始します。
WAF インスタンスがアップグレード要件を満たしていない場合は、エラー メッセージが表示されます。メッセージの手順に従ってエラーを解決できます。
ステップ 1：トラフィックをバインドする（透過プロキシモードの場合のみ）
ドメイン名が透過プロキシモードの場合は、トラフィックの関連付け ページが表示されます。ドメイン名を ECS、TCP 用 Cloud Load Balancer (CLB)、または HTTP/HTTPS 用 CLB などの対応するクラウド製品にバインドする必要があります。ドメイン名がどのクラウド製品を使用しているかわからない場合は、以下の手順に従って確認できます。
ネットワーク診断分析 で、[ネットワーク診断分析] を選択し、ドメイン名を入力して、[DNS プロバイダーの解決結果] セクションからパブリック IP アドレスを表示してコピーします。
ECS コンソール - インスタンス と Classic Load Balancer (CLB) コンソール. に移動します。リージョンとリソースグループを選択し、前の手順でコピーした IP アドレスに対応するインスタンスを見つけます。
ECS インスタンスの場合は、[ECS] を選択します。
TCP リスナー プロトコルを使用する CLB インスタンスの場合は、[CLB(TCP)] を選択します。
HTTP または HTTPS リスナー プロトコルを使用する CLB インスタンスの場合は、[CLB(HTTP/HTTPS)] を選択します。
選択後、[アップグレードを続行] をクリックします。
ステップ 2：アップグレードの事前チェックを実行する
アップグレード事前チェックツールは、現在のインスタンスがアップグレード条件を満たしているかどうかをチェックします。最初チェックが完了すると、アップグレードツールページで最新のチェック時間と結果を確認できます。チェックが失敗した場合は、提示された理由に基づいて問題を修正し、このページに戻ってチェックを再実行してください。
ステップ 3：アップグレード方法を選択する
アップグレードツールは 3 つのアップグレード方法を提供します。ニーズに基づいて 1 つを選択してください。
移行方法 | ワンクリックフルアップグレード | 手動バッチアップグレード：ルールを移行する | 手動バッチアップグレード：ルールを移行しない |
シナリオ |
|
|
|
アップグレードモード | システムは、フルアップグレードがサポートされているかどうかを事前チェックします。チェックに合格すると、自動的に WAF 3.0 インスタンスを作成し、転送構成と保護ルールを WAF 3.0 にアップグレードします。 | システムは、選択した保護モジュールをアップグレードできるかどうかを事前チェックします。チェックに合格すると、自動的に WAF 3.0 インスタンスを作成し、保護ルールを WAF 3.0 にアップグレードします。転送構成は手動でアップグレードする必要があります。 | システムは、アップグレード操作を実行せずに、自動的に WAF 3.0 インスタンスを作成します。転送構成は手動でアップグレードする必要があります。デフォルト以外の保護ルールは、WAF 3.0 コンソールで再構成する必要があります。 |
アップグレードツール ページで、ワンクリックで完全アップグレードを実行、[手動バッチ移行 - ルールを移行する]、または [手動バッチ移行 - ルールを移行しない] を選択し、今すぐ開始する をクリックします。
重要[手動バッチ移行 - ルールを移行する] を選択した場合は、アップグレードする保護ルールを 1 つ以上選択する必要があります。移行を開始する前に、ビジネス要件を慎重に評価してください。
表示されるダイアログボックスで、OK をクリックします。インスタンスは自動的にアップグレードを開始します。これには約 15 分かかります。アップグレードが完了するまで、ページを閉じたり更新したりしないでください。
説明アップグレードが失敗した場合、インスタンスは自動的に WAF 2.0 にロールバックされます。[ロールバック完了] ダイアログボックスに、失敗の理由が表示されます。
WAF の自動アップグレードが完了したら、WAF 3.0 バージョンのインスタンスが作成されました ダイアログボックスの [確認] をクリックして、アップグレードウィンドウに入ります。
ステップ 4：アップグレードウィンドウ内で移行を完了する
アップグレードウィンドウは、アップグレード操作を実行するための 15 日間の期間です。アップグレードウィンドウの残り時間は、アップグレードツール ページで確認できます。
選択したアップグレード方法に基づいて操作を実行します。
ワンクリックフルアップグレード
前の手順で ワンクリックで完全アップグレードを実行 を選択した場合、アップグレードツール ページのすべてのドメイン名とサーバーの [アップグレードステータス] は [アップグレード済み] になっています。これは、WAF のすべてのドメイン名とクラウド製品インスタンスの構成が WAF 3.0 に自動的にアップグレードされたことを示します。
接続されている各オブジェクトのサービストラフィックが正常かどうかを確認します。これには、ログのステータスコード 200 の割合の大幅な変動、または QPS の急激な増加または減少のチェックが含まれます。WAF 3.0 ログサービスを有効にしている場合は、「ログクエリ」で手順を確認できます。
ページの左下隅にある [バージョン 3.0 に切り替える] をクリックし、次のチェックを実行します。
左側のナビゲーションウィンドウで、アクセス管理 をクリックして、資産のプロビジョニングステータスを確認します。
左側のナビゲーションウィンドウで、 を選択し、保護テンプレートとそれに関連付けられたオブジェクトがビジネス要件を満たしていることを確認します。
すべてのサービスが正しく実行されている場合は、アップグレードツール に移動し、アップグレード完了の確認 をクリックします。これにより、WAF 2.0 インスタンスがリリースされ、セキュリティ保護には WAF 3.0 コンソールを使用する必要があります。
説明サービスが正しく機能していない場合は、アップグレードツール に移動し、接続されているオブジェクトの [操作] 列で [バージョン 2.0 にロールバック] をクリックして、対応するドメイン名またはサーバーをロールバックします。
バージョン 2.0 にロールバックした後、「アップグレードツール」ページに戻り、対象のオブジェクトの [操作] 列で [バージョン 3.0 にアップグレード] をクリックすることもできます。この操作では、オブジェクトの転送構成のみがアップグレードされます。その後、対応するシナリオ固有のテンプレートをオブジェクトに手動で関連付ける必要があります。
最悪の場合、ロールバック後にサービスがまだ異常な場合は、ページの右上隅にある [アップグレードを破棄] をクリックして、すべての構成を移行前の状態に戻します。
手動バッチアップグレード：ルールを移行する
前の手順で [手動バッチ移行 - ルールを移行する] を選択した場合、アップグレードツール ページのすべてのドメイン名とサーバーの [アップグレードステータス] は [アップグレードされていません] になっており、手動アップグレードに進む必要があります。
1 つ以上のドメイン名またはクラウド製品インスタンスを選択し、ステータスが [アップグレード済み] になるまで手動でアップグレードできます。次の 2 つのアップグレード方法がサポートされています。
直接アップグレード：[操作] 列で、[V3.0 にアップグレード] をクリックします。ダイアログボックスで、[OK] をクリックします。
グレースケールアップグレード：[操作] 列で、[グレースケールアップグレード] をクリックし、WAF 3.0 に徐々にルーティングするトラフィックの割合を選択します。グレースケールアップグレードの進行状況が 100% に達すると、アップグレードステータスは [アップグレード済み] になります。
接続されている各オブジェクトのサービストラフィックが正常かどうかを確認します。これには、ログのステータスコード 200 の割合の大幅な変動、または QPS の急激な増加または減少のチェックが含まれます。WAF 3.0 ログサービスを有効にしている場合は、「ログクエリ」で手順を確認できます。
説明サービスが正しく機能していない場合は、アップグレードツール に移動し、ロールバックするドメイン名またはサーバーの [操作] 列で [V2.0 にロールバック] をクリックします。
バージョン 2.0 にロールバックした後、アップグレードツールページに戻り、対象オブジェクトの [3.0 にアップグレード] を [操作] 列でクリックできます。この操作では、オブジェクトの転送設定のみがアップグレードされます。その後、対応するシナリオ固有のテンプレートをオブジェクトに手動で関連付ける必要があります。
最後の手段として、ロールバック後にサービスがまだ異常な場合は、ページの右上隅にある [アップグレードを破棄] をクリックして、すべての構成を移行前の状態に戻します。
すべてのドメイン名とクラウド製品インスタンスがアップグレードされ、サービストラフィックと軽減設定が正しいことを確認したら、アップグレードツール に移動し、アップグレード完了の確認 をクリックします。この操作により、WAF 2.0 インスタンスがリリースされ、WAF 3.0 コンソールでセキュリティ保護を管理する必要があります。
手動バッチアップグレード：ルールを移行しない
前の手順で [手動バッチ移行 - ルールを移行しない] を選択した場合、アップグレードツール ページのすべてのドメイン名とサーバーの [アップグレードステータス] は [アップグレードされていません] になっており、手動でアップグレードを実行する必要があります。
ステータスが [アップグレード済み] になるまで、1 つ以上のドメイン名またはクラウド製品インスタンスを手動でアップグレードできます。次の 2 つのアップグレード方法を使用できます。
直接アップグレード：[操作] 列で、[バージョン 3.0 にアップグレード] をクリックします。表示されるダイアログボックスで、[OK] をクリックします。
グレースケールアップグレード：[操作] 列で、[グレースケールアップグレード] をクリックし、新しいバージョンである WAF 3.0 に徐々に移行するトラフィックの割合を選択します。グレースケールアップグレードの進行状況が 100% に達すると、アップグレードステータスは [アップグレード済み] に変わります。
接続されている各オブジェクトのサービストラフィックが正常かどうかを確認します。これには、ログのステータスコード 200 の割合の大幅な変動、または QPS の急激な増加または減少のチェックが含まれます。WAF 3.0 ログサービスを有効にしている場合は、「ログクエリ」で手順を確認できます。
説明サービスが正しく機能していない場合は、アップグレードツール に移動し、ロールバックするドメイン名またはサーバーの [操作] 列で [バージョン 2.0 にロールバック] をクリックします。
2.0 にロールバックした後、アップグレードツールページで対象オブジェクトの [操作] 列にある [3.0 にアップグレード] をクリックすることもできます。この操作では、オブジェクトの転送構成のみがアップグレードされます。その後、対応するシナリオ固有のテンプレートを手動でオブジェクトに関連付ける必要があります。
極端な場合、ロールバック後にサービスがまだ異常な場合は、ページの右上隅にある [アップグレードを破棄] をクリックして、すべての構成を移行前の状態に戻します。
ページの左下隅にある [バージョン 3.0 に切り替える] をクリックし、WAF 2.0 インスタンスの軽減設定を使用して WAF 3.0 の保護テンプレートとルールを作成し、対応する保護対象オブジェクトを構成します。詳細については、「軽減設定の概要」をご参照ください。
すべてのドメイン名とクラウド製品インスタンスをアップグレードし、サービストラフィックと軽減設定が期待どおりであることを確認したら、アップグレードツール に移動し、アップグレード完了の確認 をクリックします。その後、WAF 2.0 インスタンスがリリースされ、WAF 3.0 コンソールでセキュリティ保護を構成する必要があります。
15 日間のアップグレードウィンドウ内に アップグレード完了の確認 をクリックする必要があります。このウィンドウ内でアップグレードを確認しないと、インスタンスとその構成は WAF 2.0 にロールバックされます。自動的に作成された WAF 3.0 インスタンスはリリースされ、アップグレードウィンドウ中に構成された軽減設定は削除されます。WAF 2.0 インスタンスを再度 WAF 3.0 にアップグレードすると、アップグレードプロセスが再開されます。
次のステップ（ログとアラートの構成を含む）
アップグレードが完了した後、WAF 2.0 で次のサービスを構成していた場合は、WAF 3.0 で追加の操作を実行する必要があります。
Simple Log Service を構成する
ログサービスの次の情報を再構成する必要があります。
ログフィールド、ストレージタイプ、保護対象オブジェクトの収集ステータス、ログ保存期間、およびログ容量を構成します。詳細については、「ログ管理の概要」をご参照ください。
ログサービスを有効または無効にします。詳細については、「ログサービスを有効または無効にする」をご参照ください。
Cloud Monitor とアラートを構成する
WAF 3.0 は、監視に新しいイベントとメトリックを使用します。それらを再構成する必要があります。詳細については、「CloudMonitor 通知を構成する」をご参照ください。
RAM 権限を構成する
OpenAPI 操作の権限管理を再構成する必要があります。詳細については、「承認」をご参照ください。
Terraform を構成する
Terraform を再構成する必要があります。詳細については、「Terraform レジストリ（ドメイン名）」および「Terraform レジストリ（インスタンス）」をご参照ください。
OpenAPI を構成する
WAF 3.0 は新しい OpenAPI 操作を使用します。詳細については、「API の概要」をご参照ください。
リソースグループを構成する
リソースグループはアップグレードされません。それらを再構成する必要があります。詳細については、「CNAME を使用して Web サイトの WAF 保護を有効にする」をご参照ください。
製品コードの変更によってトリガーされる操作
アップグレードが完了すると、WAF の製品コードが変更されます。この変更によりインスタンスでビジネスの変更が必要になった場合は、アカウントマネージャーに連絡してください。
FAQ
透過プロキシモードでトラフィックがリダイレクトされているインスタンスをアップグレードできますか？
はい。WAF は、透過プロキシモード（レイヤー 7 SLB、レイヤー 4 SLB、ECS）のトラフィックの WAF 3.0 へのセルフサービスアップグレードをサポートしています。ただし、透過プロキシモード（ALB）のトラフィックのセルフサービスアップグレードは現在サポートされていません。最初に ALB のトラフィックリダイレクトを無効にし、ドメイン名構成を削除してから、アップグレードを実行する必要があります。次の手順に従います。
Web サイトアクセスページ で、サーバー タブをクリックします。管理するポートを見つけて、操作 列の トラフィックリダイレクトの無効化 をクリックします。
ドメイン名 タブで、削除するドメイン名を見つけて、操作 列の 削除 をクリックします。
WAF インスタンスをアップグレードします。詳細については、「手順」セクションをご参照ください。
ALB トラフィックを WAF 3.0 に再接続します。詳細については、「クラウドネイティブモード」をご参照ください。
Exclusive エディションインスタンスをアップグレードできますか？
はい、できます。詳細については、アカウントマネージャーに連絡するか、チケット を送信してご相談ください。
アップグレードプロセス中に料金は発生しますか？
いいえ、発生しません。アップグレードが完了すると、サブスクリプションインスタンスの料金は次回の更新時に発生し
WAF 2.0 Business エディションを WAF 3.0 Pro エディションに、または WAF 2.0 Pro エディションを WAF 3.0 Business エディションにアップグレードできますか？
いいえ、できません。サブスクリプションインスタンスは、同じエディションのアップグレードのみをサポートしています。WAF 2.0 Pro エディションは、WAF 3.0 Pro エディションにのみアップグレードできます。Business エディションを使用する場合は、アップグレードが完了した後、Pro エディションを Business エディションにアップグレードできます。詳細については、「アップグレード」をご参照ください。
アップグレードウィンドウ中に、WAF 2.0 に新しいドメイン名を追加してから、アップグレードを続行できますか？
いいえ、アップグレードウィンドウ中に WAF 2.0 インスタンスにドメイン名を追加してから、アップグレードを再開することはできません。アップグレードウィンドウ中は、Web サイトアクセス ページはグレー表示されます。ドメイン名またはその転送構成を追加、削除、または変更することはできません。WAF 2.0 インスタンスにドメイン名を追加するには、最初にアップグレードをキャンセルし、ドメイン名を追加する必要があります。その後、WAF 2.0 インスタンスのアップグレードを再開できます。
アップグレードを破棄すると、システムは WAF 3.0 インスタンスとその構成を削除し、アップグレードプロセスは終了します。
参考資料
WAF 2.0 のバージョンと課金について詳しくは、「バージョンガイド」、「サブスクリプション課金」、」をご参照ください。
WAF 3.0 のバージョンと課金について詳しくは、「バージョンガイド」、「サブスクリプション課金」、「従量課金」、「アップグレードとダウングレード」、「更新ポリシー」、「サブスクリプション解除ポリシー」をご参照ください。
WAF 2.0 と WAF 3.0 の課金、接続方法、および機能の違いの比較については、「WAF 3.0 と WAF 2.0 の比較」をご参照ください。