AWS WAF Classic Regional exemples utilisant AWS CLI

Pour associer une liste ACL Web à une ressource

La associate-web-acl commande suivante associe une ACL Web, spécifiée par le web-acl-id, à une ressource spécifiée par le resource-arn. L’ARN de la ressource peut faire référence à un équilibreur de charge d’application ou à une passerelle d’API :

aws waf-regional associate-web-acl \
    --web-acl-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --resource-arn 12cs345-67cd-890b-1cd2-c3a4567d89f1

Pour plus d'informations, consultez la section Travailler avec le Web ACLs dans le guide du développeur AWS WAF.

Pour créer une configuration de journalisation pour l’ARN ACL Web avec l’ARN du flux Firehose de Kinesis spécifié

L'put-logging-configurationexemple suivant affiche la configuration de journalisation pour WAF ALB/APIGateway dans Region. us-east-1

aws waf-regional put-logging-configuration \
    --logging-configuration ResourceArn=arn:aws:waf-regional:us-east-1:123456789012:webacl/3bffd3ed-fa2e-445e-869f-a6a7cf153fd3,LogDestinationConfigs=arn:aws:firehose:us-east-1:123456789012:deliverystream/aws-waf-logs-firehose-stream,RedactedFields=[] \
    --region us-east-1

Sortie :

{
    "LoggingConfiguration": {
        "ResourceArn": "arn:aws:waf-regional:us-east-1:123456789012:webacl/3bffd3ed-fa2e-445e-869f-a6a7cf153fd3",
        "LogDestinationConfigs": [
            "arn:aws:firehose:us-east-1:123456789012:deliverystream/aws-waf-logs-firehose-stream"
        ]
    }
}

Pour mettre à jour un jeu de correspondance d’octets

La commande update-byte-match-set suivante supprime un objet ByteMatchTuple (filtre) dans un ByteMatchSet. La valeur updates étant entourée de guillemets doubles, vous devez entourer la valeur de guillemets simples.

aws waf-regional update-byte-match-set \
    --byte-match-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="DELETE",ByteMatchTuple={FieldToMatch={Type="HEADER",Data="referer"},TargetString="badrefer1",TextTransformation="NONE",PositionalConstraint="CONTAINS"}'

Pour plus d’informations, consultez Utilisation des conditions de correspondance de chaîne dans le Manuel du développeur AWS  WAF.

Pour mettre à jour un ensemble d’adresses IP

La update-ip-set commande suivante met à jour une IPSet IPv4 adresse et la supprime. IPv6 Obtenez la valeur de change-token en exécutant la commande get-change-token. Comme la valeur des mises à jour contient des guillemets doubles intégrés, vous devez entourer cette valeur de guillemets simples.

aws waf update-ip-set \
    --ip-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="INSERT",IPSetDescriptor={Type="IPV4",Value="12.34.56.78/16"},Action="DELETE",IPSetDescriptor={Type="IPV6",Value="1111:0000:0000:0000:0000:0000:0000:0111/128"}'

Vous pouvez également utiliser un fichier JSON pour spécifier l’entrée. Par exemple :

aws waf-regional update-ip-set \
    --ip-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1  \
    --updates file://change.json

Contenu de change.json

[
    {
        "Action": "INSERT",
        "IPSetDescriptor":
        {
            "Type": "IPV4",
            "Value": "12.34.56.78/16"
        }
    },
    {
        "Action": "DELETE",
        "IPSetDescriptor":
        {
            "Type": "IPV6",
            "Value": "1111:0000:0000:0000:0000:0000:0000:0111/128"
        }
    }
]

Pour plus d’informations, consultez Utilisation des conditions de correspondance IP dans le Manuel du développeur AWS  WAF.

Pour mettre à jour une règle

La commande update-rule suivante supprime un objet Predicate dans une règle. La valeur updates étant entourée de guillemets doubles, vous devez entourer l’intégralité de la valeur de guillemets simples.

aws waf-regional update-rule \
    --rule-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="DELETE",Predicate={Negated=false,Type="ByteMatch",DataId="MyByteMatchSetID"}'

Pour plus d’informations, consultez Utilisation des règles dans le Manuel du développeur AWS  WAF.

Pour mettre à jour un jeu de contraintes de taille

La update-size-constraint-set commande suivante supprime un objet SizeConstraint `(filtres) dans un ensemble de contraintes de taille. La valeur updates étant entourée de guillemets doubles, vous devez entourer l’intégralité de la valeur de guillemets simples.

aws waf-regional update-size-constraint-set \
    --size-constraint-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="DELETE",SizeConstraint={FieldToMatch={Type="QUERY_STRING"},TextTransformation="NONE",ComparisonOperator="GT",Size=0}'

Pour plus d’informations, consultez Utilisation des conditions de contrainte de taille dans le Manuel du développeur AWS  WAF.

Pour mettre à jour un de correspondance d’injection SQL

La commande update-sql-injection-match-set suivante supprime un objet SqlInjectionMatchTuple (filtres) dans un jeu de correspondance d’injection SQL. La valeur updates étant entourée de guillemets doubles, vous devez entourer l’intégralité de la valeur de guillemets simples.

aws waf-regional update-sql-injection-match -set -- sql-injection-match-set -id a123fae4-b567-8e90-1234-5ab67ac8ca90 --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 --updates 'Action="delete », = {= {type="query_string "}, ="URL_DECODE"} 'SqlInjectionMatchTupleFieldToMatchTextTransformation

Pour plus d’informations, consultez Utilisation des conditions de correspondance d’injection SQL dans le Guide du développeur AWS  WAF.

Pour mettre à jour une liste ACL Web

La commande update-web-acl suivante supprime un objet ActivatedRule d’une liste WebACL. La valeur updates étant entourée de guillemets doubles, vous devez entourer l’intégralité de la valeur de guillemets simples.

aws waf-regional update-web-acl \
    --web-acl-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates Action="DELETE",ActivatedRule='{Priority=1,RuleId="WAFRule-1-Example",Action={Type="ALLOW"},Type="ALLOW"}'

Pour plus d'informations, consultez la section Travailler avec le Web ACLs dans le guide du développeur AWS WAF.

Pour mettre à jour un XSSMatch ensemble

La commande update-xss-match-set suivante supprime un objet XssMatchTuple (filtres) dans un XssMatchSet. La valeur updates étant entourée de guillemets doubles, vous devez entourer l’intégralité de la valeur de guillemets simples.

aws waf-regional update-xss-match-set \
    --xss-match-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="DELETE",XssMatchTuple={FieldToMatch={Type="QUERY_STRING"},TextTransformation="URL_DECODE"}'

Pour plus d’informations, consultez Utilisation des conditions de correspondance de scripts inter-site dans le Manuel du développeur AWS  WAF.