AWS WAF によるカスタムオリジンの保護

ユーザーはウェブアプリケーションにリクエストを行います。DNS レコードは、ユーザーを最も近い CloudFront エッジロケーションに誘導します。

AWS WAF は、カスタムルールとマネージドルールの両方を使用してトラフィックを検査します。一般的なウェブエクスプロイト攻撃をチェックします。 AWS WAF は、将来の分析のためにトラフィックをログに記録し、悪意のあるトラフィックをブロックする可能性があります。

CloudFront は、シークレットカスタムヘッダーをリクエストに挿入し、オンプレミスのウェブアプリケーションにリダイレクトします。

ウェブアプリケーションは、シークレットカスタムヘッダーなしでリクエストを削除またはブロックします。これにより、 AWS WAF はすべてのトラフィックを検査します。

ユーザーは CloudFront からリクエストに対するレスポンスを受け取ります。次のリクエストのエッジロケーションにデータキャッシュがあります。

Step Functions ワークフローは、設定可能なスケジュールでシークレットヘッダーのローテーションとデプロイプロセスをオーケストレーションします。

Step Functions ワークフローは、カスタムヘッダー値の新しいシークレットを生成します。この値は AWS Systems Manager パラメータストアに保存されます。

新しいヘッダー値は、SSM エージェントおよびオートメーションランブックを介して 1 つ以上のウェブアプリケーションサーバーに配布されます。確定後、ワークフローは新しいヘッダーを CloudFront にデプロイします。

オンプレミスのファイアウォールが更新され、追加の保護レイヤーとしてウェブアプリケーションへの CloudFront IP アドレスのみが許可されます。