标签的工作原理 AWS WAF - AWS WAF、 AWS Firewall ManagerAWS Shield Advanced、和 AWS Shield 网络安全总监

引入全新的主机体验 AWS WAF

现在，您可以使用更新的体验访问控制台中任意位置的 AWS WAF 功能。有关更多详细信息，请参阅 使用更新的主机体验。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

标签的工作原理 AWS WAF

本节介绍 AWS WAF 标签的工作原理。

当规则与 Web 请求匹配时，如果该规则定义了标签，则会在规则评估结束时将标签 AWS WAF 添加到请求中。在保护包或 Web ACL 中的匹配规则之后评估的规则可以与规则添加的标签相匹配。

谁在请求中添加标签

评估请求的保护包或 Web ACL 组件可以为请求添加标签。

  • 任何不是规则组参考语句的规则都可以为匹配的 Web 请求添加标签。标签标准是规则定义的一部分，当 Web 请求与规则匹配时， AWS WAF 会将规则的标签添加到请求中。有关信息，请参阅AWS WAF 添加标签的规则。

  • 地理匹配规则语句会为其检查的任何请求添加国家和区域标签，无论该语句是否产生匹配。有关信息，请参阅地理匹配规则语句。

  • AWS WAF 所有人的 AWS 托管规则会为他们检查的请求添加标签。它们根据规则组中的规则匹配添加一些标签，并根据托管规则组使用的 AWS 流程添加一些标签，例如使用智能威胁缓解规则组时添加的令牌标签。有关每个托管规则组添加的标签的信息，请参阅 AWS 托管规则规则组列表。

如何 AWS WAF 管理标签

AWS WAF 在规则对请求的检查结束时，将规则的标签添加到请求中。标记是规则匹配活动的一部分，与操作类似。

保护包或 Web ACL 评估结束后，标签不会保留在 Web 请求中。为了使其他规则与您的规则添加的标签相匹配，您的规则操作不得终止保护包或 Web ACL 对 Web 请求的评估。规则操作必须设置为 Count、CAPTCHA 或 Challenge。当保护包或 Web ACL 评估未终止时，保护包或 Web ACL 中的后续规则可以根据请求运行其标签匹配标准。有关规则操作的更多信息，请参阅 在中使用规则操作 AWS WAF。

在保护包或 Web ACL 评估期间访问标签

添加后，只要 AWS WAF 根据保护包或 Web ACL 评估请求，标签就会在请求上保持可用。保护包或 Web ACL 中的任何规则都可以访问已在同一保护包或 Web ACL 中运行的规则所添加的标签。这包括直接在保护包或 Web ACL 中定义的规则，以及在保护包或 Web ACL 中使用的规则组中定义的规则。

  • 您可以使用标签匹配语句与规则的请求检查条件中的标签进行匹配。您可以与请求中附加的任何标签进行匹配。有关语句的详细信息，请参阅 标签匹配规则语句。

  • 地理匹配语句会添加带或不带匹配项的标签，但这些标签仅在包含保护包或 Web ACL 规则的语句完成请求评估后才可用。

    • 您不能使用单个规则（例如逻辑 AND 语句）对地理标签运行地理匹配语句和标签匹配语句。您必须将标签匹配语句放在单独的规则中，该规则在包含地理匹配语句的规则之后运行。

    • 如果您在基于速率的规则语句或托管规则组参考语句中使用地理匹配语句作为范围缩小语句，则该地理匹配语句添加的标签无法由包含规则的语句进行检查。如果您需要在基于速率的规则语句或规则组中检查地理标记，则必须在事先运行的单独规则中运行地理匹配语句。

访问保护包或 Web ACL 评估之外的标签信息

保护包或 Web ACL 评估结束后，标签不会保留在 Web 请求中，而是在日志和指标中 AWS WAF 记录标签信息。

您的保护包或 Web ACL 评估可以将 100 多个标签应用于 Web 请求并与 100 多个标签进行匹配，但 AWS WAF 只会在日志和指标中记录前 100 个标签。