创建 Web ACL - Amazon WAF、Amazon Firewall Manager 和 Amazon Shield Advanced
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

创建 Web ACL

注意

这是Amazon WAFClassic文档中）。仅当 2019 年 11 月之前在 Amazon WAF 中创建了 Amazon WAF 资源（例如规则和 Web ACL），但尚未将这些资源迁移到最新版本时，才应使用此版本。要迁移您的资源，请参阅将您的Amazon WAF经典资源迁移到Amazon WAF。

对于最新版本的Amazon WAF请参阅Amazon WAF.

创建 Web ACL

  1. 登录到Amazon Web Services Management Console打开Amazon WAF控制台https://console.aws.amazon.com/wafv2/.

    如果您看到切换到Amazon WAFClassic在导航窗格中，选择它。

  2. 如果这是您首次使用Amazon WAF选择 Classic转到Amazon WAFClassic然后配置 Web ACL. 如果你用过Amazon WAF之前经典，请选择Web ACL在导航窗格中选择，然后选择创建 Web ACL.

  3. 适用于Web ACL 名，输入一个名称。

    注意

    Web ACL 在创建之后无法更改名称。

  4. 适用于CloudWatch 指标名称，更改默认名称（如果适用）。该名称只能包含字母数字字符（A-Z、a-z、0-9），最大长度为 128 和最小长度为 1。它不能包含空格或为预留的指标名称。Amazon WAF经典版，包括 “All” 和 “Default_Action”。

    注意

    Web ACL 在创建之后无法更改名称。

  5. 对于 Region（亚马逊云科技区域），选择一个区域。

  6. 对于 Amazon resource，选择要与此 Web ACL 关联的资源，然后选择 Next。

  7. 如果你已经创建了你想要的条件Amazon WAF经典用于检查 Web 请求，请选择下一步，然后继续下一步。

    如果尚未创建条件，请创建条件。有关更多信息，请参阅以下主题：

  8. 如果您已经创建了规则或规则组（或订阅了Amazon Web Services Marketplace规则组) 您希望添加到此 Web ACL，请将这些规则添加到 Web ACL：

    1. 在 Rules 列表中，选择一个规则。

    2. 选择 Add rule to web ACL。

    3. 重复步骤 a 和 b，添加所有要添加到此 Web ACL 的规则。

    4. 前往步骤 10。

  9. 如果尚未创建规则，现在可以添加规则：

    1. 请选择 Create rule (创建规则)。

    2. 输入以下值：

      名称

      输入名称。

      CloudWatch 指标名称

      输入的名称 CloudWatch 指标Amazon WAFClassic 将创建并与规则关联。该名称只能包含字母数字字符（A-Z、a-z、0-9），最大长度为 128 和最小长度为 1。它不能包含空格或为预留的指标名称。Amazon WAF经典版，包括 “All” 和 “Default_Action”。

      注意

      创建规则之后，无法更改指标名称。

    3. 要将条件添加到规则，请指定以下值：

      When a request does/does not

      如果要Amazon WAFClassic (经典) 要基于条件中的筛选条件允许或阻止请求 (例如源自 IP 地址范围 192.0.2.0.2.0/24 的 Web 请求)，请选择请参阅.

      如果要Amazon WAFClassic (经典) 要基于条件中的筛选器的反向条件允许或阻止请求，请选择。不. 例如，如果 IP 匹配条件包含 IP 地址范围 192.0.2.0.2.0/24 并且需要Amazon WAF允许或阻止符合以下条件的请求不要来自那些 IP 地址，请选择不.

      match/originate from

      选择要添加到规则的条件的类型：

      • 跨站点脚本匹配条件 — 选择在跨站点脚本匹配条件中匹配至少一个筛选条件

      • IP 匹配条件 — 选择源自于中的 IP 地址

      • 地理匹配条件 — 选择originate from a geographic location in

      • 大小约束条件 — 选择match at least one of the filters in the size constraint condition

      • 选择 SQL 注入匹配条件 — 选择match at least one of the filters in the SQL injection match condition

      • 字符串匹配条件 — 选择match at least one of the filters in the string match condition

      • 正则表达式匹配条件 — 选择在正则表达式匹配条件中匹配至少一个筛选条件

      condition name

      选择要添加到规则的条件。列表仅显示您在前面列表中选择的类型的条件。

    4. 要将另一个条件添加到规则，请选择 Add another condition (添加另一个条件)，然后重复步骤 b 和 c。请注意以下几点：

      • 如果您添加多个条件，则 Web 请求必须与每个条件中的至少一个筛选条件匹配，Amazon WAF这样，您可以根据该规则允许或阻止任何请求。

      • 如果将两个 IP 匹配条件添加到同一规则中，Amazon WAFClassic (经典) 只允许或阻止源自在两个 IP 匹配条件中同时出现的 IP 地址的请求。

    5. 重复步骤 9，创建要添加到此 Web ACL 的所有规则。

    6. 选择 Create（创建）。

    7. 继续执行步骤 10。

  10. 对于 Web ACL 中的每个规则或规则组，选择所需的管理类型。Amazon WAF经典提供，如下所示：

    • 对于每个规则，选择是否需要Amazon WAFClassic (经典) 可基于规则中的条件允许、阻止或计数 Web 请求：

      • Allow（允许）— API Gateway， CloudFront 或使用应 Application Load Balancer 响应请求的对象。对于 CloudFront，如果对象不在边缘缓存中， CloudFront 将请求转发到源。

      • Block（阻止）— API Gateway， CloudFront 或应用 Application Load Balancer 使用 HTTP 403 (禁止) 状态代码响应请求。CloudFront 还可以使用自定义错误页面进行响应。有关更多信息，请参阅 使用Amazon WAF经典搭配 CloudFront 自定义错误页面。

      • 计数–Amazon WAFClassic 使与规则中的条件匹配的请求计数器递增，然后继续基于 Web ACL 中的其余规则检查 Web 请求。

        有关在开始使用 Web ACL 允许或阻止 Web 请求之前，使用 Count (计数) 测试 Web ACL 的信息，请参阅 对与 Web ACL 中的规则匹配的 Web 请求计数。

    • 对于每个规则组，为其设置覆盖操作：

      • 没有覆盖— 使使用规则组中各个规则的操作。

      • 覆盖要计数— 覆盖组中各个规则指定的所有阻止操作，以便仅对所有匹配的请求进行计数。

      有关更多信息，请参阅 规则组覆盖。

  11. 如果需要更改 Web ACL 中的规则顺序，请使用Ordercolumn.Amazon WAF Classic (Classic) 基于规则出现在 Web ACL 中的顺序来检查 Web 请求。

  12. 如果要删除添加到 Web ACL 的规则，请在规则所在行中选择 x。

  13. 选择 Web ACL 的默认操作。这就是这样的行动Amazon WAF当 Web 请求不与此 Web ACL 中的任何规则中的条件匹配时，Classic (经典)。有关更多信息，请参阅 确定 Web ACL 的默认操作。

  14. 选择 Review and create。

  15. 查看 Web ACL 的设置，然后选择 Confirm and create。