管理中的资源保护Amazon Shield Advanced - Amazon WAF、Amazon Firewall Manager 和 Amazon Shield Advanced
为资源添加保护配置保护删除资源的保护
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

管理中的资源保护Amazon Shield Advanced

使用本节中的指南来管理对您的资源的Shield Advanced保护。

注意

Shield Advanced 仅保护你在 Shield Advanced 中或通过Amazon Firewall Manager Shield 高级策略指定的资源。它不会自动保护您的资源。

如果您使用的是Amazon Firewall Manager Shield Advanced 策略，则无需管理该政策范围内资源的保护。Firewall Manager 根据策略配置自动管理策略范围内的帐户和资源的保护。有关更多信息，请参阅Amazon Shield Advanced 策略：

向 Amazon 资源添加 Amazon Shield Advanced 保护

按照本节中的指导为一个或多个资源添加 Shield Advanced 保护。

为 Amazon 资源添加防护

  1. 登录Amazon Web Services Management Console并打开Amazon WAF & Shield 主机，网址为 https://console.aws.amazon.com/wafv2/。

  2. 在导航窗格中，在导航窗格中Amazon Shield选择 Sches。

  3. 选择 “添加要保护的资源”。

  4. 在 “使用 Shield Advanced 选择要保护的资源” 页面的 “指定区域和资源类型” 中，提供要保护的资源的区域和资源类型规范。您可以通过选择 “所有区域” 来保护多个区域中的资源，也可以通过选择 “全球” 将选择范围缩小到全局资源。您可以取消选择任何不想保护的资源类型。有关保护您的资源类型的信息，请参阅Amazon Shield Advanced按资源类型划分的保护。

  5. 选择加载资源。Shield Advanced 会使用符合您的标准的Amazon资源填充选择资源部分。

  6. 在选择资源部分中，您可以通过在资源列表中输入要搜索的字符串来筛选资源列表。

    选择要保护资源。

  7. 在 “标签” 部分中，如果您想向正在创建的 Shield Advanced 保护添加标签，请指定这些标签。有关为Amazon资源添加标签的信息，请参阅使用标签编辑器。

  8. 选择 “使用Shield 高级保护”。这为资源增加了Shield 高级保护。

配置Amazon Shield Advanced保护

您可以随时更改 Amazon Shield Advanced 保护的设置。为此，请浏览所选保护的选项并修改需要更改的设置。

管理受保护资源

  1. 登录Amazon Web Services Management Console并打开Amazon WAF & Shield 主机，网址为 https://console.aws.amazon.com/wafv2/。

  2. 在Amazon Shield导航窗格中，选择受保护的资源。

  3. 在 Security”，选择要保护的资源。

  4. 选择所需的配置保护和资源规格选项。

  5. 浏览每个资源保护选项，根据需要进行更改。

配置应用层 DDoS 保护

为了防止 Amazon CloudFront 和Application Load Balancer 资源受到攻击，您可以添加Amazon WAF Web ACL 并添加基于速率的规则。有关此问题的信息，请参阅Shield 高级应用层Amazon WAF Web ACL 和基于速率的规则。

您还可以启用 Shield Advanced 自动应用层 DDoS 缓解功能。有关 Amazon WAF 工作方式的信息，请参阅Amazon WAF。有关自动缓解功能的信息，请参阅Shield Advanced 自动应用层 DDoS。

重要

如果您通过Amazon Firewall Manager使用 Shield Advanced 策略来管理您的 Shield Advanced 保护，则无法在此处管理应用层保护。对于所有其他资源，我们建议您至少为每个资源附加 Web ACL，即使 Web ACL 不包含任何规则。

注意

当您为资源启用自动应用层 DDoS 缓解时，如果需要，该操作会自动向您的账户添加服务相关角色，以授予 Shield Advanced 管理您的 Web ACL 保护所需的权限。有关信息，请参阅使用 ShieldAdvidently 的服务使用 ShieldAdvidently 的服务。

配置应用层 DDoS 保护

  1. 在配置第 7 层 DDoS 保护页面中，如果资源尚未与 Web ACL 关联，则可以选择现有的 Web ACL 或创建自己的 Web ACL。

    要创建 Web ACL，请执行以下操作：

    1. 选择 Create web ACL (创建 Web ACL)。

    2. 输入名称。Web ACL 在创建之后无法更改名称。

    3. 选择 Create（创建）。

    注意

    如果资源已与一个 Web ACL关联，则不能更改为其他 Web ACL。如果要更改 Web ACL，您必须先从资源中删除关联的 Web ACL。有关更多信息，请参阅将 Web ACL 与Amazon资源关联或取消关联：

  2. 如果 Web ACL 未定义基于速率的规则，则可以通过选择添加速率限制规则然后执行以下步骤来添加一个规则：

    1. 输入名称。

    2. 输入速率限制。这是在将基于速率的规则操作应用于 IP 地址之前，任何五分钟内允许来自任何单个 IP 地址的最大请求数。当来自 IP 地址的请求低于限制时，操作将停止。

    3. 将规则操作设置为在请求数超过限制时对来自 IP 地址的请求进行计数或屏蔽。应用和删除规则操作可能会在 IP 地址请求速率更改一两分钟后生效。

    4. 选择 Add rule。

  3. 要自动缓解应用层 DDoS 攻击，请选择是否希望 Shield Advanced 代表您自动缓解 DDoS 攻击，如下所示：

    • 要启用自动缓解，请选择 “启用”，然后选择您希望 Shield Advanced 在其自定义规则中使用的规则操作。Amazon WAF您的选择是Count和Block。有关这些操作的信息，请参阅Amazon WAF 规则操作。

    • 要禁用自动缓解，请选择 “禁用”。

    • 要保持您正在管理的资源的自动缓解设置不变，请保留默认选择 “保留当前设置”。

    有关 Shield Advanced 自动应用层 DDoS 缓解的信息，请参阅Shield Advanced 自动应用层 DDoS。

  4. 选择 Next（下一步）。

创建警报和通知

以下过程展示如何管理受保护资源的 CloudWatch 警报。

注意

CloudWatch 会产生额外费用。有关 CloudWatch 定价，请参阅亚马逊 CloudWatch 定价。

创建警报和通知

  1. 在保护页面创建警报和通知（可选）中，为要接收的警报和通知配置 SNS 主题。对于不想接收通知的资源，请选择 No topic (无主题)。您可以添加 Amazon SNS 主题或创建新主题。

  2. 要创建 Amazon SNS 主题，请执行下列步骤：

    1. 在下拉列表中，选择创建 SNS 主题。

    2. 输入主题名称。

    3. （可选）输入 Amazon SNS 消息要发送到的电子邮件地址，然后选择添加电子邮件。您可以输入多个。

    4. 选择 Create（创建）。

  3. 选择 Next（下一步）。

从 Amazon 资源中删除 Amazon Shield Advanced 保护

您可以随时从您的任何 Amazon 资源中删除 Amazon Shield Advanced 保护。

重要

删除 Amazon 资源不会从 Amazon Shield Advanced 中删除资源。您还必须从 Amazon Shield Advanced 中删除对资源的保护，如该过程所述。

从 Amazon 资源中删除 Amazon Shield Advanced 保护

  1. 登录Amazon Web Services Management Console并打开Amazon WAF & Shield 主机，网址为 https://console.aws.amazon.com/wafv2/。

  2. 在Amazon Shield导航窗格中，选择受保护的资源。

  3. 在 “保护” 选项卡中，选择要删除其保护的资源。

  4. 选择 “删除保护”。

    1. 如果您将 Amazon CloudWatch 警报配置为保护，则可以选择删除警报和保护。如果您选择此时不删除警报，则可以稍后使用 CloudWatch 控制台将其删除。

    注意

    对于配置了 Amazon Route 53 运行状况检查的保护，如果您稍后再次添加保护，则保护仍包括运行状况检查。

前面的步骤取消了对特定Amazon资源的Amazon Shield Advanced保护。但不会取消您的 Amazon Shield Advanced 订阅。您将继续为该服务付费。有关您的Amazon Shield Advanced订阅的信息，请联系Amazon Web Services Support中心。

从 Shield 高级保护中移除 CloudWatch 警报

要从Sched CloudWatch uleShield ecurity”，请执行下列操作之一：

  • 删除保护，如从 Amazon 资源中删除 Amazon Shield Advanced 保护中所述。确保选中 Also delete related DDoSDetection alarm (同时删除相关的 DDoSDetection 警报) 旁边的复选框。

  • 使用 CloudWatch 控制台删除警报。要删除的警报名称以 DDoS 开头DetectedAlarmForProtection。