【新機能】API Gateway のステージに AWS WAF を直接関連づけられるようになりました

和田祐介

2018.11.07

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

2018年11月5日です。さらりと便利なリリースが飛び込んできましたね。

Amazon API Gateway Adds Support for AWS WAF

AWS WAF を Amazon API Gateway に使用して、SQLインジェクションやクロスサイトスクリプティング（XSS）などの攻撃から保護することができます。さらに、ルールを使用して、IPアドレス、地域、要求サイズ、文字列または正規表現パターンに基づいてWebリクエストをフィルタリングできます。これらの条件をHTTPヘッダーまたはリクエストボディに設定することができます。複雑なルールを作成して、特定のユーザーエージェント、不正なボット、またはスクレイピングからの攻撃をブロックすることができます。また、AWS Marketplace の管理ルールを利用して、OWASPトップ10のセキュリティリスクやCommon Vulnerabilities and Exposures（CVE）などの一般的な脅威からAPIを即座に保護することができます。

利用できるリージョンは以下です：

Asia Pacific (Tokyo)
US East (N. Virginia)
US East (Ohio)
US West (Oregon)
US West (N. California)
EU (Ireland)
EU (Frankfurt)
Asia Pacific (Sydney)

どうなるのか

API Gateway の API に対して直接 WAF を関連付けることはできませんでした。APIのセキュリティを高めようと思ったら、

API Gateway の Resource Policy で IP アドレスのブラックリストを設定したり、AWS アカウント、ソースVPCのホワイトリストを設定する
デプロイしたAPIのデフォルトスロットリングを設定して過剰にリクエストを受けないようにする
API Gateway の前段に CloudFront + WAF を置くワークアラウンドをとる

という手段で対応していたと思います。Resource Policy は引き続き利用できますが、セキュリティ要件や達成したい目的で設定内容も開発中・リリース後問わず変わってくるので、柔軟に対応できるWAFを直接使えるのは魅力的ですね。

試す

WAFを作成するときに既存のAPIに関連づける

私がいろいろなブログで使いまわしているAPIがすでにあります。そこに新しいWAFを作って関連付けてみます。この操作は、WAFを新しく作成するとき に設定できます。

Resource type to associate with web ACL　で ALB に加えて API Gateway が選べるようになっていました。また、API Gateway を特定した後にステージを指定していることがわかります。このことから、API Gateway と API Gateway のステージが紐づくということがわかります。WAFには、特定のIPアドレス以外からはアクセスできないようなルールを設定しました。

許可されているIPアドレスの場合、通常通りレスポンスを受け取ることができます。

GET https://xxxxxxx.execute-api.ap-northeast-1.amazonaws.com/v1/users