[アップデート] AWS WAF で Web ACL の WCU デフォルト上限が 5,000 になりました

#AWS WAF

#AWS

いわさ

2023.04.12

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

いわさです。

AWS WAF では Web ACL キャパシティーユニット (WCU) という概念があり、Web ACL の実行に必要なリソースを計算し制御しています。
個別のルールやルールグループごとに WCU が計算または定義され、またそれらのルールを利用する Web ACL ではキャパシティの上限が設けられています。

これまでは 1 つの Web ACL の上限は 1,500 WCU となっており、上限を超えたルール設定が必要な場合は次の記事のように上限緩和申請が必要でした。

これが本日のアップデートで、5,000 WCU まで上限緩和申請が不要で利用出来るようになりました。

Web ACL のデフォルト上限

以下は上限緩和申請を行っていない AWS アカウントの Web ACL 作成画面です。
ルール追加後に合計 WCU が計算されますが、上限値の表記が 5,000 WCU になっていますね。

試しに次のように 5,025 WCU で登録したところキャパシティ上限のエラーが発生しました。
WCU の上限を超えていても最終登録操作まで進行出来るの知らなかった。

5,000 WCU ちょうどの場合は登録が出来ました。

料金は従来と同じで 1,500 WCU 超過分は追加料金が発生

料金は従来と同様で、1,500 WCU を超過した分は、500 WCU ごとに 0.2 USD/100 万リクエスト加算されます。
意識してなかったけど超過料金発生していたということもありそうなので気をつけましょう。

ルールグループは緩和されてない

また、今回は Web ACL のデフォルトが上限緩和されていますが、ルールグループについては引き続き 1,500 WCU がデフォルトの上限となっていることを確認しました。

1,500 WCU を超えたルールグループを作成しようとすると次のようにエラーとなります。
従来どおりサービスクォーターから緩和申請を行いましょう。

サービスクォータの表示に注意

Web ACL あたり 5,000 WCU を超過する場合は上限緩和申請が必要になります。
本日時点では次のようにデフォルトクォータ値が 1,500 のままでした。どうやら適用値だけ更新されているみたいですね。

なお、WAF についてはサービスクォータ API で適用されている値が取得出来ないことを知りました。

# The maximum number of web ACL capacity units allowed in a web ACL for regional. 
% aws service-quotas get-service-quota --service-code wafv2 --quota-code L-D9F31E8A

An error occurred (NoSuchResourceException) when calling the GetServiceQuota operation: 

# Egress-only internet gateways per Region
% aws service-quotas get-service-quota --service-code vpc --quota-code L-45FE3B85  
{
    "Quota": {
        "ServiceCode": "vpc",
        "ServiceName": "Amazon Virtual Private Cloud (Amazon VPC)",
        "QuotaArn": "arn:aws:servicequotas:ap-northeast-1:123456789012:vpc/L-45FE3B85",
        "QuotaCode": "L-45FE3B85",
        "QuotaName": "Egress-only internet gateways per Region",
        "Value": 20.0,
        "Unit": "None",
        "Adjustable": true,
        "GlobalQuota": false
    }
}