Kuidas kaitsta AWS-i taustaprogrammis kahte erineva juurdepääsuvajadusega mikro-Frontendit

Turvalisuse ja juurdepääsetavuse tasakaalustamine AWS-i mikro-esiarhitektuuris

Turvaliste ja skaleeritavate pilvarhitektuuride kujundamine hõlmab sageli juurdepääsetavuse ja piiratud juurdepääsu tasakaalustamist. Teie AWS-i seadistuses on teil kaks unikaalsete juurdepääsunõuetega mikroliidest. FE-A peab piirduma konkreetse staatilise IP-ga, samas kui FE-B peaks olema avalikult juurdepääsetav. Nende vajaduste samaaegne lahendamine võib olla väljakutse. 😅

Väljakutse tekib turvarühmade konfigureerimisel EC2-s. Kui lubate juurdepääsu 0.0.0.0-le, muutuvad mõlemad kasutajaliidesed avalikult juurdepääsetavaks, seades ohtu FE-A turvalisuse. Teisest küljest ei võimalda juurdepääsu piiramine ühele staatilisele IP-le FE-B avalikku kättesaadavust. See loob keerulise tasakaalu avatuse ja turvalisuse vahel.

Kuigi Lambda funktsioon IP-vahemike dünaamiliseks värskendamiseks võib tunduda elujõuline, toob see kaasa täiendavaid üldkulusid ega ole optimaalne pikaajaline lahendus. Näiteks võib see aja jooksul kulusid ja keerukust suurendada. Lisaks võib turberühmade sagedaste värskenduste haldamine olla tülikas ja veaohtlik.

Nendele nõuetele vastava kulutõhusa lahenduse leidmine on ülioluline. Eesmärk on kaitsta FE-A-d, tagades samal ajal, et FE-B jääb ülemaailmselt juurdepääsetavaks ilma tarbetuid keerukusi tekitamata. Uurime, kuidas seda AWS-i parimate tavade abil saavutada. 🚀

AWS-iga mikropindade turvalisuse strateegiad

Esimene skript kasutab AWS-i veebirakenduse tulemüüri võimalusi (WAF), et jõustada kahe mikroliidese jaoks erinevad juurdepääsupoliitikad. WebACL-i loomisel rakendatakse FE-A-le spetsiifilisi IP-reegleid, et lubada liiklust ainult määratud kohast staatiline IPtagades, et see jääb suletud süsteemiks. FE-B jaoks lubab avalikku juurdepääsu eraldi reegel. See lähenemisviis tsentraliseerib juurdepääsukontrolli rakenduskihile, muutes selle ideaalseks liikluse tõhusaks haldamiseks ilma aluseks olevaid EC2 turberühmi muutmata. Näiteks võite piirata FE-A kontorivõrguga, võimaldades samal ajal FE-B-l jääda ülemaailmselt juurdepääsetavaks, pakkudes nii ettevõtte turvalisust kui ka kasutaja mugavust. 🌍

Seejärel seostatakse WebACL rakenduse koormuse tasakaalustajaga (ALB), tagades, et kogu ALB-d läbiv liiklus filtreeritakse vastavalt nendele reeglitele. Käsk waf_client.create_web_acl on reeglite määratlemisel otsustava tähtsusega, samas waf_client.associate_web_acl seob WebACL-i ressursiga. See seadistus on väga skaleeritav ja võimaldab edaspidiseid kohandusi, nagu uute IP-de lisamine või juurdepääsupoliitika muutmine, minimaalse pingutusega. Seirefunktsioonid, nagu CloudWatchi mõõdikud, võivad samuti jälgida reeglite tõhusust, pakkudes väärtuslikku teavet liiklusmustrite kohta.

Seevastu Lambda-põhine lahendus värskendab dünaamiliselt EC2 turvarühma reegleid. See skript tõmbab teie AWS-i piirkonna spetsiifilised IP-vahemikud ja konfigureerib need turvarühma sisenemisreeglitena. Funktsioon ec2.authorize_security_group_ingress lisab või värskendab lubatud IP-vahemikke, võimaldades FE-B-l olla avalikult juurdepääsetav, säilitades samal ajal FE-A range kontrolli. See lähenemisviis on eriti kasulik sageli muutuvate IP-nõuetega keskkondades, näiteks pilvepõhised arendusseadistused või ettevõtte kontorid. Näiteks kui asutatakse uus harukontor, saate selle IP-aadressi automaatselt valgesse nimekirja lisada ilma käsitsi sekkumiseta. 🏢

Lambda funktsioon koos ajastatud CloudWatchi sündmusega automatiseerib need värskendused iga päev, vähendades halduskulusid. Kuigi see lähenemine lisab keerukust, annab see liikluse üle täpse kontrolli. Skriptis sisalduvad ühikutestid kinnitavad funktsionaalsust, tagades turvareeglite korrektse rakendamise ilma vigu tekitamata. Olenemata sellest, kas valite WAF-i või Lambda, seavad mõlemad meetodid esikohale kulutõhususe ja paindlikkuse, tasakaalustades vajaduse avaliku ja piiratud juurdepääsu järele. Lõppkokkuvõttes näitavad need lahendused AWS-i mitmekülgsust erinevate nõuete täitmisel, säilitades samal ajal tugeva turvalisuse. 🔒

# Step 1: Define IP restrictions in AWS WAF
# Create a WebACL to allow only specific IP ranges for FE-A and public access for FE-B.
import boto3
waf_client = boto3.client('wafv2')
response = waf_client.create_web_acl(    Name='MicroFrontendAccessControl',    Scope='REGIONAL',    DefaultAction={'Allow': {}},    Rules=[        {            'Name': 'AllowSpecificIPForFEA',            'Priority': 1,            'Action': {'Allow': {}},            'Statement': {                'IPSetReferenceStatement': {                    'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id'                }            },            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowSpecificIPForFEA'            }        },        {            'Name': 'AllowPublicAccessForFEB',            'Priority': 2,            'Action': {'Allow': {}},            'Statement': {'IPSetReferenceStatement': {'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id-for-public'}},            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowPublicAccessForFEB'            }        }    ],    VisibilityConfig={        'SampledRequestsEnabled': True,        'CloudWatchMetricsEnabled': True,        'MetricName': 'MicroFrontendAccessControl'    })
print("WebACL created:", response)
# Step 2: Associate the WebACL with your Application Load Balancer
response = waf_client.associate_web_acl(    WebACLArn='arn:aws:wafv2:region:account-id:webacl/webacl-id',    ResourceArn='arn:aws:elasticloadbalancing:region:account-id:loadbalancer/app/load-balancer-name')
print("WebACL associated with Load Balancer:", response)

# Import required modules
import boto3
import requests
# Step 1: Fetch public IP ranges for your region
def get_ip_ranges(region):
    response = requests.get("https://ip-ranges.amazonaws.com/ip-ranges.json")
    ip_ranges = response.json()["prefixes"]
    return [prefix["ip_prefix"] for prefix in ip_ranges if prefix["region"] == region]
# Step 2: Update the security group
def update_security_group(security_group_id, ip_ranges):
    ec2 = boto3.client('ec2')
    permissions = [{"IpProtocol": "tcp", "FromPort": 80, "ToPort": 80, "IpRanges": [{"CidrIp": ip} for ip in ip_ranges]}]
    ec2.authorize_security_group_ingress(GroupId=security_group_id, IpPermissions=permissions)
# Step 3: Lambda handler
def lambda_handler(event, context):
    region = "us-west-2"
    security_group_id = "sg-0123456789abcdef0"
    ip_ranges = get_ip_ranges(region)
    update_security_group(security_group_id, ip_ranges)
    return {"statusCode": 200, "body": "Security group updated successfully"}

import unittest
from unittest.mock import patch
class TestSecurityConfigurations(unittest.TestCase):
    @patch("boto3.client")
    def test_update_security_group(self, mock_boto3):
        mock_ec2 = mock_boto3.return_value
        ip_ranges = ["192.168.0.0/24", "203.0.113.0/24"]
        update_security_group("sg-0123456789abcdef0", ip_ranges)
        mock_ec2.authorize_security_group_ingress.assert_called()
    def test_get_ip_ranges(self):
        region = "us-west-2"
        ip_ranges = get_ip_ranges(region)
        self.assertIsInstance(ip_ranges, list)
if __name__ == "__main__":
    unittest.main()

AWS-i mikro-Frontend-rakenduste turvalisuse ja juurdepääsetavuse optimeerimine

Teine tõhus viis oma mikroliidese arhitektuuris piiratud ja avaliku juurdepääsu tasakaalustamise väljakutse lahendamiseks on AWS Amplify integreeritud funktsioonide võimendamine. Amplify lihtsustab hostimist ja juurutamist, pakkudes samal ajal tööriistu taustaprogrammi API-de turvaliseks konfigureerimiseks. FE-A puhul saate rakendada võrgu juurdepääsu kontrolli, piirates selle taustarakenduse API lõpp-punktid konkreetsete IP-dega, kasutades AWS API lüüsi. See seadistus tagab, et ainult eelmääratletud staatilised IP-d saavad taustaprogrammiga suhelda, samas kui FE-B lõpp-punktid võivad jääda avalikuks juurdepääsuks piiramatuks. See mitte ainult ei suurenda turvalisust, vaid integreerub sujuvalt ka Amplify CI/CD töövoogudega. 🌐

Teine kaalutlus on Amazon CloudFronti kasutamine kohandatud päritolu juurdepääsupoliitikaga. CloudFront saab suunata liikluse URL-i tee põhjal sobivasse taustaprogrammi, toimides teie mikroliidese jaoks väravavahina. FE-A liiklust saab filtreerida CloudFronti kaudu, kasutades päritolupäringu poliitikat, mis kontrollib IP-piiranguid või konkreetseid päiseid. Näiteks FE-A kaudu sisemist tööriista juurutav ettevõte saab lisada IP-vahemiku filtri, tehes samal ajal FE-B lõppkasutajatele ülemaailmselt kättesaadavaks. See lähenemisviis optimeerib nii skaleeritavust kui ka jõudlust, eriti rakenduste jaoks, mis nõuavad globaalset levitamist. 🚀

Lõpuks lisab AWS Cognito rakendamine kasutaja autentimiseks täiendava turvakihi. FE-A saab lukustada sisselogimissüsteemi taha, mis nõuab kasutaja autentimist konkreetsete rollide või rühmadega, samas kui FE-B võib kasutada avalikuks juurdepääsuks kergemat autentimismehhanismi või üldse mitte. Autentimise ja võrgule juurdepääsu piirangute kombineerimisega saavutate iga mikroliidese vajadustele kohandatud tugeva turbemudeli. See strateegia on eriti tõhus alustavatele ettevõtetele ja VKEdele, kes otsivad taskukohaseid, skaleeritavaid ja turvalisi pilvelahendusi. 🔐