Kuinka suojata kaksi mikrokäyttöliittymää erilaisilla käyttötarpeilla AWS-taustajärjestelmässä

Tasapainottaa turvallisuutta ja käytettävyyttä AWS Micro-Frontend -arkkitehtuurissa

Turvallisten ja skaalautuvien pilviarkkitehtuurien suunnittelu edellyttää usein saavutettavuuden ja rajoitetun pääsyn tasapainottamista. AWS-asetuksissasi on kaksi mikrokäyttöliittymää, joilla on ainutlaatuiset käyttövaatimukset. FE-A on rajoitettava tiettyyn staattiseen IP-osoitteeseen, kun taas FE-B:n tulisi olla julkisesti saatavilla. Näiden tarpeiden samanaikainen käsitteleminen voi olla haaste. 😅

Haaste syntyy, kun EC2:n suojausryhmiä määritetään. Jos sallit pääsyn 0.0.0.0:aan, molemmat käyttöliittymät tulevat julkisiksi, mikä vaarantaa FE-A:n turvallisuuden. Toisaalta pääsyn rajoittaminen yhteen staattiseen IP-osoitteeseen estää FE-B:n julkisen saatavuuden. Tämä luo monimutkaisen tasapainon avoimuuden ja turvallisuuden välille.

Vaikka Lambda-toiminto IP-alueiden dynaamiseen päivittämiseen saattaa vaikuttaa käyttökelpoiselta, se aiheuttaa lisäkustannuksia, eikä se ole optimaalinen pitkän aikavälin ratkaisu. Se voi esimerkiksi lisätä kustannuksia ja monimutkaisuutta ajan myötä. Lisäksi toistuvien tietoturvaryhmien päivitysten hallinta voi olla hankalaa ja virhealtista.

Nämä vaatimukset täyttävän kustannustehokkaan ratkaisun löytäminen on erittäin tärkeää. Tavoitteena on suojata FE-A:ta ja varmistaa samalla, että FE-B on saatavilla maailmanlaajuisesti aiheuttamatta tarpeettomia monimutkaisia. Tutkitaan, miten tämä saavutetaan käyttämällä AWS:n parhaita käytäntöjä. 🚀

Strategiat mikroetujen turvaamiseksi AWS:llä

Ensimmäinen komentosarja hyödyntää AWS Web Application Firewallin ominaisuuksia (WAF) pakottaakseen käyttöön erilliset käyttökäytännöt kahdelle mikrokäyttöliittymälle. Kun luot WebACL:n, FE-A:lle sovelletaan erityisiä IP-sääntöjä sallimaan vain liikenteen määrätyltä kohteelta staattinen IPvarmistaen, että järjestelmä pysyy suljettuna. FE-B:lle erillinen sääntö sallii julkisen pääsyn. Tämä lähestymistapa keskittää pääsynhallinnan sovelluskerrokseen, mikä tekee siitä ihanteellisen liikenteen tehokkaaseen hallintaan muuttamatta taustalla olevia EC2-suojausryhmiä. Voit esimerkiksi rajoittaa FE-A:n toimistoverkkoon ja antaa FE-B:n pysyä maailmanlaajuisesti saatavilla, mikä takaa sekä yrityksen turvallisuuden että käyttäjien mukavuuden. 🌍

WebACL liitetään sitten Application Load Balanceriin (ALB), mikä varmistaa, että kaikki ALB:n läpi kulkeva liikenne suodatetaan näiden sääntöjen mukaisesti. komento waf_client.create_web_acl on keskeinen sääntöjen määrittelyssä waf_client.associate_web_acl linkittää WebACL:n resurssiin. Tämä kokoonpano on erittäin skaalautuva ja mahdollistaa tulevien säätöjen, kuten uusien IP-osoitteiden lisäämisen tai käyttöoikeuskäytäntöjen muuttamisen, pienellä vaivalla. Valvontaominaisuudet, kuten CloudWatch-mittarit, voivat myös seurata sääntöjen tehokkuutta ja tarjota arvokasta tietoa liikennemalleista.

Sitä vastoin Lambda-pohjainen ratkaisu päivittää dynaamisesti EC2-suojausryhmän sääntöjä. Tämä komentosarja hakee AWS-alueellesi ominaiset IP-alueet ja määrittää ne suojausryhmän sisääntulosäännöiksi. Toiminto ec2.authorize_security_group_ingress lisää tai päivittää sallitut IP-alueet, mikä mahdollistaa FE-B:n julkisen saatavuuden säilyttäen samalla tiukan valvonnan FE-A:lle. Tämä lähestymistapa on erityisen hyödyllinen ympäristöissä, joissa IP-vaatimukset muuttuvat usein, kuten pilvipohjaisissa kehitysasennuksissa tai vaihtuvissa yritystoimistoissa. Jos esimerkiksi perustetaan uusi sivukonttori, voit lisätä sen IP-osoitteen automaattisesti sallittujen luetteloon ilman manuaalisia toimia. 🏢

Lambda-toiminto yhdistettynä ajoitettuun CloudWatch-tapahtumaan automatisoi nämä päivitykset päivittäin, mikä vähentää hallinnollisia kustannuksia. Vaikka tämä lähestymistapa lisää monimutkaisuutta, se tarjoaa hienorakeisen liikenteen hallinnan. Skriptiin sisältyvät yksikkötestit vahvistavat toiminnallisuuden ja varmistavat, että suojaussääntöjä sovelletaan oikein ilman virheitä. Valitsetpa WAF:n tai Lambdan, molemmat menetelmät asettavat etusijalle kustannustehokkuuden ja joustavuuden, mikä tasapainottaa julkisen ja rajoitetun pääsyn tarpeen. Loppujen lopuksi nämä ratkaisut osoittavat AWS:n monipuolisuuden erilaisten vaatimusten täyttämisessä samalla kun ne säilyttävät vankan suojauksen. 🔒

# Step 1: Define IP restrictions in AWS WAF
# Create a WebACL to allow only specific IP ranges for FE-A and public access for FE-B.
import boto3
waf_client = boto3.client('wafv2')
response = waf_client.create_web_acl(    Name='MicroFrontendAccessControl',    Scope='REGIONAL',    DefaultAction={'Allow': {}},    Rules=[        {            'Name': 'AllowSpecificIPForFEA',            'Priority': 1,            'Action': {'Allow': {}},            'Statement': {                'IPSetReferenceStatement': {                    'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id'                }            },            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowSpecificIPForFEA'            }        },        {            'Name': 'AllowPublicAccessForFEB',            'Priority': 2,            'Action': {'Allow': {}},            'Statement': {'IPSetReferenceStatement': {'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id-for-public'}},            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowPublicAccessForFEB'            }        }    ],    VisibilityConfig={        'SampledRequestsEnabled': True,        'CloudWatchMetricsEnabled': True,        'MetricName': 'MicroFrontendAccessControl'    })
print("WebACL created:", response)
# Step 2: Associate the WebACL with your Application Load Balancer
response = waf_client.associate_web_acl(    WebACLArn='arn:aws:wafv2:region:account-id:webacl/webacl-id',    ResourceArn='arn:aws:elasticloadbalancing:region:account-id:loadbalancer/app/load-balancer-name')
print("WebACL associated with Load Balancer:", response)

# Import required modules
import boto3
import requests
# Step 1: Fetch public IP ranges for your region
def get_ip_ranges(region):
    response = requests.get("https://ip-ranges.amazonaws.com/ip-ranges.json")
    ip_ranges = response.json()["prefixes"]
    return [prefix["ip_prefix"] for prefix in ip_ranges if prefix["region"] == region]
# Step 2: Update the security group
def update_security_group(security_group_id, ip_ranges):
    ec2 = boto3.client('ec2')
    permissions = [{"IpProtocol": "tcp", "FromPort": 80, "ToPort": 80, "IpRanges": [{"CidrIp": ip} for ip in ip_ranges]}]
    ec2.authorize_security_group_ingress(GroupId=security_group_id, IpPermissions=permissions)
# Step 3: Lambda handler
def lambda_handler(event, context):
    region = "us-west-2"
    security_group_id = "sg-0123456789abcdef0"
    ip_ranges = get_ip_ranges(region)
    update_security_group(security_group_id, ip_ranges)
    return {"statusCode": 200, "body": "Security group updated successfully"}

import unittest
from unittest.mock import patch
class TestSecurityConfigurations(unittest.TestCase):
    @patch("boto3.client")
    def test_update_security_group(self, mock_boto3):
        mock_ec2 = mock_boto3.return_value
        ip_ranges = ["192.168.0.0/24", "203.0.113.0/24"]
        update_security_group("sg-0123456789abcdef0", ip_ranges)
        mock_ec2.authorize_security_group_ingress.assert_called()
    def test_get_ip_ranges(self):
        region = "us-west-2"
        ip_ranges = get_ip_ranges(region)
        self.assertIsInstance(ip_ranges, list)
if __name__ == "__main__":
    unittest.main()

Suojauksen ja käytettävyyden optimointi mikro-etusovelluksia varten AWS:ssä

Toinen tehokas tapa vastata haasteeseen, joka liittyy rajoitetun ja julkisen käyttöoikeuden tasapainottamiseen mikrokäyttöliittymän arkkitehtuurissa, on hyödyntää AWS Amplifyn integroituja ominaisuuksia. Amplify yksinkertaistaa isännöintiä ja käyttöönottoa ja tarjoaa samalla työkaluja taustasovellusliittymien turvalliseen määrittämiseen. FE-A:ssa voit ottaa käyttöön verkon käytön hallinnan rajoittamalla sen tausta-API-päätepisteet tiettyihin IP-osoitteisiin AWS-sovellusliittymäyhdyskäytävän avulla. Tämä asennus varmistaa, että vain ennalta määritetyt staattiset IP-osoitteet voivat olla vuorovaikutuksessa taustajärjestelmän kanssa, kun taas FE-B:n päätepisteet voivat pysyä rajoittamattomina julkista käyttöä varten. Tämä ei ainoastaan ​​lisää turvallisuutta, vaan myös integroituu saumattomasti Amplifyn CI/CD-työnkulkuihin. 🌐

Toinen näkökohta on Amazon CloudFrontin käyttö mukautettujen alkuperän käyttöoikeuskäytäntöjen kanssa. CloudFront voi reitittää liikenteen sopivaan taustajärjestelmään URL-polun perusteella, mikä toimii portinvartijana mikrokäyttöliittymillesi. FE-A-liikenne voidaan suodattaa CloudFrontin kautta käyttämällä alkuperäpyyntökäytäntöä, joka tarkistaa IP-rajoitukset tai tietyt otsikot. Esimerkiksi yritys, joka ottaa käyttöön sisäisen työkalun FE-A:n kautta, voi lisätä IP-aluesuodattimen samalla kun FE-B on maailmanlaajuisesti loppukäyttäjien saatavilla. Tämä lähestymistapa optimoi sekä skaalautuvuuden että suorituskyvyn erityisesti sovelluksissa, jotka vaativat maailmanlaajuista jakelua. 🚀

Lopuksi AWS Cogniton käyttöönotto käyttäjän todennusta varten lisää ylimääräisen suojauskerroksen. FE-A voidaan lukita sisäänkirjautumisjärjestelmän taakse, joka edellyttää käyttäjän todennusta tietyillä rooleilla tai ryhmillä, kun taas FE-B voi käyttää kevyempää todennusmekanismia tai ei ollenkaan julkiseen käyttöön. Yhdistämällä todennus- ja verkkokäyttörajoitukset saavutat vankan suojausmallin, joka on räätälöity kunkin mikrokäyttöliittymän tarpeisiin. Tämä strategia on erityisen tehokas startup- ja pk-yrityksille, jotka etsivät edullisia, skaalautuvia ja turvallisia pilviratkaisuja. 🔐