Kako zaštititi dva mikro-frontenda s različitim potrebama pristupa na AWS pozadini

Usklađivanje sigurnosti i pristupačnosti u AWS Micro-Frontend arhitekturi

Dizajniranje sigurnih i skalabilnih arhitektura oblaka često uključuje balansiranje pristupačnosti i ograničenog pristupa. U postavkama AWS-a imate dva mikro sučelja s jedinstvenim zahtjevima za pristup. FE-A mora biti ograničen na određeni statički IP, dok FE-B treba biti javno dostupan. Istovremeno rješavanje ovih potreba može predstavljati izazov. 😅

Izazov nastaje prilikom konfiguriranja sigurnosnih grupa u EC2. Ako dopustite pristup 0.0.0.0, oba sučelja postaju javno dostupna, ugrožavajući sigurnost FE-A. S druge strane, ograničavanje pristupa na jedan statički IP uskraćuje javnu dostupnost za FE-B. To stvara složeno balansiranje između otvorenosti i sigurnosti.

Dok se Lambda funkcija za dinamičko ažuriranje IP raspona može činiti održivom, ona uvodi dodatne troškove i nije optimalno dugoročno rješenje. Na primjer, može povećati troškove i složenost tijekom vremena. Štoviše, upravljanje čestim ažuriranjima sigurnosnih grupa može biti glomazno i ​​podložno pogreškama.

Pronalaženje troškovno učinkovitog rješenja koje ispunjava ove zahtjeve je ključno. Cilj je zaštititi FE-A, a istovremeno osigurati da FE-B ostane dostupan globalno bez uvođenja nepotrebnih složenosti. Istražimo kako to postići pomoću najboljih praksi AWS-a. 🚀

Strategije za osiguranje mikro frontova s ​​AWS-om

Prva skripta iskorištava mogućnosti Vatrozida web aplikacije AWS (WAF) za provođenje različitih pravila pristupa za dva mikro sučelja. Stvaranjem WebACL-a, određena IP pravila primjenjuju se na FE-A kako bi se omogućio samo promet s naznačenog statički IP, osiguravajući da ostane zatvoren sustav. Za FE-B, zasebno pravilo dopušta javni pristup. Ovaj pristup centralizira kontrolu pristupa na aplikacijskom sloju, što ga čini idealnim za učinkovito upravljanje prometom bez modificiranja temeljnih sigurnosnih grupa EC2. Na primjer, možete ograničiti FE-A na uredsku mrežu dok dopuštate FE-B da ostane globalno dostupan, brinući se i za korporativnu sigurnost i za pogodnost korisnika. 🌍

WebACL se tada povezuje s Application Load Balancerom (ALB), osiguravajući da se sav promet koji prolazi kroz ALB filtrira prema tim pravilima. Zapovijed waf_client.create_web_acl ključna je u definiranju pravila, dok waf_client.associate_web_acl povezuje WebACL s resursom. Ova postavka je visoko skalabilna i dopušta buduće prilagodbe, kao što je dodavanje novih IP-ova ili izmjena pravila pristupa, uz minimalan napor. Značajke praćenja poput metrike CloudWatch također mogu pratiti učinkovitost pravila, pružajući dragocjene uvide u obrasce prometa.

Nasuprot tome, rješenje temeljeno na Lambdi dinamički ažurira pravila sigurnosne grupe EC2. Ova skripta dohvaća IP raspone specifične za vašu AWS regiju i konfigurira ih kao pravila ulaza u sigurnosnu grupu. Funkcija ec2.authorize_security_group_ingress dodaje ili ažurira dopuštene IP raspone, omogućujući FE-B da bude javno dostupan uz zadržavanje stroge kontrole za FE-A. Ovaj je pristup posebno koristan u okruženjima s čestim promjenama IP zahtjeva, kao što su razvojne postavke temeljene na oblaku ili mijenjanje korporativnih ureda. Na primjer, ako se otvori novi ured, možete automatski dodati njegovu IP adresu na popis dopuštenih bez ručne intervencije. 🏢

Funkcija Lambda, u kombinaciji s zakazanim CloudWatch događajem, automatizira ta ažuriranja dnevno, smanjujući administrativne troškove. Iako ovaj pristup dodaje složenost, on pruža finu kontrolu nad prometom. Jedinični testovi uključeni u skriptu potvrđuju funkcionalnost, osiguravajući da se sigurnosna pravila primjenjuju ispravno bez uvođenja pogrešaka. Bilo da odaberete WAF ili Lambda, obje metode daju prednost isplativosti i fleksibilnosti, uravnotežujući potrebu za javnim i ograničenim pristupom. U konačnici, ova rješenja pokazuju svestranost AWS-a u ispunjavanju različitih zahtjeva uz održavanje snažne sigurnosti. 🔒

# Step 1: Define IP restrictions in AWS WAF
# Create a WebACL to allow only specific IP ranges for FE-A and public access for FE-B.
import boto3
waf_client = boto3.client('wafv2')
response = waf_client.create_web_acl(    Name='MicroFrontendAccessControl',    Scope='REGIONAL',    DefaultAction={'Allow': {}},    Rules=[        {            'Name': 'AllowSpecificIPForFEA',            'Priority': 1,            'Action': {'Allow': {}},            'Statement': {                'IPSetReferenceStatement': {                    'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id'                }            },            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowSpecificIPForFEA'            }        },        {            'Name': 'AllowPublicAccessForFEB',            'Priority': 2,            'Action': {'Allow': {}},            'Statement': {'IPSetReferenceStatement': {'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id-for-public'}},            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowPublicAccessForFEB'            }        }    ],    VisibilityConfig={        'SampledRequestsEnabled': True,        'CloudWatchMetricsEnabled': True,        'MetricName': 'MicroFrontendAccessControl'    })
print("WebACL created:", response)
# Step 2: Associate the WebACL with your Application Load Balancer
response = waf_client.associate_web_acl(    WebACLArn='arn:aws:wafv2:region:account-id:webacl/webacl-id',    ResourceArn='arn:aws:elasticloadbalancing:region:account-id:loadbalancer/app/load-balancer-name')
print("WebACL associated with Load Balancer:", response)

# Import required modules
import boto3
import requests
# Step 1: Fetch public IP ranges for your region
def get_ip_ranges(region):
    response = requests.get("https://ip-ranges.amazonaws.com/ip-ranges.json")
    ip_ranges = response.json()["prefixes"]
    return [prefix["ip_prefix"] for prefix in ip_ranges if prefix["region"] == region]
# Step 2: Update the security group
def update_security_group(security_group_id, ip_ranges):
    ec2 = boto3.client('ec2')
    permissions = [{"IpProtocol": "tcp", "FromPort": 80, "ToPort": 80, "IpRanges": [{"CidrIp": ip} for ip in ip_ranges]}]
    ec2.authorize_security_group_ingress(GroupId=security_group_id, IpPermissions=permissions)
# Step 3: Lambda handler
def lambda_handler(event, context):
    region = "us-west-2"
    security_group_id = "sg-0123456789abcdef0"
    ip_ranges = get_ip_ranges(region)
    update_security_group(security_group_id, ip_ranges)
    return {"statusCode": 200, "body": "Security group updated successfully"}

import unittest
from unittest.mock import patch
class TestSecurityConfigurations(unittest.TestCase):
    @patch("boto3.client")
    def test_update_security_group(self, mock_boto3):
        mock_ec2 = mock_boto3.return_value
        ip_ranges = ["192.168.0.0/24", "203.0.113.0/24"]
        update_security_group("sg-0123456789abcdef0", ip_ranges)
        mock_ec2.authorize_security_group_ingress.assert_called()
    def test_get_ip_ranges(self):
        region = "us-west-2"
        ip_ranges = get_ip_ranges(region)
        self.assertIsInstance(ip_ranges, list)
if __name__ == "__main__":
    unittest.main()

Optimiziranje sigurnosti i pristupačnosti za Micro-Frontend aplikacije u AWS-u

Još jedan učinkovit način rješavanja izazova balansiranja ograničenog i javnog pristupa u vašoj arhitekturi mikro sučelja je korištenje integriranih značajki AWS Amplifyja. Amplify pojednostavljuje hosting i implementaciju dok pruža alate za sigurnu konfiguraciju pozadinskih API-ja. Za FE-A možete implementirati kontrolu pristupa mreži ograničavanjem krajnjih točaka pozadinskog API-ja na određene IP-ove pomoću AWS API pristupnika. Ova postavka osigurava da samo unaprijed definirani statički IP-ovi mogu komunicirati s pozadinom, dok krajnje točke FE-B-a mogu ostati neograničene za javni pristup. Ovo ne samo da poboljšava sigurnost, već se i besprijekorno integrira s Amplifyjevim CI/CD tijekovima rada. 🌐

Još jedno razmatranje je korištenje Amazon CloudFronta s prilagođenim pravilima pristupa izvoru. CloudFront može usmjeriti promet na odgovarajuću pozadinu na temelju URL putanje, služeći kao vratar za vaša mikro-sučelja. FE-A promet može se filtrirati kroz CloudFront pomoću pravila zahtjeva za izvor koji provjerava IP ograničenja ili određena zaglavlja. Na primjer, poduzeće koje implementira interni alat putem FE-A može dodati filtar IP raspona dok FE-B čini globalno dostupnim krajnjim korisnicima. Ovaj pristup optimizira i skalabilnost i performanse, posebno za aplikacije koje zahtijevaju globalnu distribuciju. 🚀

Na kraju, implementacija AWS Cognita za autentifikaciju korisnika dodaje dodatni sloj sigurnosti. FE-A se može zaključati iza sustava za prijavu koji zahtijeva autentifikaciju korisnika s određenim ulogama ili grupama, dok FE-B može koristiti lakši mehanizam autentifikacije ili ga uopće ne upotrebljava za javni pristup. Kombinacijom provjere autentičnosti i ograničenja mrežnog pristupa postižete robustan sigurnosni model prilagođen potrebama svakog mikro sučelja. Ova je strategija posebno učinkovita za startupe i mala i srednja poduzeća koja traže pristupačna, skalabilna i sigurna rješenja u oblaku. 🔐