AWS バックエンドで異なるアクセスニーズを持つ 2 つのマイクロフロントエンドを保護する方法

アクセス要件が異なる 2 つのマイクロフロントエンドの AWS バックエンドを保護する

アプローチ 1: アクセス制御に AWS WAF (Web アプリケーション ファイアウォール) とセキュリティ グループを使用する

# Step 1: Define IP restrictions in AWS WAF
# Create a WebACL to allow only specific IP ranges for FE-A and public access for FE-B.
import boto3
waf_client = boto3.client('wafv2')
response = waf_client.create_web_acl(    Name='MicroFrontendAccessControl',    Scope='REGIONAL',    DefaultAction={'Allow': {}},    Rules=[        {            'Name': 'AllowSpecificIPForFEA',            'Priority': 1,            'Action': {'Allow': {}},            'Statement': {                'IPSetReferenceStatement': {                    'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id'                }            },            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowSpecificIPForFEA'            }        },        {            'Name': 'AllowPublicAccessForFEB',            'Priority': 2,            'Action': {'Allow': {}},            'Statement': {'IPSetReferenceStatement': {'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id-for-public'}},            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowPublicAccessForFEB'            }        }    ],    VisibilityConfig={        'SampledRequestsEnabled': True,        'CloudWatchMetricsEnabled': True,        'MetricName': 'MicroFrontendAccessControl'    })
print("WebACL created:", response)
# Step 2: Associate the WebACL with your Application Load Balancer
response = waf_client.associate_web_acl(    WebACLArn='arn:aws:wafv2:region:account-id:webacl/webacl-id',    ResourceArn='arn:aws:elasticloadbalancing:region:account-id:loadbalancer/app/load-balancer-name')
print("WebACL associated with Load Balancer:", response)

Lambda 関数を使用した動的更新のためのアクセスの保護

アプローチ 2: セキュリティ グループを動的に更新する Lambda 関数

# Import required modules
import boto3
import requests
# Step 1: Fetch public IP ranges for your region
def get_ip_ranges(region):
    response = requests.get("https://ip-ranges.amazonaws.com/ip-ranges.json")
    ip_ranges = response.json()["prefixes"]
    return [prefix["ip_prefix"] for prefix in ip_ranges if prefix["region"] == region]
# Step 2: Update the security group
def update_security_group(security_group_id, ip_ranges):
    ec2 = boto3.client('ec2')
    permissions = [{"IpProtocol": "tcp", "FromPort": 80, "ToPort": 80, "IpRanges": [{"CidrIp": ip} for ip in ip_ranges]}]
    ec2.authorize_security_group_ingress(GroupId=security_group_id, IpPermissions=permissions)
# Step 3: Lambda handler
def lambda_handler(event, context):
    region = "us-west-2"
    security_group_id = "sg-0123456789abcdef0"
    ip_ranges = get_ip_ranges(region)
    update_security_group(security_group_id, ip_ranges)
    return {"statusCode": 200, "body": "Security group updated successfully"}

単体テストを使用した構成の検証

アプローチ 3: Lambda 関数と WebACL 構成の単体テストを追加する

import unittest
from unittest.mock import patch
class TestSecurityConfigurations(unittest.TestCase):
    @patch("boto3.client")
    def test_update_security_group(self, mock_boto3):
        mock_ec2 = mock_boto3.return_value
        ip_ranges = ["192.168.0.0/24", "203.0.113.0/24"]
        update_security_group("sg-0123456789abcdef0", ip_ranges)
        mock_ec2.authorize_security_group_ingress.assert_called()
    def test_get_ip_ranges(self):
        region = "us-west-2"
        ip_ranges = get_ip_ranges(region)
        self.assertIsInstance(ip_ranges, list)
if __name__ == "__main__":
    unittest.main()

AWS マイクロフロントエンド アーキテクチャのセキュリティに関するよくある質問

1. 特定の IP の API エンドポイントへのアクセスを制限するにはどうすればよいですか?
2. 使用 API Gateway resource policies エンドポイントに許可される IP 範囲を定義します。
3. フロントエンドのグローバルな可用性を確保する最善の方法は何ですか?
4. を使用してデプロイします AWS Amplify コンテンツ配信ネットワークとして Amazon CloudFront を使用します。
5. 動的環境の IP 更新を自動化できますか?
6. はい、使用します Lambda function セキュリティ グループまたは WAF ルールで IP 範囲を動的に取得および更新します。
7. FE-B のパブリック アクセスに影響を与えずに FE-A を保護することは可能ですか?
8. 組み合わせる WAF FE-A の場合はルール、FE-B の場合は無制限のセキュリティ グループ設定です。
9. AWS Cognito はマイクロフロントエンドのセキュリティをどのように強化しますか?
10. AWS Cognito はユーザー認証を管理し、特定のフロントエンドに対するロールベースのアクセスを許可します。

安全なマイクロフロントエンドアクセスのための効果的なソリューション

マイクロフロントエンドのバックエンドを保護するには、カスタマイズされたアプローチが必要です。 AWS は、トラフィックの効果的な管理に役立つ WAF、API Gateway、CloudFront などのツールをいくつか提供しています。 FE-A の IP フィルタリングや FE-B のオープン アクセスなどの構成は、アクセシビリティとセキュリティのバランスをとるために重要です。これらのツールにより、プロセスがシームレスかつ信頼性の高いものになります。 🔐

動的 IP 管理用の Lambda 関数などの自動化された方法を使用すると、コストを管理しながら柔軟性がさらに高まります。ネットワークレベルのセキュリティとアプリケーション層の対策を組み合わせることで、あらゆる規模のビジネスに適した堅牢なソリューションが保証されます。これにより、ユーザー エクスペリエンスを損なうことなく、最適化されたバックエンド セキュリティを実現できます。 🌟