Cara Melindungi Dua Mikro-Frontend dengan Keperluan Akses Berbeza pada Bahagian Belakang AWS

Mengimbangi Keselamatan dan Kebolehcapaian dalam Seni Bina Micro-Frontend AWS

Mereka bentuk seni bina awan yang selamat dan berskala selalunya melibatkan pengimbangan kebolehcapaian dan akses terhad. Dalam persediaan AWS anda, anda mempunyai dua bahagian hadapan mikro dengan keperluan akses unik. FE-A perlu dihadkan kepada IP statik tertentu, manakala FE-B harus boleh diakses secara terbuka. Menangani keperluan ini secara serentak boleh menimbulkan cabaran. 😅

Cabaran timbul apabila mengkonfigurasi kumpulan keselamatan dalam EC2. Jika anda membenarkan akses kepada 0.0.0.0, kedua-dua bahagian hadapan boleh diakses secara umum, menjejaskan keselamatan FE-A. Sebaliknya, mengehadkan akses kepada IP statik tunggal menafikan ketersediaan awam untuk FE-B. Ini mewujudkan tindakan pengimbangan yang kompleks antara keterbukaan dan keselamatan.

Walaupun fungsi Lambda untuk mengemas kini julat IP secara dinamik mungkin kelihatan berdaya maju, ia memperkenalkan overhed tambahan dan bukan penyelesaian jangka panjang yang optimum. Contohnya, ia mungkin meningkatkan kos dan kerumitan dari semasa ke semasa. Selain itu, mengurus kemas kini yang kerap kepada kumpulan keselamatan boleh menyusahkan dan terdedah kepada ralat.

Mencari penyelesaian kos efektif yang memenuhi keperluan ini adalah kritikal. Matlamatnya adalah untuk melindungi FE-A sambil memastikan FE-B kekal boleh diakses secara global tanpa memperkenalkan kerumitan yang tidak perlu. Mari terokai cara untuk mencapai ini menggunakan amalan terbaik AWS. 🚀

Strategi untuk Melindungi Mikro-Frontends dengan AWS

Skrip pertama memanfaatkan keupayaan AWS Web Application Firewall (WAF) untuk menguatkuasakan dasar akses yang berbeza untuk dua bahagian hadapan mikro. Dengan mencipta WebACL, peraturan IP khusus digunakan pada FE-A untuk membenarkan hanya trafik dari yang ditetapkan IP statik, memastikan ia kekal sebagai sistem tertutup. Untuk FE-B, peraturan berasingan membenarkan akses awam. Pendekatan ini memusatkan kawalan akses pada lapisan aplikasi, menjadikannya ideal untuk mengurus trafik dengan cekap tanpa mengubah suai kumpulan keselamatan EC2 yang mendasari. Sebagai contoh, anda mungkin mengehadkan FE-A kepada rangkaian pejabat sambil membenarkan FE-B kekal boleh diakses secara global, memenuhi keperluan keselamatan korporat dan kemudahan pengguna. 🌍

WebACL kemudiannya dikaitkan dengan Pengimbang Beban Aplikasi (ALB), memastikan semua trafik yang melalui ALB ditapis mengikut peraturan ini. Perintah itu waf_client.create_web_acl adalah penting dalam menentukan peraturan, manakala waf_client.associate_web_acl memautkan WebACL kepada sumber. Persediaan ini sangat berskala dan membenarkan pelarasan masa hadapan, seperti menambah IP baharu atau mengubah suai dasar akses, dengan usaha yang minimum. Ciri pemantauan seperti metrik CloudWatch juga boleh menjejaki keberkesanan peraturan, memberikan cerapan berharga tentang corak trafik.

Sebaliknya, penyelesaian berasaskan Lambda mengemas kini peraturan kumpulan keselamatan EC2 secara dinamik. Skrip ini mengambil julat IP khusus untuk rantau AWS anda dan mengkonfigurasinya sebagai peraturan kemasukan dalam kumpulan keselamatan. Fungsi ec2.authorize_security_group_ingress menambah atau mengemas kini julat IP yang dibenarkan, membolehkan FE-B boleh diakses secara umum sambil mengekalkan kawalan ketat untuk FE-A. Pendekatan ini amat berguna dalam persekitaran dengan keperluan IP yang kerap berubah, seperti persediaan pembangunan berasaskan awan atau pejabat korporat yang bertukar. Sebagai contoh, jika pejabat cawangan baharu ditubuhkan, anda boleh menambah IPnya secara automatik ke senarai putih tanpa campur tangan manual. 🏢

Fungsi Lambda, digabungkan dengan acara CloudWatch yang dijadualkan, mengautomasikan kemas kini ini setiap hari, mengurangkan overhed pentadbiran. Walaupun pendekatan ini menambah kerumitan, pendekatan ini memberikan kawalan terperinci ke atas trafik. Ujian unit yang disertakan dalam skrip mengesahkan kefungsian, memastikan peraturan keselamatan digunakan dengan betul tanpa memperkenalkan ralat. Sama ada anda memilih WAF atau Lambda, kedua-dua kaedah mengutamakan kecekapan kos dan fleksibiliti, mengimbangi keperluan untuk akses awam dan terhad. Akhirnya, penyelesaian ini menunjukkan kepelbagaian AWS dalam memenuhi pelbagai keperluan sambil mengekalkan keselamatan yang teguh. 🔒

# Step 1: Define IP restrictions in AWS WAF
# Create a WebACL to allow only specific IP ranges for FE-A and public access for FE-B.
import boto3
waf_client = boto3.client('wafv2')
response = waf_client.create_web_acl(    Name='MicroFrontendAccessControl',    Scope='REGIONAL',    DefaultAction={'Allow': {}},    Rules=[        {            'Name': 'AllowSpecificIPForFEA',            'Priority': 1,            'Action': {'Allow': {}},            'Statement': {                'IPSetReferenceStatement': {                    'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id'                }            },            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowSpecificIPForFEA'            }        },        {            'Name': 'AllowPublicAccessForFEB',            'Priority': 2,            'Action': {'Allow': {}},            'Statement': {'IPSetReferenceStatement': {'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id-for-public'}},            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowPublicAccessForFEB'            }        }    ],    VisibilityConfig={        'SampledRequestsEnabled': True,        'CloudWatchMetricsEnabled': True,        'MetricName': 'MicroFrontendAccessControl'    })
print("WebACL created:", response)
# Step 2: Associate the WebACL with your Application Load Balancer
response = waf_client.associate_web_acl(    WebACLArn='arn:aws:wafv2:region:account-id:webacl/webacl-id',    ResourceArn='arn:aws:elasticloadbalancing:region:account-id:loadbalancer/app/load-balancer-name')
print("WebACL associated with Load Balancer:", response)

# Import required modules
import boto3
import requests
# Step 1: Fetch public IP ranges for your region
def get_ip_ranges(region):
    response = requests.get("https://ip-ranges.amazonaws.com/ip-ranges.json")
    ip_ranges = response.json()["prefixes"]
    return [prefix["ip_prefix"] for prefix in ip_ranges if prefix["region"] == region]
# Step 2: Update the security group
def update_security_group(security_group_id, ip_ranges):
    ec2 = boto3.client('ec2')
    permissions = [{"IpProtocol": "tcp", "FromPort": 80, "ToPort": 80, "IpRanges": [{"CidrIp": ip} for ip in ip_ranges]}]
    ec2.authorize_security_group_ingress(GroupId=security_group_id, IpPermissions=permissions)
# Step 3: Lambda handler
def lambda_handler(event, context):
    region = "us-west-2"
    security_group_id = "sg-0123456789abcdef0"
    ip_ranges = get_ip_ranges(region)
    update_security_group(security_group_id, ip_ranges)
    return {"statusCode": 200, "body": "Security group updated successfully"}

import unittest
from unittest.mock import patch
class TestSecurityConfigurations(unittest.TestCase):
    @patch("boto3.client")
    def test_update_security_group(self, mock_boto3):
        mock_ec2 = mock_boto3.return_value
        ip_ranges = ["192.168.0.0/24", "203.0.113.0/24"]
        update_security_group("sg-0123456789abcdef0", ip_ranges)
        mock_ec2.authorize_security_group_ingress.assert_called()
    def test_get_ip_ranges(self):
        region = "us-west-2"
        ip_ranges = get_ip_ranges(region)
        self.assertIsInstance(ip_ranges, list)
if __name__ == "__main__":
    unittest.main()

Mengoptimumkan Keselamatan dan Kebolehcapaian untuk Aplikasi Mikro-Frontend dalam AWS

Satu lagi cara berkesan untuk menangani cabaran mengimbangi akses terhad dan awam dalam seni bina bahagian hadapan mikro anda ialah dengan memanfaatkan ciri bersepadu AWS Amplify. Amplify memudahkan pengehosan dan penggunaan sambil menyediakan alatan untuk mengkonfigurasi API bahagian belakang dengan selamat. Untuk FE-A, anda boleh melaksanakan kawalan akses rangkaian dengan mengehadkan titik akhir API bahagian belakangnya kepada IP tertentu menggunakan Gerbang API AWS. Persediaan ini memastikan bahawa hanya IP statik yang dipratentukan boleh berinteraksi dengan bahagian belakang, manakala titik akhir FE-B boleh kekal tidak terhad untuk akses awam. Ini bukan sahaja meningkatkan keselamatan tetapi juga menyepadukan dengan lancar dengan aliran kerja CI/CD Amplify. 🌐

Pertimbangan lain ialah menggunakan Amazon CloudFront dengan dasar akses asal tersuai. CloudFront boleh menghalakan trafik ke bahagian belakang yang sesuai berdasarkan laluan URL, berfungsi sebagai penjaga pintu untuk bahagian hadapan mikro anda. Trafik FE-A boleh ditapis melalui CloudFront menggunakan dasar permintaan asal yang menyemak sekatan IP atau pengepala khusus. Sebagai contoh, perusahaan yang menggunakan alat dalaman melalui FE-A boleh menambah penapis julat IP sambil menjadikan FE-B tersedia secara global kepada pengguna akhir. Pendekatan ini mengoptimumkan kebolehskalaan dan prestasi, terutamanya untuk aplikasi yang memerlukan pengedaran global. 🚀

Akhir sekali, melaksanakan AWS Cognito untuk pengesahan pengguna menambah lapisan keselamatan tambahan. FE-A boleh dikunci di belakang sistem log masuk yang memerlukan pengesahan pengguna dengan peranan atau kumpulan tertentu, manakala FE-B boleh menggunakan mekanisme pengesahan yang lebih ringan atau tiada langsung untuk akses awam. Dengan menggabungkan pengesahan dan sekatan akses rangkaian, anda mencapai model keselamatan yang teguh yang disesuaikan dengan keperluan setiap bahagian hadapan mikro. Strategi ini amat berkesan untuk pemula dan PKS yang mencari penyelesaian awan yang berpatutan, berskala dan selamat. 🔐