Hoe u twee micro-frontends met verschillende toegangsbehoeften op een AWS-backend kunt beschermen

Evenwicht tussen beveiliging en toegankelijkheid in AWS Micro-Frontend-architectuur

Bij het ontwerpen van veilige en schaalbare cloudarchitecturen gaat het vaak om het balanceren van toegankelijkheid en beperkte toegang. In uw AWS-opstelling beschikt u over twee micro-frontends met unieke toegangsvereisten. FE-A moet beperkt worden tot een specifiek statisch IP-adres, terwijl FE-B publiekelijk toegankelijk moet zijn. Het tegelijkertijd aanpakken van deze behoeften kan een uitdaging vormen. 😅

De uitdaging ontstaat bij het configureren van de beveiligingsgroepen in EC2. Als u toegang tot 0.0.0.0 toestaat, worden beide frontends openbaar toegankelijk, waardoor de veiligheid van FE-A in gevaar komt. Aan de andere kant ontzegt het beperken van de toegang tot een enkel statisch IP-adres de publieke beschikbaarheid van FE-B. Hierdoor ontstaat een complexe evenwichtsoefening tussen openheid en veiligheid.

Hoewel een Lambda-functie voor het dynamisch bijwerken van IP-bereiken haalbaar lijkt, introduceert deze extra overhead en is deze geen optimale oplossing voor de lange termijn. Het kan bijvoorbeeld in de loop van de tijd de kosten en complexiteit verhogen. Bovendien kan het beheren van frequente updates van beveiligingsgroepen omslachtig en foutgevoelig zijn.

Het vinden van een kosteneffectieve oplossing die aan deze eisen voldoet, is van cruciaal belang. Het doel is om FE-A te beschermen en er tegelijkertijd voor te zorgen dat FE-B wereldwijd toegankelijk blijft zonder onnodige complexiteit te introduceren. Laten we eens kijken hoe we dit kunnen bereiken met behulp van de best practices van AWS. 🚀

Strategieën voor het beveiligen van microfrontends met AWS

Het eerste script maakt gebruik van de mogelijkheden van de AWS Web Application Firewall (WAF) om een ​​verschillend toegangsbeleid voor twee micro-frontends af te dwingen. Door een WebACL te maken, worden specifieke IP-regels toegepast op FE-A om alleen verkeer van een aangewezen adres toe te staan statisch IP-adres, zodat het een gesloten systeem blijft. Voor FE-B staat een aparte regel publieke toegang toe. Deze aanpak centraliseert de toegangscontrole op de applicatielaag, waardoor het ideaal is om verkeer efficiënt te beheren zonder de onderliggende EC2-beveiligingsgroepen te wijzigen. U kunt FE-A bijvoorbeeld beperken tot een kantoornetwerk, terwijl FE-B wereldwijd toegankelijk blijft, wat zowel de bedrijfsveiligheid als het gebruikersgemak ten goede komt. 🌍

De WebACL wordt vervolgens gekoppeld aan een Application Load Balancer (ALB), die ervoor zorgt dat al het verkeer dat door de ALB gaat, volgens deze regels wordt gefilterd. Het commando waf_client.create_web_acl is cruciaal bij het definiëren van de regels waf_client.associate_web_acl koppelt de WebACL aan de bron. Deze opzet is zeer schaalbaar en maakt toekomstige aanpassingen mogelijk, zoals het toevoegen van nieuwe IP's of het wijzigen van het toegangsbeleid, met minimale inspanning. Met monitoringfuncties zoals CloudWatch-statistieken kan ook de effectiviteit van de regels worden gevolgd, waardoor waardevolle inzichten in verkeerspatronen worden verkregen.

De op Lambda gebaseerde oplossing werkt daarentegen dynamisch de EC2-beveiligingsgroepregels bij. Dit script haalt IP-bereiken op die specifiek zijn voor uw AWS-regio en configureert deze als ingangsregels in de beveiligingsgroep. De functie ec2.authorize_security_group_ingress voegt de toegestane IP-bereiken toe of werkt deze bij, waardoor FE-B openbaar toegankelijk is terwijl de strikte controle voor FE-A behouden blijft. Deze aanpak is vooral nuttig in omgevingen met vaak veranderende IP-vereisten, zoals cloudgebaseerde ontwikkelingsopstellingen of wisselende bedrijfskantoren. Als er bijvoorbeeld een nieuw filiaal wordt opgericht, kunt u het IP-adres ervan automatisch aan de witte lijst toevoegen, zonder handmatige tussenkomst. 🏢

De Lambda-functie, gecombineerd met een gepland CloudWatch-evenement, automatiseert deze updates dagelijks, waardoor de administratieve overhead wordt verminderd. Hoewel deze aanpak de complexiteit vergroot, biedt het een fijnmazige controle over het verkeer. Eenheidstests in het script valideren de functionaliteit en zorgen ervoor dat beveiligingsregels correct worden toegepast zonder fouten te introduceren. Of u nu kiest voor WAF of Lambda, beide methoden geven prioriteit aan kostenefficiëntie en flexibiliteit, waarbij de behoefte aan openbare en beperkte toegang in evenwicht wordt gebracht. Uiteindelijk demonstreren deze oplossingen de veelzijdigheid van AWS bij het voldoen aan uiteenlopende eisen met behoud van robuuste beveiliging. 🔒

# Step 1: Define IP restrictions in AWS WAF
# Create a WebACL to allow only specific IP ranges for FE-A and public access for FE-B.
import boto3
waf_client = boto3.client('wafv2')
response = waf_client.create_web_acl(    Name='MicroFrontendAccessControl',    Scope='REGIONAL',    DefaultAction={'Allow': {}},    Rules=[        {            'Name': 'AllowSpecificIPForFEA',            'Priority': 1,            'Action': {'Allow': {}},            'Statement': {                'IPSetReferenceStatement': {                    'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id'                }            },            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowSpecificIPForFEA'            }        },        {            'Name': 'AllowPublicAccessForFEB',            'Priority': 2,            'Action': {'Allow': {}},            'Statement': {'IPSetReferenceStatement': {'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id-for-public'}},            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowPublicAccessForFEB'            }        }    ],    VisibilityConfig={        'SampledRequestsEnabled': True,        'CloudWatchMetricsEnabled': True,        'MetricName': 'MicroFrontendAccessControl'    })
print("WebACL created:", response)
# Step 2: Associate the WebACL with your Application Load Balancer
response = waf_client.associate_web_acl(    WebACLArn='arn:aws:wafv2:region:account-id:webacl/webacl-id',    ResourceArn='arn:aws:elasticloadbalancing:region:account-id:loadbalancer/app/load-balancer-name')
print("WebACL associated with Load Balancer:", response)

# Import required modules
import boto3
import requests
# Step 1: Fetch public IP ranges for your region
def get_ip_ranges(region):
    response = requests.get("https://ip-ranges.amazonaws.com/ip-ranges.json")
    ip_ranges = response.json()["prefixes"]
    return [prefix["ip_prefix"] for prefix in ip_ranges if prefix["region"] == region]
# Step 2: Update the security group
def update_security_group(security_group_id, ip_ranges):
    ec2 = boto3.client('ec2')
    permissions = [{"IpProtocol": "tcp", "FromPort": 80, "ToPort": 80, "IpRanges": [{"CidrIp": ip} for ip in ip_ranges]}]
    ec2.authorize_security_group_ingress(GroupId=security_group_id, IpPermissions=permissions)
# Step 3: Lambda handler
def lambda_handler(event, context):
    region = "us-west-2"
    security_group_id = "sg-0123456789abcdef0"
    ip_ranges = get_ip_ranges(region)
    update_security_group(security_group_id, ip_ranges)
    return {"statusCode": 200, "body": "Security group updated successfully"}

import unittest
from unittest.mock import patch
class TestSecurityConfigurations(unittest.TestCase):
    @patch("boto3.client")
    def test_update_security_group(self, mock_boto3):
        mock_ec2 = mock_boto3.return_value
        ip_ranges = ["192.168.0.0/24", "203.0.113.0/24"]
        update_security_group("sg-0123456789abcdef0", ip_ranges)
        mock_ec2.authorize_security_group_ingress.assert_called()
    def test_get_ip_ranges(self):
        region = "us-west-2"
        ip_ranges = get_ip_ranges(region)
        self.assertIsInstance(ip_ranges, list)
if __name__ == "__main__":
    unittest.main()

Optimalisatie van de beveiliging en toegankelijkheid voor micro-frontend-applicaties in AWS

Een andere effectieve manier om de uitdaging aan te gaan van het balanceren van beperkte en openbare toegang in uw micro-frontend-architectuur is door gebruik te maken van de geïntegreerde functies van AWS Amplify. Amplify vereenvoudigt de hosting en implementatie en biedt tegelijkertijd tools om backend-API's veilig te configureren. Voor FE-A kunt u netwerktoegangscontrole implementeren door de backend-API-eindpunten te beperken tot specifieke IP's met behulp van een AWS API Gateway. Deze opstelling zorgt ervoor dat alleen vooraf gedefinieerde statische IP’s kunnen communiceren met de backend, terwijl de eindpunten van FE-B onbeperkt kunnen blijven voor publieke toegang. Dit verbetert niet alleen de beveiliging, maar kan ook naadloos worden geïntegreerd met de CI/CD-workflows van Amplify. 🌐

Een andere overweging is het gebruik van Amazon CloudFront met een aangepast oorsprongtoegangsbeleid. CloudFront kan verkeer naar de juiste backend leiden op basis van het URL-pad en dient als poortwachter voor uw micro-frontends. FE-A-verkeer kan via CloudFront worden gefilterd met behulp van een oorsprongsverzoekbeleid dat controleert op IP-beperkingen of specifieke headers. Een onderneming die een interne tool via FE-A implementeert, kan bijvoorbeeld een IP-bereikfilter toevoegen en FE-B wereldwijd beschikbaar maken voor eindgebruikers. Deze aanpak optimaliseert zowel de schaalbaarheid als de prestaties, vooral voor applicaties die wereldwijde distributie vereisen. 🚀

Ten slotte voegt de implementatie van AWS Cognito voor gebruikersauthenticatie een extra beveiligingslaag toe. FE-A kan worden vergrendeld achter een inlogsysteem dat gebruikersauthenticatie met specifieke rollen of groepen vereist, terwijl FE-B een lichter authenticatiemechanisme of helemaal geen authenticatiemechanisme kan gebruiken voor publieke toegang. Door authenticatie en netwerktoegangsbeperkingen te combineren, realiseert u een robuust beveiligingsmodel dat is afgestemd op de behoeften van elke micro-frontend. Deze strategie is met name effectief voor startups en MKB-bedrijven die op zoek zijn naar betaalbare, schaalbare en veilige cloudoplossingen. 🔐