Как защитить два микрофронтенда с разными потребностями в доступе на бэкенде AWS

Баланс между безопасностью и доступностью в микрофронтенд-архитектуре AWS

Проектирование безопасных и масштабируемых облачных архитектур часто предполагает баланс между доступностью и ограниченным доступом. В вашей настройке AWS есть два микроинтерфейса с уникальными требованиями к доступу. FE-A должен быть ограничен конкретным статическим IP-адресом, а FE-B должен быть доступен публично. Одновременное удовлетворение этих потребностей может стать непростой задачей. 😅

Проблема возникает при настройке групп безопасности в EC2. Если вы разрешите доступ к 0.0.0.0, оба интерфейса станут общедоступными, что поставит под угрозу безопасность FE-A. С другой стороны, ограничение доступа к одному статическому IP-адресу лишает FE-B публичной доступности. Это создает сложный баланс между открытостью и безопасностью.

Хотя функция Lambda для динамического обновления диапазонов IP-адресов может показаться жизнеспособной, она приводит к дополнительным накладным расходам и не является оптимальным долгосрочным решением. Например, со временем это может привести к увеличению затрат и сложности. Более того, управление частыми обновлениями групп безопасности может быть обременительным и подверженным ошибкам.

Крайне важно найти экономически эффективное решение, отвечающее этим требованиям. Цель состоит в том, чтобы защитить FE-A, обеспечивая при этом глобальную доступность FE-B без внесения ненужных сложностей. Давайте рассмотрим, как этого добиться, используя лучшие практики AWS. 🚀

Стратегии защиты микрофронтендов с помощью AWS

Первый скрипт использует возможности брандмауэра веб-приложений AWS (ВАФ), чтобы обеспечить соблюдение различных политик доступа для двух микро-интерфейсов. При создании WebACL к FE-A применяются определенные правила IP, позволяющие разрешать трафик только от назначенного статический IP, гарантируя, что она остается закрытой системой. Для FE-B отдельное правило разрешает публичный доступ. Этот подход централизует контроль доступа на уровне приложений, что делает его идеальным для эффективного управления трафиком без изменения базовых групп безопасности EC2. Например, вы можете ограничить FE-A офисной сетью, оставив FE-B глобально доступным, обеспечивая как корпоративную безопасность, так и удобство пользователей. 🌍

Затем WebACL связывается с балансировщиком нагрузки приложений (ALB), гарантируя, что весь трафик, проходящий через ALB, фильтруется в соответствии с этими правилами. Команда waf_client.create_web_acl играет решающую роль в определении правил, в то время как waf_client.associate_web_acl связывает WebACL с ресурсом. Эта настройка обладает высокой масштабируемостью и позволяет вносить в будущем коррективы, такие как добавление новых IP-адресов или изменение политик доступа, с минимальными усилиями. Функции мониторинга, такие как метрики CloudWatch, также могут отслеживать эффективность правил, предоставляя ценную информацию о моделях трафика.

Напротив, решение на основе Lambda динамически обновляет правила группы безопасности EC2. Этот скрипт извлекает диапазоны IP-адресов, специфичные для вашего региона AWS, и настраивает их как правила входа в группу безопасности. Функция ec2.authorize_security_group_ingress добавляет или обновляет разрешенные диапазоны IP-адресов, делая FE-B общедоступным, сохраняя при этом строгий контроль над FE-A. Этот подход особенно полезен в средах с часто меняющимися требованиями к IP, например при облачной разработке или смене корпоративных офисов. Например, если создан новый филиал, вы можете автоматически добавить его IP-адрес в белый список без ручного вмешательства. 🏢

Функция Lambda в сочетании с запланированным событием CloudWatch автоматизирует эти обновления ежедневно, сокращая административные расходы. Хотя этот подход усложняет ситуацию, он обеспечивает детальный контроль над трафиком. Модульные тесты, включенные в сценарий, проверяют функциональность, гарантируя правильное применение правил безопасности без возникновения ошибок. Независимо от того, выберете ли вы WAF или Lambda, оба метода отдают приоритет экономичности и гибкости, балансируя между необходимостью публичного и ограниченного доступа. В конечном итоге эти решения демонстрируют универсальность AWS в удовлетворении разнообразных требований при сохранении надежной безопасности. 🔒

# Step 1: Define IP restrictions in AWS WAF
# Create a WebACL to allow only specific IP ranges for FE-A and public access for FE-B.
import boto3
waf_client = boto3.client('wafv2')
response = waf_client.create_web_acl(    Name='MicroFrontendAccessControl',    Scope='REGIONAL',    DefaultAction={'Allow': {}},    Rules=[        {            'Name': 'AllowSpecificIPForFEA',            'Priority': 1,            'Action': {'Allow': {}},            'Statement': {                'IPSetReferenceStatement': {                    'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id'                }            },            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowSpecificIPForFEA'            }        },        {            'Name': 'AllowPublicAccessForFEB',            'Priority': 2,            'Action': {'Allow': {}},            'Statement': {'IPSetReferenceStatement': {'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id-for-public'}},            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowPublicAccessForFEB'            }        }    ],    VisibilityConfig={        'SampledRequestsEnabled': True,        'CloudWatchMetricsEnabled': True,        'MetricName': 'MicroFrontendAccessControl'    })
print("WebACL created:", response)
# Step 2: Associate the WebACL with your Application Load Balancer
response = waf_client.associate_web_acl(    WebACLArn='arn:aws:wafv2:region:account-id:webacl/webacl-id',    ResourceArn='arn:aws:elasticloadbalancing:region:account-id:loadbalancer/app/load-balancer-name')
print("WebACL associated with Load Balancer:", response)

# Import required modules
import boto3
import requests
# Step 1: Fetch public IP ranges for your region
def get_ip_ranges(region):
    response = requests.get("https://ip-ranges.amazonaws.com/ip-ranges.json")
    ip_ranges = response.json()["prefixes"]
    return [prefix["ip_prefix"] for prefix in ip_ranges if prefix["region"] == region]
# Step 2: Update the security group
def update_security_group(security_group_id, ip_ranges):
    ec2 = boto3.client('ec2')
    permissions = [{"IpProtocol": "tcp", "FromPort": 80, "ToPort": 80, "IpRanges": [{"CidrIp": ip} for ip in ip_ranges]}]
    ec2.authorize_security_group_ingress(GroupId=security_group_id, IpPermissions=permissions)
# Step 3: Lambda handler
def lambda_handler(event, context):
    region = "us-west-2"
    security_group_id = "sg-0123456789abcdef0"
    ip_ranges = get_ip_ranges(region)
    update_security_group(security_group_id, ip_ranges)
    return {"statusCode": 200, "body": "Security group updated successfully"}

import unittest
from unittest.mock import patch
class TestSecurityConfigurations(unittest.TestCase):
    @patch("boto3.client")
    def test_update_security_group(self, mock_boto3):
        mock_ec2 = mock_boto3.return_value
        ip_ranges = ["192.168.0.0/24", "203.0.113.0/24"]
        update_security_group("sg-0123456789abcdef0", ip_ranges)
        mock_ec2.authorize_security_group_ingress.assert_called()
    def test_get_ip_ranges(self):
        region = "us-west-2"
        ip_ranges = get_ip_ranges(region)
        self.assertIsInstance(ip_ranges, list)
if __name__ == "__main__":
    unittest.main()

Оптимизация безопасности и доступности микрофронтенд-приложений в AWS

Еще один эффективный способ решения проблемы баланса ограниченного и общего доступа в вашей микро-интерфейсной архитектуре — использование интегрированных функций AWS Amplify. Amplify упрощает хостинг и развертывание, предоставляя инструменты для безопасной настройки серверных API. Для FE-A вы можете реализовать контроль доступа к сети, ограничив конечные точки внутреннего API определенными IP-адресами с помощью шлюза API AWS. Эта настройка гарантирует, что только предопределенные статические IP-адреса могут взаимодействовать с серверной частью, в то время как конечные точки FE-B могут оставаться неограниченными для публичного доступа. Это не только повышает безопасность, но и легко интегрируется с рабочими процессами CI/CD Amplify. 🌐

Еще одним соображением является использование Amazon CloudFront с настраиваемыми политиками доступа к источнику. CloudFront может направлять трафик на соответствующий бэкэнд на основе URL-пути, выступая в качестве привратника для ваших микро-интерфейсов. Трафик FE-A можно фильтровать через CloudFront с помощью политики запроса источника, которая проверяет наличие ограничений IP или определенных заголовков. Например, предприятие, развертывающее внутренний инструмент через FE-A, может добавить фильтр диапазона IP-адресов, одновременно сделав FE-B глобально доступным для конечных пользователей. Такой подход оптимизирует как масштабируемость, так и производительность, особенно для приложений, требующих глобального распространения. 🚀

Наконец, внедрение AWS Cognito для аутентификации пользователей добавляет дополнительный уровень безопасности. FE-A может быть заблокирован за системой входа в систему, требующей аутентификации пользователя с использованием определенных ролей или групп, тогда как FE-B может использовать более простой механизм аутентификации или вообще не использовать его для публичного доступа. Комбинируя аутентификацию и ограничения доступа к сети, вы получаете надежную модель безопасности, адаптированную к потребностям каждого микроинтерфейса. Эта стратегия особенно эффективна для стартапов и предприятий малого и среднего бизнеса, которые ищут доступные, масштабируемые и безопасные облачные решения. 🔐