Како заштитити два микро фронта са различитим потребама приступа на АВС бацкенд-у

Балансирање безбедности и приступачности у АВС Мицро-Фронтенд архитектури

Дизајнирање безбедних и скалабилних архитектура облака често укључује балансирање приступачности и ограниченог приступа. У вашем АВС подешавању, имате два микро фронтенда са јединственим захтевима за приступ. ФЕ-А треба да буде ограничен на одређену статичку ИП адресу, док ФЕ-Б треба да буде јавно доступан. Истовремено решавање ових потреба може представљати изазов. 😅

Изазов настаје приликом конфигурисања безбедносних група у ЕЦ2. Ако дозволите приступ 0.0.0.0, оба фронтенда постају јавно доступна, угрожавајући безбедност ФЕ-А. С друге стране, ограничавање приступа једној статичкој ИП адреси ускраћује јавну доступност за ФЕ-Б. Ово ствара сложен баланс између отворености и сигурности.

Иако Ламбда функција за динамичко ажурирање ИП опсега може изгледати одржива, она уводи додатне трошкове и није оптимално дугорочно решење. На пример, то може повећати трошкове и сложеност током времена. Штавише, управљање честим ажурирањима безбедносних група може бити гломазно и подложно грешкама.

Проналажење исплативог решења које испуњава ове захтеве је кључно. Циљ је заштитити ФЕ-А, а истовремено осигурати да ФЕ-Б остане доступан глобално без увођења непотребних сложености. Хајде да истражимо како да то постигнемо користећи најбоље праксе АВС-а. 🚀

Стратегије за обезбеђивање микро фронтова помоћу АВС-а

Прва скрипта користи могућности АВС заштитног зида за веб апликације (ВАФ) да би се примениле различите политике приступа за два микро-фронтенда. Креирањем ВебАЦЛ-а, специфична ИП правила се примењују на ФЕ-А да би се дозволио само саобраћај од одређеног статички ИП, осигуравајући да остане затворен систем. За ФЕ-Б, посебно правило дозвољава јавни приступ. Овај приступ централизује контролу приступа на слоју апликације, чинећи га идеалним за ефикасно управљање саобраћајем без модификације основних ЕЦ2 безбедносних група. На пример, можете ограничити ФЕ-А на канцеларијску мрежу, а истовремено дозволити ФЕ-Б да остане глобално доступан, обезбеђујући и корпоративну безбедност и удобност корисника. 🌍

ВебАЦЛ је затим повезан са балансатором оптерећења апликације (АЛБ), осигуравајући да се сав саобраћај који пролази кроз АЛБ ​​филтрира у складу са овим правилима. Команда ваф_цлиент.цреате_веб_ацл је кључно у дефинисању правила, док ваф_цлиент.ассоциате_веб_ацл повезује ВебАЦЛ са ресурсом. Ово подешавање је веома скалабилно и омогућава будућа прилагођавања, као што је додавање нових ИП адреса или измена политика приступа, уз минималан напор. Функције за праћење као што су ЦлоудВатцх метрике такође могу пратити ефикасност правила, пружајући вредан увид у обрасце саобраћаја.

Насупрот томе, решење засновано на Ламбда-и динамички ажурира правила ЕЦ2 безбедносне групе. Ова скрипта преузима ИП опсеге специфичне за ваш АВС регион и конфигурише их као улазна правила у безбедносној групи. Функција ец2.аутхоризе_сецурити_гроуп_ингресс додаје или ажурира дозвољене ИП опсеге, омогућавајући ФЕ-Б да буде јавно доступан уз одржавање строге контроле за ФЕ-А. Овај приступ је посебно користан у окружењима са често променљивим ИП захтевима, као што су подешавања за развој заснована на облаку или промене корпоративних канцеларија. На пример, ако се успостави нова филијала, њен ИП можете аутоматски додати на белу листу без ручне интервенције. 🏢

Ламбда функција, у комбинацији са заказаним догађајем ЦлоудВатцх, аутоматизује ова ажурирања свакодневно, смањујући административне трошкове. Иако овај приступ додаје сложеност, он пружа фину контролу над саобраћајем. Јединични тестови укључени у скрипту потврђују функционалност, осигуравајући да се безбедносна правила правилно примењују без уношења грешака. Без обзира да ли изаберете ВАФ или Ламбда, обе методе дају приоритет економској ефикасности и флексибилности, балансирајући потребу за јавним и ограниченим приступом. На крају крајева, ова решења показују свестраност АВС-а у испуњавању различитих захтева уз одржавање робусне безбедности. 🔒

# Step 1: Define IP restrictions in AWS WAF
# Create a WebACL to allow only specific IP ranges for FE-A and public access for FE-B.
import boto3
waf_client = boto3.client('wafv2')
response = waf_client.create_web_acl(    Name='MicroFrontendAccessControl',    Scope='REGIONAL',    DefaultAction={'Allow': {}},    Rules=[        {            'Name': 'AllowSpecificIPForFEA',            'Priority': 1,            'Action': {'Allow': {}},            'Statement': {                'IPSetReferenceStatement': {                    'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id'                }            },            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowSpecificIPForFEA'            }        },        {            'Name': 'AllowPublicAccessForFEB',            'Priority': 2,            'Action': {'Allow': {}},            'Statement': {'IPSetReferenceStatement': {'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id-for-public'}},            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowPublicAccessForFEB'            }        }    ],    VisibilityConfig={        'SampledRequestsEnabled': True,        'CloudWatchMetricsEnabled': True,        'MetricName': 'MicroFrontendAccessControl'    })
print("WebACL created:", response)
# Step 2: Associate the WebACL with your Application Load Balancer
response = waf_client.associate_web_acl(    WebACLArn='arn:aws:wafv2:region:account-id:webacl/webacl-id',    ResourceArn='arn:aws:elasticloadbalancing:region:account-id:loadbalancer/app/load-balancer-name')
print("WebACL associated with Load Balancer:", response)

# Import required modules
import boto3
import requests
# Step 1: Fetch public IP ranges for your region
def get_ip_ranges(region):
    response = requests.get("https://ip-ranges.amazonaws.com/ip-ranges.json")
    ip_ranges = response.json()["prefixes"]
    return [prefix["ip_prefix"] for prefix in ip_ranges if prefix["region"] == region]
# Step 2: Update the security group
def update_security_group(security_group_id, ip_ranges):
    ec2 = boto3.client('ec2')
    permissions = [{"IpProtocol": "tcp", "FromPort": 80, "ToPort": 80, "IpRanges": [{"CidrIp": ip} for ip in ip_ranges]}]
    ec2.authorize_security_group_ingress(GroupId=security_group_id, IpPermissions=permissions)
# Step 3: Lambda handler
def lambda_handler(event, context):
    region = "us-west-2"
    security_group_id = "sg-0123456789abcdef0"
    ip_ranges = get_ip_ranges(region)
    update_security_group(security_group_id, ip_ranges)
    return {"statusCode": 200, "body": "Security group updated successfully"}

import unittest
from unittest.mock import patch
class TestSecurityConfigurations(unittest.TestCase):
    @patch("boto3.client")
    def test_update_security_group(self, mock_boto3):
        mock_ec2 = mock_boto3.return_value
        ip_ranges = ["192.168.0.0/24", "203.0.113.0/24"]
        update_security_group("sg-0123456789abcdef0", ip_ranges)
        mock_ec2.authorize_security_group_ingress.assert_called()
    def test_get_ip_ranges(self):
        region = "us-west-2"
        ip_ranges = get_ip_ranges(region)
        self.assertIsInstance(ip_ranges, list)
if __name__ == "__main__":
    unittest.main()

Оптимизација безбедности и приступачности за микро-фронталне апликације у АВС-у

Још један ефикасан начин за решавање изазова балансирања ограниченог и јавног приступа у вашој микро-фронтенд архитектури је коришћење интегрисаних функција АВС Амплифи. Амплифи поједностављује хостовање и примену, истовремено пружајући алате за безбедно конфигурисање бацкенд АПИ-ја. За ФЕ-А, можете да имплементирате контролу приступа мрежи тако што ћете ограничити крајње тачке АПИ-ја позадинског интерфејса на одређене ИП адресе користећи АВС АПИ мрежни пролаз. Ово подешавање осигурава да само унапред дефинисане статичке ИП адресе могу да комуницирају са позадином, док крајње тачке ФЕ-Б могу остати неограничене за јавни приступ. Ово не само да побољшава безбедност, већ се и неприметно интегрише са Амплифи-јевим ЦИ/ЦД радним токовима. 🌐

Још једно разматрање је коришћење Амазон ЦлоудФронт-а са прилагођеним смерницама за приступ извору. ЦлоудФронт може да усмерава саобраћај на одговарајућу позадину на основу УРЛ путање, служећи као чувар капије за ваше микро фронтендове. ФЕ-А саобраћај се може филтрирати преко ЦлоудФронт-а коришћењем политике порекла захтева која проверава да ли постоје ИП ограничења или одређена заглавља. На пример, предузеће које примењује интерни алат преко ФЕ-А може додати филтер ИП опсега док ФЕ-Б чини глобално доступним крајњим корисницима. Овај приступ оптимизује и скалабилност и перформансе, посебно за апликације које захтевају глобалну дистрибуцију. 🚀

На крају, имплементација АВС Цогнито за аутентификацију корисника додаје додатни ниво безбедности. ФЕ-А се може закључати иза система за пријаву који захтева аутентификацију корисника са одређеним улогама или групама, док ФЕ-Б може да користи лакши механизам аутентификације или га уопште не користи за јавни приступ. Комбиновањем аутентикације и ограничења приступа мрежи, постижете робустан безбедносни модел прилагођен потребама сваког микро-фронтенда. Ова стратегија је посебно ефикасна за стартапове и мала и средња предузећа која траже приступачна, скалабилна и безбедна решења у облаку. 🔐