AWS Arka Uçta Farklı Erişim İhtiyaçlarına Sahip İki Mikro Ön Uç Nasıl Korunur?

AWS Mikro Ön Uç Mimarisinde Güvenlik ve Erişilebilirliği Dengeleme

Güvenli ve ölçeklenebilir bulut mimarileri tasarlamak genellikle erişilebilirlik ile kısıtlı erişimin dengelenmesini gerektirir. AWS kurulumunuzda benzersiz erişim gereksinimlerine sahip iki mikro ön uç bulunur. FE-A'nın belirli bir statik IP ile sınırlı olması gerekirken FE-B'nin herkese açık olarak erişilebilir olması gerekir. Bu ihtiyaçların aynı anda ele alınması zorlayıcı olabilir. 😅

EC2'deki güvenlik gruplarını yapılandırırken zorluk ortaya çıkıyor. 0.0.0.0'a erişime izin verirseniz, her iki ön uç da herkesin erişimine açık hale gelir ve bu da FE-A'nın güvenliğini tehlikeye atar. Öte yandan, tek bir statik IP'ye erişimin kısıtlanması, FE-B'nin genel kullanıma sunulmasını engeller. Bu açıklık ve güvenlik arasında karmaşık bir dengeleme eylemi yaratır.

IP aralıklarını dinamik olarak güncellemeye yönelik bir Lambda işlevi uygun görünse de ek yük getirir ve uzun vadeli ideal bir çözüm değildir. Örneğin, zamanla maliyetleri ve karmaşıklığı artırabilir. Ayrıca, güvenlik gruplarına yönelik sık güncellemeleri yönetmek zahmetli ve hataya açık olabilir.

Bu gereksinimleri karşılayan uygun maliyetli bir çözüm bulmak kritik öneme sahiptir. Amaç, FE-A'yı korurken, FE-B'nin gereksiz karmaşıklıklara yol açmadan küresel olarak erişilebilir kalmasını sağlamaktır. AWS'nin en iyi uygulamalarını kullanarak bunu nasıl başarabileceğimizi keşfedelim. 🚀

AWS ile Mikro Ön Uçların Güvenliğini Sağlama Stratejileri

İlk komut dosyası, AWS Web Uygulaması Güvenlik Duvarı'nın (WAF) iki mikro ön uç için farklı erişim politikaları uygulamak. Bir WebACL oluşturularak, yalnızca belirlenmiş bir ağdan gelen trafiğe izin vermek için FE-A'ya belirli IP kuralları uygulanır. statik IPkapalı bir sistem olarak kalmasını sağlamak. FE-B için ayrı bir kural kamu erişimine izin vermektedir. Bu yaklaşım, erişim kontrolünü uygulama katmanında merkezileştirerek, temeldeki EC2 güvenlik gruplarını değiştirmeden trafiği verimli bir şekilde yönetmek için ideal hale getirir. Örneğin, FE-A'yı bir ofis ağıyla sınırlandırırken, FE-B'nin küresel olarak erişilebilir kalmasına izin vererek hem kurumsal güvenlik hem de kullanıcı rahatlığı sağlayabilirsiniz. 🌍

WebACL daha sonra bir Uygulama Yük Dengeleyici (ALB) ile ilişkilendirilerek ALB'den geçen tüm trafiğin bu kurallara göre filtrelenmesini sağlar. komut waf_client.create_web_acl kuralların tanımlanmasında çok önemlidir, ancak waf_client.associate_web_acl WebACL'yi kaynağa bağlar. Bu kurulum oldukça ölçeklenebilirdir ve minimum çabayla yeni IP'ler eklemek veya erişim politikalarını değiştirmek gibi gelecekteki ayarlamalara olanak tanır. CloudWatch ölçümleri gibi izleme özellikleri aynı zamanda kuralların etkinliğini de izleyerek trafik kalıplarına ilişkin değerli bilgiler sağlayabilir.

Buna karşılık Lambda tabanlı çözüm, EC2 güvenlik grubu kurallarını dinamik olarak günceller. Bu komut dosyası, AWS bölgenize özel IP aralıklarını getirir ve bunları güvenlik grubunda giriş kuralları olarak yapılandırır. fonksiyon ec2.authorize_security_group_ingress izin verilen IP aralıklarını ekler veya günceller, böylece FE-A için sıkı kontrolü korurken FE-B'nin herkese açık olarak erişilebilir olmasını sağlar. Bu yaklaşım özellikle bulut tabanlı geliştirme kurulumları veya değişen kurumsal ofisler gibi fikri mülkiyet gereksinimlerinin sık sık değiştiği ortamlarda faydalıdır. Örneğin yeni bir şube kuruluyorsa, manuel müdahaleye gerek kalmadan IP'sini otomatik olarak beyaz listeye ekleyebilirsiniz. 🏢

Lambda işlevi, planlanmış bir CloudWatch etkinliğiyle birleştiğinde bu güncellemeleri günlük olarak otomatikleştirerek yönetim yükünü azaltır. Bu yaklaşım karmaşıklığı artırırken trafik üzerinde ayrıntılı kontrol sağlar. Komut dosyasına dahil edilen birim testleri, işlevselliği doğrulayarak güvenlik kurallarının hatalara yol açmadan doğru şekilde uygulanmasını sağlar. İster WAF ister Lambda'yı seçin, her iki yöntem de maliyet verimliliğine ve esnekliğe öncelik vererek genel ve sınırlı erişim ihtiyacını dengeler. Sonuç olarak bu çözümler, sağlam güvenliği korurken farklı gereksinimleri karşılama konusunda AWS'nin çok yönlülüğünü ortaya koyuyor. 🔒

# Step 1: Define IP restrictions in AWS WAF
# Create a WebACL to allow only specific IP ranges for FE-A and public access for FE-B.
import boto3
waf_client = boto3.client('wafv2')
response = waf_client.create_web_acl(    Name='MicroFrontendAccessControl',    Scope='REGIONAL',    DefaultAction={'Allow': {}},    Rules=[        {            'Name': 'AllowSpecificIPForFEA',            'Priority': 1,            'Action': {'Allow': {}},            'Statement': {                'IPSetReferenceStatement': {                    'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id'                }            },            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowSpecificIPForFEA'            }        },        {            'Name': 'AllowPublicAccessForFEB',            'Priority': 2,            'Action': {'Allow': {}},            'Statement': {'IPSetReferenceStatement': {'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id-for-public'}},            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowPublicAccessForFEB'            }        }    ],    VisibilityConfig={        'SampledRequestsEnabled': True,        'CloudWatchMetricsEnabled': True,        'MetricName': 'MicroFrontendAccessControl'    })
print("WebACL created:", response)
# Step 2: Associate the WebACL with your Application Load Balancer
response = waf_client.associate_web_acl(    WebACLArn='arn:aws:wafv2:region:account-id:webacl/webacl-id',    ResourceArn='arn:aws:elasticloadbalancing:region:account-id:loadbalancer/app/load-balancer-name')
print("WebACL associated with Load Balancer:", response)

# Import required modules
import boto3
import requests
# Step 1: Fetch public IP ranges for your region
def get_ip_ranges(region):
    response = requests.get("https://ip-ranges.amazonaws.com/ip-ranges.json")
    ip_ranges = response.json()["prefixes"]
    return [prefix["ip_prefix"] for prefix in ip_ranges if prefix["region"] == region]
# Step 2: Update the security group
def update_security_group(security_group_id, ip_ranges):
    ec2 = boto3.client('ec2')
    permissions = [{"IpProtocol": "tcp", "FromPort": 80, "ToPort": 80, "IpRanges": [{"CidrIp": ip} for ip in ip_ranges]}]
    ec2.authorize_security_group_ingress(GroupId=security_group_id, IpPermissions=permissions)
# Step 3: Lambda handler
def lambda_handler(event, context):
    region = "us-west-2"
    security_group_id = "sg-0123456789abcdef0"
    ip_ranges = get_ip_ranges(region)
    update_security_group(security_group_id, ip_ranges)
    return {"statusCode": 200, "body": "Security group updated successfully"}

import unittest
from unittest.mock import patch
class TestSecurityConfigurations(unittest.TestCase):
    @patch("boto3.client")
    def test_update_security_group(self, mock_boto3):
        mock_ec2 = mock_boto3.return_value
        ip_ranges = ["192.168.0.0/24", "203.0.113.0/24"]
        update_security_group("sg-0123456789abcdef0", ip_ranges)
        mock_ec2.authorize_security_group_ingress.assert_called()
    def test_get_ip_ranges(self):
        region = "us-west-2"
        ip_ranges = get_ip_ranges(region)
        self.assertIsInstance(ip_ranges, list)
if __name__ == "__main__":
    unittest.main()

AWS'de Mikro Ön Uç Uygulamaları için Güvenliği ve Erişilebilirliği Optimize Etme

Mikro ön uç mimarinizde kısıtlı ve genel erişimi dengeleme zorluğunu çözmenin bir başka etkili yolu da AWS Amplify'ın entegre özelliklerinden yararlanmaktır. Amplify, arka uç API'lerini güvenli bir şekilde yapılandırmak için araçlar sağlarken barındırma ve dağıtımı basitleştirir. FE-A için, bir AWS API Gateway kullanarak arka uç API uç noktalarını belirli IP'lerle sınırlandırarak ağ erişim kontrolünü uygulayabilirsiniz. Bu kurulum, yalnızca önceden tanımlanmış statik IP'lerin arka uçla etkileşime girebilmesini sağlarken, FE-B'nin uç noktalarının genel erişim için sınırsız kalabilmesini sağlar. Bu yalnızca güvenliği artırmakla kalmaz, aynı zamanda Amplify'ın CI/CD iş akışlarıyla sorunsuz bir şekilde bütünleşir. 🌐

Dikkate alınması gereken bir diğer husus ise Amazon CloudFront'u özel kaynak erişim politikalarıyla kullanmaktır. CloudFront, trafiği URL yolunu temel alarak uygun arka uca yönlendirebilir ve mikro ön uçlarınız için bir geçit denetleyicisi görevi görebilir. FE-A trafiği, IP kısıtlamalarını veya belirli başlıkları kontrol eden bir kaynak istek politikası kullanılarak CloudFront aracılığıyla filtrelenebilir. Örneğin, FE-A aracılığıyla dahili bir araç dağıtan bir kuruluş, bir IP aralığı filtresi ekleyerek FE-B'yi küresel olarak son kullanıcılara sunabilir. Bu yaklaşım, özellikle küresel dağıtım gerektiren uygulamalar için hem ölçeklenebilirliği hem de performansı optimize eder. 🚀

Son olarak, kullanıcı kimlik doğrulaması için AWS Cognito'nun uygulanması ekstra bir güvenlik katmanı ekler. FE-A, belirli roller veya gruplarla kullanıcı kimlik doğrulaması gerektiren bir oturum açma sisteminin arkasına kilitlenebilirken, FE-B, genel erişim için daha hafif bir kimlik doğrulama mekanizması kullanabilir veya hiç kullanmayabilir. Kimlik doğrulama ve ağ erişimi kısıtlamalarını birleştirerek, her bir mikro ön ucun ihtiyaçlarına göre uyarlanmış sağlam bir güvenlik modeli elde edersiniz. Bu strateji özellikle uygun fiyatlı, ölçeklenebilir ve güvenli bulut çözümleri arayan yeni kurulan şirketler ve KOBİ'ler için etkilidir. 🔐