如何保护 AWS 后端上具有不同访问需求的两个微前端

保护具有不同访问要求的两个微前端的 AWS 后端

方法 1：使用 AWS WAF（Web 应用程序防火墙）和安全组进行访问控制

# Step 1: Define IP restrictions in AWS WAF
# Create a WebACL to allow only specific IP ranges for FE-A and public access for FE-B.
import boto3
waf_client = boto3.client('wafv2')
response = waf_client.create_web_acl(    Name='MicroFrontendAccessControl',    Scope='REGIONAL',    DefaultAction={'Allow': {}},    Rules=[        {            'Name': 'AllowSpecificIPForFEA',            'Priority': 1,            'Action': {'Allow': {}},            'Statement': {                'IPSetReferenceStatement': {                    'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id'                }            },            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowSpecificIPForFEA'            }        },        {            'Name': 'AllowPublicAccessForFEB',            'Priority': 2,            'Action': {'Allow': {}},            'Statement': {'IPSetReferenceStatement': {'ARN': 'arn:aws:wafv2:region:account-id:ipset/ipset-id-for-public'}},            'VisibilityConfig': {                'SampledRequestsEnabled': True,                'CloudWatchMetricsEnabled': True,                'MetricName': 'AllowPublicAccessForFEB'            }        }    ],    VisibilityConfig={        'SampledRequestsEnabled': True,        'CloudWatchMetricsEnabled': True,        'MetricName': 'MicroFrontendAccessControl'    })
print("WebACL created:", response)
# Step 2: Associate the WebACL with your Application Load Balancer
response = waf_client.associate_web_acl(    WebACLArn='arn:aws:wafv2:region:account-id:webacl/webacl-id',    ResourceArn='arn:aws:elasticloadbalancing:region:account-id:loadbalancer/app/load-balancer-name')
print("WebACL associated with Load Balancer:", response)

使用 Lambda 函数进行动态更新来保护访问

方法 2：使用 Lambda 函数动态更新安全组

# Import required modules
import boto3
import requests
# Step 1: Fetch public IP ranges for your region
def get_ip_ranges(region):
    response = requests.get("https://ip-ranges.amazonaws.com/ip-ranges.json")
    ip_ranges = response.json()["prefixes"]
    return [prefix["ip_prefix"] for prefix in ip_ranges if prefix["region"] == region]
# Step 2: Update the security group
def update_security_group(security_group_id, ip_ranges):
    ec2 = boto3.client('ec2')
    permissions = [{"IpProtocol": "tcp", "FromPort": 80, "ToPort": 80, "IpRanges": [{"CidrIp": ip} for ip in ip_ranges]}]
    ec2.authorize_security_group_ingress(GroupId=security_group_id, IpPermissions=permissions)
# Step 3: Lambda handler
def lambda_handler(event, context):
    region = "us-west-2"
    security_group_id = "sg-0123456789abcdef0"
    ip_ranges = get_ip_ranges(region)
    update_security_group(security_group_id, ip_ranges)
    return {"statusCode": 200, "body": "Security group updated successfully"}

使用单元测试验证配置

方法 3：为 Lambda 函数和 WebACL 配置添加单元测试

import unittest
from unittest.mock import patch
class TestSecurityConfigurations(unittest.TestCase):
    @patch("boto3.client")
    def test_update_security_group(self, mock_boto3):
        mock_ec2 = mock_boto3.return_value
        ip_ranges = ["192.168.0.0/24", "203.0.113.0/24"]
        update_security_group("sg-0123456789abcdef0", ip_ranges)
        mock_ec2.authorize_security_group_ingress.assert_called()
    def test_get_ip_ranges(self):
        region = "us-west-2"
        ip_ranges = get_ip_ranges(region)
        self.assertIsInstance(ip_ranges, list)
if __name__ == "__main__":
    unittest.main()

有关保护 AWS 微前端架构的常见问题

1. 如何限制特定 IP 对 API 端点的访问？
2. 使用 API Gateway resource policies 定义端点允许的 IP 范围。
3. 确保前端全球可用性的最佳方法是什么？
4. 部署它使用 AWS Amplify 使用 Amazon CloudFront 作为内容交付网络。
5. 我可以为动态环境自动更新 IP 吗？
6. 是的，使用 Lambda function 在安全组或 WAF 规则中动态获取和更新 IP 范围。
7. 是否可以在不影响 FE-B 公共访问的情况下保护 FE-A 的安全？
8. 结合 WAF FE-A 的规则和 FE-B 的无限制安全组设置。
9. AWS Cognito 如何增强微前端安全性？
10. AWS Cognito 管理用户身份验证并允许对特定前端进行基于角色的访问。

安全微前端访问的有效解决方案

确保微前端后端的安全需要采用量身定制的方法。 AWS 提供了 WAF、API Gateway 和 CloudFront 等多种工具，可以帮助有效管理流量。 FE-A 的 IP 过滤和 FE-B 的开放访问等配置对于平衡可访问性和安全性至关重要。这些工具使该过程无缝且可靠。 🔐

使用自动化方法（例如用于动态 IP 管理的 Lambda 函数）可以进一步提高灵活性，同时控制成本。将网络级安全性与应用程序层措施相结合，可确保提供适合各种规模企业的强大解决方案。这使您能够在不影响用户体验的情况下实现优化的后端安全性。 🌟