Amazon CloudFront向けWallarmコネクタ¶

Wallarmが悪意のあるアクティビティをブロックするように設定されている場合:

コネクタ用のWallarmホスト型ノードをデプロイするには、手順に従ってください。

自己ホストノードのデプロイに使用するアーティファクトを選択し、各手順に従ってください:

• ベアメタルまたはVM上のLinuxインフラ向けのAll-in-oneインストーラー
• コンテナ化デプロイを使用する環境向けのDockerイメージ
• AWSインフラ向けのAWS AMI
• Kubernetesを利用するインフラ向けのHelmチャート

1. Wallarm Console → Security Edge → Connectors → Download code bundleに進み、プラットフォーム用のコードバンドルをダウンロードします。

   自己ホストノードを使用している場合は、コードバンドルの入手についてsales@wallarm.comにお問い合わせください。

2. AWS Console → Services → Lambda → Functionsに進みます。

3. Lambda@Edge関数に必要なリージョンであるus-east-1(N. Virginia)を選択します。

4. Create functionで次の設定を行います:

   • Runtime: Python 3.x。
   • Execution role: Create a new role from AWS policy templates → Basic Lambda@Edge permissions (for CloudFront trigger)。
   • その他の設定はデフォルトのままで問題ありません。

5. 関数が作成されたら、CodeタブでWallarmのリクエスト処理コードを貼り付けます。

6. コード内の次のパラメータを更新します:

   • wlrm_node_addr: お使いのWallarmノードのURL。
   • wlrm_inline: 非同期(アウトオブバンド)モードを使用する場合はFalseに設定します。
   • 必要に応じて他のパラメータも調整します。

7. Actions → Deploy to Lambda@Edgeに進み、次を指定します:

   • Configure new CloudFront trigger。
   • Distribution: 保護したいオリジンへトラフィックをルーティングするCDNを選択します。
   • Cache behavior: Lambda関数に適用するキャッシュビヘイビア。通常は*です。

   • CloudFront event:

     • Origin request: CloudFront CDNがバックエンドへデータを要求するときのみ関数を実行します。CDNがキャッシュレスポンスを返す場合は実行されません。
     • Viewer request: CloudFront CDNへのすべてのリクエストに対して関数を実行します。

   • Include bodyにチェックを入れます。

   • Confirm deploy to Lambda@Edgeにチェックを入れます。

   

8. レスポンス用のWallarm提供関数についても同様の手順を繰り返し、トリガーとしてレスポンスを選択します。

   レスポンストリガーがリクエストトリガーと一致していることを確認してください(Origin requestにはorigin response、Viewer requestにはviewer response)。

両方の関数はAWS Serverless Application Repository(SAR)から直接デプロイできます。関数は、Lambda@Edge関数に必要なリージョンであるus-east-1(N. Virginia)にデプロイされます。

1. Wallarm policies on AWS Serverless Application Repository → Deployに進みます。
2. デプロイ設定はデフォルトのままとします。

3. デプロイ完了後、作成されたIAMロール → Trust relationshipsに進み、以下のポリシーで両方のロール(リクエスト用とレスポンス用)を更新します:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "edgelambda.amazonaws.com",
                       "lambda.amazonaws.com"
                   ]
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

4. AWS Console → Services → Lambda → Functionsに進みます。

5. serverlessrepo-wallarm-connector-RequestHandler-xxx関数を開きます。

6. Codeタブで次のパラメータを更新します:

   • wlrm_node_addr: お使いのWallarmノードインスタンスのアドレス。
   • wlrm_inline: アウトオブバンドモードを使用する場合はFalseに設定します。
   • 必要に応じて他のパラメータも調整します。

7. Actions → Deploy to Lambda@Edgeに進み、次を指定します:

   • Configure new CloudFront trigger。
   • Distribution: 保護したいオリジンへトラフィックをルーティングするCDNを選択します。
   • Cache behavior: Lambda関数に適用するキャッシュビヘイビア。通常は*です。

   • CloudFront event:

     • Origin request: CloudFront CDNがバックエンドへデータを要求するときのみ関数を実行します。CDNがキャッシュレスポンスを返す場合は実行されません。
     • Viewer request: CloudFront CDNへのすべてのリクエストに対して関数を実行します。

   • Include bodyにチェックを入れます。

   • Confirm deploy to Lambda@Edgeにチェックを入れます。

   

8. AWS Console → Services → Lambda → Functionsに戻ります。

9. serverlessrepo-wallarm-connector-ResponseHandler-xxx関数を開きます。

10. レスポンスをトリガーに選択して、同様の手順を繰り返します。

    レスポンストリガーがリクエストトリガーと一致していることを確認してください(Origin requestにはorigin response、Viewer requestにはviewer response)。

1. Wallarm Console → Security Edge → Connectors → Download code bundleに進み、更新版のWallarm Lambda@Edge関数をダウンロードします。

   自己ホストノードを使用している場合は、更新されたコードバンドルの入手についてsales@wallarm.comにお問い合わせください。

2. デプロイ済みのLambda@Edge関数のコードを、更新版のバンドルに置き換えます。

   wlrm_node_addr、wlrm_inlineなどの既存のパラメータ値は保持します。

   既存の関数トリガーは変更しません。

3. Deployを実行して更新済み関数を反映します。

1. 新しいバージョンの関数を用いて、2番目の手順で記載した手順を繰り返します。
2. 更新版の関数をディストリビューションに関連付けた後、競合を避けるためにCloudFrontのトリガーから以前のバージョンの関数を削除します。