AWS WAF CloudFormation 模板指南

准备测试环境

先在实验室、灰度域名或低风险入口验证。确认网络、证书、上游服务、日志权限和防火墙规则都可控。

• 上游服务可直接访问。
• WAF 所需端口或云资源未被占用。
• 日志和监控入口已经准备好。

按官方文档接入

安装命令、控制台步骤和规则集版本都应以当前官方文档为准，避免复制过时博客片段。

• 安装或策略创建成功。
• 控制台或服务健康状态正常。
• 管理入口仅对可信网络开放。

只保护一个入口

先接入单个应用、单个域名或单条路径，观察干净流量、TLS、日志字段和上游行为，再扩大范围。

• 正常请求可以到达上游。
• WAF 能看到预期请求字段。
• 日志里能区分来源、路径、规则和动作。

从观察过渡到拦截

先用观察、计数、记录或挑战动作收集证据，再对低风险规则启用拦截。任何拦截策略都应可快速回滚。

• 误报已经分组处理。
• 拦截事件可以被告警或查询。
• 回滚步骤已经实际演练。

Start with a count-mode WAFv2 template

AWSTemplateFormatVersion: "2010-09-09"
Resources:
  WebAcl:
    Type: AWS::WAFv2::WebACL
    Properties:
      Name: wafwiki-lab
      Scope: CLOUDFRONT
      DefaultAction:
        Allow: {}
      VisibilityConfig:
        CloudWatchMetricsEnabled: true
        MetricName: wafwiki-lab
        SampledRequestsEnabled: true
      Rules:
        - Name: AWSManagedCommon
          Priority: 0
          OverrideAction:
            Count: {}
          Statement:
            ManagedRuleGroupStatement:
              VendorName: AWS
              Name: AWSManagedRulesCommonRuleSet
          VisibilityConfig:
            CloudWatchMetricsEnabled: true
            MetricName: wafwiki-common
            SampledRequestsEnabled: true

The template creates a CloudFront-scoped web ACL with the AWS managed common rule group overridden to count for observation.

Validate the template locally

aws cloudformation validate-template --template-body file://waf.yaml --region us-east-1

AWS returns the parsed template description without a validation error.

Deploy a dedicated lab stack

aws cloudformation deploy --template-file waf.yaml --stack-name wafwiki-waf-lab --region us-east-1

CloudFormation completes the stack and the web ACL appears in the CloudFront scope.