概要

AWS WAF v2あるいはAWS WAF Classicにて、旧プランでWafCharmを利用する場合に必要な権限を記載します。

旧プランの場合、RuleポリシーはLegacyのみ選択可能です。

AWS WAF v2の場合、新プランへ移行することでAdvancedを選択可能です。AWS WAF Classicの場合、Advancedを利用するためにはAWS WAF v2 かつ 新プランへの移行が必要です。

必要な権限

• AWSWAFFullAccess
• AmazonS3ReadOnlyAccess

AWSWAFFullAccess

本権限により、AWS WAFへのアクセスが可能となります。 Web ACLにルールを適用するなど、更新時に必要です。

機能の追加や更新による権限不足の懸念があるため、カスタムポリシーについてはご案内していません。

AmazonS3ReadOnlyAccess

ALBやCloudFrontのアクセスログが出力されるS3バケットへアクセスするための権限です。WAFログ連携を新方式で実施する場合にも、この権限を利用します。

本権限については、ResourcesにてS3バケットのARNを指定し、WafCharmがアクセス可能なS3バケットを制限することを推奨しています。

制限する際は、以下の「Resource」部分に記載されているような形で設定してください。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "s3:List*",
                "s3:Get*"
            ],
            "Resource": [
                "arn:aws:s3:::<任意のBucket>",
                "arn:aws:s3:::<任意のBucket>/<folder_name>/*"
            ]
        }
    ]
}

カスタムポリシーを使用する場合は、以下の2つのポリシーをアタッチしてください。

• GetObject
• ListBucket

なお、AWS KMS 暗号化を使用されている場合、こちらの権限に不足がないかもご確認ください。

手順

• Credential Storeの設定方法 (AWS WAF Classic/AWS WAF v2、旧プラン)