发布候选部署Amazon托管式规则 - Amazon WAF、Amazon Firewall Manager 和 Amazon Shield Advanced
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

发布候选部署Amazon托管式规则

当Amazon为托管规则组提供了一组候选规则变更,它会在临时候选版本部署中对其进行测试。Amazon在计数模式下根据生产流量评估候选规则,并执行最终调整活动,包括减少误报。Amazon测试以这种方式为使用规则组默认版本的所有客户发布候选规则。候选版本部署不适用于使用规则组静态版本的客户。

如果您使用默认版本,则候选版本部署不会改变规则组管理网络流量的方式。在测试候选规则时,您可能会注意到以下几点:

  • 默认版本名称从Default (using Version_X.Y)Default (using Version_X.Y_PLUS_RC_COUNT).

  • 亚马逊中的其他计数指标 CloudWatch 和RC_COUNT以他们的名义。它们是由候选版本规则生成的。

Amazon对候选版本进行大约一周的测试,然后将其删除并将默认版本重置为当前推荐的静态版本。

Amazon为候选版本部署执行以下步骤:

  1. 创建候选版本–Amazon根据当前推荐的静态版本(即默认版本指向的版本)添加候选发行版。

    候选版本的名称是附加的静态版本名称_PLUS_RC_COUNT. 例如,如果当前推荐的静态版本是Version_2.1,那么候选版本就会被提名Version_2.1_PLUS_RC_COUNT.

    候选版本包含以下规则:

    • 规则完全是从当前推荐的静态版本复制而来的,没有更改规则配置。

    • 将规则操作设置为的候选新规则COUNT并以以下结尾的名字_RC_COUNT.

      大多数候选规则都对规则组中已有的规则提供了改进建议。每条规则的名称都是现有规则的名称,后面附有_RC_COUNT.

  2. 将默认版本设置为候选版本并进行测试–Amazon将默认版本设置为指向新的候选版本,以对您的生产流量进行测试。测试通常需要大约一周的时间。

    你会看到默认版本的名称从仅表示静态版本的名称发生了变化,例如Default (using Version_1.4),改为表示静态版本加上候选版本规则的规则,例如Default (using Version_1.4_PLUS_RC_COUNT). 这个命名方案可以让你识别你正在使用哪个静态版本来管理你的网络流量。

    下图显示了示例规则组版本此时的状态。

    
									图的顶部是三个堆叠的静态版本,顶部是 Version_1.4。与静态版本堆栈分开的是版本 version_1.4_plus_rc_count。此版本包含 Version_1.4 中的规则,还包含两个候选发布规则,即 ruleb_rc_count 和 rulez_rc_count,两者都具有计数操作。默认版本指示器指向 version_1.4_plus_rc_count。

    候选版本规则始终配置为Count操作,因此它们不会改变规则组管理您的网络流量的方式。

    候选版本规则生成亚马逊 CloudWatch 计算以下指标Amazon用于验证行为和识别误报。Amazon根据需要进行调整,以调整候选版本计数规则的行为。

    候选发布版本不是静态版本,您无法从静态规则组版本列表中进行选择。您只能在默认版本规范中看到候选版本的名称。

  3. 将默认版本恢复为推荐的静态版本— 测试候选版本规则后,Amazon将默认版本设置回当前推荐的静态版本。默认版本名称设置会删除_PLUS_RC_COUNT结束,规则组停止生成 CloudWatch 计算候选版本规则的指标。这是一项静默更改,与部署默认版本回滚不同。

    下图显示了候选版本测试完成后示例规则组版本的状态。

    
									这又是典型的版本状态图。三个静态版本 Version_1.2、Version_1.3 和 Version_1.4 堆叠在一起,顶部是 Version_1.4。Version_1.4 有两条规则,即规则 A 和 RuleB,均具有生产操作。默认版本指示器指向 Version_1.4。

时间和通知

Amazon根据需要部署候选版本以测试规则组的改进。

Amazon在部署开始时发送 SNS 通知。该通知指明了测试候选版本的预计时间。测试完成后,Amazon静默地将默认值恢复为静态版本设置,无需再次通知。