**引入全新的主机体验 Amazon WAF** 现在，您可以使用更新的体验访问控制台中任意位置的 Amazon WAF 功能。有关更多详细信息，请参阅[使用控制台](https://docs.amazonaws.cn/waf/latest/developerguide/working-with-console.html)。 本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。 # Amazon WAF 经典版如何与 IAM 配合使用 **警告** Amazon WAF Classic 正在经历一个有计划的 end-of-life流程。有关您所在地区的里程碑和日期，请参阅您的 Amazon Health 控制面板。 **注意** 这是 **Amazon WAF Classic** 文档。只有在 2019 年 11 月 Amazon WAF 之前创建了诸如规则和 Web ACLs 之类的 Amazon WAF 资源，并且尚未将其迁移到最新版本时，才应使用此版本。要迁移您的网站 ACLs，请参阅[将您的 Amazon WAF 经典资源迁移到 Amazon WAF](waf-migrating-from-classic.md)。 **有关的最新版本 Amazon WAF，**请参阅[Amazon WAF](waf-chapter.md)。 在使用 IAM 管理 Amazon WAF 经典版访问权限之前，请先了解哪些可用于 Cl Amazon WAF assic 的 IAM 功能。 **您可以在 C Amazon WAF lassic 中使用的 IAM 功能** | IAM 功能 | Amazon WAF 经典支持 | | --- | --- | | [基于身份的策略](#classic-security_iam_service-with-iam-id-based-policies) | 是 | | [基于资源的策略](#classic-security_iam_service-with-iam-resource-based-policies) | 否 | | [策略操作](#classic-security_iam_service-with-iam-id-based-policies-actions) | 是 | | [策略资源](#classic-security_iam_service-with-iam-id-based-policies-resources) | 是 | | [策略条件键（特定于服务）](#classic-security_iam_service-with-iam-id-based-policies-conditionkeys) | 是 | | [ACLs](#classic-security_iam_service-with-iam-acls) | 否 | | [ABAC（策略中的标签）](#classic-security_iam_service-with-iam-tags) | 部分 | | [临时凭证](#classic-security_iam_service-with-iam-roles-tempcreds) | 是 | | [转发访问会话（FAS）](#classic-security_iam_service-with-iam-principal-permissions) | 是 | | [服务角色](#classic-security_iam_service-with-iam-roles-service) | 是 | | [服务关联角色](#classic-security_iam_service-with-iam-roles-service-linked) | 是 | 要全面了解 Amazon WAF Classic 和其他 Amazon 服务如何与大多数 IAM 功能配合使用，请参阅 IAM *用户指南中的与 IAM* [配合使用的Amazon 服务](https://docs.amazonaws.cn/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ## 经典版基于身份的策略 Amazon WAF **支持基于身份的策略：**是 基于身份的策略是可附加到身份（如 IAM 用户、用户组或角色）的 JSON 权限策略文档。这些策略控制用户和角色可在何种条件下对哪些资源执行哪些操作。要了解如何创建基于身份的策略，请参阅《IAM 用户指南》**中的[使用客户管理型策略定义自定义 IAM 权限](https://docs.amazonaws.cn/IAM/latest/UserGuide/access_policies_create.html)。 通过使用 IAM 基于身份的策略，您可以指定允许或拒绝的操作和资源以及允许或拒绝操作的条件。要了解可在 JSON 策略中使用的所有元素，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素引用](https://docs.amazonaws.cn/IAM/latest/UserGuide/reference_policies_elements.html)。 要查看基于身份的 Amazon WAF 经典策略的示例，请参阅。[经典版基于身份的策略示例 Amazon WAF](classic-security_iam_id-based-policy-examples.md) ## Classic 中 Amazon WAF 基于资源的策略 **支持基于资源的策略：**否 基于资源的策略是附加到资源的 JSON 策略文档。基于资源的策略的示例包括 IAM *角色信任策略*和 Amazon S3 *存储桶策略*。在支持基于资源的策略的服务中，服务管理员可以使用它们来控制对特定资源的访问。对于在其中附加策略的资源，策略定义指定主体可以对该资源执行哪些操作以及在什么条件下执行。您必须在基于资源的策略中[指定主体](https://docs.amazonaws.cn/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委托人可以包括账户、用户、角色、联合用户或 Amazon Web Services 服务。 要启用跨账户访问，您可以将整个账户或其他账户中的 IAM 实体指定为基于资源的策略中的主体。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的跨账户资源访问](https://docs.amazonaws.cn/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## C Amazon WAF lassic 的策略操作 **支持策略操作：**是 管理员可以使用 Amazon JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 JSON 策略的 `Action` 元素描述可用于在策略中允许或拒绝访问的操作。在策略中包含操作以授予执行关联操作的权限。 要查看 Amazon WAF 经典操作列表，请参阅《*服务授权参考*》中的 “[由](https://docs.amazonaws.cn/service-authorization/latest/reference/list_awswaf.html#awswaf-actions-as-permissions)地区[定义的操作” Amazon WAF和 “由 Amazon WAF 区域](https://docs.amazonaws.cn/service-authorization/latest/reference/list_awswafregional.html#awswafregional-actions-as-permissions)定义的操作”。 Amazon WAF Classic 中的策略操作在操作前使用以下前缀： ``` waf ``` 要在单个语句中指定多项操作，请使用逗号将它们隔开。 ``` "Action": [ "waf:{{action1}}", "waf:{{action2}}" ] ``` 您也可以使用通配符（\*）指定多个操作。例如，要在 Amazon WAF Classic 中指定所有以开头的操作`List`，请包括以下操作： ``` "Action": "waf:List*" ``` 要查看基于身份的 Amazon WAF 经典策略的示例，请参阅。[经典版基于身份的策略示例 Amazon WAF](classic-security_iam_id-based-policy-examples.md) ## C Amazon WAF lassic 的策略资源 **支持策略资源：**是 管理员可以使用 Amazon JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 `Resource` JSON 策略元素指定要向其应用操作的一个或多个对象。作为最佳实践，请使用其 [Amazon 资源名称（ARN）](https://docs.amazonaws.cn/IAM/latest/UserGuide/reference-arns.html)指定资源。对于不支持资源级权限的操作，请使用通配符 (\*) 指示语句应用于所有资源。 ``` "Resource": "*" ``` 要查看 Amazon WAF 经典资源类型及其列表 ARNs，请参阅《*服务授权参考*》中的 “[由](https://docs.amazonaws.cn/service-authorization/latest/reference/list_awswaf.html#awswaf-resources-for-iam-policies)区域[定义的资源” Amazon WAF和 “由 Amazon WAF 区域](https://docs.amazonaws.cn/service-authorization/latest/reference/list_awswafregional.html#awswafregional-resources-for-iam-policies)定义的资源”。要了解您可以使用哪些操作来指定每种资源的 ARN，请参阅由区域定义的[操作 Amazon WAF和由区域定义](https://docs.amazonaws.cn/service-authorization/latest/reference/list_awswaf.html#awswaf-actions-as-permissions)[的 Amazon WAF 操作](https://docs.amazonaws.cn/service-authorization/latest/reference/list_awswafregional.html#awswafregional-actions-as-permissions)。要允许或拒绝访问部分 Amazon WAF 经典资源，请在策略的`resource`元素中包含该资源的 ARN。 在 Amazon WAF Classic 中，资源是 *Web ACLs* 和*规则*。 Amazon WAF Classic 还支持*字节匹配*、*IP 匹配*和*大小限制*等条件。 这些资源和条件具有与之关联的唯一 Amazon 资源名称 (ARNs)，如下表所示。 **** | Amazon WAF 控制台中的名称 | Amazon WAF SDK/CLI 中的名称 | ARN 格式 | | --- | --- | --- | | Web ACL | WebACL | `arn:aws:waf::{{account}}:{{webacl}}/{{ID}}` | | 规则 | Rule | `arn:aws:waf::{{account}}:{{rule}}/{{ID}} ` | | 字符串匹配条件 | ByteMatchSet | `arn:aws:waf::{{account}}:{{bytematchset}}/{{ID}}` | | SQL 注入匹配条件 | SqlInjectionMatchSet | arn:aws:waf::{{account}}:{{sqlinjectionset}}/{{ID}} | | 大小约束条件 | SizeConstraintSet | arn:aws:waf::{{account}}:{{sizeconstraintset}}/{{ID}} | | IP 匹配条件 | IPSet | arn:aws:waf::{{account}}:{{ipset}}/{{ID}} | | 跨站点脚本匹配条件 | XssMatchSet | arn:aws:waf::{{account}}:{{xssmatchset}}/{{ID}} | | 要允许或拒绝访问部分 Amazon WAF 经典资源，请在策略的`resource`元素中包含该资源的 ARN。fo ARNs r Amazon WAF Classic 的格式如下： ``` arn:aws:waf::{{account}}:{{resource}}/{{ID}} ``` 将{{account}}{{resource}}、和{{ID}}变量替换为有效值。有效值如下： + {{account}}: 您的身份证 Amazon Web Services 账户。您必须指定值。 + {{resource}}： Amazon WAF 经典资源的类型。 + {{ID}}： Amazon WAF 经典资源的 ID，或通配符 (`*`)，表示与指定资源关联的指定类型的所有资源。 Amazon Web Services 账户 例如，以下 ARN ACLs 为该账户指定了所有网页：`111122223333` ``` arn:aws:waf::111122223333:webacl/* ``` ## Amazon WAF 经典版的策略条件密钥 **支持特定于服务的策略条件键：**是 管理员可以使用 Amazon JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 `Condition` 元素根据定义的条件指定语句何时执行。您可以创建使用[条件运算符](https://docs.amazonaws.cn/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)（例如，等于或小于）的条件表达式，以使策略中的条件与请求中的值相匹配。要查看所有 Amazon 全局条件键，请参阅 *IAM 用户指南*中的[Amazon 全局条件上下文密钥](https://docs.amazonaws.cn/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 要查看 Amazon WAF 经典条件键列表，请参阅《*服务授权参考*》中的[条件密钥 Amazon WAF](https://docs.amazonaws.cn/service-authorization/latest/reference/list_awswaf.html#awswaf-policy-keys)和[Amazon WAF 区域定义的资源](https://docs.amazonaws.cn/service-authorization/latest/reference/list_awswafregional.html#awswafregional-resources-for-iam-policies)。要了解您可以使用哪些操作和资源使用条件键，请参阅区域[定义的操作 Amazon WAF和由 Amazon WAF](https://docs.amazonaws.cn/service-authorization/latest/reference/list_awswaf.html#awswaf-actions-as-permissions)[区域定义的操作](https://docs.amazonaws.cn/service-authorization/latest/reference/list_awswafregional.html#awswafregional-actions-as-permissions)。 要查看基于身份的 Amazon WAF 经典策略的示例，请参阅。[经典版基于身份的策略示例 Amazon WAF](classic-security_iam_id-based-policy-examples.md) ## ACLs 在 Amazon WAF 经典版中 **支持 ACLs：**否 访问控制列表 (ACLs) 控制哪些委托人（账户成员、用户或角色）有权访问资源。 ACLs 与基于资源的策略类似，尽管它们不使用 JSON 策略文档格式。 ## ABAC 搭配经典版 Amazon WAF **支持 ABAC（策略中的标签）：**部分支持 基于属性的访问权限控制（ABAC）是一种授权策略，该策略基于称为标签的属性来定义权限。您可以将标签附加到 IAM 实体和 Amazon 资源，然后设计 ABAC 策略以允许在委托人的标签与资源上的标签匹配时进行操作。 要基于标签控制访问，您需要使用 `aws:ResourceTag/{{key-name}}``aws:RequestTag/{{key-name}}` 或 `aws:TagKeys` 条件键在策略的[条件元素](https://docs.amazonaws.cn/IAM/latest/UserGuide/reference_policies_elements_condition.html)中提供标签信息。 如果某个服务对于每种资源类型都支持所有这三个条件键，则对于该服务，该值为**是**。如果某个服务仅对于部分资源类型支持所有这三个条件键，则该值为**部分**。 有关 ABAC 的更多信息，请参阅《IAM 用户指南》**中的[使用 ABAC 授权定义权限](https://docs.amazonaws.cn/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。要查看设置 ABAC 步骤的教程，请参阅《IAM 用户指南》**中的[使用基于属性的访问权限控制（ABAC）](https://docs.amazonaws.cn/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。 ## 在 Cl Amazon WAF assic 中使用临时证书 **支持临时凭证：**是 临时证书提供对 Amazon 资源的短期访问权限，并且是在您使用联合身份或切换角色时自动创建的。 Amazon 建议您动态生成临时证书，而不是使用长期访问密钥。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的临时安全凭证](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_credentials_temp.html)和[使用 IAM 的。Amazon Web Services 服务](https://docs.amazonaws.cn/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) ## Amazon WAF 标准版的转发访问会话 **支持转发访问会话（FAS）：**是 转发访问会话 (FAS) 使用调用主体的权限 Amazon Web Services 服务，再加上 Amazon Web Services 服务 向下游服务发出请求的请求。有关发出 FAS 请求时的策略详情，请参阅[转发访问会话](https://docs.amazonaws.cn/IAM/latest/UserGuide/access_forward_access_sessions.html)。 ## Amazon WAF 经典版的服务角色 **支持服务角色：**是 服务角色是由一项服务担任、代表您执行操作的 [IAM 角色](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_roles.html)。IAM 管理员可以在 IAM 中创建、修改和删除服务角色。有关更多信息，请参阅《IAM 用户指南》**中的[创建向 Amazon Web Services 服务委派权限的角色](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_roles_create_for-service.html)。 **警告** 更改服务角色的权限可能会中断 Amazon WAF Classic 功能。仅当 Amazon WAF Classic 提供相关指导时，才可编辑服务角色。 ## Classic 的 Amazon WAF 服务相关角色 **支持服务关联角色：**是 服务相关角色是一种与服务相关联的 Amazon Web Services 服务服务角色。服务可以代入代表您执行操作的角色。服务相关角色出现在您的中 Amazon Web Services 账户 ，并且归服务所有。IAM 管理员可以查看但不能编辑服务关联角色的权限。 有关创建或管理 Amazon WAF Classic 服务相关角色的详细信息，请参阅[在 Classic 中使用服务相关角色 Amazon WAF](classic-using-service-linked-roles.md)。