AWS AppSync DDoS保护。有哪些替代方案？

Question

我在互联网上没有看到关于AppSync如何抵御DDoS攻击的明确答案。对此我是一个新手，请耐心等待。

我们的情况是：我们将使用AWS Cognito进行身份验证，只有我们和一定数量的客户可以使用（因此没有公共访问）。我们可能不需要自定义域名，因此无需使用CloudFront进行分发，但如果从保护角度来看这更好，我们也可以这样做。另外，我知道AppSync的端点地址是自动生成的，可能很难被外部人员猜测，但我仍然担心它会被公众访问，特别是因为也许在某些时候我们想直接从我们的站点而不是从后端使用AppSync端点。

我看到两件事被提到：

1. 没有像 API 网关那样的限流（我对限流如何工作和如何保护你还有一些不清楚，我假设对于过度请求你的端点的某些 IP，会强制实施硬性上限？）
2. 由于 AppSync 是按请求付费的，我看到 API 网关如果受 AWS Cognito 保护且请求未通过身份验证，则不收取任何费用（https://docs.aws.amazon.com/apigateway/latest/developerguide/api-gateway-pricing.html）。我想知道是否适用于 AppSync，因为我们也将使用 AWS Cognito。
3. 既然我们正在谈论 AWS Cognito，我们希望将对我们端点的访问限制为仅限少数几个选择的 IP 地址。我读到 AWS Cognito 可以列出 IP 范围，但它也可以列出特定的 IP 地址吗？（我认为在 IP 范围末尾加上 /32？）
4. AppSync 与 AWS Shield 和 AWS WAF 的交互是什么？

谢谢，对于任何看起来愚蠢的问题，我很抱歉。

- ImmoralWombat

Answer 1

我刚在论坛上回答了你的问题：https://forums.aws.amazon.com/thread.jspa?messageID=907577&#907577

我会将其复制/粘贴到这里，但是如果您有任何后续问题，最好向团队咨询。

在回答您的问题之前，需要注意的一点是，CloudFront目前是AppSync的必需部分。对于所有用户都适用。它确实为所有用户提供了一些缓存和DDOS防护，因此像您猜测的那样，它确实具有某些安全价值。

1. AppSync不公开自定义、由客户控制的限流机制，但它确实拥有多层内部限流，以保护它免受许多形式的滥用流量。话虽如此，为客户提供限流限制是一个普遍的要求。您能帮助我们理解您计划使用限流解决的业务需求吗？

2. AppSync收费的是成功处理的请求。身份验证/授权错误不被视为AppSync未能处理请求的情况。

3. 我相信这应该是可能的。 使用Cognito联合身份（通过IAM）：https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_examples_aws_deny-ip.html 使用Cognito用户池：https://aws.amazon.com/blogs/security/how-to-use-new-advanced-security-features-for-amazon-cognito-user-pools/

4. 我们无法评论AppSync与其他AWS服务的集成。您能帮助我们了解您计划通过此问题解决的业务需求吗？

- Jeff Bailey

---

CloudFront可以作为AppSync的可配置选项，AppSync端点可以定义为CloudFront的源，Lambda@Edge可用于添加路径，例如GraphQL。https://aws.amazon.com/blogs/mobile/use-a-custom-domain-with-aws-appsync-amazon-cloudfront-and-amazon-route-53/ - James Dean

我的措辞不太准确 - 我的意思是开/关，而不是改变。 - Jeff Bailey