规则、规则组和 Web ACL
了解匹配规则如何组合成可部署的策略。
规则、规则组和 Web ACL 是 CoddyKit 上的免费 Cloud & IT Cert Prep 课时。 这是第 2 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cloud & IT Cert Prep 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cloud & IT Cert Prep 课程共包含 4 节课。
组成部分
AWS WAF 将防护组织为三层：规则、规则组和Web ACL。规则包含单个条件和操作；规则组捆绑相关规则；Web ACL 是可部署的容器，您可以将其关联到资源，并由它将所有内容整合起来。
规则是什么
规则将匹配语句（例如对 URI 进行字符串匹配）与操作（允许、阻止、Count、CAPTCHA）结合起来。规则还可以使用 AND、OR 和 NOT 逻辑组合语句，让您能够表达“阻止此路径，除非请求来自受信任 IP 集”等条件。
规则组
规则组是可重复使用的规则集合，您可以将其关联到多个 Web ACL。规则组可以由AWS 托管、由供应商在市场中销售，或由客户托管。重复使用规则组可以在多个应用之间保持策略一致，而不必复制各条规则。
Web ACL
Web ACL（访问控制列表）是与 CloudFront 分配、ALB 或 API 网关关联的顶层对象。它包含按顺序排列的规则和规则组，以及一个默认操作。只有与 Web ACL 关联的资源才会真正受到 WAF 的保护。
优先级与顺序
Web ACL 中的规则按照优先级顺序进行评估，编号越小越先评估。第一条执行终止评估操作（阻止或允许）的规则会生效。Count 操作不会终止评估，因此评估会继续进行。正确设置优先级至关重要：较早出现的宽泛阻止规则可能会遮蔽更具体的规则。
# Web ACL evaluation
Priority 0: IP allow-list -> Allow (terminates)
Priority 1: AWS managed SQLi -> Block
Priority 2: Rate limit -> BlockWeb ACL 容量单位
如果没有规则执行终止操作，Web ACL 会应用其默认操作（允许或阻止）。每个 Web ACL 还具有以 WCU（WAF 容量单位）衡量的复杂度预算，默认最大值为 1,500。复杂规则和大型规则组会消耗更多 WCU；超出预算意味着需要简化规则或申请增加配额。因此，在组合多个托管规则组时，请提前规划容量。
范围很重要
Web ACL 具有一个范围：CLOUDFRONT（全局，在 us-east-1 中创建）或 REGIONAL（用于特定区域中的 ALB、API 网关和 AppSync）。区域性 Web ACL 无法保护 CloudFront，因此您必须从一开始就在正确的范围内创建 Web ACL。
用于协调的标签
规则可以向请求添加标签，供后续规则检查。托管规则组可能会将请求标记为疑似机器人，然后您的自定义规则可以决定是阻止还是质询该请求。标签使托管逻辑和自定义逻辑能够协同工作，而无需重复检测。
覆盖托管规则
在托管规则组中，您可以覆盖单条规则，将其操作改为 Count 而不是阻止，或将其完全排除。这样，您可以调整会产生误报的托管规则组，而不必放弃整个规则组，同时保留其余防护能力。
版本控制与重复使用
AWS 会为托管规则组进行版本控制，因此更新不会在您不知情的情况下改变行为。您可以固定某个版本，也可以跟随最新版本。客户托管的规则组让安全团队能够集中管理策略，并以一个统一维护的单元在各应用团队之间共享。
整合使用
典型的 Web ACL 会依次包含 IP 允许列表、一个或两个 AWS 托管规则组（核心规则集、已知恶意输入）、一条基于速率的规则以及几条自定义规则，最后以默认允许结束。理解这些层次和优先级如何交互，是有效部署 WAF 的核心。
快速检查
检验您对 WAF 结构的掌握程度。
回顾
WAF 将规则嵌套在规则组中，再将规则组嵌套在您关联到资源的Web ACL中。规则结合匹配语句和操作；规则组可重复使用，并且可以由 AWS 托管、在市场中提供或由客户自定义。Web ACL 按优先级顺序评估规则，并具有默认操作；其容量受WCU限制，且具有 CLOUDFRONT 或 REGIONAL 范围。标签和逐条规则覆盖功能让托管逻辑与自定义逻辑能够协同工作。
常见问题解答
「规则、规则组和 Web ACL」课时是免费的吗？
是的 — 「规则、规则组和 Web ACL」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cloud & IT Cert Prep 课程的其余内容，请升级到 CoddyKit PRO。 Cloud & IT Cert Prep 课程共包含 4 节课。
「规则、规则组和 Web ACL」这节课中我会学到什么？
了解匹配规则如何组合成可部署的策略。 你通过在浏览器中直接运行的动手代码来练习 Cloud & IT Cert Prep，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cloud & IT Cert Prep 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cloud & IT Cert Prep 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 2 节课，共 4 节。
「规则、规则组和 Web ACL」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cloud & IT Cert Prep 课中编写并运行代码吗？
能。每节 Cloud & IT Cert Prep 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- AWS WAF 如何检查请求
- 规则、规则组和 Web ACL
- 托管规则与速率限制
- 将 WAF 附加到 CloudFront 和 ALB