Создать профиль ARL

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

1. Посмотрите описание команды:

   yc smartwebsecurity advanced-rate-limiter advanced-rate-limiter-profile create --help
   

2. Создайте профиль ARL с правилом, которое ограничивает число запросов к /api/login для каждого IP-адреса. В примере лимит составляет 20 запросов за 60 секунд. Режим dryRun позволит проверить правило без блокировки запросов.

   yc smartwebsecurity advanced-rate-limiter advanced-rate-limiter-profile create \
     --folder-id <идентификатор_каталога> \
     --name login-rate-limit \
     --description "Ограничение запросов к форме входа" \
     --labels environment=production,component=authentication \
     --advanced-rate-limiter-rules '[
       {
         "name": "login-per-ip",
         "priority": 100,
         "description": "Не более 20 запросов к /api/login с одного IP за минуту",
         "dryRun": true,
         "dynamicQuota": {
           "action": "DENY",
           "limit": "20",
           "period": "60",
           "condition": {
             "requestUri": {
               "path": {
                 "exactMatch": "/api/login"
               }
             },
             "httpMethod": {
               "httpMethodMatcher": {
                 "exactMatch": "POST"
               }
             }
           },
           "characteristics": [
             {
               "simpleCharacteristic": {
                 "type": "IP"
               }
             }
           ]
         }
       }
     ]'
   

   Где:

   • --folder-id — идентификатор каталога, в котором будет создан профиль.
   • --name — уникальное имя профиля от 1 до 50 символов. Может содержать буквы, цифры, дефисы, символы подчеркивания или точки.
   • (Опционально) --description — описание профиля.
   • (Опционально) --labels — метки профиля в формате ключ=значение.
   • (Опционально) --advanced-rate-limiter-rules — массив правил в формате JSON.

В каждом правиле укажите уникальные name и priority. Чем меньше значение priority, тем выше приоритет правила.

Для staticQuota сервис считает все подходящие запросы вместе. Для dynamicQuota сервис группирует запросы по характеристикам. Можно указать до трех характеристик: REQUEST_PATH, HTTP_METHOD, IP, GEO или HOST.

Чтобы проверить правило без блокировки запросов, укажите "dryRun": true. Для перевода правила в рабочий режим укажите "dryRun": false.

1. Чтобы настроить правила ARL в файле запроса, сформируйте шаблон в формате JSON или YAML:

   yc smartwebsecurity advanced-rate-limiter advanced-rate-limiter-profile create --example-json > request.json
   

   yc smartwebsecurity advanced-rate-limiter advanced-rate-limiter-profile create --example-yaml > request.yaml
   

   Отредактируйте файл и передайте его в команде создания профиля:

   yc smartwebsecurity advanced-rate-limiter advanced-rate-limiter-profile create \
     --request-file request.yaml
   

Terraform позволяет быстро создать облачную инфраструктуру в Yandex Cloud и управлять ею с помощью файлов конфигураций. В файлах конфигураций хранится описание инфраструктуры на языке HCL (HashiCorp Configuration Language). При изменении файлов конфигураций Terraform автоматически определяет, какая часть вашей конфигурации уже развернута, что следует добавить или удалить.

Terraform распространяется под лицензией Business Source License, а провайдер Yandex Cloud для Terraform — под лицензией MPL-2.0.

Подробная информация о ресурсах провайдера в документации на сайте Terraform или в зеркале.

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, аутентифицируйтесь соответствующим способом.

Чтобы создать профиль ARL:

1. Опишите в конфигурационном файле Terraform параметры ресурсов, которые необходимо создать:

   # Профиль ARL
   
   resource "yandex_sws_advanced_rate_limiter_profile" "arl-profile" {
     name        = "<имя_профиля>"
     description = "<описание_профиля>"
   
     # Правило 1
   
     advanced_rate_limiter_rule {
       name        = "<имя_правила>"
       priority    = <приоритет_правила>
       description = "<описание_правила>"
       dry_run     = true
   
       static_quota {
         action = "DENY"
         limit  = <лимит_правила>
         period = <период_правила>
         condition {
           request_uri {
             path {
               exact_match = "/api"
             }
           }
         }
       }
     }
   }
   

   Где:

   • name — имя профиля ARL.
   • description — описание профиля ARL. Необязательный параметр.
   • labels — метки профиля ARL. Необязательный параметр.
   • advanced_rate_limiter_rule — блок правил.
     • name — имя правила.
     • priority — приоритет правила, уникальное число от 1 до 999999. Первыми применяются правила с меньшим числовым значением.
     • description — описание правила. Необязательный параметр.
     • dry_run — флаг пробного запуска. Установите значение true, чтобы протестировать правило и оценить нагрузку на веб-сервис. В этом режиме запросы блокироваться не будут, но информация о срабатывании правила будет записываться в логи. Необязательный параметр.
     • static_quota — способ подсчета запросов, при котором считается каждый запрос по отдельности, без группировки. Может быть указан только один из блоков: static_quota или dynamic_quota.
       • action — действие при превышении лимита. Единственное возможное значение — DENY.
       • limit — максимальное количество разрешенных запросов за период.
       • period — период времени в секундах, в течение которого считается лимит.
       • condition — условие применения правила. Необязательный параметр. Описание условий смотрите в документации провайдера, в разделе описания структуры advanced_rate_limiter_rule.static_quota.condition.
     • dynamic_quota — способ подсчета запросов, при котором считаются группы запросов, объединенных одной или несколькими характеристиками. Может быть указан только один из блоков: static_quota или dynamic_quota.
       • action — действие при превышении лимита. Единственное возможное значение — DENY.
       • limit — максимальное количество разрешенных запросов за период.
       • period — период времени в секундах, в течение которого считается лимит.
       • condition — условие применения правила. Необязательный параметр. Описание условий смотрите в документации провайдера, в разделе описания структуры advanced_rate_limiter_rule.dynamic_quota.condition.
       • characteristic - описание характеристик для группировки запросов. Может быть указан один из блоков: simple_characteristic или key_characteristic.
         • case_insensitive: true — не учитывать регистр, false — учитывать регистр.
         • key_characteristic — блок параметров, для которых надо указать ключ (строку) для группировки запросов.
           • type – тип группировки. Возможные значения: COOKIE_KEY, HEADER_KEY, QUERY_KEY.
           • value — значение ключа (строка), по которому будут группироваться запросы.
         • simple_characteristic — блок параметров с автоматической группировкой. Т.е. запросы группируются автоматически по указанному параметру.
           • type – тип группировки. Возможные значения: REQUEST_PATH, HTTP_METHOD, IP, GEO, HOST.

   Подробнее о параметрах ресурса yandex_sws_advanced_rate_limiter_profile в документации провайдера.

2. Создайте ресурсы:

   1. В терминале перейдите в директорию с конфигурационным файлом.

   2. Проверьте корректность конфигурации с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список планируемых изменений: ресурсы и/или выходные переменные. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

   Terraform создаст все требуемые ресурсы. Проверить появление ресурсов можно в консоли управления.

После создания профиля ARL вы можете добавить правило в профиль.

Воспользуйтесь методом REST API create для ресурса AdvancedRateLimiterProfile или вызовом gRPC API AdvancedRateLimiterProfile/Create.