Google Cloud Armor 和 reCAPTCHA 提供的工具可帮助您评估传入的请求 来自自动化客户端的信息。
reCAPTCHA 使用先进的风险分析技术来区分真人用户和自动化客户端。reCAPTCHA 根据 reCAPTCHA WAF 网站密钥的配置评估用户。然后，它会颁发一个加密令牌，其中包含表示相关风险的特性。Google Cloud Armor 会以内嵌方式解密此令牌，无需对 reCAPTCHA 服务进行额外的请求或响应。根据令牌特性，Google Cloud Armor 使您可以允许、拒绝、重定向传入请求或限制传入请求速率。如需了解详情，请参阅 Google Cloud Armor 和 reCAPTCHA 集成概览。
Google Cloud Armor 的机器人管理包括以下集成功能。
手动验证（reCAPTCHA 验证页面）
- 您必须配置用于重定向请求以进行 reCAPTCHA 评估的安全政策规则。
- 您可以创建自己的 reCAPTCHA WAF 网站密钥，并将其与 与您的安全政策相关联我们强烈建议您执行此操作。 如需了解详情，请参阅实现 reCAPTCHA 验证。
- 通过重定向最终用户以进行 reCAPTCHA 评估，您可以仅允许通过 reCAPTCHA 手动验证的最终用户。
强制执行 reCAPTCHA 顺畅评估
- 您可以根据 reCAPTCHA 对请求源自机器人的风险的评估，对传入请求执行不同的操作。您可以编写安全政策规则，以根据令牌得分和其他令牌特性评估和过滤流量。
- 您必须实现 reCAPTCHA 操作令牌、会话令牌、 或者两者兼有在以下位置运行的应用支持 reCAPTCHA 操作令牌： 网站、iOS 和 Android。只有以下设备支持 reCAPTCHA 会话令牌： 。如需详细了解 reCAPTCHA 令牌，请参阅 reCAPTCHA 操作令牌和 reCAPTCHA 会话令牌。
- 您必须配置一条安全政策规则， reCAPTCHA 令牌。
- 为了防止令牌盗用，我们建议您将自己的令牌 根据您的安全政策规则检查 WAF 的 reCAPTCHA 密钥。
Google Cloud Armor 机器人管理还包含以下功能。
- 重定向 (302)
- 您可以将 Google Cloud Armor 配置为向客户端发送 HTTP 302 响应，从而将请求重定向到配置的备用网址。
- 修饰请求
- 您可以在请求中插入自定义标头并将静态值插入这些标头中，然后再通过代理将请求发送到后端。
使用场景
本部分介绍如何使用 Google Cloud Armor 机器人管理功能来降低机器人风险并控制来自自动化客户端的访问。
使用手动验证来区分合法用户和自动化客户端
您可以将请求重定向到 reCAPTCHA 以评估终端客户端，并在必要时发送手动验证，而无需任何额外的 reCAPTCHA 实现。当真人用户与机器人或滥用系统共用相同的签名（例如网址路径或其他 L7 签名）时，此操作可为他们提供证明自己是真人的方法。只有通过评估的用户才能访问您的服务。
下图展示了手动验证如何区分请求是来自真人还是自动化客户端：
假设用户 Maya 和机器人都在浏览您网站上的登录页面 (/login.html)。如需允许 Maya 访问同时不向机器人授予访问权限，您可以使用高级匹配表达式 request.path.matches("/login.html") 和类型为 GOOGLE_RECAPTCHA 的 redirect 操作配置安全政策规则。端到端用户体验如下：
- 最终用户首次访问您的网站。
- Google Cloud Armor 评估请求，并确定 将其重定向到 reCAPTCHA。
- reCAPTCHA 会返回嵌入了 reCAPTCHA JavaScript 的 HTML 页面。
- 响应渲染后，嵌入的 JavaScript 运行以评估用户，并在必要时发送手动验证。
- 如果用户通过评估，reCAPTCHA 会颁发一个豁免 Cookie，由浏览器自动附加到对相同网站的每个后续请求，直到 Cookie 过期。
- 否则，reCAPTCHA 不会发出豁免 Cookie。
在此示例中，只有 Maya 通过了 reCAPTCHA 评估 收到豁免 Cookie，从而获得对您网站的访问权限。
使用手动验证时，建议您创建自己的 reCAPTCHA WAF 网站密钥，并将其与安全政策关联。这样，您就可以查看与 网站密钥，并训练该网站密钥特有的安全模型。如需了解详情，请参阅创建 reCAPTCHA WAF 验证网站密钥。
如果您未创建和关联网站密钥，reCAPTCHA 会在评估时使用 Google 管理的网站密钥。您无法查看与您不拥有的网站密钥（包括 Google 管理的网站密钥）关联的 reCAPTCHA 指标。
强制执行 reCAPTCHA 评估
如果存在附加到传入请求的 reCAPTCHA 令牌，则 Google Cloud Armor 会根据令牌中的各个特性评估该请求并应用配置的操作。Google Cloud Armor 安全政策评估在 Google 的网络边缘进行，因此您的后端不参与令牌解密。
reCAPTCHA 令牌
reCAPTCHA 颁发两种类型的令牌：操作令牌和会话令牌。这两种类型的令牌都会根据与您的网站或应用的互动情况返回每个请求的得分。这两种类型的令牌都包含一些属性，其中包括表示与用户关联的风险的分数。他们还 包含您在 生成令牌。
在配置安全政策规则之前，您必须决定是使用操作令牌、会话令牌还是同时使用两者。建议您阅读 reCAPTCHA 文档，以做出明智的决策。有关 请参阅 reCAPTCHA 使用场景比较。
确定要使用的令牌类型后，您可以实现 使用 reCAPTCHA 来连接 请求。如需了解如何在 reCAPTCHA 中实现令牌，请参阅以下页面：
- Web 应用
- 移动应用
最后，使用 Google Cloud Armor 规则语言配置安全政策规则，用于评估附加在请求中的 reCAPTCHA 令牌。为防止令牌盗用，我们强烈建议您 将您的 reCAPTCHA 密钥与您的安全政策规则相关联。 将 reCAPTCHA 密钥与安全政策规则相关联时，Google Cloud Armor 会将令牌中的 reCAPTCHA 密钥与规则关联的 reCAPTCHA 密钥进行比较，从而对令牌执行额外的验证。Google Cloud Armor 将 reCAPTCHA 密钥未知的令牌视为无效。如需了解详情，请参阅强制执行 reCAPTCHA 流畅评估。
下图展示了 reCAPTCHA 令牌强制执行流程。
重定向（302 响应）
您可以使用基于网址的重定向操作在外部将请求重定向到其他端点。您需要以网址的形式提供重定向目标，Google Cloud Armor 通过向客户端发送 HTTP 302 响应来重定向请求。
修饰请求
在将请求通过代理发送到应用之前，Google Cloud Armor 可以插入具有静态用户定义值的自定义请求标头。借助此选项，您可以标记可疑请求以进行其他下游处理（例如发送“蜜罐”），或进行其他分析和监控。请注意，必须将此操作参数添加到现有 allow 操作。
自定义标头
如果您已将 Google Cloud Armor 配置为插入与全球外部应用负载均衡器或传统版应用负载均衡器的自定义标头之一相同的自定义标头或值，则标头值为被负载均衡器覆盖。如需了解详情，请参阅在后端服务中创建自定义标头。
此外，如果您选择请求中已存在的标头名称（包括标准 HTTP 标头），则该标头中的原始值将被提供给 Google Cloud Armor 规则的用户定义值覆盖。
与速率限制集成
Google Cloud Armor 速率限制规则与机器人管理功能兼容。例如，您可以重定向 reCAPTCHA 的请求 在请求数量超过 25 个时， 配置的阈值此外，您还可以指定 基于 reCAPTCHA 豁免 Cookie 或令牌的限制， 限制请求或禁止客户端重复使用或滥用相同 Cookie 或令牌 速率超过用户配置的阈值。
限制 reCAPTCHA 豁免 Cookie 或令牌的速率
为提高安全性，我们建议您配置速率限制规则，以防止令牌滥用，即多次使用每个唯一的 reCAPTCHA 操作令牌、会话令牌或豁免 Cookie。下表说明了如何 将 reCAPTCHA 豁免 Cookie 或令牌标识为 速率限制规则
| 资源 | enforce_on_key |
enforce_on_key_name |
|---|---|---|
| 豁免 Cookie | HTTP-COOKIE |
recaptcha-ca-e |
| 操作令牌 | HTTP-HEADER |
X-Recaptcha-Token |
| 会话令牌 | HTTP-COOKIE |
recaptcha-ca-t |
您可以对请求限流，或禁止依赖于相同豁免 Cookie 或令牌的客户端，或禁止超出配置的阈值的客户端。如需详细了解速率限制参数，请参阅应用速率限制。
速率限制示例
首先，假设您只对网站上的选定网址（例如 /login.html）使用手动验证。为此，请按如下所示配置安全政策规则：
- 规则 1：如果请求附加了有效的豁免 Cookie，并且豁免 Cookie 的使用次数低于您定义的阈值，则允许该请求。
- 规则 2：重定向 reCAPTCHA 评估请求。
其次，假设您仅在网站上使用操作令牌或会话令牌。例如，您可以使用操作令牌来保护重要的用户操作，例如 /login.html。为此，请根据操作令牌中的分数执行操作，如下所示：
- 规则 1：当操作令牌中的分数高于预定义阈值（例如
0.8）时，如果操作令牌的使用次数低于您定义的阈值，则允许请求。 - 规则 2：拒绝请求。
您可以配置类似的安全政策规则以强制执行 reCAPTCHA 会话令牌评估。
第三，假设您将操作令牌或会话令牌与网站上所选网址（如 /login.html）的手动验证相结合，并且您希望根据操作令牌中的分数来执行操作。此外，如果分数不够满意，您希望通过回答验证问题再给客户提供一次机会。为此，请按如下所示配置安全政策规则：
- 规则 1：当操作令牌中的分数高于预定义阈值（例如
0.8）时，如果操作令牌的使用次数低于您定义的阈值，则允许请求。 - 规则 2 和 3：当操作令牌中的分数高于其他预定义阈值（例如
0.5）时，除非请求附加了有效的豁免 Cookie，并且豁免 Cookie 的使用次数低于您定义的阈值，否则将请求重定向到 reCAPTCHA 评估。 - 规则 4：拒绝请求。
您可以配置类似的安全政策规则，以通过手动验证来强制执行 reCAPTCHA 会话令牌评估。
如果您不调整速率限制规则，Google Cloud Armor 不会对每个 reCAPTCHA 豁免 Cookie、操作令牌和会话令牌的使用次数施加限制。对于操作令牌，我们建议使用低阈值（例如 1）和高时间间隔（例如 30 分钟，因为操作令牌的有效时间为 30 分钟）。我们建议您根据流量统计信息确定阈值。