WAF 部署小指南（八）利用 Amazon Shield Advanced 节省 Amazon WAF 的成本
内容提要
亚马逊云科技的WAF服务根据HTTP/HTTPS请求数收费，客户可通过Amazon CloudFront Security Savings Bundle或Shield Advanced服务节省成本。WAF标准费用包括固定费用和请求费用，不包括第三方规则组等费用。WCU衡量Web ACL容量，最大为5000。通过Python工具可比较Shield Advanced和WAF的成本。建议将动态和静态业务拆分到不同的域名和亚马逊云科技资源上，利用CloudFront签名或自定义函数防盗链。
延伸解读
Shield Advanced 节省 WAF 费用的前提条件
文章指出，只有当 Web 资源同时被 WAF 和 Shield Advanced 保护时，该资源产生的 WAF 标准费用才会被免除。但 Shield Advanced 会引入数据传出（DTO）费用，因此并非所有资源都适合此方案。节省效果取决于平均包大小（AOS）和请求量，需具体计算。
AOS 如何影响成本对比结果
平均包大小（AOS）是决定 Shield Advanced 能否省钱的关键。文章示例显示，AOS 为 10KB 时，月请求数超过 80 亿次即可节省成本；而 AOS 为 100KB 时，仅考虑成本则不应使用 Shield Advanced。动态业务 AOS 较小，静态业务 AOS 较大，需分别评估。
利用 Python 工具进行成本模拟
文章提供了一个 Python 成本对比工具，用户可修改 AOS 等变量，生成 WAF 与 Shield Advanced 月度成本随请求数变化的曲线图。该工具基于 CloudFront 分配且 WAF 仅产生标准费用的假设，也可调整用于 ALB 或其他资源及私有价格合约。
架构拆分以优化 WAF 成本
建议将动态业务和静态业务拆分到不同域名及亚马逊云科技资源上，尤其是使用不同的 CloudFront 分配。这样能更灵活地选择 WAF 保护策略，避免为静态业务承担不必要的 Shield Advanced DTO 费用。对于静态业务，可利用 CloudFront 签名或自定义函数实现防盗链。
Q&A
如何通过 Amazon Shield Advanced 节省 WAF 成本？
客户可以通过订阅 Shield Advanced 服务来降低 WAF 的费用，特别是当 WAF 用量超过 $3K 每月时。
WAF 的标准费用包括哪些内容？
WAF 的标准费用包括固定费用和根据 HTTP/HTTPS 请求数收取的请求费用，不包括第三方规则组等费用。
什么是 WCU，它的最大值是多少？
WCU 是衡量 Web ACL 容量的单位，最大值为 5000。
如何使用 Python 工具比较 Shield Advanced 和 WAF 的成本？
可以通过下载 GitHub 上的成本对比工具，修改 AOS 常量为实际数据包大小，然后运行脚本来生成成本对比图。
在什么情况下使用 Shield Advanced 可以节省成本？
当 AOS 为 10KB 且每月 HTTP/HTTPS 请求数超过 80亿时，使用 Shield Advanced 可以节省成本。
如何优化 WAF 部署以降低成本？
建议将动态业务和静态业务拆分到不同的域名和亚马逊云科技资源上，以便低成本使用 WAF 保护它们。
