关于 shieldadvanced
面向 AWS Shield Advanced 配置任务的领域技能，按任务提供订阅、资源防护、自动缓解、事件审查和防护组等流程。它还区分健康检测、SRT 支持与不同缓解控制的用途。
主要功能
- 01订阅并添加受保护资源
- 02配置自动应用层缓解
- 03设置基于健康状态的检测
- 04配置 SRT 支持和主动联系
- 05审查 DDoS 事件并申请费用保护
- 06按防护组聚合资源
适用场景
- 01为账户订阅 Shield Advanced 并保护资源
- 02在应用层攻击期间部署 AWS WAF 规则
- 03使用 Route 53 健康检查辅助检测
- 04请求 SRT 支持或审查攻击相关费用
MCP 相关
连接 AWS MCP 服务时，可通过沙箱化执行、审计日志和可观测性运行命令；未连接时使用 AWS CLI。Shield Advanced 控制平面命令需在 us-east-1 执行。
安装
复制下面的命令，在终端中运行。
npx skills add https:/安装后在 Claude Code 中输入/shieldadvanced确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
references/aggregating-resources-into-protection-groups.mdconfiguring-health-based-detection.mddeciding-between-shield-standard-and-advanced.mdenabling-automatic-application-layer-mitigation.mdreviewing-ddos-events-and-requesting-cost-protection.mdsetting-up-srt-support-and-proactive-engagement.mdsubscribing-to-shield-advanced-and-protecting-resources.md详细介绍
AWS Shield Advanced
概述
有关配置 AWS Shield Advanced 的领域知识。AWS Shield Advanced 是付费版，在始终启用的 AWS Shield Standard 基础上，增加了增强型分布式拒绝服务（DDoS）防护、自动应用层缓解、攻击可见性、专家支持和成本保护。内容涵盖订阅和保护资源、自动应用层缓解、基于运行状况的检测、Shield Response Team（SRT）访问与主动参与、事件审查和成本保护抵免，以及保护组。
此技能是一个路由器。每项客户任务都对应 references/ 下的一个操作指南文件。执行操作前，请完整阅读匹配的参考文件，并遵循其中的限制和步骤。这些参考文件均为独立文档：每份文件都包含自己的决策表、限制、操作流程和故障排除内容。
连接时，请使用 AWS MCP 服务执行命令（提供沙盒执行、审计日志和可观测性）；否则请改用 AWS CLI。Shield Advanced 是一项全球服务：其控制面 API 调用在 us-east-1 中运行，因此每条 aws shield 命令都要传入 --region us-east-1。
你需要执行哪项 Shield Advanced 任务？
| 目标 | 参考文档 |
|---|---|
| 判断是否需要 Shield Advanced（而非 Shield Standard + AWS WAF） | 在 Shield Standard 和 Advanced 之间进行选择 |
| 为账户订阅并将资源添加到防护中 | 订阅 Shield Advanced 并保护资源 |
| 通过 AWS WAF 自动应对第 7 层洪泛攻击 | 启用自动应用层缓解 |
| 通过 Route 53 运行状况检查将资源运行状况纳入检测 | 配置基于运行状况的检测 |
| 在遭受攻击时请 Shield Response Team 采取行动或主动联系 | 设置 SRT 支持和主动参与 |
| 审查 DDoS 事件并申请退还由攻击导致的扩缩费用 | 审查 DDoS 事件并申请成本保护 |
| 将相关资源视为一个整体进行检测 | 将资源聚合到保护组中 |
路由说明
- 订阅前先做决定。 Shield Advanced 是付费订阅服务，需承诺订阅一年，并会自动续订。订阅前，请确认客户确实需要它：Shield Standard（免费且始终启用）加上 AWS WAF 速率规则和 AWS WAF Anti-DDoS 托管规则组（
AWSManagedRulesAntiDDoSRuleSet），就能以较低成本覆盖许多第 7 层场景。如果客户尚未决定，请先将其引导至帮助做出决定的参考文档；有关 WAF 规则本身，则引导至 waf 技能。 - 先订阅并启用保护。 仅订阅本身不会保护任何资源；必须明确添加资源。本节中的所有其他任务都假定资源已订阅并受到保护。如果客户从头开始，请先运行订阅参考文档，再处理其他事项。
- 自动缓解与基于运行状况的检测。 这是两种不同的控制措施，客户经常会将它们混为一谈。自动应用层缓解会在发生第 7 层攻击时部署 AWS WAF 规则。基于运行状况的检测会将 Route 53 运行状况检查接入 Shield Advanced 的检测机制，使其更快做出响应。客户可以启用其中任一种、两种都启用，也可以都不启用。请选择与客户实际需求相符的参考文档。
- 运行状况检查也是 SRT 的前提条件。 主动接入（SRT 主动联系客户）要求对受保护资源配置 Route 53 运行状况检查。如果客户需要主动接入，配置基于运行状况的检测就是前期准备工作。SRT 参考文档会指向基于运行状况的检测参考文档，说明此步骤。
- 保护组仅用于检测。 保护组会改变 Shield Advanced 跨一组资源进行检测的方式。它不会应用共享缓解措施；自动缓解仍针对每个资源单独生效。请使用保护组参考文档调整检测，而不要将其作为缓解控制措施。
- WAF 规则、运行状况检查和组织级部署由其他技能负责。 编写 AWS WAF 规则、速率规则或 Web ACL 属于 waf 技能。创建 Route 53 运行状况检查属于 route53 技能。使用 Firewall Manager 在组织范围内部署 Shield Advanced 属于 firewallmanager 技能。本技能负责将 Shield Advanced 与这些组件连接起来，不负责构建它们。Shield Advanced 还必须搭配 AWS WAF：你 SHOULD 建议在每个面向互联网的受保护资源（CloudFront 分配和 Application Load Balancer）上配置 AWS WAF Web ACL，以纵深防御——Shield Advanced 和 AWS WAF 分别提供互补的第 3/4 层与第 7 层控制措施，而 AWS WAF 提供的速率规则也是成本保护所必需的。
日志记录和监控
本节中的每项任务都需要了解配置变更和攻击活动。
- 你 SHOULD 建议启用 AWS CloudTrail，以便记录所有 Shield Advanced API 调用（订阅、保护、SRT 和保护组变更），用于审计。
- 你 SHOULD 建议对 CloudTrail 日志存储桶和 CloudWatch Logs 日志组启用 SSE-KMS 加密，因为 CloudTrail 会记录敏感的 API 元数据（调用方身份、资源 ARN、参数），必须对其进行静态加密。
- 你 SHOULD 建议为 Shield Advanced 指标（例如
DDoSDetected和DDoSAttackBitsPerSecond）配置 CloudWatch 告警，以便在检测到事件时通知运维人员。 - 你 SHOULD 建议使用 SSE-KMS 加密这些告警所用的 SNS 主题，因为通知包含敏感的事件数据。
- 你 SHOULD 建议确认所有 Shield Advanced 告警的 SNS 主题订阅者都是获准接收敏感 DDoS 事件通知的授权人员。
安全注意事项
Shield Advanced 设置会创建 IAM 信任关系并暴露日志数据，因此请说明相关风险以及用于控制风险的措施。
- SRT 角色是第三方主体。 授予 SRT 访问权限会创建一个由
drt.shield.amazonaws.com承担、用于在账户中执行操作的 IAM 角色。请在其信任策略中设置aws:SourceAccount条件，并将其值设为账户 ID，以防止混淆代理攻击；仅授予该角色所需的操作，并在不再需要时使用disassociate-drt-role撤销该角色。 - 与 SRT 共享日志存储桶可能导致数据泄露。 AWS WAF 和访问日志会捕获请求 URI、标头和客户端 IP。与 SRT 共享前，请确认这些存储桶已启用服务器端加密，且不含明文个人身份信息或机密。
- 对操作人员实施最小权限原则。 将调用方的 IAM 权限限制为各项操作所需的最低权限，而不是授予宽泛的 Shield 或管理员访问权限。
- 审计跟踪。 保持 AWS CloudTrail 启用，并记录
shield:*调用，确保每项配置变更都有记录。