关于中国区WAF与CloudFront分发关联的可行性咨询

我太懂这种“文档说可以，实操却不行”的憋屈感了！先给你明确结论：目前AWS中国区确实没办法通过创建CLOUDFRONT范围的WebACL来关联CloudFront分发，你在UI里找不到对应选项、创建WebACL只能选REGIONAL的情况是正常的，不是你操作错了。

至于为什么中国区的官方文档会有相关描述，大概率是文档本地化时的疏漏——海外AWS主站早就支持WAF和CloudFront的这种关联，但AWS中国区的服务迭代节奏和主站有差异，很多海外的功能文档被直接翻译同步过来，却没及时更新中国区的实际支持状态，这种“文档超前”的情况偶尔会出现。

如果你的核心需求是给CloudFront分发加WAF防护，目前可以试试这两个方向：

• 转向源站防护：给CloudFront对应的源站资源（比如ECS、ALB）绑定REGIONAL范围的WebACL，从源站层面实现访问控制
• 联系AWS中国区技术支持：问问是不是有灰度开放的名额，或者后续功能上线的大致时间，毕竟文档里的内容一般是AWS规划要支持的功能，只是落地有延迟

备注：内容来源于stack exchange，提问作者Mykyta Orlov