CloudFrontメモ - pikesaku’s blog

参考

要点整理から攻略する『AWS認定高度なネットワーキング-専門知識』 (Compass Booksシリーズ) | NRIネットコム株式会社, 佐々木拓郎, 小西秀和, 安藤裕紀, 木美雄太, 早川愛, 宮川亮, 矢野純平 |本 | 通販 | Amazon

この本、すごくいい！

CloudFrontとは？

以下を実現するCDN
・高い安全性
・高い性能
・プログラム可能

動作

・ユーザーを一番近いエッジロケーションに誘導　※低レイテンシで判断。EDNS Client Subnet情報も利用。
・エッジサーバでコンテンツキャッシュ
・AWS WAF、AWS Shield連携しセキュリティ対策
・AWS Certficate Manager(ACM)の証明書利用

用語

Viewer

Webブラウザ等のクライアント

Distribution

配信の設定単位。ドメイン名毎に作成。以下要素を含む。
・Origin
　コンテンツ提供するWebサーバ
　カスタムオリジン→VPCやオンプレのWebサーバ
　S3オリジン→S3バケット
・Behaviour
　キャッシュ動作、URLパスパターン設定

Behaviour設定

・リクエストパスパターン毎にキャッシュTTL設定
・サーバレスポンスにCache-Control:no-cache、no-store、privateディレクティブを付けた場合、CloudFrontでキャッシュされない。
　設定ミスると以下のようなトラブル事例もあり。
　CDN切り替え作業における、Web版メルカリの個人情報流出の原因につきまして | メルカリエンジニアリング

証明書

・標準で「cloudfront.net」ドメイン証明書
・独自ドメイン証明書も利用可能。以下のCNAMEレコード登録が必要
　独自ドメイン FQDN　→　cloudfront.netドメイン FQDN
　※ディストリビューション設定の以下に"独自ドメイン FQDN"を設定する必要あり。これを設定しないとCloudfrontは"cloudfront.netドメイン FQDN"の証明書を提示してくる。
　　
　　関連情報
　　CloudFront の無効なリクエストのエラーを解決する
　　代替ドメイン名 (CNAME) を追加することによるカスタム URL の使用 - Amazon CloudFront

プロトコルポリシー

・クライアント→Cloudfront間
　HTTP or HTTPS/Redirect HTTP to HTTPS/HTTPS Only
・Cloudfront→オリジン間
　HTTPS Only/Match Viewer(Viewer→Cloudfronと同じプロトコル利用)

署名付きURL、Cookie

　URLもしくは、Cookieにコンテンツへの資格情報を含めて認証OKの場合にアクセスを許可する機能
　公開鍵認証で認証をする。
　アプリケーションで認証し、認証OKの場合にURLもしくはCookieに秘密鍵で暗号化したデータを含め、Cloudfrontは公開鍵で復号できれば認証OKの判断をする。
　使い分けは、コンテンツが単一ファイルの場合はURL、複数ファイルある場合はCookie
　仕組みの詳細は以下参照
　署名付き URL の使用 - Amazon CloudFront
　署名付き Cookie の使用 - Amazon CloudFront