OACによるCloudFrontからS3への接続制御: Route53とACMを用いて、独自ドメインで静的サイトをホストする

Shun

AWS

2024.3.21

Topics

はじめに
前提
構成図
環境構築
確認
さいごに

はじめに

こんにちは、Shunです。

この記事では、Amazon S3に静的コンテンツを保存し、Amazon CloudFrontとOrigin Access Control (OAC) を使用して、そのコンテンツにアクセスする方法について説明します。

指定の CloudFront ディストリビューションにのみ S3 バケットへのアクセスを許可することによって、CloudFront ユーザーが S3 オリジンを簡単に保護できるようにする新機能です。S3 バケットへの CloudFront のリクエストで AWS Signature Version 4 (SigV4) を有効にして、CloudFront がリクエストに署名するタイミングと場合を設定できるようになりました。
出典: Amazon CloudFront launches Origin Access Control (OAC)

前提

独自ドメインを保有していること
Route53のホストゾーンへ独自ドメインの登録が完了していること

構成図

本記事で説明する構成は以下の通りです。

環境構築

1. S3の作成

S3はすべてデフォルト値で作成して、問題ございません。

S3のアクセス制御はOACによって行われるため、パブリックアクセスのブロックも有効にします。

アクセスを確認するため、適当なファイルをS3にアップロードしておきます。

2. CloudFrontディストリビューションの作成

次にCloudFrontディストリビューションを作成します。

Origin domain: 先ほど作成したS3
オリジンアクセス: Origin access control settings (recommended)

「Create new OAC」ボタンを押し、デフォルト設定でOACを作成します。

S3バケットポリシーを更新する必要があるという警告が表示されますが、これは後ほど更新します。

今回は検証目的なので、WAFは無効にします。「代替ドメイン名」と「カスタムSSL証明書」は後ほど設定します。

作成すると、画面上部へS3バケットポリシーの「ポリシーをコピー」というボタンが出ます。

これをS3のバケットポリシーへ貼り付けます。

バケットポリシーは以下です。ハイライト箇所が下記の環境によって書き換わります。

{
        "Version": "2008-10-17",
        "Id": "PolicyForCloudFrontPrivateContent",
        "Statement": [
            {
                "Sid": "AllowCloudFrontServicePrincipal",
                "Effect": "Allow",
                "Principal": {
                    "Service": "cloudfront.amazonaws.com"
                },
                "Action": "s3:GetObject",
                "Resource": "arn:aws:s3:::xxxxx/*",
                "Condition": {
                    "StringEquals": {
                      "AWS:SourceArn": "arn:aws:cloudfront::xxxxxxx:distribution/xxxxxxx"
                    }
                }
            }
        ]
      }