AWS WAF と Amazon CloudFront の機能との連携

ウェブ ACL を作成するときに、AWS WAF で検査される 1 つまたは複数の CloudFront ディストリビューションを指定できます。AWS WAF は、ウェブ ACL で特定した基準に基づいて、これらのディストリビューションについて、ウェブリクエストの検査と管理を開始します。CloudFront には、AWS WAF の機能を強化するいくつかの機能が用意されています。この章では、CloudFront と AWS WAF がより効果的に連携するように CloudFront を設定できるいくつかの方法について説明します。

CloudFront カスタムエラーページでの AWS WAF の使用

デフォルトでは、指定した条件に基づいて AWS WAF によってウェブリクエストがブロックされると、HTTP ステータスコード 403 (Forbidden) が CloudFront に返され、CloudFront はそのステータスコードをビューワーに返します。ビューワーには、次のような簡潔で特に書式設定されていないデフォルトメッセージが表示されます。

Forbidden: You don't have permission to access /myfilename.html on this server.

カスタムレスポンスを定義することにより、AWS WAF ウェブ ACL ルールでこの動作を上書きできます。AWS WAF ルールを使用したレスポンス動作のカスタマイズの詳細については、「Block アクションのカスタムレスポンス」を参照してください。

注記

AWS WAF ルールを使用してカスタマイズした応答は、CloudFront カスタムエラーページで定義した応答の仕様よりも優先されます。

場合によってウェブサイトの他の部分と同じフォーマットを使用して、CloudFront を介してカスタムエラーメッセージを表示したい場合は、カスタムエラーメッセージを含むオブジェクト (HTML ファイルなど) をビューワーに返すように CloudFront を設定できます 。

注記

CloudFront は、オリジンによって返された HTTP ステータスコード 403 と、リクエストがブロックされたときに AWS WAF によって返された HTTP ステータスコード 403 とを区別できません。つまり、HTTP ステータスコード 403 のさまざまな原因に基づいて、異なるカスタムエラーページを返すことはできません。

CloudFront カスタムエラーページの詳細については、「Amazon CloudFront デベロッパーガイド」の「カスタムエラーレスポンスの生成」を参照してください。

独自の HTTP サーバーで実行されているアプリケーションへの CloudFront での AWS WAF の使用

AWS WAF と CloudFront を使用すると、Amazon Elastic Compute Cloud (Amazon EC2) で実行されている Web サーバーであるか、個人的に管理している Web サーバーかにかかわらず、任意の HTTP Web サーバーで実行されているアプリケーションを保護できます。CloudFront と独自のウェブサーバー間、およびビューワーと CloudFront の間で HTTPS が必須になるように CloudFront を設定することもできます。

CloudFront と独自のウェブサーバー間での HTTPS の必須化

CloudFront と独自のウェブサーバー間で HTTPS を必須にするには、CloudFront カスタムオリジン機能を使用し、特定のオリジンの [Origin Protocol Policy] (オリジンプロトコルポリシー) および [Origin Domain Name] (オリジンドメイン名) の設定を構成します。CloudFront 設定では、オリジンからオブジェクトをフェッチするとき CloudFront で使用するポートとプロトコルとともに、サーバーの DNS 名を指定できます。また、カスタムオリジンサーバー上の SSL/TLS 証明書が、設定したオリジンドメイン名と一致することを確認する必要もあります。AWS の外部にある独自の HTTP ウェブサーバーを使用している場合、信頼されたサードパーティー認証機関 (CA) (Comodo、DigiCert、Symantec など) によって署名された証明書を使用する必要があります。CloudFront と独自のウェブサーバー間の通信に HTTPS を要求する方法の詳細については、「Amazon CloudFront デベロッパーガイド」の「CloudFront とカスタムオリジン間の通信で HTTPS を必須にする」のトピックを参照してください。

ビューワーと CloudFront との間での HTTPS の必須化

ビューワーと CloudFront の間に HTTPS を要求するために、CloudFront ディストリビューションの 1 つ以上のキャッシュ動作のビューワープロトコルポリシーを変更できます。ビューワーと CloudFront 間での HTTPS の使用の詳細については、「Amazon CloudFront デベロッパーガイド」の「ビューワーと CloudFront 間の通信で HTTPS を必須にする」のトピックを参照してください。独自の SSL 証明書を使用して、ビューワーが独自のドメイン名を使用して HTTPS 経由で CloudFront ディストリビューションに接続できるようにすることもできます (例: https://www.mysite.com)。詳細については、「Amazon CloudFront デベロッパーガイド」の「代替ドメイン名とHTTPS を使用する」のトピックを参照してください。

CloudFront が応答する HTTP メソッドの選択

Amazon CloudFront のウェブディストリビューションを作成するときは、CloudFront によって処理されてオリジンに転送される HTTP メソッドを選択します。次のオプションから選択できます。

• GET、HEAD – CloudFront を使用して、オリジンからのオブジェクトの取得またはオブジェクトヘッダーの取得のみを行うことができます。

• GET、HEAD、OPTIONS – CloudFront を使用して、オリジンからのオブジェクトの取得、オブジェクトヘッダーの取得、またはオリジンサーバーがサポートするオプションのリスト取得のみを行うことができます。

• GET、HEAD、OPTIONS、PUT、POST、PATCH、DELETE – CloudFront を使用して、オブジェクトの取得、追加、更新、削除、およびオブジェクトヘッダーの取得を行うことができます。また、ウェブフォームからのデータの送信など、その他の POST オペレーションも実行できます。

また、AWS WAF バイト一致ルールステートメントを使用して、HTTP メソッドに基づいてリクエストを許可またはブロックすることもできます (「文字列一致ルールステートメント」を参照)。CloudFront がサポートするメソッドの組み合わせ (GET や HEAD など) を使用する場合は、他のメソッドを使用するリクエストをブロックするように AWS WAF を設定する必要はありません。CloudFront がサポートしないメソッドの組み合わせ (GET、HEAD、POST など) を使用する場合は、すべてのメソッドに応答するように CloudFront を設定してから、AWS WAF により他のメソッドを使用するリクエストをブロックできます。

が応答するメソッドの選択の詳細については、「Amazon CloudFront デベロッパーガイド」で「ウェブディストリビューションを作成または更新する場合に指定する値」トピックの「許可される HTTP メソッド」を参照してください。