Amazon CloudFront

CloudFrontの処理フロー

ユーザー → DNS解決 → 最寄りのCloudFrontエッジロケーション → キャッシュチェック
                                                        ↓
                                        [キャッシュヒット] → コンテンツ配信 → ユーザー
                                        [キャッシュミス] → オリジンからフェッチ → キャッシュ → コンテンツ配信 → ユーザー
        

AWS CLIを使用したディストリビューションの作成

aws cloudfront create-distribution \
    --origin-domain-name my-bucket.s3.amazonaws.com \
    --default-root-object index.html

より詳細な設定を含むディストリビューションの作成

aws cloudfront create-distribution \
    --distribution-config file://dist-config.json

dist-config.jsonの例：

{
  "CallerReference": "my-distribution-2023-08-05",
  "Aliases": {
    "Quantity": 1,
    "Items": ["www.example.com"]
  },
  "DefaultRootObject": "index.html",
  "Origins": {
    "Quantity": 1,
    "Items": [
      {
        "Id": "my-s3-origin",
        "DomainName": "my-bucket.s3.amazonaws.com",
        "S3OriginConfig": {
          "OriginAccessIdentity": "origin-access-identity/cloudfront/E127EXAMPLE51Z"
        }
      }
    ]
  },
  "DefaultCacheBehavior": {
    "TargetOriginId": "my-s3-origin",
    "ViewerProtocolPolicy": "redirect-to-https",
    "AllowedMethods": {
      "Quantity": 2,
      "Items": ["GET", "HEAD"],
      "CachedMethods": {
        "Quantity": 2,
        "Items": ["GET", "HEAD"]
      }
    },
    "Compress": true,
    "DefaultTTL": 86400
  },
  "ViewerCertificate": {
    "CloudFrontDefaultCertificate": true
  },
  "Enabled": true
}

ディストリビューションの一覧表示

aws cloudfront list-distributions

ディストリビューションの詳細取得

aws cloudfront get-distribution --id E1234EXAMPLE

ディストリビューションの更新

aws cloudfront update-distribution \
    --id E1234EXAMPLE \
    --distribution-config file://updated-config.json \
    --if-match ETAGVALUE

ディストリビューションの無効化

aws cloudfront get-distribution-config --id E1234EXAMPLE
# 取得した設定を編集してEnabledをfalseに設定
aws cloudfront update-distribution \
    --id E1234EXAMPLE \
    --distribution-config file://disabled-config.json \
    --if-match ETAGVALUE

ディストリビューションの削除

# ディストリビューションを無効化してから削除する必要があります
aws cloudfront delete-distribution \
    --id E1234EXAMPLE \
    --if-match ETAGVALUE

特定のファイルのキャッシュを無効化

aws cloudfront create-invalidation \
    --distribution-id E1234EXAMPLE \
    --paths "/images/logo.png" "/css/style.css"

すべてのファイルのキャッシュを無効化

aws cloudfront create-invalidation \
    --distribution-id E1234EXAMPLE \
    --paths "/*"

OAIの作成と設定

# OAIの作成
aws cloudfront create-cloud-front-origin-access-identity \
    --cloud-front-origin-access-identity-config \
    CallerReference=my-oai-2023-08-05,Comment=OAI-for-my-bucket

# S3バケットポリシーの更新
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity E127EXAMPLE51Z"
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::my-bucket/*"
    }
  ]
}

署名付きURLの生成（Python例）

import datetime
import rsa
import base64
import json
from cryptography.hazmat.backends import default_backend
from cryptography.hazmat.primitives import hashes
from cryptography.hazmat.primitives.asymmetric import padding

def generate_signed_url(url, key_id, private_key_path, expiration_time):
    # 有効期限の設定
    expiry = int((datetime.datetime.now() + 
                 datetime.timedelta(seconds=expiration_time)).timestamp())
    
    # ポリシーの作成
    policy = {
        'Statement': [
            {
                'Resource': url,
                'Condition': {
                    'DateLessThan': {
                        'AWS:EpochTime': expiry
                    }
                }
            }
        ]
    }
    
    # ポリシーをJSON文字列に変換
    policy_json = json.dumps(policy).replace(' ', '')
    
    # プライベートキーの読み込み
    with open(private_key_path, 'rb') as key_file:
        private_key = serialization.load_pem_private_key(
            key_file.read(),
            password=None,
            backend=default_backend()
        )
    
    # ポリシーの署名
    signature = private_key.sign(
        policy_json.encode('utf-8'),
        padding.PKCS1v15(),
        hashes.SHA1()
    )
    
    # Base64エンコード
    signature_b64 = base64.b64encode(signature).decode('utf-8')
    policy_b64 = base64.b64encode(policy_json.encode('utf-8')).decode('utf-8')
    
    # 署名付きURLの生成
    signed_url = f"{url}?Policy={policy_b64}&Signature={signature_b64}&Key-Pair-Id={key_id}"
    
    return signed_url

Lambda@Edge関数の例（URLリダイレクト）

exports.handler = async (event) => {
    const request = event.Records[0].cf.request;
    const headers = request.headers;
    const uri = request.uri;
    
    // 古いURLパターンを新しいURLにリダイレクト
    if (uri.startsWith('/old-path/')) {
        const newUri = uri.replace('/old-path/', '/new-path/');
        
        return {
            status: '301',
            statusDescription: 'Moved Permanently',
            headers: {
                'location': [{
                    key: 'Location',
                    value: newUri
                }],
                'cache-control': [{
                    key: 'Cache-Control',
                    value: 'max-age=3600'
                }]
            }
        };
    }
    
    return request;
};

CloudWatchアラームの作成

aws cloudwatch put-metric-alarm \
    --alarm-name cloudfront-5xx-errors-high \
    --comparison-operator GreaterThanThreshold \
    --evaluation-periods 2 \
    --metric-name 5xxErrorRate \
    --namespace AWS/CloudFront \
    --period 300 \
    --statistic Average \
    --threshold 5 \
    --alarm-actions arn:aws:sns:us-west-2:123456789012:my-topic \
    --dimensions "Name=DistributionId,Value=E1234EXAMPLE" "Name=Region,Value=Global"

アクセスログの有効化

aws cloudfront update-distribution \
    --id E1234EXAMPLE \
    --distribution-config file://logging-config.json \
    --if-match ETAGVALUE

logging-config.jsonの例（関連部分のみ）：

{
  ...
  "Logging": {
    "Enabled": true,
    "IncludeCookies": false,
    "Bucket": "my-logs-bucket.s3.amazonaws.com",
    "Prefix": "cloudfront-logs/"
  },
  ...
}