チュートリアル: 基本的な Lambda@Edge 関数を作成する

サンプルコンテンツ用に、イメージファイルなど 1～2 つのファイルで Amazon S3 バケットを作成します。そのためには、コンテンツを Amazon S3 にアップロードするステップに従います。必ず、バケットのオブジェクトへのパブリック読み取りアクセス権を付与するアクセス許可を設定します。

CloudFront ウェブディストリビューションを作成するステップに従って、CloudFront ディストリビューションを作成し、オリジンとして S3 バケットを追加します。ディストリビューションが既にある場合は、代わりにそのディストリビューションのオリジンとしてバケットを追加できます。

AWS Management Console にサインインして、AWS Lambda で https://console.aws.amazon.com/lambda/ コンソールを開きます。

[関数を作成] を選択します。

[関数の作成] ページで、[設計図の使用] を選択し、各フィールドに「cloudfront」と入力して CloudFront の設計図をフィルタリングします。

関数のテンプレートとして [HTTP レスポンスヘッダーを変更する] ブループリントを選択します。

関数に関する次の情報を入力します。

ページの下部で、[関数を作成] を選択します。

表示される [Lambda@Edge へのデプロイ] ペインで、[キャンセル] を選択します (このチュートリアルでは、関数を Lambda@Edge にデプロイする前に関数コードを変更する必要があります)。

ページの [コードソース] セクションまで下にスクロールします。

テンプレートコードを、オリジンが返すセキュリティヘッダーを変更する関数に置き換えます。たとえば、以下のようなコードを実行できます。

'use strict';
export const handler = (event, context, callback) => {

    //Get contents of response
    const response = event.Records[0].cf.response;
    const headers = response.headers;

    //Set new headers
    headers['strict-transport-security'] = [{key: 'Strict-Transport-Security', value: 'max-age= 63072000; includeSubdomains; preload'}];
    headers['content-security-policy'] = [{key: 'Content-Security-Policy', value: "default-src 'none'; img-src 'self'; script-src 'self'; style-src 'self'; object-src 'none'"}];
    headers['x-content-type-options'] = [{key: 'X-Content-Type-Options', value: 'nosniff'}];
    headers['x-frame-options'] = [{key: 'X-Frame-Options', value: 'DENY'}];
    headers['x-xss-protection'] = [{key: 'X-XSS-Protection', value: '1; mode=block'}];
    headers['referrer-policy'] = [{key: 'Referrer-Policy', value: 'same-origin'}];

    //Return modified response
    callback(null, response);
};

[ファイル]、[保存] の順に選択して、更新したコードを保存します。

[デプロイ] を選択します。

Lambda コンソールで、関数の [関数の概要] ページの [トリガーを追加] を選択します。

[トリガー設定] で、[CloudFront] を選択します。

[Lambda@Edge へのデプロイ] を選択します。

[Lambda@Edge へのデプロイ] ペインの [CloudFront トリガーの設定] で、次の情報を入力します。

[Lambda@Edge へのデプロイを確認] チェックボックスをオンにします。

[デプロイ] を選択して、トリガーを追加し、世界中の AWS の場所に関数をレプリケートします。

関数がレプリケートするまで待ちます。これには通常数分かかります。

レプリケーションが終了したかどうかを確認するには、CloudFront コンソールに移動し、ディストリビューションを表示します。ディストリビューションのステータスが [デプロイ中] から日時に変わるまで待ち、関数がレプリケートされたことを確認します。関数が機能することを確認するには、次のセクションのステップに従います。

ブラウザで、S3 バケット内のファイルの URL を入力します。たとえば、https://d111111abcdef8.cloudfront.net/image.jpg のような URL を使用できます。

ファイル URL で使用する CloudFront ドメイン名の詳細については、「CloudFront でファイルの URL 形式をカスタマイズする」を参照してください。

ブラウザのウェブデベロッパーツールバーを開きます。たとえば、Chrome のブラウザウィンドウで、コンテキスト（右クリック）メニューを開き、[Inspect (調査)] を選択します。

[Network (ネットワーク)] タブを選択します。

ページを再ロードしてイメージを表示し、左側のペインの HTTP リクエストを選択します。HTTP ヘッダーが別のペインに表示されます。

HTTP ヘッダーのリストを確認し、予期されるセキュリティヘッダーがリストに含まれていることを確認します。たとえば、次のスクリーンショットに示すようなヘッダーが表示されます。

AWS Management Console にサインインして、CloudWatch コンソール (https://console.aws.amazon.com/cloudwatch/) を開きます。

[リージョン] を、ブラウザでファイルを表示したときに表示されるロケーションに変更します。これは、関数が実行されている場所です。

左側のペインで、[ログ] を選択して、ディストリビューションのログを表示します。

https://console.aws.amazon.com/s3/ で Amazon S3 コンソールを開きます。

バケットを選択し、[プロパティ] を選択します。

[プロパティ] から [ログ記録] を選択します。

[有効] チェックボックスをオフにします。

[Save] を選択します。

で CloudFront コンソールを開きますhttps://console.aws.amazon.com/cloudfront/v4/home

無効にするディストリビューションを選択してから [Disable (無効化)] を選択します。

確認を求められたら、[Yes, Disable (はい、無効化する)] を選択します。

無効にしたディストリビューションを選択してから [削除] を選択します。

確認を求めるメッセージが表示されたら、[Yes, Delete (はい、削除します)] を選択します。