翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
Amazon CloudFront AWS WAF での の使用
このセクションでは、Amazon CloudFront 機能 AWS WAF で を使用する方法について説明します。
ウェブ ACL を作成するときに、検査する AWS WAF 1 つ以上の CloudFront ディストリビューションを指定できます。 は、ウェブ ACL で特定した基準に基づいて、それらのディストリビューションのウェブリクエストの検査と管理 AWS WAF を開始します。CloudFront には、機能を強化する機能があります AWS WAF 。この章では、CloudFront を設定して CloudFront をより適切に AWS WAF 連携させる方法について説明します。
トピック
CloudFront カスタムエラーページ AWS WAF での の使用
デフォルトでは、 は指定した条件に基づいてウェブリクエストを AWS WAF ブロックし、HTTP ステータスコードを CloudFront 403 (Forbidden)に返し、CloudFront はそのステータスコードをビューワーに返します。ビューワーには、次のような簡潔で特に書式設定されていないデフォルトメッセージが表示されます。
Forbidden: You don't have permission to access /myfilename.html on this server.
カスタムレスポンスを定義することで、 AWS WAF ウェブ ACL ルールでこの動作を上書きできます。 AWS WAF ルールを使用したレスポンス動作のカスタマイズの詳細については、「」を参照してくださいBlock アクションのカスタムレスポンスの送信。
注記
AWS WAF ルールを使用してカスタマイズしたレスポンスは、CloudFront カスタムエラーページで定義したレスポンス仕様よりも優先されます。
場合によってウェブサイトの他の部分と同じフォーマットを使用して、CloudFront を介してカスタムエラーメッセージを表示したい場合は、カスタムエラーメッセージを含むオブジェクト (HTML ファイルなど) をビューワーに返すように CloudFront を設定できます 。
注記
CloudFront は、オリジンから返される HTTP ステータスコード 403 と、リクエストがブロックされた AWS WAF ときに から返される HTTP ステータスコード 403 を区別できません。つまり、HTTP ステータスコード 403 のさまざまな原因に基づいて、異なるカスタムエラーページを返すことはできません。
CloudFront カスタムエラーページの詳細については、「Amazon CloudFront デベロッパーガイド」の「カスタムエラーレスポンスの生成」を参照してください。
独自の HTTP サーバーで実行されているアプリケーションに CloudFront AWS WAF で を使用する
CloudFront AWS WAF で を使用すると、Amazon Elastic Compute Cloud (Amazon EC2) で実行されているウェブサーバーでも、プライベートに管理するウェブサーバーでも、任意の HTTP ウェブサーバーで実行されているアプリケーションを保護できます。CloudFront と独自のウェブサーバー間、およびビューワーと CloudFront の間で HTTPS が必須になるように CloudFront を設定することもできます。
CloudFront と独自のウェブサーバー間での HTTPS の必須化
CloudFront と独自のウェブサーバー間で HTTPS を必須にするには、CloudFront カスタムオリジン機能を使用し、特定のオリジンの [Origin Protocol Policy] (オリジンプロトコルポリシー) および [Origin Domain Name] (オリジンドメイン名) の設定を構成します。CloudFront 設定では、オリジンからオブジェクトをフェッチするとき CloudFront で使用するポートとプロトコルとともに、サーバーの DNS 名を指定できます。また、カスタムオリジンサーバー上の SSL/TLS 証明書が、設定したオリジンドメイン名と一致することを確認する必要もあります。の外部で独自の HTTP ウェブサーバーを使用する場合は AWS、信頼できるサードパーティー認証機関 (CA) によって署名された証明書を使用する必要があります。例えば、Comodo、DigiCert、Symantec などです。CloudFront と独自のウェブサーバー間の通信に HTTPS を要求する方法の詳細については、「Amazon CloudFront デベロッパーガイド」の「CloudFront とカスタムオリジン間の通信で HTTPS を必須にする」のトピックを参照してください。
ビューワーと CloudFront との間での HTTPS の必須化
ビューワーと CloudFront の間に HTTPS を要求するために、CloudFront ディストリビューションの 1 つ以上のキャッシュ動作のビューワープロトコルポリシーを変更できます。ビューワーと CloudFront 間での HTTPS の使用の詳細については、「Amazon CloudFront デベロッパーガイド」の「ビューワーと CloudFront 間の通信で HTTPS を必須にする」のトピックを参照してください。独自の SSL 証明書を使用して、ビューワーが独自のドメイン名を使用して HTTPS 経由で CloudFront ディストリビューションに接続できるようにすることもできます (例: https://www.mysite.com)。詳細については、「Amazon CloudFront デベロッパーガイド」の「代替ドメイン名とHTTPS を使用する」のトピックを参照してください。
CloudFront が応答する HTTP メソッドの選択
Amazon CloudFront のウェブディストリビューションを作成するときは、CloudFront によって処理されてオリジンに転送される HTTP メソッドを選択します。次のオプションから選択できます。
GET、HEAD– CloudFront を使用して、オリジンからのオブジェクトの取得またはオブジェクトヘッダーの取得のみを行うことができます。GET、HEAD、OPTIONS– CloudFront を使用して、オリジンからのオブジェクトの取得、オブジェクトヘッダーの取得、またはオリジンサーバーがサポートするオプションのリスト取得のみを行うことができます。GET、HEAD、OPTIONS、PUT、POST、PATCH、DELETE– CloudFront を使用して、オブジェクトの取得、追加、更新、削除、およびオブジェクトヘッダーの取得を行うことができます。また、ウェブフォームからのデータの送信など、その他のPOSTオペレーションも実行できます。
AWS WAF バイト一致ルールステートメントを使用して、 で説明されているように、HTTP メソッドに基づいてリクエストを許可またはブロックすることもできます文字列一致ルールステートメント。GET や など、CloudFront がサポートするメソッドの組み合わせを使用する場合はHEAD、他のメソッドを使用するリクエストをブロック AWS WAF するように を設定する必要はありません。GET、、 など、CloudFront がサポートしていないメソッドの組み合わせを許可する場合はPOST、すべてのメソッドに応答するように CloudFront HEADを設定し、 を使用して他のメソッドを使用するリクエスト AWS WAF をブロックできます。
が応答するメソッドの選択の詳細については、「Amazon CloudFront デベロッパーガイド」で「ウェブディストリビューションを作成または更新する場合に指定する値」トピックの「許可される HTTP メソッド」を参照してください。
