の新しいコンソールエクスペリエンスの紹介 AWS WAF

更新されたエクスペリエンスを使用して、 コンソールの任意の場所で AWS WAF 機能にアクセスできるようになりました。詳細については、「コンソールの使用」を参照してください。

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon CloudFront AWS WAF での の使用

Amazon CloudFront 機能 AWS WAF で を使用する方法について説明します。

保護パック (ウェブ ACL) を作成するときに、 AWS WAF で検査する 1 つ以上の CloudFront ディストリビューションを指定できます。CloudFront は、個々のテナントを保護する標準ディストリビューションと、単一の共有設定テンプレートを使用して複数のテナントを保護するマルチテナントディストリビューションの 2 種類のディストリビューションをサポートしています。 AWS WAF は、保護パック (ウェブ ACL) で定義したルールに基づいて、両方のディストリビューションタイプのウェブリクエストを検査し、タイプごとに実装パターンが異なります。

がさまざまなディストリビューションタイプと AWS WAF 連携する方法

ディストリビューションタイプ

AWS WAF は、標準およびマルチテナントディストリビューション CloudFront ディストリビューションの両方にウェブアプリケーションファイアウォール機能を提供します。

標準ディストリビューション

標準ディストリビューションの場合、 はディストリビューションごとに 1 つの保護パック (ウェブ ACL) を使用して保護 AWS WAF を追加します。この保護を有効にするには、既存の保護パック (ウェブ ACL) を CloudFront ディストリビューションに関連付けるか、CloudFront コンソールでワンクリック保護を使用します。これにより、保護パック (ウェブ ACL) を変更すると、それに関連付けられたディストリビューションにのみ影響するため、各ディストリビューションのセキュリティコントロールを個別に管理できます。

CloudFront ディストリビューションを保護するこの簡単な方法は、個々のドメインに単一の保護パック (ウェブ ACL) からの特定の保護を提供するのに最適です。

標準ディストリビューションに関する考慮事項

マルチテナントディストリビューション

マルチテナントディストリビューションの場合、 は単一の保護パック (ウェブ ACL) を使用して複数のドメインに保護 AWS WAF を追加します。マルチテナントディストリビューションによって管理されるドメインは、ディストリビューションテナントと呼ばれます。マルチテナントディストリビューション AWS WAF の保護は、マルチテナントディストリビューションの作成プロセス中または作成後に、CloudFront コンソールでのみ有効にできます。ただし、保護パック (ウェブ ACL) への変更は、 AWS WAF 引き続きコンソールまたは API を通じて管理されます。

マルチテナントディストリビューションは、次の 2 つのレベルで AWS WAF 保護を可能にする柔軟性を提供します。

これらの 2 つの階層により、マルチテナントディストリビューションは、個々のディストリビューションのセキュリティをカスタマイズする能力を失うことなく、複数のドメイン間で AWS WAF 保護を共有するのに最適です。

マルチテナントディストリビューションに関する考慮事項

AWS WAF ディストリビューションタイプ別の機能

CloudFront 定額料金プラン AWS WAF での の使用

CloudFront 定額料金プランは、トラフィックの急増や攻撃に関係なく、Amazon CloudFront グローバルコンテンツ配信ネットワーク (CDN) と複数の AWS のサービス および 機能を月額料金で組み合わせます。

定額料金プランには、シンプルな月額料金の以下の AWS のサービス および 機能が含まれます。

プランは、アプリケーションのニーズに合わせて、無料、プロ、ビジネス、プレミアムの各階層で利用できます。プランは、ベストレートを取得するために年間コミットメントを必要としません。無料プランから始めて、より多くの機能や使用量にアップグレードできます。

プランと機能の詳細なリストについては、「Amazon CloudFront デベロッパーガイド」の「CloudFront 定額料金プラン」を参照してください。 Amazon CloudFront

CloudFront による AI トラフィックの収益化

AI トラフィック収益化は、Amazon CloudFront ディストリビューションに関連付けられた AWS WAF ウェブ ACL リソースでのみ使用できます。支払いの検証と決済は CloudFront エッジロケーションで行われ、世界中のエージェントのレイテンシーを最小限に抑えます。

CloudFront Functions と Lambda@Edge で AI トラフィック収益化を使用する場合の考慮事項

Monetize ルールがあるディストリビューションで CloudFront Functions または Lambda@Edge を使用する場合は AWS WAF、 AWS WAF生成されたレスポンスに対して次の動作に注意してください。

AWS WAFが生成したレスポンス (402 Payment Required Challenge)

ビューワーレスポンス関数 (CloudFront Functions および Lambda@Edge) は AWS WAF、生成された 402 レスポンスでは実行されません。これらの関数を使用して、支払いが必要なチャレンジをカスタマイズすることはできません。また、ヘッダーを追加したり変更したりすることもできません。402 レスポンスにカスタムヘッダーを追加する必要がある場合は (CORS や分析ヘッダーなど）、代わりにレスポンスヘッダーポリシーを使用します。レスポンスヘッダー ポリシーは AWS WAF、生成されたレスポンスに適用されます。

CloudFront Functions とレスポンスヘッダーポリシーの詳細については、以下を参照してください。

有料レスポンス (決済後 200)

支払い決済が成功すると、オリジンレスポンスはビューワーレスポンス関数を含む通常の CloudFront レスポンスパイプラインを通過します。ビューワーレスポンス関数は、支払い後にエージェントが受け取るレスポンスを変更できます。たとえば、ステータスコードを変更したり、ヘッダーを削除したりできます。

CloudFront による AI トラフィックの収益化

AI トラフィック収益化は、Amazon CloudFront ディストリビューションに関連付けられたウェブ ACLs でのみ使用できます。支払い検証とアクセストークンの発行は CloudFront エッジロケーションで行われ、世界中のエージェントのレイテンシーを最小限に抑えます。

CloudFront のみを使用する理由

収益化には以下が必要です。

リージョンウェブ ACLs (Application Load Balancer、、、Cognito、App Runner、Verified Access) は、Monetize アクションをサポートしていません。リージョンウェブ ACL で Monetize ルールが設定されている場合、ルールはスキップされ、リクエストは次のルールに進みます。

収益化されたコンテンツによるキャッシュ動作

収益化されたリソースには、あるエージェントの有料アクセスがキャッシュされたコンテンツを別のエージェントに提供できないようにするための特別なキャッシュ設定が必要です。

収益化されたパスの推奨キャッシュ設定:

パフォーマンスのためにキャッシュが必要な場合は、エージェントごとのキャッシュキーを設定します。

レイテンシー特性

CloudFront ディストリビューション設定

収益化を有効にするために CloudFront ディストリビューション設定を変更する必要はありません。この機能は、 AWS WAF ウェブ ACL と保護パックの設定によって完全に制御されます。

以下のことを確認してください。