【小ネタ】カスタム認証を使うAPI GatewayをCloudFrontの後ろに置いたらAPIを叩けなくなった

API Gatewayの前にCloudFront置いたらカスタム認証が通らなくなった。ドキュメントをぱっと見る限り問題はなさそうだけど実は落とし穴があった。

#Amazon CloudFront

#Amazon API Gateway

#AWS

夏目祐樹

2018.05.29

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

こんにちは、夏目です。

現在私が関わっているサーバーレスの案件で、今までAPI Gatewayがインターネットにむき出しになっていたのを、セキュリティ強化のためにWAFをつけたいという要望がありました。

AWS WAFはELBやCloudFrontにはつけることができるのですが、API Gatewayにつけることができません。そのため、API Gatewayの前にCloudFrontを置くことになりました。

すると今まで動いていた、API Gatewayのカスタム認証が通らないためAPIを叩くことができなくなりました。

どういった設定にしていたのか

CloudFrontのBehaviorsで"Cache Based on Selected Request Headers"を"All"にしていました。

"Learn More"と書かれたリンクの先のドキュメントには以下のように書かれています。

ウェブディストリビューションの各キャッシュ動作を以下のいずれかを実行するように設定できます。

全てのヘッダーをオリジンに転送する　　重要　　すべてのヘッダーをオリジンに転送するように CloudFront を設定した場合、　　CloudFront はこのキャッシュ動作に関連付けられたオブジェクトをキャッシュしません。　　その代わりに、すべてのリクエストをオリジンに送信します。

指定したヘッダーのホワイトリストを転送する。CloudFront は、指定されたヘッダーすべての値に基づいてオブジェクトをキャッシュします。CloudFront は、デフォルトで転送するヘッダーも転送しますが、指定されたヘッダーの値にのみ基づいてオブジェクトをキャッシュします。

デフォルトのヘッダーのみを転送する。この設定の場合、CloudFront は、リクエストヘッダーの値に基づいてオブジェクトをキャッシュすることはしません。

リクエストヘッダーに基づいてオブジェクトをキャッシュするように CloudFront を設定する

API Gatewayでカスタム認証を使うために"Authorization"ヘッダーを使用しています。そのため、「すべてのリクエストをオリジンに送信します」と書かれた"All"で問題ないように見えました。

もちろん、以後API Gatewayが動かなくなったので実際には問題があります。