CloudFormation で OAI を使った CloudFront + S3 の静的コンテンツ配信インフラを作る

都元ダイスケ

2018.02.14

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

よく訓練されたアップル信者、都元です。年末に Fitbit Alta HR を買いました。睡眠や心拍がほぼ24時間体制でトラッキングされるって面白いですね。え？アップルウォッうわなにをする

はじめに

さて、S3 + CloudFront で静的コンテンツ配信をしよう、というのはもう今さら言うまでもない鉄板構成だと思います。かつてAWSにおける静的コンテンツ配信パターンカタログ（アンチパターン含む）でご紹介した「横綱」パターンですね。

公開サイトとして、この構成を雑に作る場合

CloudFront を介して配信するということは基本的に公開サイトとして配信するユースケースが多いと思います。

つまり、原則としてはみんな CloudFront を介してコンテンツにアクセスして欲しいのですが、最悪 S3 に直接アクセスしてコンテンツを読まれたとしてもセキュリティ上は問題ない、ということです。

このような要件であれば、S3 の設定を Public にしてしまい、CloudFront からも（どこからでも）自由にコンテンツを読み出せるように設定してしまうのが楽だと思います。

プライベートコンテンツを配信したい場合

一方で、CloudFront の署名付きURL（下記のリンクを参照）などの機能を使ってプライベートコンテンツを配信したい時は、前述のように S3 バケットを Public にしてしまうわけにはいきません。

このような時は、CloudFront の Origin Access Identity (以下、OAI) という機能を使います。要するに S3 を公開状態にすることなく、S3 へのアクセスを CloudFront からのリクエストに絞るための仕組みです。詳細は次のエントリーを参照してください。

[CloudFront + S3]特定バケットに特定ディストリビューションのみからアクセスできるよう設定する

要するに次のような作業をします。

S3 バケットを作成
CloudFront の OAI を作成
S3 バケットに、作成した OAI からのアクセスを許可するバケットポリシーを設定
オリジンとして S3 バケットを設定、そしてオリジンアクセスの際にこの OAI を利用するように設定して、CloudFront distribution を作成

CloudFront + S3 with OAI の構成を CloudFormation で。

しかし、この構成の手動構築はそこそこ面倒です。こういう時は、CloudFormation でテンプレート化しておくのが吉でしょう。

ただ、私の古い記憶によると、CloudFormation はステップ 2 の Origin Access Identity 作成をサポートしていませんでした。当時やる気を失い、テンプレートを作らないでいた気がします。カスタムリソースを使うという手もありますが、いや、まぁ……ねぇ…ｗ

しかし、先日あらためて調べてみたところ、いつの間にかサポートがありました。え、これいつの間にリリースされたの！誰もブログ書いてないんじゃ…。やべえ、ということでいま筆を取っている次第です。

AWS::CloudFront::CloudFrontOriginAccessIdentity リソース

はい、テンプレート置いておきます。

AWSTemplateFormatVersion: 2010-09-09
Description: Static contents distribution using S3 and CloudFront.

Resources:
  # S3 bucket contains static contents
  AssetsBucket:
    Type: AWS::S3::Bucket
    DeletionPolicy: Retain
  # S3 bucket policy to allow access from CloudFront OAI
  AssetsBucketPolicy:
    Type: AWS::S3::BucketPolicy
    Properties:
      Bucket: !Ref AssetsBucket
      PolicyDocument:
        Statement:
          - Action: s3:GetObject
            Effect: Allow
            Resource: !Sub arn:aws:s3:::${AssetsBucket}/*
            Principal:
              AWS: !Sub arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity ${CloudFrontOriginAccessIdentity}

  # CloudFront Distribution for contents delivery
  AssetsDistribution:
    Type: AWS::CloudFront::Distribution
    Properties:
      DistributionConfig:
        Origins:
        - Id: S3Origin
          DomainName: !GetAtt AssetsBucket.DomainName
          S3OriginConfig:
            OriginAccessIdentity: !Sub origin-access-identity/cloudfront/${CloudFrontOriginAccessIdentity}
        Enabled: true
        DefaultRootObject: index.html
        Comment: !Sub ${AWS::StackName} distribution
        DefaultCacheBehavior:
          TargetOriginId: S3Origin
          ForwardedValues:
            QueryString: false
          ViewerProtocolPolicy: redirect-to-https
  CloudFrontOriginAccessIdentity:
    Type: AWS::CloudFront::CloudFrontOriginAccessIdentity
    Properties:
      CloudFrontOriginAccessIdentityConfig:
        Comment: !Ref AWS::StackName

Outputs:
  URL:
    Value: !Join [ "", [ "https://", !GetAtt [ AssetsDistribution, DomainName ]]]

ご自由にご利用ください！