![【Security Hub修復手順】[CloudFront.17] CloudFront ディストリビューションでは、署名付き URLsと Cookie に信頼されたキーグループを使用する必要があります](https://images.ctfassets.net/ct0aopd36mqt/wp-refcat-img-cea52bc8a6ec5cad9021b38df4a08b9e/24c76ee7c1ae7aa7f9676a59c77f8702/aws-security-hub?w=3840&fm=webp)
【Security Hub修復手順】[CloudFront.17] CloudFront ディストリビューションでは、署名付き URLsと Cookie に信頼されたキーグループを使用する必要があります
こんにちは！コンサルティング部のヒスです。
皆さん、お使いのAWS環境のセキュリティチェックはしていますか？
本記事では、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介します。
本記事の対象コントロール
[CloudFront.17] CloudFront ディストリビューションでは、署名付き URLsと Cookie に信頼されたキーグループを使用する必要があります
[CloudFront.17] CloudFront distributions should use trusted key groups for signed URLs and cookies
前提条件
本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります。
AWS Security Hubの詳細についてはこちらのブログをご覧ください。
対象コントロールの説明
このコントロールは、CloudFrontディストリビューションが署名付きURLまたは署名付きCookie認証に信頼済みキーグループを使用しているかどうかをチェックします。信頼済みキーグループを使用している場合、このコントロールは成功します。
信頼済み署名者（AWSアカウントベースのレガシー方式）を使用している場合、または署名付きURL/Cookie認証自体が設定されていない場合、このコントロールは失敗します。
署名付きURLや署名付きCookieを作成するには、署名者が必要です。署名者には以下の2種類があります。
- 信頼済みキーグループ: CloudFrontで作成するキーグループ
- AWSアカウント（信頼済み署名者）: CloudFrontキーペアを含むAWSアカウント
信頼済み署名者を使用する構成では、公開鍵の管理にAWSアカウントのルートユーザーが必要になります。ルートユーザーの認証情報が漏えいすると、保護対象コンテンツへの不正アクセスを許すおそれがあります。信頼済みキーグループへ移行することで、ルートユーザーを使わずに公開鍵を管理できるようになり、CloudFront APIによるキー管理の自動化やIAMポリシーによる権限制御も可能になります。
修復手順
コントロールの確認方法
- Security Hubコンソールを開く
- 左メニューから「検出結果」を選択
- フィルターで対象のコントロールID「CloudFront.17」を検索
ステークホルダーに確認
修復を行う前に、以下の点をステークホルダーに確認してください。
- 既存の署名付きURL/Cookieを利用している場合、署名者の切り替えによってアプリケーション側の署名生成処理（秘密鍵の参照先）に影響が出るため、影響範囲を確認する
- 対象のディストリビューションが完全に公開されたコンテンツを配信しており、署名付きURL/Cookieによるアクセス制限自体が不要な構成である場合、後述の「抑制の方法」の対象になり得るため、先に確認する
修復手順
-
OpenSSL等で公開鍵・秘密鍵のペアを作成する
openssl genrsa -out private_key.pem 2048 openssl rsa -pubout -in private_key.pem -out public_key.pemprivate_key.pem（秘密鍵）は署名を生成するアプリケーション側で安全に保管し、CloudFrontにはアップロードしません。public_key.pem（公開鍵）は次の手順でCloudFrontに登録します。
- CloudFrontコンソールを開き、左メニューから「パブリックキー」を選択し、Step 1で作成した公開鍵を登録する
- 左メニューから「キーグループ」を選択し、新規キーグループを作成する。作成時にStep 2で登録した公開鍵を追加する
- 対象のディストリビューションを選択し、「ビヘイビア」タブから対象のキャッシュビヘイビアを編集する
- 「ビューワーアクセスを制限する」を「はい」に設定し、信頼済みキーグループとしてStep 3で作成したキーグループを指定して保存する
- アプリケーション側で署名付きURL/Cookieを生成している場合、署名に使用する秘密鍵をStep 1で作成したキーペアの秘密鍵に切り替える
修復確認
修復後、Security Hubで検出結果が「PASSED」になることを確認します。
抑制の方法
このコントロールは、信頼済みキーグループ（または信頼済み署名者）による署名付きURL/Cookie認証を設定しない限り「失敗」と判定される仕組みです。そのため、完全に公開されたコンテンツを配信しており、そもそも署名付きURL/Cookieによるアクセス制限を導入する必要がないディストリビューションでも検出対象になります。
以下の条件に該当する場合は、抑制の対応をご検討ください。
- パブリックコンテンツを配信しており、署名付きURL/Cookieによるアクセス制限が不要なディストリビューション
- Security Hubコンソールで対象の検出結果を選択する
- 「ワークフローのステータスを変更」から「抑制済み」を選択する
- 抑制の理由（公開コンテンツ配信のためアクセス制限が不要である旨）を記録する
なお、将来的に署名付きURL/Cookieによるアクセス制限を導入する予定がある場合は、抑制を解除し、上記の修復手順に従って信頼済みキーグループを設定してください。
最後に
今回は、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修正手順をご紹介しました。
コントロールを修正して、お使いのAWS環境のセキュリティをパワーアップさせましょう！
最後までお読みいただきありがとうございました！どなたかのお役に立てれば幸いです。
