AWS CloudFront

CDN（Content Delivery Network）とは

CDNは、世界中に分散配置されたサーバー群（エッジロケーション）を使い、ユーザーに最も近い場所からコンテンツを配信する仕組み。これにより、レイテンシの削減、オリジンサーバーの負荷軽減、大量トラフィックへの耐性向上を実現する。

CDNがない場合とある場合の比較

CloudFrontとは

Amazon CloudFrontは、AWSが提供するCDNサービス。S3、ALB、EC2、カスタムオリジンなど任意のHTTPサーバーをオリジンとして、グローバルに分散されたエッジロケーションからコンテンツを高速配信する。

CloudFrontの全体像

エッジロケーションとPOP

エッジロケーション

CloudFrontのコンテンツをキャッシュし、ユーザーに配信する拠点。世界中に450箇所以上（2025年時点）存在する。

リクエストの流れ

日本のエッジロケーション

日本には東京と大阪にエッジロケーションが複数存在する。日本国内のユーザーへの配信は非常に低レイテンシで実現可能。

キャッシュ戦略

TTL（Time to Live）

キャッシュの有効期間を制御するパラメータ。

Cache-Controlヘッダーとの関係

オリジンが返すCache-Controlヘッダーの値と、CloudFrontのTTL設定の関係:

オリジンのレスポンス: Cache-Control: max-age=3600

CloudFront側の設定:
  Minimum TTL = 60
  Maximum TTL = 86400
  Default TTL = 86400

結果: キャッシュTTL = 3600秒（max-ageがMin〜Maxの範囲内なので採用）

コンテンツ種別ごとの推奨TTL

キャッシュ無効化（Invalidation）

キャッシュの有効期限前に強制的にキャッシュを削除する操作。

# 特定のファイルを無効化
aws cloudfront create-invalidation \
  --distribution-id E1234567890 \
  --paths "/index.html" "/css/style.css"

# ディレクトリ配下を一括無効化
aws cloudfront create-invalidation \
  --distribution-id E1234567890 \
  --paths "/images/*"

# 全キャッシュの無効化（非推奨：コスト大）
aws cloudfront create-invalidation \
  --distribution-id E1234567890 \
  --paths "/*"

Invalidationの注意点:

• 月間1,000パスまでは無料。超過分は1パスあたり$0.005
• /*は1パスとしてカウントされる
• 全エッジロケーションへの反映には数分〜十数分かかる
• 頻繁なInvalidationよりもファイル名バージョニング（例: style.abc123.css）を推奨

キャッシュキー

CloudFrontがキャッシュを一意に識別するためのキー。デフォルトではURLパスだが、以下をキャッシュキーに含めるよう設定可能。

ベストプラクティス: キャッシュキーに含める要素は最小限にする。含める要素が多いほどキャッシュヒット率が下がる。

オリジン

オリジンの種類

S3オリジンの設定

S3をオリジンとして使用する場合、2つの方式がある。

オリジングループ（フェイルオーバー）

プライマリオリジンが障害の際にセカンダリオリジンへ自動フェイルオーバーする機能。

CloudFront → オリジングループ
              ├── プライマリ: S3バケット（東京リージョン）
              └── セカンダリ: S3バケット（大阪リージョン）

プライマリが5xx/4xxを返した場合 → 自動でセカンダリにフェイルオーバー

OAC（Origin Access Control）

OACとは

CloudFrontディストリビューションからのみS3バケットへのアクセスを許可する仕組み。S3バケットのURLを直接叩いてもアクセスできないようにする。

OACの設定手順

1. CloudFrontディストリビューションのオリジン設定でOACを作成
2. S3バケットポリシーにCloudFrontからのアクセスを許可する記述を追加

S3バケットポリシーの例:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCloudFrontServicePrincipal",
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudfront.amazonaws.com"
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::my-bucket/*",
      "Condition": {
        "StringEquals": {
          "AWS:SourceArn": "arn:aws:cloudfront::123456789012:distribution/E1234567890"
        }
      }
    }
  ]
}

OAC vs OAI

Lambda@Edge と CloudFront Functions

概要

CloudFrontのエッジでコードを実行する機能。リクエスト/レスポンスの加工、認証、リダイレクト、A/Bテストなどを実現する。

Lambda@Edge vs CloudFront Functions

イベントトリガーのタイミング

CloudFront Functionsの例

URLリライト（SPAのルーティング対応）:

function handler(event) {
  var request = event.request;
  var uri = request.uri;

  // 拡張子のないパスは index.html にリライト
  if (!uri.includes('.')) {
    request.uri = '/index.html';
  }

  return request;
}

セキュリティヘッダーの追加:

function handler(event) {
  var response = event.response;
  var headers = response.headers;

  headers['strict-transport-security'] = {
    value: 'max-age=63072000; includeSubdomains; preload'
  };
  headers['x-content-type-options'] = { value: 'nosniff' };
  headers['x-frame-options'] = { value: 'DENY' };
  headers['x-xss-protection'] = { value: '1; mode=block' };
  headers['content-security-policy'] = {
    value: "default-src 'self'; script-src 'self'"
  };

  return response;
}

Lambda@Edgeの例

Basic認証:

export const handler = async (event) => {
  const request = event.Records[0].cf.request;
  const headers = request.headers;

  const authUser = 'admin';
  const authPass = 'password123';
  const authString = 'Basic ' + Buffer.from(authUser + ':' + authPass).toString('base64');

  if (
    !headers.authorization ||
    headers.authorization[0].value !== authString
  ) {
    return {
      status: '401',
      statusDescription: 'Unauthorized',
      headers: {
        'www-authenticate': [{ value: 'Basic realm="Restricted"' }],
      },
      body: 'Unauthorized',
    };
  }

  return request;
};

SSL/TLS

カスタムドメインでのHTTPS

CloudFrontでカスタムドメインを使用する場合、SSL/TLS証明書が必要。

重要: CloudFrontで使用するACM証明書は、必ず**us-east-1（バージニア北部）**リージョンで発行する必要がある。

TLSバージョン

SNI（Server Name Indication）

WAF連携

AWS WAFとの統合

CloudFrontにAWS WAF（Web Application Firewall）のWeb ACLを関連付けることで、不正なリクエストをエッジで遮断できる。

AWS Shield

CloudFrontには自動的にAWS Shield Standardが適用され、一般的なDDoS攻撃（L3/L4）から保護される。Shield Advancedを有効にすると、より高度なDDoS防御とDDoSレスポンスチームのサポートが利用可能。

実務での構成パターン

パターン1: 静的Webサイトホスティング

Route 53 → CloudFront → S3（OAC）
              ↓
          ACM証明書（us-east-1）
          CloudFront Functions（URLリライト）

• S3のウェブサイトホスティングではなくCloudFront経由で配信
• OACでS3への直接アクセスを防止
• CloudFront FunctionsでSPAのルーティング対応

パターン2: 動的Webアプリケーション

Route 53 → CloudFront → /api/*   → ALB → ECS
                       → /static/* → S3（OAC）
                       → /*        → S3（OAC）
              ↓
          WAF Web ACL
          ACM証明書

• Behavior（キャッシュ動作）でパスパターン別にオリジンを振り分け
• API通信はキャッシュなし（TTL=0）でALBに転送
• 静的アセットはS3から長期キャッシュで配信

パターン3: マルチオリジン + フェイルオーバー

CloudFront → オリジングループ
              ├── プライマリ: ALB（東京リージョン）
              └── セカンダリ: ALB（大阪リージョン）

• プライマリオリジンが5xxを返した場合に自動フェイルオーバー
• リージョン障害時のDR対策

料金

課金の構成要素

コスト最適化のポイント

Price Class

日本をターゲットにする場合は Price Class 200 以上が必要。

CloudFrontの設定項目まとめ

ディストリビューション設定

Behavior（キャッシュ動作）設定

参考文献

• Amazon CloudFront 公式ドキュメント
• CloudFront の料金
• CloudFront Functions の開発者ガイド
• Lambda@Edge の開発者ガイド
• OAC（Origin Access Control）
• AWS WAF と CloudFront の統合
• CloudFront キャッシュポリシー
• CloudFront ベストプラクティス
• AWS Well-Architected Framework - Performance Efficiency Pillar