AWS構成から考えるWebセキュリティ ― WordPressの構築経験から考える公開範囲と更新運用【JAWS FESTA 2026 in AKITA】

2026年11月7日 JAWS FESTA 2026 in AKITAの登壇資料です。

株式会社サイバーセキュリティクラウドの岩村 蘭満が、WordPressの構築経験をもとに、AWS構成から考えるWebセキュリティについて紹介しました。

サイトの役割を「更新」と「配信」に分け、通常のWordPress構成と、Amazon S3・Amazon CloudFrontによる静的配信を比較。閲覧者がアクセスできる範囲や、閲覧時に動く処理がどのように変わるのかを解説しています。

静的配信でも必要となるCMSの保護、権限・認証情報の管理に加え、記事の更新から公開までの運用も整理。必要な機能や更新頻度、保守体制を踏まえて構成を選ぶ際の考え方をまとめています。

登壇者：岩村 蘭満
株式会社サイバーセキュリティクラウド
プロダクトデリバリー部 テクニカルアカウントマネージャー（TAM）

#AWS Web Security
#WordPress
#Amazon S3
#Amazon CloudFront
#Static Site
#Headless
#CMS
#JAWS-UG

Transcript

1. JAWS FESTA 2026 in AKITA AWS構成から考える Webセキュリティ WordPressの構築経験から考える 公開範囲と更新運⽤ 岩村 蘭満 株式会社サイバーセキュリティクラウド 01
2. ⾃⼰紹介 岩村 蘭満 株式会社サイバーセキュリティクラウド プロダクトデリバリー部 テクニカルアカウントマネージャー（TAM） 02
3. サイトの仕事を「更新」と「配信」に分ける 更新する 閲覧者に届ける 記事を書く 画像を登録する ページを表⽰する 画像を届ける WordPressで管理 配信する仕組みを選べる CMS：記事や画像などのコンテンツを管理する仕組み 03
4. 通常のWordPress構成 閲覧リクエスト 閲覧者 WordPress PHP‧プラグイン DB 記事データ データを取得 ページを⽣成 リクエストを受け、WordPressでページを⽣成する 概念図：キャッシュ、VPC、ALBなどの構成要素は省略 04
5. 公開する機能が、守る対象になる ログイン画⾯への不正な試⾏ 閲覧リクエスト 閲覧者 WordPress PHP‧プラグイン DB 記事データ データを取得 ページを⽣成 PHP‧プラグインなどの脆弱性 DBはWordPress経由で利⽤。DBを直接公開することを意味しません 05
6. ヘッドレスCMSと、配信のパターン コンテンツ管理と、画⾯の表⽰を分離する構成 CMSと表⽰側は主にAPIで連携。表⽰側の配信⽅法には、例えば次の2つ 閲覧時にデータを取得 事前にページを⽣成 ブラウザや表⽰側サーバーが CMSのAPIから取得して表⽰ 公開前にHTMLを⽣成し、 完成したファイルを配信 CMS 表⽰側 閲覧者 CMS ⽣成 配信 閲覧者 今回の事例：S3＋CloudFrontで静的配信 06
7. 事前に作ったページを、S3から配信 管理‧公開 更新担当 WordPress PHP‧DB ⽣成‧転送 管理画⾯‧ログイン画⾯は接続元を制限 閲覧 閲覧者 CloudFront 閲覧者へ配信 Amazon S3 HTML‧画像 閲覧時はWordPressの処理を呼び出さず、⽣成済みファイルを配信 07
8. 閲覧時に動く処理が変わる ⽐較する点 通常のWordPress 今回の静的配信 ページの配信 WordPressで⽣成 ⽣成済みファイルを配信 閲覧時の PHP‧DB処理 ページ⽣成時に利⽤ 不要 CMS⾃体の保護 必要 必要 公開ページの配信経路から、動的な処理を外せる 08
9. 静的配信でも、守る対象は残る CMS側 本体‧プラグインの更新 管理画⾯などのアクセス制限 S3‧CloudFront S3へのアクセスと書き込み権限 HTTPSでの配信 ⽣成‧転送 実⾏する権限‧認証情報の管理 改ざんした内容を公開しない確認 管理画⾯以外のURL‧APIも含め、WordPress側の公開範囲を確認 09
10. 更新から公開までの、仕組みづくり 構築‧検証で⼿間がかかったこと 記事を更新 ⽣成‧転送 ⾃動で⽣成‧転送する 仕組みの構築 S3へ配置 公開を確認 更新した記事や画像の 公開サイトへの反映確認 配信側の処理を減らす構成では、公開するための運⽤も設計する 10
11. 機能と更新運⽤から、構成を考える 必要な機能 更新の運⽤ 問い合わせフォーム ログイン‧会員機能 サイト内検索 更新する頻度 公開までに許容できる時間 担当者と保守の体制 動的な機能は、別の仕組みも含めて検討する 問い合わせフォームの実装は、今回の検証対象外 11
12. まとめ 公開する機能を、 構成から考える 閲覧者が到達できる範囲を確認する CMS側の保護も続ける 更新の運⽤まで含めて構成を選ぶ 12