えるしってるか CloudFrontはWAFがあっても カスタムエラーレスポンスを返せる

「JAWS-UG 名古屋 推しのAWSサービスを語るLT会」の登壇資料となります。

Transcript

1. えるしってるか
   CloudFrontはWAFがあっても
   カスタムエラーレスポンスを返せる
   黒野 雄稀 | 2023/3/29
   1
   JAWS-UG 名古屋 推しのAWSサービスを語るLT会
   

   View Slide

2. 自己紹介
   黒野 雄稀 Yuki Kurono
   kurono_98
   kurono
   アイレット株式会社 所属　
   普段はインフラ設計・構築や運用構築に従事
   2022 APN ALL AWS Certifications Engineers
   名古屋に住んでいるらしい
   2
   

   View Slide

3. 3
   CloudFrontとは
   AWSで提供されるCDNサービスとなります。
   450以上のPoint of Presenceのグローバルネットワークと48か国の90以上の都市
   にある13のリージョンレベルのエッジキャッシュを使用します
   

   View Slide

4. AWS Cloud
   4
   構成
   WAF
   ALB
   S3
   CloudFront
   

   View Slide

5. AWS Cloud
   5
   メンテナンス画面作れるらしい
   WAF(IP制限)
   ALB
   S3
   CloudFront
   カスタムエラー
   レスポンス
   

   View Slide

6. いやでも待て。
   CloudFrontの前段にWAFがある
   から無理じゃない🤔
   

   View Slide

7. AWS Cloud
   7
   想像
   WAF(IP制限)
   ALB
   S3
   CloudFront
   カスタムエラー
   レスポンス
   403
   

   View Slide

8. やってみた
   

   View Slide

9. ちゃんと動いたぞ。。
   許可IP接続時 非許可IP接続時
   

   View Slide

10. 10
    ドキュメント
    つまり、403エラーはWAFが返してるのではなく、
    CloudFrontから返ってきていた。
    

    View Slide

11. AWS Cloud
    11
    実際の動き
    WAF(IP制限)
    ALB
    S3
    CloudFront
    カスタムエラー
    レスポンス
    ③カスタムエラー
    レスポンス
    ①403
    ②コンテンツ取得
    

    View Slide

12. 注意点
    ①AWS WAF ルールを使用してカスタマイズした応答は、
    CloudFront カスタムエラーページで定義した応答よりも優先されます。
    ②CloudFrontはオリジンによって返された403と、
    AWS WAFによってブロック時に返された403を区別できないです。
    

    View Slide

13. 13
    まとめ
    ● CloudFrontのカスタムエラーレスポンスを使うと簡単にメンテ
    ナンスページが実現できる！
    ● WAFでブロックされたときにはWAFからレスポンスを返すのでは
    なく、一旦CloudFrontに403を返している。
    ● 色々と面倒だけれども悪くはない。
    

    View Slide

14. View Slide