本番環境だけ動かない不具合を追いかけたら、AWS WAFに行きついた話

JAWS-UG KYUSHU QUEST 2026 in Fukuoka(公募10分Talk枠)

Transcript

1. 本番環境だけ動かない不具合を追いかけたら AWS WAF に行き着いた話 うな （内山優布奈）
2. 1. 自己紹介 うな (内山 優布奈) 社会人 2 年目 ／ AWS 歴 10 ヶ月 • 農学部出身（福岡に6年住んでました!) • 趣味：ライブ Xのアカウント Qiitaのアカウント
3. 2. 問題発生 — 本番だけ落ちる ・対象機能 Web アプリの CSV インポート機能 ・症状 本番環境だけエラーが出て インポートできない ・再現性 検証環境では一切再現しない
4. 3. 仮説を立ててみる バリデーション？ タイムアウト？ アプリログには なにもない 504ではなく403
5. 4. 原点に戻る— レスポンスヘッダ― Nginxなどではなく AWSのALBが403を返している！！！
6. 5. 原因 AWS WAF！ WAFのサンプリングリクエストを見てみる
7. 6. 根本原因 AWSManagedRulesCommonRuleSet の SizeRestrictions_BODY ルール リクエストボディ：8 KB 超過でブロック なぜ本番だけ？ 本番：WAF 設定あり 検証：WAF 設定なし なぜエラーコード件数 が多いと？ なぜ気づかなかった？ ボディサイズ： 8 KB 超 全てのWAF の存在を 少量データは通過 把握していなかった！！ 大量データはブロック
8. 7. 対処の壁 ClaudeCode の提案 同じルールグループをもう一つ追加して SizeRestrictions_BODY だけ Count に設定すれば OK ハルシネーションが発覚！
9. 8. 解決策 1 既存ルールを Count モードに変更 ・ SizeRestrictions_BODY を Block → Count に変更 ブロックせずカウントのみになる これで CSV インポートのリクエストが通るようになる 2 カスタムルールで対象パス以外を再保護 ・ CSV インポートのパス以外 かつ ボディ 8 KB 超 → Block 対象パスだけ解除、他は引き続き保護 対象パスだけ通過、他はブロック
10. 9. 実際にやってみた 1 検証環境に WAF を再現 本番と同じ設定を 検証環境に作成 2 症状を再現して確認 同じ 403 が出ることを確認 3 検証環境で修正を適用 4 本番に適用 Count 切り替え + カスタムルール追加 解消を確認
11. 10. 実際にやってみた2 カスタムルールの詳細 CSV取込以外のパスを ブロック 8KBより大きいと ブロック
12. 11. まとめ ステータスコードとレスポンスヘッダーを読む AWS WAF のマネージドルールを把握する AI の提案は鵜呑みにせず、検証環境で試す
13. ご清聴ありがとうございました！